dpia-register-mgmt

DPIA 登録簿の管理

概要

GDPR 第 35 条第 11 項は、管理者に対し、「処理業務によってもたらされるリスクに変化があった場合には、少なくとも」DPIA の見直しを実施することを求めています。DPIA 登録簿を効果的に管理することで、すべての評価が記録され、予定どおりに見直され、処理に変更があった際に更新されるようになります。登録簿は、管理者が組織全体における高リスクの処理を体系的に特定し、評価したことを示す、説明責任の中心的な記録となります。

登録簿の構成

DPIA 記録の主要項目

項目	説明	GDPR の参照先
DPIA 参照番号	一意の識別子（形式：DPIA-[DEPT]-[YEAR]-[SEQ]）	第 5 条第 2 項 説明責任
処理活動	評価対象の処理業務の名称と説明	第 35 条第 7 項 (a)
RoPA 参照先	処理活動記録の項目へのリンク	第 30 条
管理者／共同管理者	データ管理者として責任を負う者	第 35 条第 1 項
DPO への相談	第 35 条第 2 項に従って DPO に相談したことの確認	第 35 条第 2 項
評価日	DPIA の完了日	第 5 条第 2 項
DPIA 責任者	評価を実施した担当者	説明責任
ステータス	ドラフト、レビュー中、承認済み、更新が必要、アーカイブ済み	第 35 条第 11 項
総合リスクレベル	リスク軽減後の残余リスクレベル（低／中／高／非常に高い）	第 35 条第 7 項 (c)～(d)
事前協議	第 36 条に基づく事前協議の要否と結果	第 36 条
見直し日	次回の予定見直し日	第 35 条第 11 項
見直しのトリガー	早期の再評価を開始する事象	第 35 条第 11 項
関連するリスク軽減計画	リスク軽減計画文書への参照	第 35 条第 7 項 (d)
承認権限者	承認した上級管理職または取締役会メンバー	第 24 条

DPIA のライフサイクル状態

[Screening] ──► [Draft] ──► [DPO Review] ──► [Approved]
                                                  │
                                    ┌─────────────┤
                                    │             │
                              [Requires Update]  [Active Monitoring]
                                    │             │
                                    └─► [Revised] ─► [Re-approved]
                                                  │
                                            [Archived]

スクリーニング：処理活動が DPIA を要する可能性があるものとして特定され、基準値の評価が実施されます。

ドラフト：DPIA の作成中です。処理の説明、必要性の評価、リスク評価を進めます。

DPO レビュー：完成したドラフトを、第 35 条第 2 項に基づく助言を得るため DPO に提出します。

承認済み：DPIA が見直され、DPO の助言が反映され、残余リスクが受容されました。処理を開始できます。

継続的なモニタリング：承認済みの DPIA について、リスク軽減策の追跡と定期的な見直しを継続します。

更新が必要：処理の変更、インシデント、または予定された見直しを契機として開始されます。

改訂済み：変更または新たなリスクに対応して DPIA が更新されました。

再承認済み：改訂された DPIA が見直され、承認されました。

アーカイブ済み：処理が終了しました。説明責任の記録として、保存方針に従って DPIA を保持します。

見直しのスケジュール設定

第 35 条第 11 項に基づく定期的な見直し要件

GDPR は、見直しの頻度を定めていません。EDPB は、「処理業務によってもたらされるリスクに変化があった場合には、少なくとも」DPIA を見直すことを推奨しています。組織におけるベストプラクティスでは、以下のように定めます。

リスクレベル	見直し頻度	根拠
非常に高い（第 36 条の協議を伴う）	6 か月ごと	最も高いリスクには、最も頻繁な再評価が必要です
高	毎年	重大なリスクには、年次の見直しが妥当です
中	18 か月ごと	中程度のリスクには、標準的な見直し周期を適用します
低	24 か月ごと	リスクが低いため、見直し周期を長くできます

変更を契機とするレビューイベント

定期レビューの時期にかかわらず、次の場合はDPIAを再評価する必要があります。

1. 処理範囲の変更：新しいデータカテゴリー、新たなデータ主体、地理的範囲の拡大
2. テクノロジーの変更：新しいシステム、ベンダーの変更、アルゴリズムの更新、インフラストラクチャの移行
3. 法令・規制の変更：新しい法律、監督機関のガイダンス、裁判所の判決
4. インシデントまたは侵害：評価対象の処理活動に影響するデータ侵害
5. 組織の変更：合併、買収、新たな管理者、新たな処理者
6. データ主体からの苦情：評価対象の処理に関する苦情が繰り返し発生している
7. 監査での指摘：内部監査または外部監査でDPIAの不備が確認された
8. DPOの推奨：DPOが新たなリスクまたは状況の変化を確認した

監督機関への報告

第35条第1項の文書化義務

DPIA台帳は、要請があった場合に監督機関が閲覧できる状態にしておく必要があります。主な報告項目は次のとおりです。

• 実施したすべてのDPIAの完全な一覧と日付および結果
• 各DPIAのステータス（最新、更新が必要、アーカイブ済み）
• 第36条に基づく事前協議の記録と監督機関の回答
• 第35条第11項に基づく定期レビューを予定どおり実施した証拠
• 各DPIAに関するDPOとの協議記録

第36条に基づく事前協議の追跡

事前協議が必要となったDPIAについて、台帳では次の項目を追跡します。

項目	説明
提出日	DPIAを監督機関に提出した日
SA参照番号	監督機関の案件参照番号
回答日	SAが回答した日
SAの結果	承認、条件付き承認、異議あり
条件	SAが課した条件
遵守状況	条件が満たされているかどうか

統合ポイント

• DPIAリスクスコアリング：台帳のリスクレベルに反映するリスク評価手法（dpia-risk-scoringスキルを参照）
• DPIA緩和計画：関連する緩和計画を台帳で追跡（dpia-mitigation-planスキルを参照）
• DPIAステークホルダー協議：DPIA項目に関連付けられた協議記録（dpia-stakeholder-consultスキルを参照）
• GDPRアカウンタビリティ：台帳を主要な説明責任の証拠として使用（gdpr-accountabilityスキルを参照）
• RoPAの自動生成：RoPA項目をDPIA台帳に関連付ける（automated-ropa-generationスキルを参照）