参照：
Planet 49 CJEU判決は、アクセスされたデータが個人情報であるか否かに関わらず、Cookieに適用されます。欧州連合司法裁判所（以下「CJEU」）は、ドイツ連邦裁判所（以下「連邦裁判所」）からの予備的判断の要請に応じて、2019年10月1日にこの判決を下しました。この事件は、eプライバシー指令およびGDPRに基づくCookieおよび類似の技術の使用に関する同意の有効性に関するものでした。
欧州司法裁判所（CJEU）は、ユーザーの端末機器に保存される情報の保存またはアクセスについて同意を求めるeプライバシー指令第5条（3）は、個人データを構成するか否かに関わらず、個人のデバイスからインストールまたはアクセスされるあらゆる情報に適用されるとの判決を下した。裁判所は、この規定の目的は、保存またはアクセスされる情報の性質に関わらず発生する可能性のある、ユーザーの私的領域への干渉からユーザーを保護することであると論じた。したがって、同意要件は、ユーザーが明示的に要求したサービスの提供に厳密に必要なCookieおよび類似の技術を除き、すべてのCookieおよび類似の技術に適用される。
欧州司法裁判所はまた、eプライバシー指令に基づくクッキーに関する同意は、GDPRの同意基準に準拠する必要があることを明確にしました。つまり、同意は自由意志に基づき、具体的かつ十分な情報に基づいた上で、かつ明確な形で、明確な肯定的な行為によって与えられなければならないということです。裁判所は、チェックボックスに事前にチェックが入っているだけでは有効な同意とはならないと判断しました。これは、ユーザーによる積極的な行動を示唆するものではないためです。また、ユーザーには、クッキーの有効期間や第三者がクッキーにアクセスできるかどうかなど、クッキーに関する明確かつ包括的な情報が提供されなければならないと述べました。参考：
惑星49の審判 - クッキーモンスターの教訓
Planet 49の決定：クッキーを使用する組織への影響 CURIA - 結果一覧

一般データ保護規則（GDPR）は、欧州連合（EU）および欧州経済地域（EEA）における個人の個人データの処理に適用されるデータ保護法です。個人データとは、氏名、住所、メールアドレス、電話番号など、特定された、または特定可能な自然人に関するあらゆる情報を指します12。GDPRは、匿名化された個人データ、つまり特定の個人に紐付けられない個人データには適用されません12。匿名化は、仮名の使用、データの集約または一般化、統計的手法の適用など、データから識別情報を削除またはマスキングすることで実現できます12。
したがって、GDPR の範囲外となるデータの種類は匿名化されたデータです。
参照：
B. 匿名化された個人データとは、識別された、または識別可能な生存個人に関連するあらゆる情報です。さまざまな情報が一緒に収集され、特定の個人を識別できる場合も、個人データを構成します。匿名化、暗号化、または仮名化されているが、個人を再識別するために使用できる個人データは個人データであり、GDPR の範囲に含まれます。個人が識別できない、または識別できなくなった方法で匿名化された個人データは、個人データとは見なされなくなります。データが真に匿名化されるためには、匿名化は不可逆である必要があります。

GDPRは、物理的な形態の有無にかかわらず、すべての個人データに適用されます。GDPRでは、個人データとは、氏名、識別番号、位置情報、オンライン識別子など、特定された、または特定可能な自然人に関するあらゆる情報と定義されています1。したがって、GDPRでは、自然人に直接的または間接的に結び付けられるあらゆる情報が個人データとみなされます。
ただし、GDPR では、さまざまな種類の処理活動とその法的根拠も区別しています。
処理活動とは、個人データの収集、保管、利用、開示、削除など、個人データに対して実行される操作を指します。処理活動は自動または手動で行われます。自動処理とは、人間の介入なしに技術を用いて処理活動を実行することを意味します。手動処理とは、人間の介入を用いて処理活動を実行することを意味します。
GDPRでは、個人データを含むあらゆる処理活動は、合法性、公平性、透明性、目的の限定、データの最小化、正確性、保存期間の制限、完全性、機密性といった一定の原則と条件を遵守しなければならないと規定されています。これらの原則と条件は、自動処理活動と手動処理活動の両方に適用されます。
したがって、GDPRは、個人データが物理的に存在する場合、その個人データが何らかの形で自動化された手段によって、その権利と自由に影響を及ぼす形で処理される場合にのみ適用されます。例えば、企業が紙の文書をスキャンし、一定期間が経過した後、または収集当初の目的に不要になった後も削除せずにデータベースに電子的に保存する場合（第6条）、これは物理的に存在する個人データを含む自動化された処理行為とみなされます。
ただし、GDPRは、ファイリングシステムの一部を構成するほど十分に構造化された方法で取り扱われる物理的な形態の個人データには適用されません。例えば、企業が紙の文書をスキャンしたり電子的に保存したりすることなく、氏名と日付を記したフォルダーに入れてオフィスの棚に保管している場合（第5条）、これは物理的な形態の個人データを扱う自動処理活動とはみなされません。
参考文献:
* 物理データ - GDPR概要
* GDPRが物理的な記録に与える影響 - アクセス
* 個人データ - 2018年データ保護法

参照：https://www.privacy-regulation.eu/en/article-37-designation-of-the-data-protection-officer-GDPR.htm