GDPR第28条が要求する内容
処理者選定・DPA・再委託の実務

第28条を理解する前提として、「個人データ」「処理」「管理者」「処理者」を押さえることが重要です。個人データは、識別された、または識別可能な自然人に関する情報です。氏名、メールアドレス、顧客ID、従業員番号、位置情報、オンライン識別子、端末識別子、購買履歴、ログ、健康情報などが典型例です。

処理は、取得、記録、整理、保存、変更、検索、参照、利用、送信による開示、配布、結合、制限、削除、破壊など、個人データに対する広い操作を含みます。システムへ保存するだけでも処理に該当する可能性があります。

管理者は、処理の目的および手段を単独または共同で決定する者です。処理者は、管理者のために、管理者に代わって個人データを処理する者です。給与計算会社、クラウドホスティング事業者、CRMベンダー、メール配信サービス、コールセンター委託先、データ入力業者、BPO事業者などが典型例になります。

次の比較表は、外部事業者を処理者と見られるかを判断するための確認軸を整理したものです。契約書の名称だけで判定すると実態とずれるため、列ごとの問いから、誰が目的・本質的手段・事故対応を担うかを確認することが重要です。

次の判断の流れは、ベンダー、受託者、委託先という日本の契約実務上の呼び方と、GDPR上の役割が一致するかを確認するための順番を表します。上から順に見ることで、DPAが必要な処理者関係か、独立管理者・共同管理者の問題かを切り分けられます。

EDPBは、管理者・処理者の概念を形式的な呼称ではなく、実際の役割に基づく機能的概念として整理しています。契約書に処理者と書いていても、実態として目的や本質的手段を自ら決める場合は、管理者と評価される余地があります。

第28条1項は、GDPRの要求を満たしデータ主体の権利を保護するため、適切な技術的・組織的措置を実装できる処理者だけを利用することを管理者に求めます。ここでいう十分な保証は、営業資料、プライバシーポリシー、ISO認証の有無だけでは判断できません。

次の表は、十分な保証を評価する際の主要領域を示します。左列は審査の切り口、右列は確認すべき事項です。自社の処理リスクが高いほど、表の各領域について深い技術審査、契約交渉、監査、DPIAへの協力確認が重要になります。

次の時系列は、委託先評価が契約締結前だけで終わらないことを表します。順番を見ることで、導入前の審査から終了時の削除証跡まで、どの段階でどの資料を残すべきかを確認できます。

弁護士や契約法務担当がDPA条項を整備しても、プライバシー担当や情報セキュリティ担当が実態を確認していなければ、十分な保証を確認したとは言いにくくなります。逆に、セキュリティ審査が優れていても、契約上の監査権、再委託管理、漏えい通知、削除・返還、権利対応が欠けると、第28条対応として不十分になり得ます。

第28条3項は、処理者による処理が、EU法または加盟国法に基づく契約その他の法的行為によって規律され、その法的行為が処理者を管理者に対して拘束することを求めます。契約には、少なくとも処理の対象事項、期間、性質、目的、個人データの種類、データ主体のカテゴリー、管理者の義務と権利を定めます。

次の表は、DPAの処理内容別紙に入れる基礎情報を示します。列ごとに内容を具体化することで、指示範囲、越境移転、削除・返還、安全管理、監査の前提を明確にできます。

次の一覧は、第28条3項(a)から(h)までの中核義務を実務条項に置き換えたものです。各項目はDPAの条項漏れを点検するために重要で、処理者が何を支援し、どこまで証跡を提供するかを読み取れます。

次の表は、第32条から第36条までの支援内容を条文ごとに整理します。漏えい時の72時間対応やDPIAでは、管理者だけで必要情報を集められないことが多いため、処理者から何をいつ受け取るかを読み取ることが重要です。

第33条との関係では、処理者は個人データ侵害を認識した後、不当な遅滞なく管理者へ通知します。他方、管理者は、リスクがある場合、認識から原則72時間以内に監督機関へ通知する必要があります。そのためDPAでは、早期の初報と段階的な追加報告を組み合わせ、例えば認識後24時間以内の初報を設定する例があります。

第28条5項は、承認済み行動規範または承認済み認証メカニズムの遵守を、十分な保証を証明する要素として使えると定めます。ただし、認証は万能ではありません。ISO/IEC 27001、ISO/IEC 27701、SOC 2報告書、クラウドセキュリティ認証などを確認する場合も、対象範囲、対象拠点、対象サービス、更新日、除外事項、是正事項を見ます。

次の表は、第28条用SCCと越境移転用SCCの違いを整理します。どちらも標準契約条項と呼ばれますが、目的が異なるため、表の列から「処理者契約要件」と「第三国移転要件」を分けて確認します。

次の比較表は、典型的な委託・移転場面ごとに必要な検討を示します。処理場所、サポートアクセス国、サブプロセッサ所在地により対応が変わるため、自社のデータの流れを当てはめて読み取ります。

第28条9項は、契約またはその他の法的行為が、電子形式を含む書面でなければならないと定めます。電子署名、電子契約、オンライン約款、クリックラップ、注文書、DPA別紙も、適切に証跡化されていれば書面性を満たし得ます。

次の表は、電子形式のDPAで確保すべき証跡を示します。契約管理システムやベンダー管理システムで追えるようにすると、最新版、適用範囲、別紙、改定履歴を説明しやすくなります。

日本企業であっても、EU顧客向けSaaS、EU企業の日本子会社が利用する人事・給与・勤怠システム、EU企業の顧客サポートを日本で受託するBPO、EU域内利用者データの分析、クラウド運用保守、ログ監視などでは、契約上、第28条準拠のDPAを求められることがあります。

日本の十分性認定は、GDPR第28条の処理者契約義務を消すものではありません。EU管理者が日本の処理者に処理を委託する場合、移転根拠が十分性認定で整理される場合でも、管理者・処理者関係がある限り、第28条DPAを確認します。日本の処理者がさらに米国、インド、シンガポール等のサブプロセッサを使う場合は、再委託承認、同等義務、onward transfer、補完的措置を別途確認します。

次の時系列は、第28条対応を社内で進める標準的な順番を表します。上から順に進めることで、役割判定、リスク分類、DPA、越境移転、運用監視、終了時処理までを一つの管理プロセスとして読み取れます。

次の一覧は、専門職ごとの役割を整理したものです。第28条対応は法務だけで完結しないため、誰がどの論点を持つかを読み取り、契約審査と運用管理をつなげることが重要です。

Q. DPAのひな形に署名すれば第28条対応は完了しますか

一般的には、DPAは重要な出発点ですが、それだけで十分とは限らないとされています。第28条は、処理者選定、サブプロセッサ管理、監査、削除・返還、データ主体権利対応、漏えい対応、証跡管理まで含みます。具体的な対応範囲は処理の実態やリスクで変わるため、関係部門と専門家に確認する必要があります。

Q. ISO認証があれば十分な保証は常に満たされますか

一般的には、認証は有力な証明要素になり得ますが、それだけで十分とは限らないとされています。対象範囲、処理リスク、サブプロセッサ、処理場所、除外事項、是正事項によって評価が変わります。具体的には、認証範囲と委託処理の範囲を照合する必要があります。

Q. ベンダーはすべてGDPR上の処理者ですか

一般的には、ベンダーという呼び方だけで処理者とは判断できないとされています。ベンダーが自己目的で個人データを処理する場合、独立管理者または共同管理者になる可能性があります。処理単位で目的と手段の決定者を確認する必要があります。

Q. サブプロセッサ一覧を掲載すれば自由に再委託できますか

一般的には、一覧掲載だけで自由な再委託が認められるとは限らないとされています。一般承認の場合でも、変更通知と異議機会が必要です。サブプロセッサには同等義務を課し、初期処理者は管理者に対する責任を維持する必要があります。

Q. 越境移転用SCCを締結すれば第28条DPAは不要ですか

一般的には、処理者契約の要件と国際移転の要件は区別して確認するとされています。越境移転用SCCのモジュールによって第28条要件を満たす場合はありますが、常に十分とは限りません。処理内容、サブプロセッサ、移転経路、補完的措置を確認する必要があります。

Q. 大規模SaaSの標準約款に従うしかない場合、管理者の責任はなくなりますか

一般的には、交渉余地が限られる場合でも、管理者の選定・評価・採否判断・設定・利用範囲・証跡化の責任は残るとされています。代替サービス、利用制限、追加設定、リスク受容の承認など、処理の実態に応じた対応を検討する必要があります。