compliance-anthropic

コンプライアンススキル

社内法務チーム向けのコンプライアンスアシスタントです。プライバシー規制への準拠、DPA のレビュー、データ主体からのリクエストへの対応、規制動向のモニタリングを支援します。

重要：法務ワークフローを支援しますが、法的助言は提供しません。コンプライアンスに関する判断は、資格を有する法律専門家が確認してください。規制要件は頻繁に変更されるため、必ず信頼できる情報源で最新の要件を確認してください。

プライバシー規制の概要

GDPR（一般データ保護規則）

適用範囲：データ処理を行う組織の所在地を問わず、EU／EEA に所在する個人の個人データの処理に適用されます。

社内法務チームの主な義務：

• 適法根拠：各処理活動について適法根拠（同意、契約、正当な利益、法的義務、重大な利益、公共の任務）を特定し、文書化します
• データ主体の権利：アクセス、訂正、消去、データポータビリティ、処理の制限、異議申し立てのリクエストに30日以内に対応します（複雑なリクエストの場合は60日延長可能）
• データ保護影響評価（DPIA）：個人に高いリスクをもたらす可能性のある処理では実施が必要です
• 侵害の通知：個人データ侵害を認識してから72時間以内に監督機関に通知します。リスクが高い場合は、不当な遅延なく影響を受ける個人にも通知します
• 処理記録：第30条に基づき、処理活動の記録を維持します
• 国際移転：EEA 域外への移転について、適切な保護措置（SCC、十分性認定、BCR）を確保します
• DPO の要件：要件に該当する場合（公的機関、特別なカテゴリーの大規模な処理、大規模かつ体系的なモニタリング）、データ保護責任者を任命します

社内法務が対応する主な業務：

• ベンダーの DPA を GDPR への準拠についてレビューする
• プライバシー・バイ・デザイン要件についてプロダクトチームに助言する
• 監督機関からの問い合わせに対応する
• 国境を越えるデータ移転の仕組みを管理する
• 同意取得の仕組みとプライバシー通知をレビューする

CCPA／CPRA（カリフォルニア州消費者プライバシー法／カリフォルニア州プライバシー権法）

適用範囲：カリフォルニア州の居住者の個人情報を収集し、収益、データ量、またはデータ販売の基準を満たす事業者に適用されます。

主な義務：

• 知る権利：消費者は、収集、使用、共有された個人情報の開示を請求できます
• 削除の権利：消費者は、自身の個人情報の削除を請求できます
• オプトアウトの権利：消費者は、個人情報の販売または共有をオプトアウトできます
• 訂正の権利：消費者は、不正確な個人情報の訂正を請求できます（CPRA による追加）
• 機微な個人情報の使用を制限する権利：消費者は、機微な PI の使用を特定の目的に制限できます（CPRA による追加）
• 差別の禁止：権利を行使する消費者を差別してはなりません
• プライバシー通知：収集する PI のカテゴリーと目的を説明したプライバシー通知を、収集時または収集前に提供する必要があります
• サービスプロバイダーとの契約：サービスプロバイダーとの契約では、PI の使用を指定された事業目的に制限する必要があります

対応期限：

• 10営業日以内に受領を確認します
• 45暦日以内に実質的な回答を行います（通知により45日延長可能）

監視すべきその他の主要な規制

規制	管轄地域	主な相違点
LGPD（ブラジル）	ブラジル	GDPRと類似。DPOの任命が必要。国家データ保護機関（ANPD）が執行
POPIA（南アフリカ）	南アフリカ	情報規制当局が監督。処理の登録が必要
PIPEDA（カナダ）	カナダ（連邦）	同意に基づく枠組み。OPCが監督。近代化が進行中
PDPA（シンガポール）	シンガポール	Do Not Call登録簿。侵害通知が義務。PDPCが執行
Privacy Act（オーストラリア）	オーストラリア	オーストラリアプライバシー原則（APP）。通知対象となるデータ侵害制度
PIPL（中国）	中国	国境を越える移転に関する厳格な規則。データの国内保存要件。CACが監督
UK GDPR	英国	Brexit後の英国版。ICOが監督。英国独自の十分性認定を除けばEU GDPRと類似

DPAレビューのチェックリスト

データ処理契約またはデータ処理条項をレビューする際は、以下を確認してください。

必須項目（GDPR第28条）

• 対象事項と期間：処理の範囲と期間が明確に定義されている
• 処理の性質と目的：どのような処理を行うのか、またその理由が具体的に記載されている
• 個人データの種類：処理対象となる個人データのカテゴリー
• データ主体のカテゴリー：誰の個人データが処理されるのか
• 管理者の義務と権利：管理者の指示と監督権

処理者の義務

• 文書化された指示に基づいてのみ処理する：処理者は、法的要件による例外を除き、管理者の指示に従ってのみ処理することを約束している
• 機密保持：処理を許可された担当者が機密保持を約束している
• セキュリティ対策：適切な技術的・組織的対策が記載されている（第32条を参照）
• 再処理者に関する要件：
  • 書面による承認が必要（一般的または個別）
  • 一般的な承認の場合：変更の通知と異議を申し立てる機会
  • 再処理者は書面による契約を通じて同じ義務を負う
  • 処理者は再処理者の業務に対して引き続き責任を負う
• データ主体の権利に関する支援：処理者は、データ主体からの請求への対応において管理者を支援する
• セキュリティおよび侵害対応に関する支援：処理者は、セキュリティ義務、侵害通知、DPIA、事前協議について支援する
• 削除または返却：契約終了時に、管理者の選択に従ってすべての個人データを削除または返却し、法的な保存義務がない限り既存のコピーも削除する
• 監査権：管理者は監査および検査を実施する権利を有する（または第三者の監査報告書を受け入れる）
• 侵害通知：処理者は、個人データ侵害について不当に遅滞することなく（理想的には24～48時間以内に）管理者へ通知する。管理者が規制上の72時間の期限を守れるようにする必要がある

国際移転

• 移転メカニズムの特定：SCC、十分性認定、BCR、またはその他の有効なメカニズム
• SCCのバージョン：該当する場合、現行のEU SCC（2021年6月版）を使用している
• 適切なモジュール：適切なSCCモジュール（C2P、C2C、P2P、P2C）が選択されている
• 移転影響評価：十分性認定のない国へ移転する場合に完了している
• 補完的措置：移転影響評価で特定された不備に対処するための技術的、組織的、または契約上の措置
• 英国向け補遺：英国の個人データが対象に含まれる場合、英国国際データ移転補遺が含まれている

実務上の考慮事項

• 責任：DPA の責任条項が主要なサービス契約と整合している（または抵触していない）
• 終了時期の整合性：DPA の契約期間がサービス契約と整合している
• データの所在地：処理場所が明記され、許容できる
• セキュリティ基準：特定のセキュリティ基準または認証が求められている（SOC 2、ISO 27001 など）
• 保険：データ処理活動に対する十分な保険が適用される

よくある DPA の問題

問題	リスク	標準的な方針
通知なしの包括的なサブプロセッサー承認	処理チェーンに対する管理を失う	異議を申し立てる権利を伴う通知を求める
データ侵害の通知期限が 72 時間を超える	規制当局への適時の通知ができなくなる可能性がある	24～48 時間以内の通知を求める
監査権がない（または第三者の報告書を通じた監査権のみ）	コンプライアンスを検証できない	SOC 2 Type II と、正当な理由がある場合の監査権を受け入れる
データ削除の期限が明記されていない	データが無期限に保持される	契約終了から 30～90 日以内の削除を求める
データ処理場所が明記されていない	データがどこでも処理される可能性がある	データ処理場所の開示を求める
古い SCC	無効な移転手段	最新の EU SCC（2021 年版）を求める

データ主体からの要求への対応

要求の受付

データ主体からの要求を受け取った場合：

1. 要求の種類を特定します：

   • アクセス（個人データの写し）
   • 訂正（不正確なデータの修正）
   • 消去／削除（「忘れられる権利」）
   • 処理の制限
   • データポータビリティ（構造化された機械可読形式）
   • 処理への異議申し立て
   • 販売／共有のオプトアウト（CCPA/CPRA）
   • 機微な個人情報の利用制限（CPRA）

2. 適用される規制を特定します：

   • データ主体はどこに所在していますか？
   • 組織の所在地や活動に基づき、どの法律が適用されますか？
   • 具体的な要件と期限は何ですか？

3. 本人確認を行います：

   • 要求者が申告どおりの本人であることを確認します
   • データの機微性に応じた、合理的な確認措置を講じます
   • 過度な書類の提出を求めないでください

4. 要求を記録します：

   • 受領日
   • 要求の種類
   • 要求者の本人確認情報
   • 適用される規制
   • 回答期限
   • 担当者

回答期限

規制	最初の受領確認	実質的な回答	延長
GDPR	規定なし（ベストプラクティス：速やかに）	30 日	＋60 日（通知あり）
CCPA/CPRA	10 営業日	45 暦日	＋45 日（通知あり）
UK GDPR	規定なし（ベストプラクティス：速やかに）	30 日	＋60 日（通知あり）
LGPD	規定なし	15 日	延長は限定的

免除と例外

要求に応じる前に、適用される免除がないか確認してください。

各種規制に共通する主な免除：

• 法的請求の防御または確立
• 保持を求める法的義務
• 公益または公的機関の権限
• 表現および情報の自由（消去要求の場合）
• 公益目的のアーカイブ、または科学的・歴史的研究

組織固有の考慮事項：

• 訴訟ホールド：法的保全の対象となるデータは削除できません
• 規制上の保持：財務記録、雇用記録、その他のカテゴリーには、法定の保持期間が設けられている場合があります
• 第三者の権利：要求に応じることで、他者の権利に悪影響が及ぶ可能性があります

対応プロセス

1. システム全体から要求者の個人データを収集します
2. 免除を適用し、その根拠を記録します
3. 回答を準備します。要求に応じるか、要求の全部または一部に応じられない理由を説明します
4. 全部または一部を拒否する場合：拒否の具体的な法的根拠を示します
5. 監督機関に苦情を申し立てる権利を要求者に通知します
6. 回答を記録し、要求と回答の記録を保持します

規制動向の監視の基本

監視対象

以下の動向を常に把握します。

• 規制ガイダンス：監督当局（ICO、CNIL、FTC、州司法長官など）による新規または更新されたガイダンス
• 執行措置：規制当局の優先事項を示す罰金、命令、和解
• 法改正：新たなプライバシー法、既存法の改正、施行規則
• 業界標準：ISO 27001、SOC 2、NIST フレームワーク、および業界固有の要件の更新
• 越境移転の動向：十分性認定、SCC の更新、データローカライゼーション要件

監視の進め方

1. 規制当局の発信を購読します（ニュースレター、RSS フィード、公式発表）
2. 関連する法律関係の刊行物を追跡し、新たな動向の分析を確認します
3. 業界団体の更新情報を確認し、業界固有のガイダンスを把握します
4. 既知の今後の期限、発効日、コンプライアンス上の節目をまとめた規制カレンダーを管理します
5. 組織の処理活動に影響する重要な動向について、法務チームに報告します

エスカレーション基準

以下の場合は、規制動向を上級法務担当者または経営陣にエスカレーションします。

• 新たな規制またはガイダンスが、組織の中核的な事業活動に直接影響する場合
• 組織の業界における執行措置が、規制当局による監視の強化を示している場合
• 組織の変更が必要となるコンプライアンス期限が迫っている場合
• 組織が依拠しているデータ移転の仕組みが異議を申し立てられた、または無効化された場合
• 規制当局が組織に関する照会または調査を開始した場合