eu-code-of-conduct

GDPR 第40条～第41条に基づく EU 行動規範の遵守

概要

GDPR 第40条および第41条は、さまざまな処理分野の特性を考慮し、GDPR の適切な適用に寄与することを目的とした行動規範の策定を奨励しています。第40条に基づき承認された行動規範は、管理者および処理者が遵守できる、コンプライアンスを実証する仕組みとなります。監督当局による調査において証拠としての重みを持ち、第83条第2項(j)に基づく行政上の制裁金の算定要素にもなります。

EDPB は、規則 2016/679 に基づく行動規範および監視機関に関するガイドライン 1/2019 を採択し、承認プロセス、内容要件、監視機関の認定、遵守の仕組みについて詳細なガイダンスを示しています。2024年時点で、EDPB は複数の国境を越える行動規範について意見を発出しており、各国の監督当局は、クラウドコンピューティング、ダイレクトマーケティング、臨床試験、信用情報などの分野で国内行動規範を承認しています。

Sentinel Compliance Group は、承認済みの2つの行動規範を遵守しています。クラウド処理業務には EU Cloud Code of Conduct (SCOPE Europe) を、ダイレクトマーケティング業務にはベルギー DPA が承認した国内行動規範を適用しています。

法的枠組み

第40条 — 行動規範

第40条第1項：加盟国、監督当局、委員会および欧州委員会は、GDPR の適切な適用に寄与することを目的とした行動規範の策定を奨励します。

第40条第2項：行動規範は、幅広い処理分野を対象とすることができます。

分野（第40条第2項）	説明	例
(a) 公正かつ透明性のある処理	処理原則の実施	各分野向けの平易な表現によるプライバシー通知
(b) 正当な利益	特定の分野における利益衡量テスト	金融サービスにおける不正防止の正当な利益
(c) 個人データの収集	分野固有の収集基準	保険申込に必要な最小限のデータ項目
(d) 仮名化	分野固有の仮名化技術	臨床試験における患者データの仮名化
(e) 公衆およびデータ主体への情報提供	標準化された透明性確保措置	電子商取引向けの階層型通知テンプレート
(f) データ主体の権利行使	分野固有の DSR 手続き	電気通信向けの標準化されたデータポータビリティ形式
(g) 子どもへの情報提供および保護	年齢確認および子どもの保護	教育テクノロジー向けの年齢に適した設計
(h) 技術的および組織的措置（第24条、第25条）	分野別のセキュリティ基準	医療データの処理者向けの最低限の暗号化基準
(i) データ侵害の通知	分野別の侵害評価基準	金融データ侵害の重大度基準
(j) 国際移転	行動規範を通じた移転メカニズム	第三国への移転に関するクラウド行動規範での拘束力ある約束
(k) 紛争解決および執行	裁判外の仕組み	マーケティングのオプトアウトに関する紛争の調停手続き

第40条第3項：GDPR の適用対象ではない管理者または処理者も、第46条第2項(e)に基づく国際移転のための適切な保護措置を提供する目的で行動規範を遵守できます。ただし、その行動規範には、第三国の管理者または処理者による拘束力があり執行可能な約束が含まれている必要があります。

第40条第5項：行動規範の草案は、承認を得るために管轄の監督当局へ提出する必要があります。監督当局は、その行動規範が GDPR に準拠しているかについて意見を示します。

第40条第7項：国境を越える行動規範（複数の加盟国における処理活動を対象とするもの）の場合、監督当局は草案を EDPB に提出し、EDPB が意見を発出します。EDPB の意見が肯定的であれば、委員会は草案を欧州委員会に提出し、欧州委員会は連合全体で一般的な効力を持たせる実施法を採択することができます。

第 41 条 — 監視機関

第 41 条（1）：第 40 条に基づく行動規範の遵守状況の監視は、当該行動規範の対象事項に関して適切な水準の専門知識を有し、その目的のために所管監督機関から認定を受けた機関が実施できます。

第 41 条（2）：監視機関の認定要件：

要件	説明
独立性	職業および行動規範の所有者から独立していることが示されていること
専門知識	対象事項に関して適切な水準の専門知識を有していること
手続き	適格性の評価、遵守状況の監視、遵守状況の審査について、確立された手続きを備えていること
苦情対応	行動規範の遵守者による違反に関する苦情に対応する手続きを備えていること
透明性	監視活動とその結果に関する情報を公開していること
利益相反がないこと	監視の客観性を損なう可能性のある利益相反がないこと

第 41 条（4）：監視機関は、違反があった場合、管理者または処理者を行動規範から一時停止または除外することを含め、適切な措置を講じることができます。監視機関は、こうした措置とその理由を所管監督機関に通知するものとします。

EDPB の承認要件（ガイドライン 1/2019）

行動規範の内容要件

EDPB は、承認される行動規範が以下の実質的基準を満たすことを求めています。

1. 付加価値

行動規範は、GDPR の規定を単に言い換えるだけでなく、具体的で実践的な指針を提供する必要があります。

• GDPR の原則に関する業界固有の解釈
• 対象業界向けの具体的な実施指針
• 標準化されたテンプレート、手続き、または技術的措置
• GDPR を業界に適用する際の曖昧さを解消する明確なルール

2. 適用範囲と適用可能性

• 対象となる業界、処理活動、管理者／処理者の種類の明確な定義
• 行動規範が対象とする GDPR の規定の明示
• 地理的範囲（国内または越境）
• 加盟基準と適格要件

3. 代表性

• 行動規範の所有者は、業界の十分な部分を代表している必要があります
• データ主体、消費者団体、監督機関を含む利害関係者との協議を示す証拠
• 相当数の遵守候補者からの支持

4. 効果的な監視メカニズム

• 第 41 条の要件を満たす監視機関の特定
• 定期監査、苦情対応、執行措置を含む監視手続きの説明
• 段階的な執行措置（警告、是正措置、一時停止、除外）
• 監視活動に関する年次報告

5. 苦情対応

• データ主体が利用しやすい苦情申立ての仕組み
• 苦情の調査と解決に関する期限の明確化
• 監督機関に申し立てをエスカレーションする権利
• 苦情統計の公開

手続き上の要件

国内行動規範の承認プロセス

1. Code Owner drafts code with stakeholder consultation
   ↓
2. Code Owner submits draft to competent Supervisory Authority
   ↓
3. Supervisory Authority assesses compliance with GDPR and EDPB Guidelines
   ↓
4. Supervisory Authority requests amendments (iterative process)
   ↓
5. Supervisory Authority approves the code (Art. 40(5))
   ↓
6. Supervisory Authority registers and publishes the code (Art. 40(6))
   ↓
7. Commission compiles approved codes in a register (Art. 40(11))

越境行動規範の承認プロセス

1. Code Owner drafts code with multi-country stakeholder consultation
   ↓
2. Code Owner submits draft to the lead Supervisory Authority
   ↓
3. Lead Supervisory Authority conducts initial assessment
   ↓
4. Lead Supervisory Authority submits draft to EDPB for opinion (Art. 40(7))
   ↓
5. EDPB Secretariat circulates to all concerned Supervisory Authorities
   ↓
6. EDPB issues opinion (positive, positive with conditions, or negative)
   ↓
7. If positive: Lead Supervisory Authority approves the code
   ↓
8. Commission may adopt implementing act giving general validity (Art. 40(9))

監視機関の認定

認定プロセス

1. 申請：監視機関の候補は、所管監督機関に認定申請を提出します
2. 審査：監督機関は、第 41 条の要件および EDPB の認定基準に照らして申請を評価します
3. 決定：監督機関は認定を付与するか、却下します
4. 期間：認定は通常、5 年間付与され、更新できます
5. 見直し：監視機関が要件を満たさなくなった場合、監督機関は認定を見直し、取り消すことがあります

監視機関の機能

機能	説明	頻度
適格性評価	新たな遵守申請について、行動規範の要件に照らして評価します	申請時
コンプライアンス監視	遵守者を対象に、定期的なコンプライアンス評価を実施します	少なくとも年1回
苦情調査	遵守者の慣行についてデータ主体から寄せられた苦情を調査します	受領時
是正措置	遵守者に対し、コンプライアンス違反の是正を求めます	必要に応じて
執行	コンプライアンス違反の遵守者を一時停止または除外します	必要に応じて
報告	監視活動について監督機関に報告します	年次
行動規範の見直し	監視を通じて得られた知見に基づき、行動規範の改正を提案します	定期的

監視方法

監視機関は、以下を通じて遵守者のコンプライアンスを評価します。

• 文書レビュー：プライバシーポリシー、処理記録、DPIA、DPA、その他の文書化された証拠
• 技術評価：行動規範で定められた技術的措置の検証
• インタビュー：プライバシーコンプライアンスを担当する主要な人員との話し合い
• サンプルテスト：特定の管理策（DSAR 対応、同意の仕組み、削除プロセス）のテスト
• 苦情分析：データ主体からの苦情とその解決状況のレビュー
• インシデントレビュー：行動規範の要件に従ったデータ侵害への対応の評価

遵守の宣言

承認済みの行動規範を遵守する手順

1. 適格性の確認：組織が行動規範で定められた適用範囲（セクター、処理活動、地域）に該当することを確認します
2. 自己評価：行動規範のすべての要件へのコンプライアンスを示す自己評価質問票に記入します
3. 証拠の取りまとめ：各要件の実施を記録した証拠一式を準備します
4. 監視機関への申請：認定を受けた監視機関に遵守申請を提出します
5. 初回評価：監視機関が初回のコンプライアンス評価を実施します
6. ギャップの是正：監視機関が特定したギャップに対処します
7. 遵守の決定：監視機関が遵守を承認または却下します
8. 公開宣言：組織が行動規範の遵守者の公開登録簿に掲載されます
9. 継続的な監視：監視機関による定期的な監視評価を受けます

遵守に関する文書

組織は以下を維持する必要があります。

文書	目的	更新頻度
遵守宣言	行動規範のすべての要件を遵守する正式な誓約	遵守時に作成し、毎年更新
コンプライアンスマトリックス	行動規範の要件と組織の管理策との対応付け	変更時に更新
証拠一式	各要件を裏付ける文書	継続的に維持
年次コンプライアンス報告書	コンプライアンスを継続しているかの自己評価	年次
インシデント通知	行動規範へのコンプライアンス違反に関する監視機関への報告	定められた期間内

コンプライアンス検証

年次コンプライアンス評価

監視機関は、遵守事業者ごとに年次コンプライアンス評価を実施します。

評価範囲：

• 遵守に関する文書および証拠一式の確認
• 継続的な適格性の確認
• サンプリングによる主要な規範要件のテスト
• 受け付けた苦情およびその解決状況の確認
• インシデントや違反の有無、およびその対応の確認
• 前回の評価以降の処理活動の変更の評価

評価結果：

結果	基準	結果
準拠	すべての規範要件を満たしている	遵守を継続し、次回評価は12か月後
条件付き準拠	軽微な不備が特定された	90日以内の是正が必要で、フォローアップ評価を実施
非準拠	1つ以上の規範要件に重大な不備がある	是正措置計画が必要。定められた期間内に是正されない場合は停止
除外	不遵守を繰り返す、または重大な不遵守がある	規範遵守事業者登録簿から削除し、監督機関に通知

苦情を契機とする検証

データ主体から苦情を受け付けた場合：

1. 監視機関は5営業日以内に受領を確認します
2. 監視機関は15営業日以内に予備評価を実施します
3. 苦情に根拠がある場合、監視機関は以下を行います。
   • 遵守事業者に通知し、15営業日以内の回答を求めます
   • 証拠の収集を含む調査を実施します
   • 規範違反が発生したかどうかを判断します
   • 違反が確認された場合、是正を求め、制裁を科すことがあります
4. 監視機関は、受領から60日以内に申立人へ結果を伝えます
5. 申立人が結果に納得しない場合、監視機関は監督機関へのエスカレーションに関する情報を提供します

承認済み行動規範（主な例）

EU クラウド行動規範（SCOPE Europe）

• 承認：2021年5月、ベルギーのDPA（主導監督機関）による承認。EDPBから肯定的な意見を取得
• 監視機関：SCOPE Europe AISBL（ベルギーのDPAにより認定）
• 対象範囲：データ処理者として活動するクラウドインフラストラクチャ（IaaS）、プラットフォーム（PaaS）、ソフトウェア（SaaS）のサービスプロバイダー
• 主な規定：データのローカライゼーションに関する透明性、サブプロセッサーの管理、データポータビリティ、データ削除、セキュリティ対策、侵害通知
• 遵守事業者：Google Cloud、IBM Cloud、Oracle Cloud、Salesforce、SAP、Ciscoなどの大手クラウドプロバイダー

EU クラウドインフラストラクチャサービスプロバイダー向けデータガバナンス行動規範（CISPE）

• 承認：2023年、CNIL（フランス）による承認
• 対象範囲：クラウドインフラストラクチャサービスプロバイダー
• 主な規定：データ主権、処理者の義務、透明性

直接マーケティングに関するFEDMA実務規範（欧州ダイレクト・インタラクティブマーケティング連盟）

• 状況：EDPBへの提出に向けて策定中
• 対象範囲：EU全域のダイレクトマーケティング業界
• 主な規定：電子マーケティングに関する同意、正当な利益の評価、オプトアウトの仕組み

行動規範を遵守するメリット

規制上のメリット

1. Art. 24(3)：承認済み行動規範の遵守は、管理者の義務への準拠を示す要素として使用できます
2. Art. 28(5)：処理者による遵守は、Art. 28(1)に基づく十分な保証を示す要素として使用できます
3. Art. 32(3)：遵守は、セキュリティ上の義務への準拠を示す要素として使用できます
4. Art. 35(8)：DPIAの影響を評価する際、承認済み行動規範への準拠を十分に考慮する必要があります
5. Art. 46(2)(e)：拘束力のあるコミットメントを含む行動規範は、国際移転における適切な保護措置として機能します
6. Art. 83(2)(j)：監督機関は、行政上の制裁金を決定する際、承認済み行動規範の遵守を考慮要素の一つとします（軽減要素）

ビジネス上のメリット

• コンプライアンスを実証することで、競争上の差別化を図れます
• 顧客によるベンダーのデューデリジェンスを簡素化できます
• 業界固有のベストプラクティスに準拠できます
• プライバシーコンプライアンスのための体系的なフレームワークを利用できます
• 監視機関の監督を通じて、外部からの検証を受けられます

Sentinel Compliance Group 行動規範の実施

• EU Cloud Code of Conduct：2022年9月から遵守しています。監視機関である SCOPE Europe による年次評価を受けており、2024年の評価ではコンプライアンス上の指摘事項はありませんでした
• 対象範囲：EU のデータセンター（フランクフルト、アムステルダム、ダブリン）全体でのクラウド SaaS 処理活動
• コンプライアンス・マトリックス：156 項目の規範要件を組織の管理策に対応付けています
• 年次評価：直近の評価は2024年10月に完了し、結果は「適合」でした
• 規範に基づくデータ主体からの苦情：2024年に3件の苦情を受け付け、すべて45日以内に解決しました。監督機関へのエスカレーションはありませんでした
• 移転メカニズム：英国の十分性認定に関する緊急時対応計画として、第46条第2項(e)に基づく規範ベースの移転メカニズムの利用を検討しています