dpa-drafting について
管理者と処理者向けの GDPR データ処理契約（DPA）起草リファレンスです。Article 28 の必須条項、処理者の義務、再委託先の条件、国際移転の仕組みを整理し、確認リストも備えています。
主な機能
- 01Article 28の必須条項の整理
- 02処理者の8つの義務の一覧
- 03再委託先への義務引き継ぎの説明
- 04国際移転メカニズムの概要
- 05DPA起草チェックリスト
活用シーン
- 01管理者・処理者間契約の起草
- 02DPAの必須条項の確認
- 03再委託先の承認・通知条件の整理
- 04国際移転に用いる契約メカニズムの特定
インストール
コマンドをコピーしてターミナルで実行します。
npx skills add https:/インストール後、Claude Code で/dpa-draftingを入力して読み込まれたか確認します。
同梱ファイル
SKILL.md と一緒にインストールされる参考資料やスクリプト。
assets/template.mdreferences/standards.mdworkflows.mdscripts/process.py詳細
データ処理契約書の作成
概要
GDPR 第 28 条第 3 項では、処理者による処理は、処理者を拘束する契約またはその他の法的行為に準拠しなければならないと定められています。この契約には、処理の対象事項および期間、性質および目的、個人データの種類、データ主体のカテゴリー、ならびに管理者の義務および権利を網羅する、特定の必須条項を定める必要があります。EDPB はガイドライン 07/2020 において、これらの要件は任意ではなく、必須要素が一つでも含まれていなければ DPA は不適合となることを強調しています。
欧州委員会は、実施決定（EU）2021/915 において、管理者から処理者への契約に関する標準契約条項を採択し、組織が採用または適宜変更できる参照フレームワークを提供しています。
第 28 条第 3 項に基づく DPA の必須条項
条項 1：対象事項および期間
DPA では、ベンダーがどのような処理を行うか、またその期間を明記する必要があります。
必須要素：
| 要素 | 説明 | 例 |
|---|---|---|
| 対象事項 | 提供される具体的なサービス | 「クラウドホスト型の顧客分析プラットフォーム」 |
| 期間 | 処理の期間 | 「基本サービス契約の期間に加え、データ返却／削除期間として 90 日間」 |
| 開始日 | 処理の開始時期 | 「MSA の発効日をもって発効」 |
| 契約終了後も存続する条項 | 契約終了後も存続する義務 | 「機密保持、削除証明、および監査権は 3 年間存続する」 |
条項 2：処理の性質および目的
必須要素：
| 要素 | 説明 | 例 |
|---|---|---|
| 処理の性質 | 個人データに対して実行される操作 | 「API 経由での取り込みによる収集、暗号化データベースへの保存、自動分析、集計レポート作成、契約終了時の削除」 |
| 処理の目的 | 処理を行う理由 | 「Summit Cloud Partners に顧客行動分析を提供し、製品改善の判断を可能にするため」 |
| 処理指示の範囲 | 処理の境界 | 「処理者は、附属書 1 に定める目的に限り、かつ管理者からの文書化された指示に基づく場合に限り、個人データを処理するものとする」 |
条項 3：個人データの種類
処理者が取り扱う個人データのすべてのカテゴリーを列挙します。
Summit Cloud Partners — 附属書の例：
| データカテゴリー | 説明 | 機微度 |
|---|---|---|
| 連絡先情報 | 氏名、メールアドレス、電話番号 | 標準 |
| アカウント識別子 | ユーザー ID、アカウント番号、テナント ID | 標準 |
| 利用データ | 機能の利用ログ、セッション時間、クリック経路 | 標準 |
| デバイス情報 | IP アドレス、ブラウザーの種類、OS のバージョン | 標準 |
| 位置情報 | IP アドレスから特定される市区町村／地域（正確な GPS 情報ではない） | 高 |
| 支払いメタデータ | 取引日、プランの種類（カード番号は含まない） | 高 |
条項 4：データ主体のカテゴリー
| カテゴリー | 説明 | おおよその件数 |
|---|---|---|
| エンタープライズ顧客 | Summit Cloud Partners プラットフォームの登録ユーザー | 50,000 |
| トライアルユーザー | 無料トライアルアカウントのユーザー | 15,000 |
| API 利用者 | Summit Cloud Partners API を使用する開発者 | 5,000 |
条項 5：管理者の義務と権利
DPA では、管理者が行使できる権利と、処理者に提供しなければならない事項を定める必要があります。
- 指示を出す権利：管理者は、処理に関する文書化された書面による指示を出す権利を有します
- 監査を行う権利：管理者は、処理者の遵守状況を監査できます（第 28 条第 3 項（h））
- 適法な根拠を特定する義務：管理者は、処理が第 6 条に基づき適法であることを確認します
- データ主体に回答する義務：処理者の支援を受けて、管理者がデータ主体からのリクエストに回答する責任を負います
- 関連する変更を処理者に通知する義務：処理に関する指示、データのカテゴリー、または規制要件の変更
条項 6：処理者の義務（第 28 条第 3 項（a）～（h））
第 28 条第 3 項に基づく、処理者の 8 つの必須義務：
（a）文書化された指示に従ってのみ処理する
「処理者は、処理者が従うべき連合法または加盟国法により義務付けられる場合を除き、第三国または国際機関への個人データの移転に関するものも含め、管理者からの文書化された指示に基づいてのみ個人データを処理するものとします。その場合、処理者は、重要な公益上の理由により当該法律でその情報の通知が禁止されている場合を除き、処理に先立って当該法的要件を管理者に通知するものとします。」
（b）守秘義務
「処理者は、個人データの処理を許可された者が守秘義務を負うことに同意しているか、適切な法定の守秘義務を負っていることを確保するものとします。」
（c）セキュリティ対策（第 32 条）
「処理者は、第 32 条に基づき必要とされるすべての対策を実施するものとします。これには、適切な場合、（i）個人データの仮名化および暗号化、（ii）処理システムの継続的な機密性、完全性、可用性およびレジリエンスを確保する能力、（iii）物理的または技術的なインシデントが発生した場合に、個人データの可用性およびアクセスを適時に復旧する能力、（iv）技術的および組織的対策の有効性を定期的にテスト、評価および査定するプロセスが含まれます。」
（d）サブプロセッサーに関する条件
「処理者は、管理者の事前の個別または包括的な書面による承認を得ることなく、別の処理者を起用してはなりません。包括的な書面による承認を得ている場合、処理者は、他の処理者の追加または交代に関する変更を予定しているときは、その旨を管理者に通知し、管理者が当該変更に異議を申し立てる機会を与えるものとします。」
（e）データ主体の権利行使を支援する
「処理の性質を考慮し、可能な範囲で、処理者は適切な技術的および組織的対策により、第 III 章に定められたデータ主体の権利行使に関するリクエストに回答する管理者の義務の履行を支援するものとします。」
（f）コンプライアンス上の義務の履行を支援する
「処理者は、処理の性質および処理者が利用できる情報を考慮し、第 32 条から第 36 条の遵守を確保する管理者を支援するものとします。」
（g）契約終了後の削除または返却
「管理者の選択に従い、処理者は、処理に関するサービスの提供終了後、すべての個人データを削除するか、管理者に返却し、連合法または加盟国法により個人データの保存が義務付けられている場合を除き、既存の複製を削除するものとします。」
（h）監査権
「処理者は、第 28 条に定める義務の遵守を証明するために必要なすべての情報を管理者に提供し、管理者または管理者が委任した別の監査人が実施する監査（検査を含む）を認め、これに協力するものとします。」
規定 7：サブプロセッサーへの義務の連鎖
処理者がサブプロセッサーを利用する場合、Article 28(4)により、管理者と処理者間のDPAに定められたものと同じデータ保護義務を、契約を通じてサブプロセッサーに課す必要があります。サブプロセッサーとのDPAには、実質的に同等の条項を含める必要があります。
サブプロセッサー管理に関する規定：
| 規定 | 説明 |
|---|---|
| 認可の仕組み | 変更の通知を伴う一般的な書面による認可 |
| 通知期間 | 新たなサブプロセッサーの利用開始の少なくとも30暦日前 |
| 異議申立権 | 管理者は通知期間内に異議を申し立てることができます |
| 異議申立ての結果 | 異議が解決されない場合、いずれの当事者も影響を受けるサービスを終了できます |
| 義務の連鎖 | サブプロセッサーとの契約で、Article 28(3)と同等の義務を課す必要があります |
| 責任 | 処理者は、サブプロセッサーの遵守について引き続き全面的に責任を負います |
規定 8：国際移転
個人データをEEA域外に移転する場合、DPAで移転の仕組みを定める必要があります。
| 移転のシナリオ | 必要な仕組み |
|---|---|
| EEAから十分性認定国への移転（Art. 45に基づく） | 十分性認定決定への言及 |
| EEAから十分性認定を受けていない国への移転 | 標準契約条項（Commission Decision 2021/914） |
| EEAから十分性認定を受けていない国への、補完的措置を伴う移転 | EDPB Recommendations 01/2020に基づくSCCに加え、技術的・組織的・契約上の補完的措置 |
DPA作成チェックリスト
| # | 要件 | 条文 | 状況 |
|---|---|---|---|
| 1 | 対象事項と期間を明記 | 28(3) | [ ] |
| 2 | 処理の性質と目的を定義 | 28(3) | [ ] |
| 3 | 個人データの種類を列挙 | 28(3) | [ ] |
| 4 | データ主体のカテゴリーを列挙 | 28(3) | [ ] |
| 5 | 管理者の義務と権利を定義 | 28(3) | [ ] |
| 6 | 処理者は文書化された指示に基づく場合に限り処理を行う | 28(3)(a) | [ ] |
| 7 | 認可された担当者に機密保持義務を課す | 28(3)(b) | [ ] |
| 8 | Article 32のセキュリティ対策を実施 | 28(3)(c) | [ ] |
| 9 | サブプロセッサーの利用条件と認可 | 28(3)(d) | [ ] |
| 10 | データ主体の権利への対応を支援 | 28(3)(e) | [ ] |
| 11 | Articles 32-36の遵守を支援 | 28(3)(f) | [ ] |
| 12 | 契約終了時に削除または返却 | 28(3)(g) | [ ] |
| 13 | 監査権と情報へのアクセス | 28(3)(h) | [ ] |
| 14 | Art. 28(4)に基づくサブプロセッサーへの義務の連鎖 | 28(4) | [ ] |
| 15 | 国際移転の仕組み（該当する場合） | 28(3), Ch. V | [ ] |
| 16 | Art. 33(2)に基づく侵害通知義務 | 33(2) | [ ] |
| 17 | DPAが書面（電子形式を含む）である | 28(9) | [ ] |
主な規制関連の参照資料
- GDPR Article 28(3) — DPAに必須の規定
- GDPR Article 28(4) — サブプロセッサーへの義務の連鎖
- GDPR Article 28(9) — 書面形式の要件
- GDPR Article 32 — 処理のセキュリティ
- GDPR Article 33(2) — 処理者から管理者への侵害通知
- Commission Implementing Decision (EU) 2021/915 — 管理者から処理者への移転に関する標準契約条項
- EDPB Guidelines 07/2020 — 管理者と処理者の概念
- EDPB Recommendations 01/2020 — 国際移転のための補完的措置