dpa-inspection-prep

監督機関による検査への準備

概要

監督機関（データ保護機関、またはDPA）は、GDPR第58条第1項に基づく調査権限を行使します。これには、任務の遂行に必要な情報を管理者および処理者に提供するよう命令する権限（第58条第1項(a)）、データ保護監査の形式で調査を実施する権限（第58条第1項(b)）、認証を審査する権限（第58条第1項(c)）、侵害の疑いについて管理者または処理者に通知する権限（第58条第1項(d)）、必要なすべての個人データおよび情報へのアクセスを得る権限（第58条第1項(e)）、ならびにデータ処理設備を含む管理者および処理者のあらゆる施設にアクセスする権限（第58条第1項(f)）が含まれます。

DPAによる検査は、データ主体からの苦情、業界全体を対象とする執行キャンペーン、データ侵害の通知、無作為抽出、メディア報道、内部告発などをきっかけに開始されることがあります。検査への対応が不十分な場合、第58条第2項に基づく是正措置、第83条に基づく行政罰金、執行措置の公表による評判の毀損につながる可能性があります。

Sentinel Compliance Groupは、発表のある、または予告のない監督機関からの連絡に、定められた時間内に効果的に対応できるよう、継続的なDPA検査準備プログラムを実施しています。

DPAからの連絡の種類

検査の種類

種類	説明	通知期間	GDPRの根拠
書面による照会	DPAが、文書化された回答を求める質問を書面で送付します	通常14～30日	第58条第1項(a)
事前通知を伴う監査	事前通知のある正式なデータ保護監査です	2～8週間	第58条第1項(b)
予告のない検査	事前通知なしの現地訪問です	なし	第58条第1項(f)
苦情調査	データ主体からの苦情をきっかけとする調査です	変動します。多くの場合、書面による照会から開始します	第57条第1項(f)、第77条
侵害調査	第33条に基づく侵害通知後の調査です	通知後、数日から数週間	第58条第1項(a)、(e)
業界一斉調査	ある業界の複数組織を対象とする連携調査です	DPAによって異なります	第57条第1項(a)、第58条第1項(b)
事前協議後のフォローアップ	第36条に基づく事前協議に関するDPAのフォローアップです	変動します	第36条第2項

DPAの調査につながる一般的なきっかけ

きっかけ	可能性	DPAの対応
データ主体からの苦情	高い	特定の処理に焦点を当てた書面による照会。監査に発展する場合があります
侵害通知（第33条）	高い	書面による質問。侵害が重大な場合は現地監査
メディア報道	中程度	予備的な照会。調査結果に応じて発展する場合があります
業界全体を対象とするキャンペーン	中程度	標準化された質問票が複数の組織に同時に送付されます
内部告発	中程度	対象を絞った調査。予告なしに実施される可能性があります
無作為抽出	低～中程度	コンプライアンス全般の監査。一部のDPA（例：CNIL、AEPD）では一般的です
事前協議義務	低い	DPIAの協議結果に関するフォローアップ

文書準備チェックリスト

中核文書（すぐに提示できる状態にしておく必要があります）

#	文書	GDPR の参照条項	保管場所	担当者	最終更新
1	処理活動の記録（管理者）	Art. 30(1)	OneTrust RoPA モジュール	DPO	四半期ごと
2	処理活動の記録（処理者）	Art. 30(2)	OneTrust RoPA モジュール	DPO	四半期ごと
3	プライバシーポリシー（すべてのバージョン、変更履歴）	Art. 13-14	法務文書リポジトリ	法務	変更の都度
4	データ保護影響評価（すべて）	Art. 35	DPIA 登録簿	DPO	評価の都度
5	データ処理契約（すべての処理者）	Art. 28	契約管理システム	法務／調達	契約の都度
6	正当な利益の評価（すべて）	Art. 6(1)(f)	LIA 登録簿	法務	評価の都度
7	国際移転メカニズム（SCC、BCR、TIA）	Art. 44-49	移転登録簿	法務	移転の都度
8	データ侵害通知記録（すべてのインシデント）	Art. 33-34	インシデント管理システム	CISO／DPO	インシデントの都度
9	DSAR 記録（すべての請求と回答）	Art. 12-22	DSAR 管理システム	プライバシー業務	請求の都度
10	同意記録（取得、撤回、設定）	Art. 7	CMP データベース	プライバシー業務	継続的
11	DPO 任命文書	Art. 37-39	人事／法務	法務	年次レビュー
12	プライバシー研修記録（全従業員）	Art. 39(1)(b)	LMS	人事／プライバシー	受講完了の都度
13	データ保護ポリシーおよび手順マニュアル	Art. 24(2)	ポリシーリポジトリ	DPO	年次
14	情報セキュリティポリシー	Art. 32	ポリシーリポジトリ	CISO	年次
15	ベンダーリスク評価記録	Art. 28(1)	ベンダー管理プラットフォーム	調達	評価の都度

補足文書（24 時間以内に提示可能）

#	文書	GDPR の参照条項	担当者
16	データフロー図およびシステムアーキテクチャ	Art. 30, 35(7)(a)	IT アーキテクチャ
17	データ分類インベントリ	Art. 5(1)(c), (e)	データガバナンス
18	各保存期間の法的根拠を記載した保存期間表	Art. 5(1)(e)	記録管理
19	プライバシー委員会の議事録（直近 24 か月分）	Art. 24(1)	DPO
20	内部監査報告書（プライバシー関連）	Art. 24(1)	内部監査
21	プライバシーリスク登録簿	Art. 24(1), 32(1)	DPO
22	従業員向けプライバシーポリシー（職場でのモニタリング、BYOD）	Art. 13-14	人事／法務
23	Cookie 監査結果および CMP 設定	ePrivacy Directive Art. 5(3)	マーケティング／IT
24	サブ処理者一覧（処理者ごと）	Art. 28(2)	調達
25	最近のプロジェクトにおけるプライバシー・バイ・デザインの文書	Art. 25	IT／エンジニアリング
26	監督機関とのやり取りの履歴	Art. 31	DPO
27	認証および行動規範に関する文書	Art. 42, 40	DPO
28	国境を越えた執行協力の記録	Art. 60-66	法務
29	EU 代理人の任命（該当する場合）	Art. 27	法務
30	拘束的企業準則（該当する場合）	Art. 47	法務

文書の準備状況のスコアリング

準備レベル	基準	スコア
緑（準備完了）	文書が存在し、最新の状態（ポリシーのサイクル内にレビュー済み）で、容易に取得でき、提示に適した形式である	3
黄（一部準備完了）	文書は存在するが、レビュー期限を過ぎている、不完全である、または複数の情報源からまとめる必要がある	2
赤（未準備）	文書が存在しない、大幅に古くなっている、または所在を特定できない	1
該当なし	文書が組織に該当しない	—

準備状況スコア：該当するすべての文書のスコア合計 ÷（3 × 該当する文書数）× 100

目標：常に 90% 超の緑（準備完了）を維持

面談の準備

主要担当者の面談準備状況

DPA は通常、検査時に以下の役職者へ面談を行います。

DPO／CPO 面接の準備

準備しておくべきトピック：

トピック	伝えるべき要点	用意しておくべき証拠
DPO の役割と独立性	DPO は最高経営層に報告すること、職務の遂行に関して指示を受けないこと、職務を遂行したことを理由に解任されないこと、十分なリソースが提供されていること	DPO の任命書、組織図、予算記録、取締役会への報告スケジュール
プライバシープログラムの概要	ガバナンス、ポリシー、トレーニング、モニタリング、継続的な改善を含む体系的なプログラム	プライバシープログラムの規約、年間計画、成熟度評価
リスク管理	体系的なリスクの特定、DPIA プログラム、リスク台帳、残存リスク管理	DPIA 台帳、リスク評価の方法論、リスク台帳の抜粋
規制コンプライアンス	複数の法域にまたがるコンプライアンスフレームワーク、規制変更管理、ギャップ分析	コンプライアンスマトリックス、規制トラッカー、ギャップ修正状況
データ主体の権利	SLA の追跡、品質レビュー、エスカレーションを含む、確立された DSAR 手順	DSAR の指標、回答例（編集済み）、プロセス文書
国際移転	移転のマッピング、適切な保護措置、TIA の方法論	移転台帳、TIA、SCC の締結記録

DPO 面接の原則：

1. 質問には事実に基づき、正確に答えます。尋ねられていない情報を自発的に提供しないでください
2. 特定の詳細について確信がない場合は、確認のうえ、文書化した回答を提示すると伝えます
3. 非公式な慣行を説明するのではなく、文書化されたポリシーと手順を参照します
4. 説明責任を示します。ギャップを率直に認め、修正計画を説明します
5. 質問された内容と提供した回答をすべて、その時点で記録します

IT／CISO 面接の準備

準備しておくべきトピック：

トピック	要点	証拠
セキュリティ対策（第 32 条）	暗号化（保存時、転送時）、アクセス制御、ログ記録、パッチ管理、脆弱性管理	セキュリティアーキテクチャ図、暗号化設定、RBAC マトリックス、ペネトレーションテストの結果
データ侵害の検知と対応	SIEM の設定、検知ルール、インシデント対応計画、通知手順	SIEM ダッシュボード、インシデント対応計画、机上演習の記録
データの削除と保持	保持期間の技術的な適用、安全な削除方法、バックアップの削除	削除ジョブのログ、NIST SP 800-88 への準拠、保持期間の自動化設定
アクセス管理	ID およびアクセス管理、特権アクセス制御、アクセスレビュー、アクセス権の削除	IAM の設定、アクセスレビューの記録、アクセス権削除の SOP
仮名化と匿名化	使用する手法、可逆性の評価、鍵管理	技術文書、匿名化リスク評価

ビジネスプロセスオーナー面接の準備

準備しておくべきトピック：

トピック	要点	証拠
処理の目的と適法な根拠	データを収集・処理する理由を明確に説明し、適法な根拠を特定します	RoPA の記載、LIA（正当な利益の場合）、同意記録（同意の場合）
データ最小化	各データ要素が必要な理由を説明します	目的ごとのデータ要素の必要性を示す資料
データ主体への情報提供	データ主体に処理についてどのように通知するか	プライバシー通知、階層化された通知、適時通知
保持	データをどれくらいの期間保持するか、またその理由	保持スケジュール、保持期間の法的根拠
第三者との共有	誰がどのような理由でデータを受領するか	受領者リスト、DPA、データフロー図

インタビュー実施手順

インタビューの前：

1. 法務担当者が調査の範囲と、DPAの法的権限を確認します
2. インタビュー対象者を特定し、取り上げられる可能性が高いトピックについて説明します
3. トピック別に整理した証拠資料ファイルまたはデジタルフォルダーを準備します
4. 同時記録を作成する記録係を指名します
5. インタビュー対象者にインタビューの原則（事実に基づく、正確に答える、聞かれていないことを自発的に話さない）を説明します

インタビュー中：

1. 参加者の氏名と役割を紹介します
2. 検査に関するDPAの範囲と法的根拠を確認します
3. 可能な場合は、質問を書面で提示するよう依頼します
4. 質問が曖昧な場合は、明確化を求めます
5. 記録係がすべての質問と回答を逐語的に記録します
6. 原本は提供せず、コピーまたは管理されたアクセスを提供します
7. 調査が必要な質問については、具体的な回答期限（通常、5～10営業日）を約束します
8. 推測や仮説は述べず、文書で確認できる事実に従います

インタビュー後：

1. 24時間以内に社内で振り返りを行います
2. インタビュー記録を確定し、配布します
3. フォローアップの約束事項を特定し、担当者を割り当てます
4. 約束した回答や文書の準備を開始します
5. DPAとのやり取りの記録を更新します

技術デモの手順

DPAからよく求められる技術デモ

デモ	DPAが確認したい内容	準備手順
DSARへの対応	受付から回答までのDSAR処理の一連の流れ	ステージング環境でテスト用DSARを準備します。各手順を順に説明し、本人確認、すべてのシステムからのデータ取得、回答のレビュー、送付を示します
同意管理	同意の収集、保管、撤回処理	CMPの設定を示し、同意の取得を実演します。同意データベースの記録を示し、撤回処理と、その後のシステムへの適用を実演します
データ削除	保存期間の満了または消去要求に応じた技術的な削除プロセス	削除ジョブの設定を示し、ステージング環境で削除を実行します。データを復元できないことを確認して示し、バックアップの削除について説明します
アクセス制御	個人データへのアクセスに関するRBACの設定	IAMシステムを示し、ロールの割り当てを実演します。アクセスレビューのプロセスを示し、権限のないユーザーがPIIにアクセスできないことを実演します
暗号化	個人データの保存時および転送時の暗号化	データベースの暗号化設定を示し、TLS証明書のデプロイを実演します。鍵管理の手順を示します
漏えいの検知	漏えいの検知および評価方法	SIEMルールを示し、アラートのワークフローを実演します。漏えいを想定したシナリオを順に説明します
ログ記録と監査証跡	個人データへのアクセスログ	ログの設定を示し、ログレビューのプロセスを実演します。ログの保存期間と完全性を保つための制御を示します

デモ環境の準備

1. ステージング環境：デモ用に、本番環境を反映した匿名化データを含むステージング環境を維持します
2. テストアカウント：デモに適したロールを持つテストアカウントを事前に設定します
3. 操作手順書：各システムのデモについて、手順を追った操作手順書を準備します
4. 画面録画：DPAから求められた場合に画面録画を提供できるよう準備します
5. 技術サポート：デモ中にシステム管理者と開発者が対応できるようにします

対応手順

予告なしの検査への対応手順

DPA Arrives On-Site
  ↓
Reception notifies DPO/Legal (immediate phone call)
  ↓
DPO/Legal arrives at reception within 15 minutes
  ↓
Verify inspector credentials (official ID, authorization letter)
  ↓
Confirm scope of inspection (which processing activities, which legal basis)
  ↓
Escort inspectors at all times (never leave unaccompanied)
  ↓
Provide requested documents (copies, not originals)
  ↓
Designate meeting room for interviews
  ↓
Note-taker present at all interactions
  ↓
Do not obstruct (Art. 83(5)(e): failure to cooperate is fineable)
  ↓
At conclusion: obtain list of follow-up requests and deadlines
  ↓
Internal debrief within 2 hours of departure

書面による照会への回答手順

Written Inquiry Received (email, letter, secure portal)
  ↓
DPO acknowledges receipt within 2 business days
  ↓
Legal reviews the inquiry for scope and legal basis
  ↓
DPO assigns response owner(s) for each question
  ↓
Response drafting (owner gathers evidence, drafts responses)
  ↓
DPO reviews draft responses for accuracy and completeness
  ↓
Legal reviews for legal privilege, scope compliance, and strategic considerations
  ↓
Senior management approves (if required by response materiality)
  ↓
Response submitted via the DPA's specified channel
  ↓
Response logged in DPA correspondence register
  ↓
Deadline: per DPA instruction (typically 14-30 days; request extension if needed)

エスカレーションマトリックス

状況	エスカレーションレベル	対応
定例の書面による問い合わせ	DPO + 担当事業部門	標準的な対応プロセス
事前に通知された監査	DPO + 法務 + CISO + CPO	正式な準備、法的戦略会議
事前通知のない立入検査	DPO + 法務 + CPO + CEOへの通知	即時対応プロトコル
苦情調査（重大）	DPO + 法務 + 事業部門長	対象を絞った対応、根本原因分析
データ侵害の調査	DPO + 法務 + CISO + CPO + CEO	インシデント対応チームを全面的に招集
正式な執行手続き	DPO + 法務 + 外部弁護士 + CPO + CEO + 取締役会への通知	法的防御戦略、外部弁護士への依頼

検査後のフォローアップ

即時フォローアップ（1 週間以内）

1. 包括的な検査記録を完成させ、配布します
2. すべての約束事項と期限をまとめた対応項目一覧を作成します
3. 各フォローアップ項目の担当者を割り当てます
4. 約束した文書と回答の準備を開始します
5. DPA の質問と重点分野に基づき、指摘される可能性のある事項を特定します
6. 執行措置の可能性が高い場合は、外部弁護士に依頼します

DPA の指摘への対応

DPA が指摘または勧告を行った場合：

DPA の措置	必要な対応	期限
非公式な勧告	自主的に実施し、判断を記録します	30～60 日
正式な警告（Art. 58(2)(a)）	受領を確認し、是正措置を実施して報告します	DPA の指示に従います
遵守命令（Art. 58(2)(c)-(j)）	必要な変更を実施し、遵守状況を報告します	DPA の指示に従います（通常 30～90 日）
行政罰金（Art. 83）	罰金を支払う、または不服を申し立てます。いずれの場合も是正措置を実施します	DPA の指示に従って支払い、国の期限内に不服を申し立てます
処理禁止（Art. 58(2)(f)）	直ちに処理を停止し、必要な措置を実施して、禁止の解除を申請します	直ちに対応し、遵守を示した後に再開します

教訓を生かすプロセス

DPA とのやり取りの後は毎回、次の対応を行います。

1. やり取りの全経過を記録します
2. 準備態勢プログラムの有効性を評価します
3. 検査で明らかになった文書やプロセスの不備を特定します
4. DPA からの要請に基づいて、文書準備チェックリストを更新します
5. 質問内容に基づいて、インタビュー準備資料を更新します
6. 主要担当者に再教育を実施します
7. 検査準備プログラムを更新します
8. 匿名化した教訓をプライバシーチームと共有します

Sentinel Compliance Group の DPA 検査準備態勢

• 文書準備スコア：94% がグリーン（30 件中 28 件がグリーン、2 件がイエロー：2 社のベンダーのサブプロセッサー一覧が更新待ち）
• インタビュー準備態勢：DPO、CISO、および 5 名の業務プロセス責任者が年次のインタビュー準備再教育を完了。前回の再教育は 2024 年 12 月
• 技術デモ：本番環境から毎週同期するステージング環境を維持（匿名化済み）。一般的な 7 つのシナリオすべてについて、デモ用スクリプトを最新の状態に維持
• 対応プロトコルのテスト：事前通知のない立入検査を想定した年次机上演習を実施。前回の演習は 2024 年 11 月。特定された 3 件の改善項目は対応済み
• DPA とのやり取りの履歴：2024 年に 4 件（苦情調査 2 件、業界一斉調査の質問票 1 件、データ侵害に関するフォローアップ問い合わせ 1 件）。すべて問題なく解決し、正式な執行措置はなし
• 対応時間の実績：DPA の問い合わせから回答提出までの平均時間は 11 営業日（目標：DPA が指定する期限内。通常 14～30 日）
• 事前通知のない立入検査への準備態勢：受付スタッフは初期対応プロトコルのトレーニングを受講済み。営業時間中は 15 分以内に DPO と連絡可能。営業時間外の DPO 当番制を確立済み