GDPR（General Data Protection Regulation：一般データ保護規則）は欧州連合の法規制ですが、EU域内の個人に商品・サービスを提供したり、その行動を監視したりする一定の場合には、日本企業にも適用されます（第3条・域外適用）。EU向けにECサイトを運営している、EU拠点の従業員情報を管理している、EU域内の個人向けにサービスを提供しているといったケースがある企業は、GDPRへの対応が求められます。
本記事では、GDPRが定める7つの原則のうちデータ品質に直結する「正確性の原則」に焦点を当て、その内容と実務対応を解説します。
GDPRが定める「正確性の原則」
GDPRの第5条第1項(d)は、個人データについて「正確であること、及び必要な場合には最新の状態に保たれること。処理の目的に照らして不正確な個人データを遅滞なく削除または訂正するためのあらゆる合理的な手順が講じられること」と定めています。これが「正確性の原則（Accuracy）」と呼ばれる規定です。
「正確性の原則」はデータ収集の瞬間だけでなく、保管・利用・廃棄までのデータライフサイクル全体を通じて求められます。古くなったデータを更新せず放置していること、不正確な情報を誤って処理に使い続けることは、GDPRの要件を満たしていない状態に該当しうります。また、本人が個人データの訂正を求める権利（第16条）や、一定の条件下での削除を求める権利（第17条）への対応も、正確性の確保と密接に関連します。
日本企業がGDPRの対象になるケース
GDPRの域外適用（第3条）により、以下のいずれかに該当する日本企業はGDPRの対象となります。
- EU域内の個人に対して商品またはサービスを提供している（有償・無償を問わない）
- EU域内の個人の行動を監視している（ウェブサイトのトラッキング・行動分析等）
- EU拠点を持つ企業グループの一員として、EU拠点に関連する個人データを処理しているケース
「EUからのアクセスを受け付けているウェブサービス」や「EU拠点を持つグループ会社の人事データを日本本社が管理している」といったケースも該当しうるため、EU域内の個人のデータを扱う可能性がある企業は、実際の事業活動やデータ処理の内容をもとに適用範囲を確認することをおすすめします。
正確性原則への実務対応：ライフサイクル別のポイント
取得時：正確な情報を収集するプロセスの整備
個人データを収集する段階で、誤りのある情報を取り込まないためのバリデーション（入力形式の確認・必須項目チェック）と、本人確認のプロセスを整備します。フォームの入力補助機能や、入力直後の確認画面なども正確性を高める実務的な手段です。
保管中：最新状態を維持する更新の仕組み
収集時点では正確だった情報も、時間の経過とともに古くなります。住所・連絡先・所属先の変更を反映するために、定期的な照合や本人確認フローを設けることが求められます。また、処理目的を達成した個人データは保有し続けず、適切なタイミングで削除する仕組みが必要です。
訂正・削除請求：権利行使に対応できる体制
GDPRは本人が個人データの訂正・削除を求める権利を定めており、対象企業はこれに応じる義務があります。対応するためには、「誰のデータか」「どのシステムに保管されているか」「関連するすべてのデータを特定できるか」という品質状態が前提です。重複・名寄せ不備があると、すべての関連データを特定した上での訂正・削除対応が難しくなります。
GDPRに違反した場合のリスク
GDPRの違反には、重大な違反の場合で最大2,000万ユーロまたは前会計年度の全世界年間総売上の4%のいずれか高い方の制裁金が科される可能性があります（GDPRの中でも軽微な違反については別の上限が設定されています）。また金銭的なリスクだけでなく、EU当局による調査・公表や報道を通じた信用毀損のリスクも無視できません。
GDPRと個人情報保護法：統合した品質管理体制として整備する
GDPR対応は「法律への準拠チェック」として単体で進めるより、「データ品質の継続管理体制の整備」として位置づけると実務が整理しやすくなります。正確性の原則への対応は、個人情報保護法の正確性確保（前記事参照）とも要件が重なる部分が多く、両方の法規制を統合した品質管理の仕組みとして設計することで、対応コストを抑えながら網羅的にカバーできます。
この課題に関連する導入事例
GDPRの正確性要件への対応状況を確認したい方へ
「EU向けサービスがあるがGDPR対応が整備できていない」「訂正・削除請求に対応できる体制かどうかわからない」——GDPRの正確性要件を含むデータ品質診断についてご相談ください。
まとめ
- GDPRはEU域内の個人に商品・サービスを提供したり行動を監視したりする一定の場合、日本企業にも適用される（域外適用・第3条）
- 第5条の「正確性の原則」は、取得・保管・利用・訂正/削除のライフサイクル全体を通じてデータを正確・最新に保つことを求める
- 訂正権・削除権（いわゆる「忘れられる権利」）への対応は義務であり、名寄せ・重複解消が前提条件になる
- 違反には最大2,000万ユーロまたは全世界年間総売上の4%という制裁金リスクがある
- 個人情報保護法の正確性確保とGDPRの正確性原則は要件が重なる部分が多く、統合した品質管理体制として整備するのが効率的
よくある質問
日本国内だけでビジネスをしていればGDPRは関係ありませんか？
EU域内の個人への商品・サービス提供も、その行動監視もなく、EU拠点もない場合は、GDPRの適用対象外となる可能性が高いです。ただし、EUからのアクセスを意図的には受け付けていなくても、実際にEU域内の個人が利用しているサービスや、グローバルグループ企業の一員として関連データを管理しているケースは対象になりえます。適用範囲は実際の事業活動やデータ処理の内容によって判断されますので、専門家への確認をおすすめします。
GDPRの「正確性の原則」への対応と、日本の個人情報保護法への対応は別々に行う必要がありますか？
両方の法規制が求めるデータ品質の要件（正確・最新・訂正対応）は重なる部分が多いため、別々に対応するより統合して取り組む方が効率的です。「個人データが正確かつ最新の状態に保たれているか」「訂正・削除請求に対応できるデータ管理ができているか」という共通の品質状態を作ることが、両方の規制への対応基盤になります。