dpia-stakeholder-consult

DPIA のステークホルダー協議

概要

GDPR 第 35 条第 9 項は、管理者が「適切な場合、商業上もしくは公共の利益、または処理業務の安全性の保護を損なうことなく、予定している処理についてデータ主体またはその代理人の意見を求める」ことを義務付けています。このスキルでは、この義務を果たすための体系的なアプローチを紹介します。

法的要件

第 35 条第 9 項 — データ主体への意見聴取

管理者は「適切な場合」にデータ主体の意見を求めなければなりません。EDPB WP248rev.01 では、意見聴取を行わない場合、その理由を正当化し、記録しなければならないことが明確にされています。

第 35 条第 2 項 — DPO の関与

「管理者は、データ保護影響評価を実施する際、データ保護責任者が任命されている場合、その助言を求めなければなりません。」

第 36 条第 1 項 — 事前協議の文脈

監督機関との事前協議が必要な場合、ステークホルダーとの協議を示す証拠が申請を補強します。

協議方法

方法	適性	規模	費用
フォーカスグループ	質的な知見を深く得られる	小規模（参加者 8～12 人）	中
オンラインアンケート	広範な量的データ	大規模（数百人以上）	低
書面による協議	正式な記録に残る回答	中規模	低
公開会議	コミュニティとの関わり	中～大規模	中
代表団体との連携	分野固有の専門知識	さまざま	低
諮問パネル	継続的な意見の収集	小規模（メンバー 5～10 人）	中
プライバシーの観点を取り入れたユーザーテスト	実用性と使いやすさに関する知見	小～中規模	高

協議のプロセス

ステップ 1：適切性の判断

• セキュリティを損なうことなく協議を実施できるか評価します
• 協議を行わない理由があれば記録します（第 35 条第 9 項の適用除外）
• 比例性を検討します。処理の規模と協議にかかる労力を比較します

ステップ 2：ステークホルダーの特定

• 直接のデータ主体（または代表サンプル）
• データ主体の代表団体（消費者団体、患者団体、労働組合）
• データ保護責任者
• 処理者の代表者
• 関連する社内ステークホルダー（IT セキュリティ、法務、事業部門）

ステップ 3：協議の設計

• 上の表から適切な方法を選択します
• 処理内容を説明する、利用しやすい協議資料を用意します
• 意見を求める具体的な質問や分野を定めます
• スケジュールと回答期限を設定します

ステップ 4：実施と記録

• 協議を実施します
• 寄せられたすべての意見を記録します
• フィードバックを分析し、テーマや懸念事項を特定します
• フィードバックが DPIA の結論にどのように反映されたかを記録します

ステップ 5：フィードバックの循環

• 協議参加者に結果と実施した対応を伝えます
• 意見を反映した箇所、または反映しなかった理由を説明します
• 今後の DPIA の見直しに備え、継続的に関与できる窓口を維持します