breach-72h-notification

GDPR の72時間以内のデータ侵害通知の実施

概要

GDPR 第33条では、個人データ侵害が発生した場合、管理者は不当に遅滞することなく、可能な場合は侵害を認識してから72時間以内に、所轄の監督機関へ通知することが求められています。このスキルでは、侵害の発見から監督機関への通知までの完全な運用ワークフローを提供します。週末と祝日を考慮した期限の計算、通知に必須の内容、通知が必要かどうかを判断するための枠組みが含まれています。

通知の開始条件 —「認識したとき」

72時間のカウントは、セキュリティインシデントが発生し、個人データが侵害されたことについて、管理者が合理的な確信を得た時点で始まります。EDPB ガイドライン 9/2022、第2.3節によると、次のとおりです。

• 処理者は侵害を認識した後、「不当に遅滞することなく」管理者に通知しなければなりません。その後、管理者が通知を受領した時点で、管理者の72時間の期限が始まります。
• 侵害の初期段階での疑い（例：異常なログエントリ）では、カウントは始まりません。侵害が実際に発生したかを確認するために、短期間の調査を行うことが認められています。
• 管理者の IT セキュリティチームがデータ侵害を確認した時点で、DPO や上級管理職に報告されているかどうかにかかわらず、管理者は「認識した」とみなされます。

判断フロー：通知は必要ですか？

侵害が「自然人の権利および自由に対するリスクをもたらす可能性が低い」場合を除き、管理者は監督機関に通知しなければなりません（第33条第1項）。

ステップ1：侵害の種類を分類する

種類	説明	例
機密性の侵害	個人データの不正または偶発的な開示、またはアクセス	ファイアウォールの設定ミスによりデータベースが公開され、12,000件の顧客レコードが閲覧可能になった
完全性の侵害	個人データの不正または偶発的な改変	マルウェアが臨床データベース内の患者の投薬量記録を改変した
可用性の侵害	個人データへのアクセスの偶発的または不正な喪失、または個人データの破壊	ランサムウェアが、3,400人の従業員レコードを含む人事給与システムを暗号化した

ステップ2：リスクの可能性を評価する

各要素を1（低）から4（深刻）までの尺度で評価します。

要素	評価の質問
データの機微性	侵害には特別な種類のデータ（第9条）、財務データ、または政府発行の識別情報が含まれていますか？
件数	影響を受けるデータ主体は何人ですか？100人未満／100～1,000人／1,000～100,000人／100,000人超ですか？
識別可能性	侵害されたデータを使って、多大な労力をかけずに個人を直接特定できますか？
結果	どのような具体的な損害が生じる可能性がありますか？金銭的損失、差別、なりすまし、評判の毀損などですか？
脆弱なデータ主体	未成年者、患者、従業員、またはその他の脆弱なカテゴリーが関係していますか？
管理者固有の要素	管理者の役割によってリスクが高まりますか（例：医療機関、金融機関）？

ステップ3：しきい値を適用する

• 合計スコアが6以下：侵害がリスクをもたらす可能性は低いため、第33条第1項に基づく通知は不要です。ただし、第33条第5項に従って侵害記録簿に記録する必要があります。
• 合計スコアが7～15：侵害がリスクをもたらす可能性が高いため、72時間以内に監督機関への通知が必要です。
• 合計スコアが16以上：侵害が高いリスクをもたらす可能性が高いため、72時間以内の監督機関への通知と、第34条に基づくデータ主体への通知の両方が必要です。

必須の通知内容 — 第33条第3項

監督機関への通知には、少なくとも以下の内容を含める必要があります。

(a) 侵害の性質

• 個人データ侵害の性質の説明。
• 対象となるデータ主体のカテゴリー（例：顧客、従業員、患者）。
• 対象となるデータ主体のおおよその人数。
• 対象となる個人データの記録のカテゴリー（例：氏名、メールアドレス、金融口座番号）。
• 対象となる個人データの記録のおおよその件数。

(b) DPO の連絡先詳細

• データ保護責任者の氏名：Dr. Elena Vasquez
• メールアドレス：[email protected]
• 直通電話番号：+49 30 7742 8001
• 郵送先住所：Stellar Payments Group, Friedrichstraße 191, 10117 Berlin, Germany

(c) 想定される結果

• 侵害によって生じる可能性のある結果の詳細な説明。以下のカテゴリーに分類します。
  • 身体的損害（該当する場合）
  • 物質的損害（経済的損失、詐欺のリスク）
  • 非物質的損害（精神的苦痛、差別、評判の毀損）
  • 個人データに対する管理権の喪失
  • 権利の制限

(d) 実施済みまたは提案されている措置

• すでに実施した即時の封じ込め措置
• データ主体への悪影響を軽減するための措置
• 長期的に実施予定の是正措置
• Art. 34 に基づき、データ主体に通知済み、または今後通知するかどうか

段階的な通知

Art. 33(4) では、すべての詳細を同時に提供できない場合、情報を段階的に提供することが認められています。最初の通知では、次の事項を必ず行う必要があります。

1. 追加情報を後日提供することを明記します。
2. 完全な情報の提供が遅れる理由を示します。
3. 最初の通知時点で入手可能な情報をすべて含めます。
4. 追加の詳細が判明したら、不当に遅れることなく補足します。

監督機関別の通知方法

監督機関	管轄	通知方法
BfDI	Germany (federal)	bfdi.bund.de のオンラインポータル — 電子フォームの提出
CNIL	France	notifications.cnil.fr/notifications からオンラインで通知
ICO	United Kingdom	ico.org.uk/for-organisations/report-a-breach のオンラインフォーム
DPC	Ireland	forms.dataprotection.ie からオンラインの侵害通知フォームを提出
AEPD	Spain	sedeagpd.gob.es から電子的に提出
Garante	Italy	[email protected] 宛てに PEC（認証済みメール）を送信
AP	Netherlands	autoriteitpersoonsgegevens.nl/meldplicht-datalekken のオンラインフォーム

72 時間の期限の計算規則

1. 72 時間の期間は、週末や祝日を含む連続した時間で計算します。
2. 金曜日の 14:30 CET に侵害が発覚した場合、期限は翌月曜日の 14:30 CET です。
3. Art. 33(1) では「実行可能な場合」という表現が使われています。通知が 72 時間を超える場合、管理者は通知と併せて遅延の理由を提示する必要があります。
4. EDPB は、72 時間の期間は侵害そのものが発生した時点ではなく、管理者が「認識した」時点から始まることを確認しています。

通知の遅延 — 遅延の正当化

通知が 72 時間を超える場合、Art. 33(1) により、管理者は通知に遅延の理由を添える必要があります。EDPB のガイダンスに基づく、許容される正当な理由には以下が含まれます。

• 影響範囲と影響を受けたデータのカテゴリーを特定するために、複雑なフォレンジック調査が必要だった
• 大規模な侵害であり、通知の前に法執行機関との連携が必要だった
• 主要な担当者が不在で、適切な代理体制が整っていない期間中に発覚した（ただし、これ自体がコンプライアンス上の不備である可能性があります）

許容されない正当化の理由：

• 社内の承認手続きにより、承認が遅れた
• DPO が年次休暇中で、代理人が任命されていなかった
• 監督機関への通知前に、組織が独自の対外発表を完了させたかった

通知後の義務

1. 補足情報：初回通知時点で不足していた詳細は、判明し次第提供します。
2. 侵害記録の更新：侵害の全容、その影響、および是正措置をArt. 33(5)の記録簿に記録します。
3. データ主体への通知の評価：個人へのArt. 34に基づく通知も必要かどうかを判断します。
4. 監督機関への対応：監督機関からの追加の問い合わせには速やかに回答します。
5. 是正措置の証拠：実施したすべての是正措置を記録し、求められた場合は監督機関に証拠を提出します。