controller-ropa-creation

管理者のRoPA作成

概要

GDPR第30条第1項では、すべての管理者に対し、その責任の下で行われる処理活動の記録を書面で保持することが求められています。このスキルでは、第30条第1項(a)から(g)に定められた7つの必須項目すべてを満たす管理者向けRoPAの項目を作成するための包括的な方法を説明します。これにより、組織は第5条第2項に基づく説明責任を果たせることを示し、第30条第4項に基づく監督機関からの要請に対応できます。

必須項目の要件

項目1：管理者の身元および連絡先 — 第30条第1項(a)

この項目では、以下を特定する必要があります。

• 法人名：Companies House、Handelsregister、Registre du Commerceなど、各国の商業登記簿に記載されている管理者の登記上の名称。
• 登記住所：正式な登記上の本店所在地。
• 連絡先：データ保護に関する問い合わせ用の一般連絡先メールアドレスおよび電話番号。
• 共同管理者：第26条に基づき処理の目的と手段を共同で決定する場合は、各共同管理者の身元および連絡先と、第26条の取り決めへの参照。
• EU代表者：管理者がEEA域内に設立されていない場合は、第27条に基づく代表者の身元および連絡先。
• データ保護責任者：第37条に基づき任命されたDPOの氏名、メールアドレス、電話番号。または、DPOが不要である旨とその根拠。

Helix Biotech Solutionsの記入例：

下位項目	値
法人名	Helix Biotech Solutions GmbH
登記住所	Leopoldstraße 42, 80802 Munich, Germany
登記情報	HRB 267891, Amtsgericht Munich
連絡先メールアドレス	[email protected]
DPO	Dr. Elena Voss, [email protected], +49 89 7654 3210
EU代表者	該当なし（EEA域内に設立）
共同管理者	この処理活動に関してはなし

項目2：処理の目的 — 第30条第1項(b)

各処理活動について、具体的かつ明確で、正当な目的を1つ以上記録する必要があります。第5条第1項(b)に定められた目的制限の原則への準拠を示せるよう、目的は十分に詳細でなければなりません。

次のような曖昧な目的は避けてください。

• 「事業運営」
• 「社内利用」
• 「一般的な目的」
• 「必要に応じて」

目的の適切な例：

処理活動	目的の記述	法的根拠の参照
従業員の給与計算	雇用契約上の義務に基づく月次給与および法定控除の計算と支払い	第6条第1項(b) — 契約の履行
臨床試験データの収集	第III相腫瘍学試験プロトコルHBX-2025-ONC-04に基づく、参加者のバイタルサイン、有害事象、治療結果の記録	第6条第1項(a) — 明示的な同意；第9条第2項(a) — 健康データに関する明示的な同意
顧客アカウント管理	実験用試薬の注文に関する供給契約を履行するための、顧客の本人情報、連絡先、請求記録の維持	第6条第1項(b) — 契約の履行
ファーマコビジランス報告	EU規則726/2004に基づきEMAに提出するための、副作用報告の収集および評価	第6条第1項(c) — 法的義務

項目3：データ主体のカテゴリー — 第30条第1項(c)

各処理活動で個人データが処理されるすべての個人グループを特定してください。漏れがあるとコンプライアンス上の不備につながるため、網羅的に記載してください。

バイオテクノロジー企業で一般的なカテゴリー：

• 従業員（正社員および有期雇用）
• 契約業者およびコンサルタント
• 求職者
• 臨床試験参加者
• 患者（市販後調査）
• 医療従事者（KOLとの関与）
• サプライヤーおよびベンダーの担当者
• ウェブサイト訪問者
• 株主および投資家

フィールド 4：個人データの種類 — 第 30 条第 1 項（c）

各処理活動について、収集および処理する個人データの種類を明記します。第 9 条第 1 項に基づく特別カテゴリーのデータと、第 10 条に基づく有罪判決に関するデータにはフラグを付けます。

処理活動ごとのデータカテゴリーの例：

処理活動	個人データのカテゴリー	特別カテゴリー（第 9 条）
従業員の給与計算	氏名、従業員 ID、銀行口座（IBAN）、納税者 ID、給与等級、労働時間	いいえ
臨床試験管理	参加者 ID、生年月日、性別、病歴、遺伝マーカー、治療割り当て、有害事象	はい — 健康データ、遺伝データ
ファーマコビジランス	報告者の氏名、患者のイニシャル、年齢、診断、投薬歴、副作用の説明	はい — 健康データ
来訪者管理	氏名、所属企業、写真付き身分証明書、訪問日時、受け入れ担当の従業員	いいえ

フィールド 5：受領者のカテゴリー — 第 30 条第 1 項（d）

以下を含め、個人データを受領するすべての事業体を記録します。

• 内部の受領者：アクセス権を持つ部門または役職（人事、財務、IT）
• 処理者：第 28 条の DPA に基づいて業務を行うサードパーティのサービスプロバイダー（名称を特定し、DPA を参照します）
• 共同管理者：第 26 条に基づいて共同で目的を決定する事業体
• 公的機関：規制当局、税務当局、法執行機関（開示の法的根拠を特定します）
• その他の管理者：データを受領する独立した管理者（保険会社など）

例：

受領者	種類	DPA／契約の参照情報
SAP SuccessFactors (SAP SE)	処理者	DPA-2024-SAP-001、締結日 2024-02-15
ADP Employer Services GmbH	処理者	DPA-2023-ADP-002、締結日 2023-09-01
Finanzamt Munich	公的機関	第 93 条 AO — 税務報告義務
AOK Bayern	その他の管理者	SGB V に基づく法定健康保険の報告
Helix Biotech Solutions Ltd (UK subsidiary)	グループ内管理者	第 26 条の共同管理者契約、参照：JCA-2024-UK-001

フィールド 6：国際移転 — 第 30 条第 1 項（e）

個人データを第三国（EEA 域外）または国際機関へ移転する場合、そのすべてを記録します。移転ごとに、以下を記録します。

• 移転先の国
• 受領事業体
• 依拠する移転メカニズム：
  • 第 45 条に基づく十分性認定（該当する決定を明記）
  • 第 46 条第 2 項（c）に基づく標準契約条項（モジュールと締結日を明記）
  • 第 47 条に基づく拘束的企業準則（承認の参照情報を明記）
  • 第 49 条に基づく適用除外（該当する適用除外と適用理由を明記）
• 移転影響評価（TIA）の参照情報（標準契約条項については EDPB 勧告 01/2020 に基づき必要）

例：

移転先	受領者	メカニズム	TIA の参照情報
United States	Veeva Systems Inc.	EU-US データプライバシーフレームワークの十分性認定（2023 年 7 月 10 日）— Veeva は DPF リストに掲載	TIA-2024-VEEVA-001
United Kingdom	Helix Biotech Solutions Ltd	英国の十分性認定（2021 年 6 月 28 日、延長済み）	不要（十分性認定）
India	Wipro Ltd (IT support)	EU SCC モジュール 2（管理者から処理者への移転）、締結日 2024-06-01	TIA-2024-WIPRO-003

フィールド 7：保存期間 — 第 30 条第 1 項 (f)

各データカテゴリの消去期限として予定している期間、または保存期間の決定に使用する基準を明記します。期間は具体的で、客観的に決定できるものでなければなりません。

保存期間の例：

データカテゴリ	保存期間	保存の法的根拠	削除方法
従業員の給与記録	雇用終了から 10 年間	HGB 第 257 条、AO 第 147 条	SAP HCM から自動削除
臨床試験データ	試験完了から 25 年間	GCP-V 第 13 条第 10 項、ICH E6(R2)	アーカイブ後、SOP-DM-012 に従って破棄
求職者データ	採用決定から 6 か月間	AGG の時効期間	ATS から自動削除
ウェブサイトの分析データ	収集から 14 か月間	分析データの保存に関する CNIL の推奨	GA4 の自動データ有効期限設定
CCTV 映像	72 時間のローリング保存	比例性評価（DPO 承認済み）	NVR で自動上書き

セキュリティ対策の説明 — 第 30 条第 1 項 (g)

同じ意味での番号付き「フィールド」ではありませんが、第 30 条第 1 項 (g) では、第 32 条に定める技術的および組織的なセキュリティ対策の概要を説明する必要があります。この説明は、具体的な脆弱性を明らかにすることなく、内容のあるものにしてください。

例：

技術的対策：個人データを含むすべてのデータベースに対する保存時の AES-256 暗号化、転送中のデータに対する TLS 1.3、四半期ごとのアクセスレビューを伴うロールベースアクセス制御（RBAC）、個人データを処理するすべてのシステムでの多要素認証、30 日間保存する毎日の暗号化バックアップ、臨床試験システムを企業 IT から分離するネットワークセグメンテーション、すべてのワークステーションでのエンドポイント検知・対応（EDR）、独立した評価者による年次の侵入テスト。

組織的対策：全従業員への必須のデータ保護トレーニング（年次更新）、特別カテゴリのデータにアクセスする従業員の身元調査、整理整頓されたデスクのポリシー、データ分類体系（公開、社内、機密、制限付き）、4 時間以内の初期評価 SLA を定めたインシデント対応手順、契約締結前のベンダーセキュリティ評価、ISO 27001:2022 認証済み ISMS（認証番号：IS 782341）。

RoPA エントリの作成ワークフロー

1. 処理活動を特定する：部門やシステムではなく、具体的な処理活動を起点とします。1 つのシステムが複数の処理活動を支える場合があり、それぞれに独自の RoPA エントリが必要です。

2. 処理責任者に聞き取りを行う：7 つのフィールドすべてを網羅する構造化された聞き取りを実施します。データフローを説明の筋道として使用します。「データは [データ元] から [データ主体] に関するものとして取得され、[データカテゴリ] を含み、[目的] のために使用され、[受領者] と共有され、[国] に移転され、[期間] 保存され、[対策] によって保護されます。」

3. ソースシステムと照合して検証する：聞き取りの回答を、実際のシステム設定、データフロー図、契約書類と相互参照します。

4. RoPA エントリの草案を作成する：上記のテンプレートと例を使用して、7 つのフィールドすべてに記入します。

5. DPO と確認する：DPO は、特に目的の説明、法的根拠との整合性、移転メカニズムの適切性について、エントリの法的正確性を確認します。

6. 処理責任者の承認を得る：業務責任者が、データフロー、受領者、保存期間の事実関係が正確であることを確認します。

7. RoPA 管理システムに登録する：検証済みの記録を、組織の RoPA ツール（例：OneTrust、TrustArc、または構造化されたスプレッドシート）に入力します。

8. レビュー日を設定する：次回のレビューを、作成から 12 か月以内、または処理活動が高リスクの場合はそれより早い時期に予定します。

よくある落とし穴

1. 活動レベルではなく部門レベルの記録：「人事」の記録が人事関連のすべての処理を網羅しているだけでは、コンプライアンス要件を満たしません。個別の処理活動（給与計算、採用、パフォーマンス管理、勤怠管理）ごとに、それぞれ記録が必要です。

2. 処理者の連鎖に関する文書の不足：処理者が再処理者を起用する場合、RoPAには主要な処理者だけでなく、処理の連鎖全体を記載する必要があります。

3. 管理者と処理者の役割の混同：組織が管理者（自らの処理について）と処理者（クライアントのデータについて）の両方を担う場合、Art. 30(1)とArt. 30(2)に基づき、別々のRoPA記録が必要です。

4. 非公式な処理の見落とし：スプレッドシートを使った処理、共有ドライブ、メールによるデータの取り扱いも、RoPAへの記録が必要な処理活動です。

5. 変動するデータへの固定的な保存期間の設定：同じ処理活動に含まれるデータ項目でも、保存期間が異なる場合があります（例：契約データと、オンボーディング時に収集するマーケティング設定）。