bcr-establishment

拘束的企業準則の策定

概要

拘束的企業準則（BCR）は、多国籍企業グループが採用する社内データ保護方針です。GDPR 第 47 条に基づき、EU／EEA 域内の事業体から第三国のグループメンバーへの個人データの移転を可能にします。BCR は、移転先の国にかかわらず、企業グループ内で移転される個人データに対して本質的に同等の保護水準を確保する、法的拘束力のある枠組みを提供します。承認手続きには、主監督機関、関係する監督機関（SA）間の協力手続きが関わり、通常、最初の申請から最終承認まで 12～18 か月を要します。

第 47 条第 2 項の内容要件

（a）グループの構造および連絡先

BCR では、BCR の適用を受ける各メンバーの名称および連絡先を含め、企業グループの構造を明記する必要があります。

Athena Global Logistics の実装：

• グループ親会社：Athena Global Logistics GmbH, Friedrichstrasse 112, 10117 Berlin, Germany
• グループ DPO：Elisa Brandt, [email protected], +49 30 1234 5678
• 適用対象事業体：BCR 別紙 A に記載された、完全所有子会社および過半数の支配権を有する関連会社すべて（現在、31 の法域にまたがる 47 事業体）
• 組織図：毎年更新し、BCR の別紙 A として添付します。親会社から各子会社までの法人階層を反映します。

（b）対象となるデータ移転

BCR では、個人データのカテゴリー、処理の種類と目的、対象となるデータ主体の種類、移転先となる第三国を特定し、対象となるデータ移転または一連の移転について記載する必要があります。

実装要件：

• グループ内のすべての移転カテゴリーを明記した適用範囲文書：人事データ（従業員記録、給与、福利厚生）、顧客データ（配送記録、請求、通信）、サプライヤーデータ（連絡先、契約記録）、業務データ（車両追跡、倉庫の入退室記録）
• 各移転カテゴリーを、特定された 1 つ以上の目的に関連付ける目的台帳：雇用管理、貨物業務、財務報告、法令遵守、IT サポート
• データ主体の分類：従業員、請負業者、臨時労働者、顧客（個人および法人の連絡先）、サプライヤー、ビジネスパートナー、ウェブサイト訪問者
• 移転先国の台帳：適用対象となるグループ事業体が事業を展開する、EEA 域外のすべての法域

（c）法的拘束力

BCR では、社内および社外の双方に対する規則の法的拘束力を確立する必要があります。

実装要素：

• 適用対象となるすべての事業体が締結するグループ内契約により、グループメンバー間で執行可能な契約上の義務を定めます。
• 親会社の取締役会決議により、BCR を拘束力のある企業方針として採用し、各子会社の取締役会でも順次採用決議を行います。
• 従業員ハンドブックへの組み込み：BCR の概要および遵守義務を、すべての雇用契約とデータ取扱手続きに含めます。
• 社外への執行可能性：データ主体が、適用対象となる事業体に対して BCR の条項を直接執行する権利を付与する、明示的な第三者受益者条項を設けます。

(d) 一般的なデータ保護原則の適用

BCRでは、第5条に定めるすべての一般的なデータ保護原則の適用を示す必要があります。これには、目的の制限、データの最小化、保存期間の制限、データの品質、設計およびデフォルトによるデータ保護、法的根拠、特別カテゴリーのデータ処理、データセキュリティを確保するための措置が含まれます。

必須事項：

• 目的の制限：BCRに基づき移転されるデータは、BCRの適用範囲文書に定められた目的に限って処理できます。新たな目的には、Art. 6(4)に基づく互換性評価およびBCRの改定手続きが必要です
• データの最小化：移転対象は、指定された目的に対して適切、関連性があり、必要なデータに限定されます。移転前にデータ要素を確認するよう義務付ける、グループ全体のデータ分類ポリシーを設けます
• 保存期間の制限：データカテゴリーおよび管轄区域ごとに保存期間を定めます。期間満了時には自動的に削除または匿名化します
• 正確性：データ主体が訂正を求めるための手続きを設けます。移転時点でデータ品質チェックを実施します
• セキュリティ：BCR付属書Cに基づく最低限のセキュリティ基準を、すべての拘束対象事業体に適用します（ISO 27001:2022に準拠）

(e) 第三者受益者の権利

データ主体は、第三者受益者としてBCRを執行できる必要があり、以下の権利を有します。

• BCR違反により生じた有形および無形の損害について賠償を受ける権利
• 管轄監督当局に苦情を申し立てる権利
• すべての拘束対象事業体に対してデータ主体のすべての権利（アクセス、訂正、消去、処理の制限、データポータビリティ、異議申し立て）を行使する権利

(f) 責任の受諾

BCRには、EU域内に設立された事業体（BCR統括事業体）が、EU域外の拘束対象事業体による違反について責任を受諾する旨を含める必要があります。また、EU域外の事業体に責任がなかったことを証明する立証責任は、BCR統括事業体が負います。

Athena Global Logisticsにおける実施内容：

• BCR統括事業体：Athena Global Logistics GmbH（Berlin）
• 責任条項：BCR統括事業体は、EU域外の拘束対象事業体による違反について責任を受諾し、違反を是正するために必要な措置を講じ、賠償金を支払うことに同意します
• 保険：BCR関連の請求を対象とする専門職賠償責任保険（請求1件あたりの最低補償額：EUR 10,000,000）

(g) データ主体への情報提供

BCRでは、BCRおよびデータ主体の権利について、データ主体に提供する情報を明記する必要があります。以下を含みます。

• BCRおよびその平易な言葉による概要を会社のウェブサイトに掲載します
• 苦情申し立て手続きおよびSAに苦情を申し立てる権利に関する情報
• 司法上の救済を求める権利に関する情報
• BCR統括事業体およびDPOの名称と連絡先

(h) DPOの業務

BCRでは、データ保護責任者（または同等の責任者／事業体）の業務を記載する必要があります。以下を含みます。

• すべての拘束対象事業体におけるBCRの遵守状況を監視する
• BCR監査を実施または監督する
• BCRに基づく移転に関連するデータ主体からの苦情に対応する
• 監督当局の連絡窓口を務める
• BCRの遵守状況を取締役会に報告する

(i) 苦情申し立て手続き

BCRでは、データ主体が以下を行えるよう、苦情申し立ての仕組みを設ける必要があります。

• いずれの拘束対象事業体またはBCR統括事業体にも苦情を申し立てる
• 30暦日以内に回答を受け取る
• 未解決の苦情をDPO、次いで管轄SAに申し立てる
• 代替的な紛争解決手段として、調停または仲裁を利用する

(j) 遵守状況の検証メカニズム

BCRでは、遵守を確保するための仕組みを記載する必要があります。

• 内部BCR監査プログラム：内部監査部門が実施し、すべての拘束対象事業体を対象とする全サイクル監査を少なくとも3年に1回実施します
• 各拘束対象事業体が毎年、遵守状況の自己評価を行い、DPOに報告します
• 監視ツール：データ移転の記録、アクセスレビュー、ポリシー遵守状況の指標
• 結果をBCR統括事業体の経営陣に報告し、要請があれば管轄SAにも報告します

(k) 変更の報告メカニズム

BCR では、変更に関する報告および記録のメカニズムを定める必要があります。

• 改定手続き：BCR の変更には、BCR 責任者の承認、主管 SA への通知、および拘束対象となるすべての事業体への連絡が必要です
• 事業体リスト（Annex A）およびセキュリティ基準（Annex C）の年次更新サイクル
• 重要な変更（新たな国、新たなデータカテゴリー、構造上の変更）は、実施前に SA に通知する必要があります

(l) 監督機関との協力

BCR では、SA との協力メカニズムを定める必要があります。

• BCR 責任者は、管轄の SA の管轄権に服します
• BCR 責任者は、要請に応じて監査結果を SA に提供します
• BCR 責任者は、BCR の解釈および適用に関する SA の助言に従います
• BCR の遵守に関する年次報告書を主管 SA に提出します

(m) 現地法の報告

BCR では、拘束対象となるすべての事業体に対し、その管轄区域内の法的要件が BCR によって提供される保証に重大な悪影響を及ぼす可能性がある場合、その旨を BCR 責任者に報告するよう求める必要があります。

実施：

• 各管轄区域で外部弁護士が現地法に関する年次調査を実施します
• BCR の確約に抵触する新たな法律や政府によるアクセス要求に対する即時エスカレーション手続きを設けます
• 評価手順：現地法の要件が BCR による保護を実質的に損なうかどうかを評価し、損なう場合は SA に通知し、影響を受けるデータ移転を停止します

(n) トレーニング

BCR では、移転されたデータにアクセスする担当者に対する適切なデータ保護トレーニングについて記載する必要があります。

• データにアクセスするすべての新入社員に対する必須のオンボーディングトレーニング
• BCR の要件、データ主体の権利、および侵害報告に関する年次の再確認トレーニング
• IT 管理者、人事担当者、および顧客対応担当者を対象とした職務別トレーニング
• トレーニング記録を一元管理し、SA の監査に備えて利用可能な状態にします

BCR 承認プロセス

ステップ 1：準備（1～3 か月目）

1. WP256 rev.01 の参照基準（管理者向け BCR）または WP257 rev.01 の参照基準（処理者向け BCR）に基づいて、BCR 文書を作成します。
2. グループ内のすべてのデータフローをマッピングし、BCR の対象となる移転を特定します。
3. Annex A の事業体リスト、Annex B の移転範囲、および Annex C のセキュリティ基準を作成します。
4. 参照基準のチェックリストに照らしてギャップ分析を実施します。
5. 主管 SA に提出する BCR 申請書を作成します。

ステップ 2：主管 SA の特定（3 か月目）

1. EDPB の基準に従って主管 SA を特定します。BCR 責任者（通常は親会社、または委任されたデータ保護責任を負う事業体）が設立されている加盟国の SA が主管 SA となります。
2. Athena Global Logistics の場合、主管 SA は Berliner Beauftragte fuer Datenschutz und Informationsfreiheit（BlnBDI）です。
3. 関係する SA を特定します。拘束対象となる事業体が設立されているすべての加盟国の SA が該当します。

ステップ 3：正式な提出（4 か月目）

1. すべての補足文書を添えて、BCR 申請書を主管 SA に提出します。
2. 次のものを含めます。BCR の本文、事業体リスト、データフローマップ、ギャップ分析の結果、内部承認の証拠、DPO の連絡先情報。

ステップ 4：主管 SA による審査（4～9 か月目）

1. 主管 SA が、BCR の完全性および第 47 条（2）への適合性を審査します。
2. 質問および修正のやり取りが複数回行われることを想定してください。
3. 対応記録および修正管理表を維持します。
4. 標準的な期間：反復的な審査に 4～6 か月。

ステップ 5：協力手続き（9～12 か月目）

1. 主管 SA が審査済みの BCR をすべての関係する SA に回付します。
2. 関係する SA は、異議またはコメントを提出するための所定の期間（通常 2 か月）を設けられます。
3. 主管 SA がフィードバックを集約し、申請者と協力して懸念事項に対応します。
4. 合意に達した場合、主管 SA は肯定的な意見を提示します。

ステップ 6：一貫性メカニズム（12～14 か月目）

1. GDPR 第 63～64 条に基づき、未解決の異議がある場合、主管 SA は意見を求めるために承認案を EDPB に提出することがあります。
2. EDPB は 8 週間以内に意見を発行します（さらに 6 週間延長可能です）。

ステップ 7：正式承認（14～18か月目）

1. 主任 SA が正式な BCR 承認決定を発行します。
2. 承認には条件や推奨事項が含まれる場合があります。
3. BCR リードは、移転に BCR を適用する前に、条件があればそれを実施する必要があります。
4. 承認済み BCR の概要を EDPB の BCR 登録簿および会社のウェブサイトで公開します。

ステップ 8：実施と展開（承認後）

1. 承認済み BCR を、対象となるすべての事業体に周知します。
2. すべての事業体を拘束するグループ内契約を締結します。
3. トレーニングプログラムを展開します。
4. 監査プログラムを開始します。
5. モニタリングと報告のサイクルを開始します。

WP256 Rev.01 参照資料（管理者向け BCR）— 主要要素チェックリスト

要素	WP256 のセクション	状況
BCR の拘束力	セクション 1	必須
適用範囲 — データ、移転、事業体	セクション 2	必須
GDPR の原則の適用	セクション 3	必須
データ主体の権利とその行使	セクション 4	必須
責任と管轄	セクション 5	必須
SA との協力義務	セクション 5.4	必須
当局からの要求への対応方法	セクション 5.5	必須
苦情への対応	セクション 6	必須
トレーニングプログラム	セクション 7	必須
監査プログラム	セクション 7	必須
プライバシー担当者のネットワーク	セクション 7.3	必須
更新と変更の管理	セクション 8	必須
現地法との抵触	セクション 5.5	必須
抵触の解決方法の説明	セクション 6	必須

WP257 Rev.01 参照資料（処理者向け BCR）— 追加要素

要素	説明
指示に基づく処理	処理者向け BCR では、文書化された指示にのみ基づいて処理することを確認する必要があります
再処理者の管理	再処理者の承認、デューデリジェンス、および契約上の義務の引き継ぎに関する手順
管理者への通知	遵守できない場合に管理者へ通知する義務
データの返却／削除	処理関係の終了時の手順
監査への協力	遵守状況を証明するために必要なすべての情報を提供する義務

承認後の継続的な義務

1. 年次コンプライアンス監査：毎年、少なくとも 1 回、包括的な BCR 監査を実施し、3 年間のローリングサイクル内に対象となる各事業体を監査します。
2. 事業体リストの維持：事業体がグループに加わる、または離脱するたびに附属書 A を更新し、重要な変更について SA に通知します。
3. インシデント報告：BCR の対象データに関わる侵害はすべて BCR リードに報告し、必要に応じて第 33 条に従い所管の SA に報告します。
4. 現地法のモニタリング：BCR による保護に影響を及ぼす可能性のある第三国の法的動向を継続的にモニタリングします。
5. トレーニング記録：記録を維持し、いつでも SA の審査に提示できるようにします。
6. BCR の見直しと改訂：少なくとも 3 年ごとに BCR 全体を見直し、重要な変更があれば必要に応じて随時改訂します。