個人データの越境移転

個人データを国外の第三者に提供すること。個人情報保護法やGDPRでは、十分な保護水準を確保できる場合に限り認められる。監査ではデータの移転先の保護水準と適法性を検証する。

個人データを国外の事業者などに提供すること。日本の個人情報保護法では、外国にある第三者への提供には原則として本人の同意が必要で、その際は移転先の国の個人情報保護の制度などを本人に情報提供しなければならない。日本と同等の水準にあると認められた国（EUと英国）への移転や、基準に適合する体制を整えた相手への移転は、同意なしで行える。

EU域内の個人データの保護について定めた規則で、2018年5月から適用されている。EU域内の個人に商品やサービスを提供する域外の事業者にも適用され、処理の適法な根拠、データポータビリティや消去などの本人の権利、データ保護影響評価、漏えいの72時間以内の監督機関への通知、域外への移転の制限などを定める。違反には、全世界の年間売上高の4％または2,000万ユーロのいずれか高い方を上限とする制裁金が科される。

自分に関する個人データの消去を、それを管理する事業者に求める権利。GDPR第17条で消去権として明文化され、収集の目的に照らして不要になった場合、本人が同意を撤回した場合、違法に処理された場合などに請求できる。表現の自由や法令上の保存義務がある場合は制限され、データ基盤では複製やバックアップも含めて確実に削除できる設計が求められる。

欧州委員会が、EU域外の国や地域の個人データ保護の水準がEUと実質的に同等であると認める決定。認定を受けた国へは、標準契約条項（SCC）の締結などの追加の保護措置なしにEUから個人データを移転できる。日本は2019年1月にEUとの間で相互に十分性を認め合い、日本側は英国も同等の水準にある国に指定している。

本人が事業者に提供した自分の個人データを、構造化され機械で読み取れる形式で受け取ったり、別の事業者へ直接移転させたりできること。GDPRでは第20条で本人の権利として定めている。サービスの乗換えを容易にし、事業者によるデータの囲い込みを防ぐ。

Webサイトやアプリで、Cookieなどによる利用者情報の取得・利用や第三者への提供について、利用者の同意を取得・記録・管理する仕組みやツール。同意を求めるバナーの表示、目的ごとの同意・拒否の選択、同意の撤回の受付、同意状況の記録と、それに応じたタグの制御などを行う。GDPRや電気通信事業法の外部送信規律への対応に使われる。