dpia-sentinel-oliver-schmidt-prietz

DPIA Sentinel

免責事項（セッション開始時に表示し、処理を妨げない）

重要： このスキルは、EDPB ガイドラインおよび各国の SA 要件に基づき、GDPR 第 35 条に関する体系的なガイダンスを提供します。法的助言ではありません。最終的な判断にあたっては、DPO（第 35 条第 2 項）および有資格の法律専門家にご相談ください。

ルーティング

ユーザーのニーズを判断し、該当する参照資料を読み込みます。

ユーザーのニーズ	読み込む参照資料	対応
「DPIA は必要ですか？」／基準に関する質問	references/edpb-criteria.md ＋該当する管轄区域のファイル	基準評価を実施
DPIA の全工程	edpb-criteria.md ＋管轄区域のファイル ＋ references/risk-catalog.md ＋ scoring.md	評価の各フェーズを順に進める
文書の生成（.docx）— カスタム形式	references/dpia-custom-population.md ＋ references/templates.md ＋ docx スキル	カスタムテンプレートの .docx に入力（展開 → 表に記入 → 再パッケージ）
文書の生成（.docx）— EDPB 2026 形式	references/edpb-2026-population.md ＋ references/edpb-2026-template.md ＋ docx スキル	EDPB 公式テンプレートの .docx に入力（展開 → 表に記入 → 再パッケージ）
特定の法的な質問	該当する参照資料のみ読み込む	直接回答

管轄区域の選択： 次の 2 つの質問をします。（1）管理者の主たる拠点はどこですか？（2）データ主体はどこに所在していますか？該当する管轄区域のファイルをすべて読み込みます。複数の管轄区域にまたがる処理では、複数のファイルが該当する場合があります。判断の枠組み全体については、references/edpb-criteria.md の「複数の管轄区域にまたがる DPIA の分析」を参照してください。

利用可能な管轄区域のファイル：

• references/jurisdictions/de-dsk.md — ドイツ
• references/jurisdictions/fr-cnil.md — フランス
• references/jurisdictions/ie-dpc.md — アイルランド
• references/jurisdictions/be-apd.md — ベルギー
• references/jurisdictions/nl-ap.md — オランダ
• references/jurisdictions/it-garante.md — イタリア
• references/jurisdictions/pl-uodo.md — ポーランド
• references/jurisdictions/whitelists.md — フランス、チェコ共和国、スペイン、オーストリア

専用ファイルがない管轄区域については、references/edpb-criteria.md の EDPB の 9 つの基準による分析を参照し、各国の SA の第 35 条第 4 項のリストをユーザーが直接確認する必要があることを伝えてください。

評価の流れ

基準 → 説明 → 資産の棚卸し → 必要性 → 比例性 → 固有リスク（トラック A＋B）→ リスク低減策 → 残存リスク → 第 36 条の確認 → 文書化

これは論理的な順序であり、厳格な台本ではありません。ユーザーに合わせて調整してください。最初から十分な背景情報が提供されている場合は、初期質問を省略します。経験豊富なユーザーの場合は、テンポを上げます。DPIA が初めてのユーザーには、詳しく説明します。

資産の棚卸し（EDPB Template 2026、第 1.3 節に準拠）：リスクに関連する資産（ハードウェア、ソフトウェア、API／モデル、人員、施設・敷地、組織上の資産）を収集します。論理モジュールまたは技術レイヤーごとに分類します。侵害された場合にデータ主体の権利と自由に影響を及ぼす可能性がある資産のみを含めます。

必要性と比例性は、それぞれ独立した上流の確認事項です（EDPB Template 2026、第 3 節）。必要性：処理は効果的で、最も侵襲性の低い方法ですか？比例性：その利点は影響を正当化しますか？これらは、リスク低減フェーズの前に評価する必要があります。

2 つのリスクトラック（EDPB Template 2026 に準拠）：トラック A では、処理が意図どおりに機能することで生じる、設計上固有のリスクを特定します。トラック B では、偶発的、違法、または異常な事象に起因する運用上のリスクを特定します。どちらも、references/scoring.md の同じ L×S ＋調整要因の手法でスコアリングします。

評価は反復的に行います。後の段階でリスク低減策により処理の設計が変わった場合は、前段階の分析を見直し、そのことをユーザーに伝えてください。

法的な正確性に関する重要事項

以下は、Claude の学習済み知識が不正確な可能性がある領域です。必ず次のルールを適用してください。

1. Art. 35(3) のトリガーは絶対です。 3つの必須ケース（法的効果または重大な影響を伴う、体系的かつ大規模な自動評価；特別カテゴリーのデータまたは犯罪に関するデータの大規模な処理；一般に公開されている区域の大規模な体系的監視）のいずれかに該当する場合、DPIA が必要です。比較衡量や個別判断の余地はありません。

2. 2基準ルールは推定であり、義務ではありません。 EDPB の9つの基準のうち2つ以上を満たすと、DPIA が必要であるとの強い推定が生じます。ただし、基準が1つだけでも DPIA が必要となる場合があり、2つ該当していても、十分に文書化されていれば不要と正当化できる場合があります。WP 248 rev.01、p. 11 を参照してください。

3. Art. 9 は Art. 6 に累積して適用されます。 特別カテゴリーのデータには、常に Art. 6 に基づく法的根拠と Art. 9(2) に基づく例外の両方が必要です。これらは別個の法的要件です。

4. 「大規模」に固定の数値はありません。 EDPB は、対象者数、データ量、期間、地理的範囲の4つの要素を用います。個人の医師による処理は大規模ではありませんが、地域の病院による処理は大規模です。特定の数値的なしきい値を挙げないでください。

5. 国内のブラックリストは追加的なものであり、網羅的なものではありません。 ブラックリストに記載されていない処理でも、DPIA が必要となる場合があります。該当する法域のブラックリストへの掲載は、他の法域のホワイトリストによる免除に優先します。

6. 複数の法域にまたがる処理では、関連するすべてのブラックリストを確認する必要があります。 Art. 35(4) のリストは地域ごとに適用されます。管理者が設立されている法域、またはデータ主体が所在する法域のいずれかで、その処理がブラックリストに該当すれば、DPIA の義務が発生します。ワンストップショップの仕組み（Art. 56）は執行管轄を定めるものですが、DPIA 義務そのものに適用される Art. 35(4) のリストを制限するものではありません。1つの DPIA で複数の法域に対応できますが、しきい値の分析は、適用される各国のリストに照らして行う必要があります。詳細は references/edpb-criteria.md →「複数法域にまたがる DPIA 分析」を参照してください。

7. DPIA は処理の開始前に実施しなければなりません（Art. 35(1)）。これは処理前の義務であり、遡及的なコンプライアンス対応ではありません。処理がすでに開始されている場合でも DPIA を実施する必要がありますが、コンプライアンス上のギャップとして記録してください。

8. AI には二段階の分析が必要です（EDPB Opinion 28/2024）。学習と導入は、それぞれ異なるリスク特性を持つ別個の処理活動です。導入者は、モデル提供者の DPIA に単純に依拠することはできません。

9. Art. 36 の事前協議は DPIA の後に行うものであり、DPIA の一部ではありません。 DPIA で残存リスクを特定し、実行可能なすべての軽減策を講じてもリスクが高いままであれば、Art. 36 に基づき、処理開始前に SA と協議する必要があります。SA の期間は8週間で、さらに6週間延長できます。

10. リスク低減策としての仮名化（仮名化に関する EDPB Guidelines 01/2025、2025年1月17日採択）：追加情報を技術的に分離した効果的な仮名化は、リスク評価における発生可能性のスコアを大幅に引き下げることができます。ただし、実質的な仮名化でなければなりません。再識別が容易な場合、リスクは低減しません。

11. リスク評価はデータ主体の視点から行います。 DPIA が評価するのは自然人の権利と自由に対するリスク（Recital 75）であり、企業や事業上のリスクではありません。評価するのは個人に対するなりすましのリスクであり、企業の評判に対するリスクではありません。

12. AI Act の FRIA は DPIA とは別のものです。 AI Act に基づく高リスク AI システムには、基本権影響評価（FRIA）も必要となる場合があります。DPIA（データ保護リスク）と FRIA（より広範な基本権）は相互に補完するものであり、どちらか一方が他方に取って代わることはありません。

13. EDPB DPIA Template（v1.0、2026年3月）は EU 全域で調和された DPIA の構成を提示していますが、特定のリスクスコアリング手法を義務付けるものではありません。管理者は、確立された任意の手法（CNIL PIA、DSK SDM など）を使用できます。このテンプレートは、最低限必要な情報を標準化された形式で記録するものです。各国の SA 要件や手法は、有効な補完手段として引き続き適用されます。注：このテンプレートは一般協議のために採択されたものです。最終版の更新を確認してください。

出力形式

しきい値の判定： 明確な判定（DPIA が必須／推奨／不要）を、Art. 35(3) の確認、基準の分析、各国リストの確認に基づく理由とともに示します。

リスク登録簿： リスク ID、トラック（A/B）、説明、権利のカテゴリ、発生可能性（1～5）、重大度（1～5）、スコア、調整要因、調整後のレベルを含む表です。references/scoring.md のスコアリング方法を使用してください。

残余リスクの概要： 追加のリスク軽減策を講じる前後のレベル別のリスク総数と、全体的な判定（承認／条件付き承認／SA に相談／却下）を示す概要です。

文書： どちらの形式も、スタイルを統一するためにテンプレートへの記入（展開 → 記入 → 再パッケージ化）を使用します。まず docx スキルを読み、その後、該当する記入ガイドを確認してください。

• EDPB 2026 形式： references/edpb-2026-template-v1.docx に references/edpb-2026-population.md を使用して記入します。すべての EU の SA が認める公式形式です。
• カスタム 12 セクション形式： references/dpia-custom-template-v1.docx に references/dpia-custom-population.md を使用して記入します。しきい値分析、管轄区域ごとのブラックリストの詳細、リスクヒートマップ、付属書が含まれます。

.docx テンプレートファイルがない場合（lawve.ai を含む一部のホストではテキストファイルのみが保存されています）：該当する記入ガイドに従い、docx スキルを使って Word 文書を最初から作成してください。上記の記入ガイドには、すべてのセクション、表、フィールドが詳しく規定されています。スタイルを正確に再現したい場合は、このスキル上部にリンクされている GitHub リポジトリから、あらかじめスタイル設定された .docx テンプレートを入手できます。

どちらの形式を希望するか、ユーザーに尋ねてください。

関連する GDPR スキル

このスキルは単独で使用できますが、EU のデータ保護に関する他のスキルと組み合わせることもできます。各スキルを個別にインストールすることも、組み合わせてインストールすることもできます。

• GDPR Breach Sentinel — Art. 33/34 の侵害対応と通知
• Privacy Notice Generator — Art. 13/14 のプライバシー通知
• Transfer Impact Assessment (TIA) — 第 V 章の移転評価
• DPA Art. 28 — 管理者と処理者の契約（AVV）
• Legitimate Interest — Art. 6(1)(f) の LIA／比較衡量テスト