Name: データ保護法と一般データ保護規則（GDPR） (The Data Protection Act and the General Data Protection Regulation (GDPR))
Uploaded: 2025-08-22T10:42:10.000Z
Duration: 34 min 41 s
Description: VoiceTubeの動画で発音を聞きながら英語表現を覚えよう！学べる英語：

The Data Protection Act and the General Data Protection Regulation are laws that govern the way personal data should be collected, processed and stored, with the aim of protecting people's privacy.

データ保護法と一般データ保護規則は、人々のプライバシー保護を目的として、個人データの収集、処理、保存のあり方について定めた法律である。

基礎受動態

In this lesson, you'll learn exactly what is meant by personal data.

このレッスンでは、個人データの意味を正確に学びます。

You'll learn about the key principles of these laws and the price to be paid for breaking them.

これらの法律の重要な原則と、それを破った場合に支払われる代償について学ぶことができる。

You'll also learn about your rights if someone else is storing and processing data about you.

また、他人があなたに関するデータを保存・処理している場合の権利についても学びます。

First, though, let's consider how these laws came about.

まず、これらの法律がどのようにして生まれたのかを考えてみよう。

The original Data Protection Act was a British law that came into force as long ago as 1984.

データ保護法は1984年に施行された英国の法律である。

Along with the Access to Personal Files Act of 1987, it established some basic rules for the protection of data about people.

1987年に制定された「個人ファイルへのアクセス法」とともに、個人に関するデータの保護に関する基本的な規則を制定した。

Data stored in paper-based filing systems and on computers.

紙ベースのファイリングシステムとコンピュータに保存されたデータ。

But advances in technology and changes in the way computers were used soon made these laws unfit for purpose.

しかし、技術の進歩やコンピュータの使用方法の変化によって、これらの法律はすぐに目的に適わなくなった。

Following a directive from the European Union, the Data Protection Act of 1984 was replaced in 1998 with an updated version of the same Act.

欧州連合（EU）からの指令を受けて、1984年に制定されたデータ保護法は、1998年に同法の最新版に置き換えられた。

At the time, the United Kingdom was a member of the European Union.

当時、英国は欧州連合（EU）に加盟していた。

This Data Protection Act of 1998 was much more detailed and much more concerned with the way that personal data were processed on computers.

1998年に制定されたデータ保護法は、より詳細で、個人データがコンピューター上で処理される方法に関するものであった。

Four years later, in 2002, the Data Protection Act was supplemented with the Privacy and Electronic Communications Regulation, another European directive.

その4年後の2002年、データ保護法はプライバシー・電子通信規則（Privacy and Electronic Communications Regulation）で補足された。

The PECR was also known as the E-Privacy Directive, or EPD for short.

PECRはEプライバシー指令、略してEPDとも呼ばれていた。

This law established even more controls, with a particular focus on electronic marketing methods such as email and cold calling.

この法律では、電子メールやコールドコールなどの電子マーケティング手法に特に重点を置き、さらに規制を強化した。

It also stipulated that a website should gain consent from a visitor before placing non-essential cookies on their computer.

また、ウェブサイトは、訪問者のコンピュータに必要でないクッキーを配置する前に、訪問者の同意を得るべきであると規定した。

It quickly became known as the Cookie Law.

これはすぐにクッキー法として知られるようになった。

Together, these laws served their purpose well for a number of years, but again were soon overtaken by technology.

これらの法律は何年もの間、その目的を十分に果たしたが、またすぐにテクノロジーに追い越された。

In May 2018, the European Union enacted a new law that would apply to all member states of the European Union, the so-called General Data Protection Regulation, or GDPR for short.

2018年5月、欧州連合（EU）は、EUの全加盟国に適用される新しい法律、いわゆる一般データ保護規則（General Data Protection Regulation）、略してGDPRを制定した。

Some sections of the GDPR were left open to interpretation, allowing different countries freedom to implement them in ways that best suited their own needs.

GDPRの一部には解釈の余地が残されており、各国が自国のニーズに最も適した方法で実施する自由が認められている。

So, in 2018, the UK enacted a new version of the Data Protection Act, whose purpose was to supplement the GDPR.

そこで2018年、英国はGDPRを補完する目的の新版データ保護法を制定した。

The Data Protection Act of 2018 is therefore the United Kingdom's implementation of the GDPR.

したがって、2018年データ保護法は、GDPRのイギリスにおける実施である。

In the meantime, the PECR has been updated several times.

その間、PECRは何度か更新されてきた。

The UK formally left the European Union in 2020 under the premiership of Boris Johnson.

英国はボリス・ジョンソン首相の下、2020年に正式にEUを離脱した。

But, following so-called Brexit, the UK government decided to keep the GDPR in place with a few changes.

しかし、いわゆるブレグジットに伴い、英国政府はGDPRをいくつかの変更を加えて維持することを決定した。

References to the European Parliament and the European Council were removed, and any mentions of the Surveillance Authority were replaced with the Information Commissioner's Office.

欧州議会と欧州理事会への言及は削除され、監視当局への言及は情報コミッショナー事務所に置き換えられた。

More about the Information Commissioner later.

情報コミッショナーについての詳細は後述する。

Other differences included the age at which a child is able to consent to the processing of their own personal data.

その他の相違点としては、子供が自身の個人データの処理に同意できる年齢が挙げられる。

In the UK, a child can give consent to process their personal data at the age of 13.

英国では、子供は13歳から個人データの処理に同意することができます。

There are also different rules for the way data about criminals should be handled, and for how data may be used for automated decision-making.

また、犯罪者に関するデータをどのように扱うべきか、自動意思決定にどのようにデータを使用できるかについても、異なるルールがある。

Since January 2021, the GDPR has therefore been referred to as the UK GDPR.

そのため、2021年1月以降、GDPRは英国GDPRと呼ばれるようになった。

This all means that there is now more than one data protection law an organisation must abide by, depending on who they do business with.

これはすべて、組織が遵守しなければならないデータ保護法が、取引先によって複数存在することを意味する。

If they process the personal data of United Kingdom residents, an organisation must comply with the UK GDPR, along with the Data Protection Act of 2018.

英国居住者の個人データを処理する場合、組織は2018年データ保護法とともに英国GDPRを遵守しなければならない。

If they process the personal data of European Union residents, an organisation must comply with the EU GDPR.

EU居住者の個人データを処理する場合、組織はEU GDPRを遵守しなければならない。

Complicated? Well, it can be if you're a lawyer or a judge.

複雑ですか？まあ、あなたが弁護士や裁判官なら、そうかもしれない。

But if you run a business, or you're an individual that works with personal data, what really matters is what you need to do to stay within the law.

しかし、もしあなたがビジネスを経営しているなら、あるいは個人データを扱う個人なら、本当に重要なのは、法律の範囲内で何をすべきかということだ。

And if someone else is working with data about you, then you should probably make it your business to know your rights.

そして、もし他人があなたに関するデータを扱っているのであれば、あなたは自分の権利を知ることを自分の仕事とすべきだろう。

では、個人データとは一体何なのか？

According to the law, personal data means any information relating to an identified or identifiable living individual.

法律によれば、個人データとは、特定または識別可能な生存する個人に関するあらゆる情報を意味する。

This means pretty much anything about a living person that could be used to help identify them.

これは、生きている人物について、その人物を特定するのに役立つ可能性のあるものであれば、ほとんど何でも意味する。

Their name, address, telephone number, an email address, bank account number, national insurance number, student ID, the membership number on a library card or a gym membership ID.

氏名、住所、電話番号、電子メールアドレス、銀行口座番号、国民保険番号、学生証、図書館カードの会員番号、スポーツジムの会員ID。

But it doesn't stop there. Data is considered personal if it can be used to identify a person when pieced together with other data.

しかし、それだけでは終わらない。データは、それが他のデータと組み合わされたときに個人を特定するために使用することができる場合、個人的なものとみなされます。

For example, the IP address of a computer, or a username for a website.

例えば、コンピュータのIPアドレスやウェブサイトのユーザー名など。

It can also include data that can confirm someone's physical presence somewhere, such as fingerprints, CCTV footage, or a GPS location.

また、指紋、CCTV映像、GPS位置情報など、誰かがどこかに物理的に存在していることを確認できるデータも含まれる。

If a CCTV operator is tracking someone on the basis of their physical presence, but they don't know the name of that person, they are nevertheless processing personal data.

CCTVのオペレーターが物理的な存在に基づいて誰かを追跡しているが、その人物の名前を知らない場合、それでも個人データを処理していることになる。

There are even stronger legal protections for the type of personal data that might be used to unfairly discriminate against someone.

誰かを不当に差別するために使用される可能性のある個人データの種類については、さらに強力な法的保護がある。

So-called sensitive personal data, also known as special category data.

いわゆる機微（センシティブ）個人データは、特殊カテゴリーデータとも呼ばれる。

Sensitive personal data includes data about race, ethnic background, religion, culture, sex life and sexual orientation, political views and trade union membership.

機微（センシティブ）個人データには、人種、民族的背景、宗教、文化、性生活、性的指向、政治的見解、労働組合への加盟に関するデータが含まれます。

It includes health data such as medical diagnoses, medical history, disabilities and data collected by fitness apps.

医療診断、病歴、障害、フィットネスアプリで収集されたデータなどの健康データが含まれる。

Biometric data are also classed as sensitive if they're used for identification.

バイオメトリックデータも、本人確認に使用される場合は機微（センシティブ）データに分類される。

Biometric data include the measurements used by face recognition applications, voice control, fingerprints, iris and retina scans, the shape of someone's ears and even the way they walk.

バイオメトリクス・データには、顔認識アプリケーション、音声コントロール、指紋、虹彩スキャン、網膜スキャン、耳の形、歩き方などで使われる測定値が含まれる。

And these days, genetic information such as the results of analysing someone's DNA are in the special category.

そして最近では、誰かのDNAを分析した結果のような遺伝情報は、特別なカテゴリーに入っている。

Any organisation that wants to process special category data must show that they have a very good reason to do so.

特別カテゴリーのデータを処理しようとする組織は、そうする正当な理由があることを示さなければならない。

For example, to protect public health or to carry out important scientific research.

例えば、公衆衛生を守るためや重要な科学的研究を行うためなどです。

Or they must have explicit permission from anyone these data are about.

あるいは、これらのデータの対象者から明確な許可を得なければならない。

A business, indeed any organisation that collects and processes personal data, a so-called data controller, must abide by seven key principles.

個人データを収集・処理する企業、いわゆるデータ管理者は、7つの主要原則を遵守しなければならない。

The first of these is that personal data must be processed lawfully, fairly and transparently.

その第一は、個人データは合法的、公正かつ透明性をもって処理されなければならないということである。

This means that a data controller must have at least one good reason for working with personal data in the eyes of the law, a so-called legal basis.

つまり、データ管理者は、個人データを扱う上で、法律上少なくとも1つの正当な理由、いわゆる法的根拠を持たなければならない。

One possible legal basis is consent, namely the agreement of the person that the data are about, the so-called data subject.

可能な法的根拠のひとつは、同意、すなわちデータ対象者の同意です。

Another legal basis is that the data subject might have entered into a contract with a data controller and that contract requires them to reveal some of their personal data.

もう一つの法的根拠は、データ主体がデータ管理者と契約を締結し、その契約で個人データの一部を開示する必要がある場合である。

An employment contract, for example, or a contract with an electricity supplier or a club like a gym.

例えば雇用契約、電力供給業者やスポーツジムなどのクラブとの契約など。

You should bear in mind that many organisations will only provide you with online services such as free email or a free social media account if you agree to their terms and conditions.

多くの組織が、無料の電子メールや無料のソーシャルメディア・アカウントなどのオンライン・サービスを提供するのは、その利用規約に同意した場合のみであることに留意すべきである。

When you sign up for these services you're entering into a contract and very often your personal data is the price to pay.

これらのサービスに申し込むと、契約を結ぶことになり、その対価として個人情報が支払われることが非常に多い。

A legal obligation is also a basis for the collection and processing of personal data.

法的義務も個人データの収集および処理の根拠となります。

For example, a builder is obliged to keep records of the jobs he's done and the customers he did them for in case the taxman wants to see them.

例えば、建設業者は、税務署がそれを見たいと言った場合に備えて、自分が行った仕事とその顧客の記録を保管する義務がある。

Vital interests is another legal basis. This refers to matters of life and death.

重要な利益とは、もうひとつの法的根拠である。これは生死に関わる問題を指します。

For example, a doctor's surgery works with patient data which might need to be accessed in the event of a medical emergency.

例えば、医師の手術室では、緊急時にアクセスする必要のある患者データを扱っている。

Personal data can also be collected and processed in the public interest.

個人データは公共の利益のために収集され、処理されることもある。

The police, for example, can collect and process personal data in order to prevent or investigate a crime.

例えば警察は、犯罪の防止や捜査のために個人データを収集し、処理することができる。

Only public organisations such as law enforcement, local authorities and government can use public interest as a legal basis.

公共の利益を法的根拠として使用できるのは、法執行機関、地方自治体、政府などの公的機関のみである。

Legitimate interests is the final basis for processing personal data.

正当な利益は、個人データ処理の最終的な根拠です。

What this means is that it's okay to collect and process someone's data if it would normally be considered reasonable to do so and if doing so doesn't threaten their privacy.

つまり、誰かのデータを収集・処理しても、それが通常妥当とみなされ、プライバシーを脅かさないのであれば、問題ないということだ。

This is somewhat vague so, as you can imagine, this legal basis is open to interpretation.

この法的根拠はやや曖昧で、解釈の余地があることはご想像の通りだ。

One example is an employer collecting data about how well an employee is performing at work.

一例として、雇用主が従業員の仕事ぶりに関するデータを収集することが挙げられる。

Another example is that a business might collect data about people's spending habits so these data can be used for marketing and advertising purposes.

別の例としては、ある企業が人々の消費習慣に関するデータを収集し、そのデータをマーケティングや広告の目的に利用することがある。

I'll come back to this example later when I talk about the data subject's rights.

この例については、後でデータ主体の権利について話すときにまた触れることにする。

Whichever of these legal bases is declared by a data controller, they are normally required to be completely transparent about what they do with the data.

これらの法的根拠のいずれをデータ管理者が宣言した場合でも、通常、データ管理者はデータの取り扱いについて完全に透明であることが要求される。

In other words, the data subject should be made fully aware of how their data are being collected and used.

言い換えれば、データ主体は自分のデータがどのように収集され、使用されているかを十分に認識すべきである。

Furthermore, any communication about this from the data controller to the data subject should be in plain, simple language and easy for them to understand.

さらに、データ管理者からデータ主体へのこの件に関する連絡は、平易で簡単な言葉で、データ主体が理解しやすいものでなければならない。

The requirement for transparency brings us on to the second key principle.

透明性の要求は、2つ目の重要な原則につながる。

That is, personal data must be used for specified, explicit purposes.

すなわち、個人データは特定された明確な目的のために使用されなければならない。

In other words, the data controller can only use personal data in a way they said they would in the first place.

言い換えれば、データ管理者が個人データを使用できるのは、最初に言った方法のみである。

A data controller can't use a data subject's data to try and sell them something unless they made it perfectly clear that they were going to do so before the data were collected.

データ管理者は、データが収集される前にそうするつもりであることを完全に明確にしていない限り、データ主体のデータを使用して何かを売ろうとすることはできない。

Personal data sharing between data controllers can have some real social and economic benefits for a data controller and their data subjects.

データ管理者間で個人データを共有することは、データ管理者とそのデータ主体にとって、社会的・経済的に実質的な利益をもたらす可能性がある。

So a data controller is allowed to share or even sell the personal data that they control without the data subject's explicit consent.

そのため、データ管理者は、データ主体の明示的な同意がなくても、管理する個人データを共有したり、販売したりすることができる。

However, a data controller is not allowed to share or sell personal data unless they made a few things very clear to the data subject in advance.

しかし、データ管理者は、事前にデータ主体に対していくつかの点を明確にしない限り、個人データを共有したり販売したりすることはできない。

Namely, with whom the data will be shared, the purpose of sharing, the legal basis for sharing and a mechanism by which the data subject can opt out.

すなわち、データを共有する相手、共有の目的、共有の法的根拠、およびデータ対象者がオプトアウトできる仕組み。

A tick box or a link on a web page perhaps.

ウェブページのチェックボックスやリンクかもしれない。

Of course, when personal data are passed on like this, new data controllers become involved and they too must abide by the seven key principles.

もちろん、このように個人データが引き継がれる際には、新たなデータ管理者が関与することになり、彼らもまた7つの主要原則を遵守しなければならない。

There have been a number of high profile cases in which the data controller has not made clear their intentions to share personal data.

データ管理者が個人データを共有する意図を明確にしていない有名な事例がいくつもある。

Facebook, who now call themselves Meta, gave away the personal data of over 87 million Facebook users to an organisation called Cambridge Analytica.

現在メタと呼ばれるフェイスブックは、8700万人以上のフェイスブックユーザーの個人データをケンブリッジ・アナリティカという組織に提供した。

These data were used for political advertising in the United States of America without the knowledge of the data subjects.

これらのデータは、データ対象者が知らないうちに、アメリカ合衆国の政治広告に使用された。

This no doubt had a massive impact on the 2016 presidential election results.

これが2016年の大統領選挙の結果に大きな影響を与えたことは間違いない。

Facebook were consequently fined a record-breaking $5 billion by the Federal Trade Commission.

その結果、フェイスブックは連邦取引委員会から史上最高額の50億ドルの罰金を科された。

Cambridge Analytica filed for bankruptcy and you probably know the rest.

ケンブリッジ・アナリティカが破産を申請し、あとはご存知の通りだろう。

The third key principle states that personal data must be adequate, relevant and limited to only what is necessary.

第3の主要原則は、個人データは適切で、関連性があり、必要なものだけに限定されなければならないとしている。

In other words, a data controller can only collect the minimum amount of data required to fulfil their needs.

言い換えれば、データ管理者は、そのニーズを満たすために必要な最小限のデータしか収集することができない。

For example, a restaurant might collect the contact details of its customers so it can tell them about any special offers coming up.

例えば、レストランが顧客の連絡先を収集することで、近々開催される特別キャンペーンを伝えることができる。

字幕リスト動画再生

データ保護法と一般データ保護規則（GDPR） (The Data Protection Act and the General Data Protection Regulation (GDPR))

individual

process

access

vast