gdpr-breach-sentinel-oliver-schmidt-prietz

GDPR 侵害対応センチネル

GDPR 第33条および第34条、EDPB ガイドライン 9/2022 および 01/2021、ENISA 重大度評価手法に基づき、侵害発生後のコンプライアンス対応を支援します。EDPB テンプレートに準拠した侵害証拠ファイルを作成し、監査対応可能な文書を生成して、実行可能な緩和策のガイダンスを提供します。

---

セッションの初期化

1. 免責事項の表示（セッション開始時に表示し、ブロックしない）

**重要：**このスキルは、GDPR 第33条～第34条、EDPB ガイドライン、ENISA 手法に基づき、GDPR の侵害通知に関する体系的なガイダンスを提供します。法律上の助言ではありません。最終的な通知の判断には、組織の DPO および有資格の法律顧問を関与させてください。

2. 機密保持と入力時の注意（免責事項とともに表示し、ブロックしない）

**慎重に取り扱ってください：**これは進行中のインシデントである可能性があります。

• 必要がない限り、実際の個人データを貼り付けないでください。評価には匿名化または仮名化したサンプル（「従業員 A」、「患者 1」など）で十分です。
• セキュリティチームおよび法務チームの承認がない限り、フォレンジック成果物、ログ、個人データを公開ツールにアップロードしないでください。実際の侵害が発生した場合は、機密インシデントデータの取り扱いについて組織が承認した環境で作業してください。
• 法的秘匿特権を保護してください。法律顧問とともに、または法律顧問に向けて作成した通信は、業務上の事実と分けて保管し、秘匿特権の対象であることを明記してください。
• 記録するすべての内容において、事実、仮定、法的結論を明確に分けてください（以下の「証拠の取り扱い」を参照）。

3. 緊急性の確認

「通知期限までの残り時間が12時間未満で、時間的に切迫した状況ですか？」

• はい → 緊急モードを有効にします（以下を参照）
• いいえ → 続行します。標準モードまたはファストパスを提示します

4. 侵害該当性の判定ゲート（受付の前に実施）

すべてのセキュリティインシデントが個人データ侵害に該当するわけではありません。まず、次の2点を確認してください。

1. セキュリティ侵害か？「システム、施設、プロセス、または人に影響するセキュリティ侵害が発生しましたか？」
2. 個人データへの影響があるか？「その結果、送信、保管、またはその他の方法で処理された個人データが、偶発的または違法に破壊、喪失、改変、不正開示、またはアクセスされた（実際に、あるいはその可能性がある）ことはありましたか？」（第4条(12)）

以下の判定結果のいずれか1つに分類してください。

トリアージ判定	意味	次のステップ
セキュリティインシデントのみ	個人データへの影響なし（例：静的サイトへの DDoS、個人データを保持していないシステム上のマルウェア）	第33条／第34条の適用対象ではありません。個人データが関与していない理由を記録し（簡潔な社内向けセキュリティインシデント記録（.docx）を提示）、その文書の保存を推奨します。並行して適用される制度（NIS2 など）を確認し、GDPR のワークフローを終了します。ダッシュボードも ENISA の評価も実施しません
侵害を確認	個人データに影響があったことが明確に確認されている	受付に進みます。72時間の期限の分析が適用されます
侵害の可能性あり — 調査中	個人データへの影響の可能性は高いものの、まだ確認されていない	受付に進みます。T0 は保守的に設定し、「調査中」経路を使用します
事実情報が不十分	個人データへの影響の有無をまだ判断できない	証拠（ログ、システムイメージ、アクセス記録）を保全し、担当者と期限を定めた事実確認の対応を計画します。新たな事実が判明したら速やかに再トリアージします

最後の3つの判定のみ受付に進み（評価ダッシュボードの「トリアージ」行に表示されます）、セキュリティインシデントのみの判定の場合は、ダッシュボード全体ではなく簡潔なトリアージ記録を作成して終了します。後から事実が変わった場合（例：インシデントが個人データに触れていたことが判明した場合）は、判定ゲートを再実行してください。

5. インテークモードの選択

ユーザーに選択肢を提示します。

どのように進めますか？

• ガイドモード — 質問を1つずつお尋ねします（判断に迷う場合におすすめです）
• ファストパス — インシデントの概要を形式を問わず入力してください。すぐに評価します

ユーザーがファストパスを選択した場合、自由形式または構造化された説明を受け付け、ガイドモードの質問に対応する11項目すべてを抽出します：（1）役割、（2）タイムライン／T0、（3）侵害の種類、（4）データカテゴリ、（5）対象者数、（6）識別子、（7）暗号化、（8）悪意の有無、（9）国境を越える影響、（10）DPAの期限、（11）AIシステムの関与。ユーザーの説明に不足している項目がある場合は、先に不足分を尋ねてください。続行する前に、抽出した値をすべて確認してください。確認後、リスク評価に進みます。

ユーザーがガイドモードを選択していても、すでに一部またはすべての項目が提示されている場合は、1つずつ聞き直さずに、提示済みの値を（ファストパスの場合と同様に）1つの表にまとめて確認し、不足している項目だけを尋ねてください。

迅速な判断ツリー

よくあるシナリオ（暗号化されたデバイスの紛失、メールの誤送信、ランサムウェア、フィッシング）について迅速に予備的な見通しを得るには、references/enisa-methodology.md §0 の判断ツリーを使用してください。ツリーは状況の把握にのみ使用し、確定的な分類には必ず完全な評価を行ってください。

---

標準モード：質問の順序（ガイドモード）

次の順序で、質問を1つずつ行ってください。

順序	カテゴリ	主な質問
1	役割	「影響を受けたデータは、あなたの組織、あなたのクライアント、またはその両方のものですか？」
2	タイムライン	「侵害が発生したと合理的に確信できたのはいつですか？」（これがT0です）
3	侵害の種類	「該当する侵害の種類はどれですか？該当するものをすべて選択してください。機密性（データの開示）、完全性（データの改変）、可用性（データの消失／アクセス不能）、または調査中。1つのインシデントに複数の種類が関わることも多く、たとえばランサムウェアでは通常、可用性と、場合によっては機密性の両方が関わります。」
4	データカテゴリ	「どのカテゴリの個人データが関わっていましたか？」
5	対象者数	「影響を受けた個人は、およそ何人ですか？」
6	識別子	「どのような識別子が含まれていますか？（氏名、メールアドレス、IDなど）」
7	暗号化	「データは暗号化されていましたか？鍵は安全に保管されていますか？データとは別に保管されていますか？」
8	悪意の有無	「これは偶発的なものですか、それとも意図的なもの（盗難、ハッキング）ですか？」
9	国境を越える影響	「影響を受けた個人は複数のEU加盟国にいますか？主たる事業所はどこですか？」
10	DPAの期限	「データ処理契約（DPA）に通知期限が定められていますか？（一般的には24時間または48時間です）」
11	AIシステム	「この侵害にはAIシステムが関わっていますか？（例：モデルの漏えい、敵対的攻撃、AI生成出力の露出）」

役割の判定（トラックの選択）

シナリオ	トラック	対応
管理者のみ	A	リスク評価を全面的に実施し、監督機関への通知要否を判断します
処理者のみ	B	不当な遅延なく管理者に通知し、暫定的な事実／リスク支援資料を準備します。第33条／第34条に基づく最終判断は管理者が行います
ハイブリッド（両方）	A+B	並行して各トラックを進め、決して混同しないでください

侵害の種類：「調査中」

ユーザーが侵害の種類として「調査中」を選択した場合：

1. それでも時計をスタートさせます — T0 は侵害の全容が判明した時点ではなく、侵害が 発生した という合理的な確信に基づきます。個人データが関係している場合、72 時間のカウントはすでに始まっている可能性が高いです。
2. 証拠を保全します — 修復作業を行う前に、ログ、システムイメージ、アクセス記録を保全するようユーザーに助言します。
3. 初期評価では最悪のケースを想定します — 判明している事実から妥当と考えられる最悪のシナリオに基づいて CB を評価します。補足通知で評価を引き下げることができます。
4. 段階的な通知を利用します — 第 33 条第 4 項では、段階的な通知が明示的に認められています。判明している事実を記載した初回通知を提出し、定めた期間内に補足情報を提供するようユーザーに助言します。
5. 調査内容を記録します — 判明していること、不明なこと、全容を把握するために講じている措置を記録します。これは SA に対する説明責任を示すものです。
6. 全容が明らかになった時点で再評価します — 調査によって実際の侵害の種類が判明したら、ENISA の計算を再実行し、評価を更新します。

T0 の検証ルール

次の場合は T0 の申告に異議を唱えます：

• 疑いから確信までの間隔が 24 時間を超える → 調査の詳細を尋ねます
• 間隔が 48 時間を超える → 「SA に精査される可能性あり」と警告します
• T0 が都合のよい時刻（午前 0 時、午前 9 時）に設定されている → 具体的な契機となった事象を尋ねます

2 段階の T0 分析（処理者のシナリオ）：

処理者の場合、T0 は法的な影響が異なる 2 段階で機能します。

段階	T0 の事象	発生する義務	期限
段階 1：処理者の T0（T0-P）	処理者が侵害を認識する	管理者に「不当な遅滞なく」通知する（第 33 条第 2 項）	法定：不当な遅滞なく。契約上：DPA に従う（多くの場合 24～48 時間）
段階 2：管理者の T0	処理者から管理者に通知が届く（EDPB ガイドライン 9/2022 によると、処理者から通知された時点で管理者は「認識した」とみなされます）	管理者による SA への通知に関する 72 時間のカウントが始まります	管理者の T0 から 72 時間

処理者のシナリオでは、必ず両方の T0 のタイムスタンプを特定し、評価に両方を表示します。処理者自身が認識しても、管理者の 72 時間のカウントは始まりません。管理者が通知を受けた時点（または別の方法で自ら認識した時点）で、管理者のカウントが始まります。

処理者の期限（トラック B）

処理者の法定義務は、侵害を認識した後、不当な遅滞なく管理者に通知することです（第 33 条第 2 項）。処理者には法定の 72 時間の期限はなく、処理者が SA に通知することもありません。ただし、影響を受けた処理の一部について同時に管理者でもある場合は、そのデータについてトラック A も並行して実行します。

法定義務に加えて、ほとんどの DPA では契約上の通知期間が定められています。

• 24 時間（金融サービス、医療で一般的）
• 48 時間（エンタープライズ契約で一般的）
• 「不当な遅滞なく」（GDPR の文言に準拠）

ユーザーが処理者の場合：

1. 処理者が認識した時刻（T0-P）を確認します。
2. DPA で定められた期間を尋ね、T0-P から契約上の期限を算出します。
3. 契約上の期限を運用上の目標として扱います。DPA に記載がない場合も、「不当な遅滞なく」とは数日ではなく数時間を意味します。
4. その後に生じる影響を説明します。処理者が管理者に通知した時点で管理者の 72 時間のカウントが始まります。処理者が速やかに通知することで、管理者のコンプライアンスを直接的に守ることができます。

**トラック B の出力には、次の情報を表示する必要があります。**処理者が認識した時刻（T0-P）・契約上の期限と残り時間・「不当な遅滞なく」の状況・管理者への引き継ぎパッケージの完全性（references/templates.md を参照）・管理者の 72 時間のカウントは、処理者自身の法定期限ではなく、後続する管理者の義務として表示します。

サプライチェーン／サブプロセッサーチェーンの侵害

侵害がサブプロセッサーで発生した場合、通知は契約上のチェーンに沿って行われます：Sub-Processor → Processor → Controller → SA。各リンクは次のリンクに対し、「不当な遅延なく」（およびDPAで定められた期間内に）通知する義務があります。コントローラーの72時間の期限は、コントローラーが通知を受けた時点、またはその他の方法で認識した時点から始まります。上流からの詳細がすべて揃うまで待ってはいけません。各リンクは入手可能な情報をもとに通知し、後から情報を補足します。各リンクに通知した日時と提供した内容を記録してください。SAはチェーン上の遅延を厳しく確認します。チェーン内の事業体が、影響を受けたデータの一部についてコントローラーでもある場合は、トラックAとBを並行して進めてください。

---

リスク評価（ENISAの方法論）

計算式： SE = (DPC × EI) + CB

詳細なスコアリング表については、references/enisa-methodology.mdを参照してください。

クイックリファレンス

DPC（データ処理のコンテキスト）：1～4（調整後の上限・下限を適用）

カテゴリー	スコア
単純（氏名、連絡先）	1
行動（位置情報、閲覧履歴）	2
財務（銀行、給与）	3
Art. 9の特別カテゴリ（健康、生体情報）	4

DPCの上限ルール： 文脈に応じた調整を適用した後（enisa-methodology.mdを参照）、最終的なDPCは4.0を上限とし、1.0を下限とします。調整によって上限を超える場合（例：Art. 9の基本値4＋脆弱なデータ主体＋3＝理論値7）、超過要因は戦略的助言において定性的な加重要素として記載してください。これらは深刻度を補強しますが、数値スコアは変えません。

EI（識別の容易さ）：0.25～1.00

レベル	スコア
無視できる	0.25
限定的	0.50
顕著	0.75
最大	1.00

CB（状況）：0～2（加算）

• 機密性の喪失：0／+0.25／+0.50
• 完全性の喪失：0／+0.25／+0.50
• 可用性の喪失：0／+0.25／+0.50
• 悪意：+0.50

深刻度の判定（推定）

SEスコア	レベル	推定される対応（Art. 33／34の法的テストに従う）
< 2	低	推定：内部記録のみ（Art. 33(5)）
2 – < 3	中	推定：SAへの通知（Art. 33）
3 – < 4	高	推定：SA＋データ主体への通知（Art. 33および34）
≥ 4	非常に高	推定：SA＋データ主体への通知＋公表の検討

法的テスト — Art. 33／34への接続（必須）

ENISAスコアは法的評価の参考となるものであり、通知義務を機械的に決定するものではありません。法定の発動要件は規範的な法的テストです。

• Art. 33(1)： 侵害が「自然人の権利および自由に対するリスクにつながる可能性が低い」と言えない限り、SAに通知します。「可能性が低い」と積極的に結論づけられない場合は、通知することが推定されます。
• Art. 34(1)： 侵害が権利および自由に対する「高いリスクにつながる可能性が高い」場合、データ主体に通知します。ただし、Art. 34(3)の例外が適用される場合を除きます（以下のArt. 34判断モジュールを参照）。

すべての評価には、スコアから結論に至るまでの根拠を文書で必ず含めてください。

LEGAL BRIDGE
ENISA score:      [SE value + level]
Key facts:        [what happened, to whose data, at what scale]
Safeguards:       [in place before the breach / applied after]
Likely impact:    [likelihood & severity of consequences for individuals]
→ Art. 33(1):     [NOTIFY SA / NO — unlikely to result in a risk, because …]
→ Art. 34(1):     [NOTIFY SUBJECTS / NO — no high risk, because … /
                   NO — exception Art. 34(3)(a)/(b)/(c) applies, because …]

法的結論がスコアの推定と異なる場合は、どちらの方向であっても、その理由を文書で説明してください。スコアによって推定が示され、その推定を踏まえた判断が結論となります。具体例はreferences/enisa-methodology.md §4aにあります。

閾値付近のスコアに関するガイダンス

スコアが閾値（2.0／3.0／4.0）から0.25以内の場合は、その旨を評価に明記し、references/enisa-methodology.md §4bの閾値付近に関するガイダンス表を適用してください。慎重な判断を優先し、該当する分類についてDPOまたは法律顧問に相談するようユーザーに推奨してください。

適用するフラグ

フラグ	条件	影響
🚩 SCALE	>100人	SA の審査が強化されます
🔒 ENCRYPTED	データが暗号化され、鍵が安全に保管されている	第 34 条第 3 項 (a) の例外を裏付ける可能性があります
👶 VULNERABLE	未成年者、患者	通知レベルの引き上げを検討します
⚠️ CROSS-BORDER	越境処理	ワンストップショップの分析を行います（「越境ルール」を参照）
🇬🇧 UK SUBJECTS	英国の居住者に影響がある	ICO への別個の通知が必要です（下記の英国に関する注記を参照）
🤖 AI SYSTEM	AI システムが関与している	AI Act 第 73 条の義務を確認します

UK GDPR に関する注記： 英国居住者のデータ主体については、ICO のガイダンスが EDPB の推奨事項と異なる場合があります。英国は EDPB のガイドラインに拘束されず、UK GDPR および Data Protection Act 2018 に基づく ICO のガイダンスに従います。ENISA の方法論は有用な分析フレームワークですが、ICO 独自のリスク評価アプローチも参照してください。利用可能な場合は、必ずICO の自己評価ツールを使用してください。また、ICO には EU の SA とは別の独自の通知ポータルとフォームがあることに留意してください。

---

証拠の状況（すべての評価に含める）

防御可能な侵害の判断では、判明していることと仮定していることを区別します。すべての評価の出力には、次の内容を含める必要があります。

EVIDENCE POSTURE
Established facts:       [verified, with source — logs, forensics, admissions]
Working assumptions:     [explicitly labelled, with their basis]
Material unknowns:       [what is not yet known that could change the verdict]
Evidence still needed:   [next fact-finding actions — owner, deadline]
Confidence level:        [HIGH / MEDIUM / LOW]
Impact on notification:  [how the unknowns affect the Art. 33/34 conclusions]

仮定を事実として提示してはいけません。段階的通知（第 33 条第 4 項）は、不完全な事実によって初回通知が遅れないようにするために設けられています。

---

AI Act との関係（第 73 条の確認）

ユーザーが侵害に AI システムが関与していることを確認した場合、追加の評価を行います。

1. 分類： これは高リスク AI システム（AI Act 附属書 III、または附属書 I に基づく製品組み込みシステム）ですか？ 規制対象の分野（医療、法執行、重要インフラ）で導入されていますか？
2. 重大インシデントの判定（第 3 条第 49 号）： インシデントは、直接または間接的に、(a) 人の死亡または健康への重大な危害、(b) 重要インフラの管理または運用に対する重大かつ不可逆的な混乱、(c) 基本的権利の保護を目的とする EU 法上の義務の侵害、または (d) 財産もしくは環境への重大な損害につながりますか？
3. 該当する場合 → 第 73 条に基づく報告： プロバイダー（または該当する場合は導入者）が、インシデントが発生した加盟国の市場監視当局に報告します。AI システムとインシデントとの因果関係（またはその合理的な可能性）を確認した直後に報告し、遅くとも認識から 15 日以内に報告します。期限の短縮：広範な違反または第 3 条第 49 号 (b) に基づく重要インフラのインシデントでは 2 日、死亡が発生した場合は 10 日です。不完全な初回報告を提出し、その後に完全な報告を行うことが認められています。
4. 適用時期： 第 73 条は 2026 年 8 月 2 日から適用されます（附属書 I の規制対象製品に組み込まれた高リスクシステムは 2027 年 8 月 2 日から適用。第 73 条第 9 項～第 10 項に基づく分野別の報告同等制度があります）。適用日より前は、その義務はその日から「適用される」と明記してください。現時点ではまだ有効な義務ではありません。
5. 並行する義務： 第 73 条は GDPR の通知と並行して適用されます。義務、通知先、期限はそれぞれ別です。

詳細（定義、期限、延期）については、references/parallel-regimes.mdを参照してください。

出力

AI SYSTEM フラグが設定されている場合は、1 行の AI Act Art. 73 行に加えて、次のブロックを評価ダッシュボードに独立した AI ACT STATUS セクションとして挿入してください（LEGAL VERDICT の前に配置）。

AI ACT STATUS: [Applicable / Not Applicable / Not Yet Applicable / Requires Further Assessment]
Art. 73 Reporting: [Required / Not Required / Not Yet Applicable / Under Assessment]
AI System Classification: [High-Risk Annex III / High-Risk Annex I product-embedded / Limited Risk / Minimal Risk / Not Classified]

ユーザーによる附属書 III の分類を鵜呑みにしないでください。CE マーク付き医療機器やその他の附属書 I 規制対象製品は、製品組み込み型の高リスクに該当します（適用日は 2027 年 8 月 2 日。第 73 条第 9 項～第 10 項では、MDR/IVDR などの分野別の警戒制度に大部分が委ねられており、現在でも有効な報告義務が課される場合があります）。ユーザーの規制対応チームに確認するよう推奨してください。

分野別の並行制度スクリーニング

個人データ侵害が発生すると、GDPR以外の義務が生じることもよくあります。GDPR評価の後、または「セキュリティインシデントのみ」の判定の場合はトリアージ終了時に、簡易的なスクリーニングを実施し、該当する制度を特定してください。ユーザーから求められない限り、詳細な分析は行わないでください。

制度	該当の目安
NIS2／国内法での実施	重要または基幹エンティティに重大なICTインシデントが発生した場合 — nis2-navigator スキルが利用可能であれば、このトラックで使用してください
DORA	金融エンティティにICT関連インシデントが発生した場合
eIDAS	トラストサービスプロバイダー
AI Act第73条	高リスクAIシステムに重大インシデントが発生した場合（上記を参照）
ePrivacy／電気通信	公衆に利用可能な電子通信サービスのプロバイダー
刑法	警察／司法当局への報告（EDPBテンプレートの項目でもあります）
保険	サイバー保険契約の通知条項 — 通知期間が短いことがよくあります
契約	DPA以外の顧客／パートナーへの通知条項
雇用	従業員データが影響を受ける場合の労使協議会／従業員代表の関与（特にドイツ）

ダッシュボードへの出力行：「特定された可能性のある並行制度： [list] — 要求がない限り詳細な評価は行っていません。」詳細とスクリーニングの質問については、references/parallel-regimes.md を参照してください。

---

EDPB事例との照合

リスク評価後、EDPBガイドライン01/2021の事例と照合してください。references/edpb-cases.md を参照してください。

カテゴリー：

• ランサムウェア：事例01-04
• データの持ち出し：事例05-07
• 内部の人的リスク：事例08-09
• 紛失／盗難デバイス：事例10-12
• 誤送信：事例13-16
• ソーシャルエンジニアリング：事例17-18

類推に関する警告： EDPBの事例は参考となる類推であり、拘束力のある決定ではありません。事実関係の違いは重要であり、実際の事実に基づく第33条／第34条の法的テストを類推で置き換えることはできません。最も近い事例、類推の限界、および事実関係の相違点を明示してください（参考資料の類推に関するルールを参照）。

出力形式：

「このシナリオは**EDPB事例[XX]**に類似しています：[Description]。EDPBの推奨：SA [YES/NO]、データ主体 [YES/NO]。お客様の状況との相違点：[differences]。類推の限界：[limits]。これは、算出した判定を[支持する／再検討を示唆する]ものです。」

---

動的ウェブ調査モジュール

ENISAの計算とEDPB事例との照合が完了したら、評価を補足するため、対象を絞ったウェブ調査を自動的に実施してください。具体的な検索クエリのテンプレート（執行の先例、SA固有のガイダンス、分野別の動向、EDPBの更新、AI Act、損害賠償の先例）と調査結果の取り入れ方については、references/web-research.md を参照してください。同資料の情報源に関するルールを適用してください。まず公式情報源（SA／EDPB／欧州委員会）を確認し、法的結論の根拠としてSEOやマーケティング目的のページを使用せず、アクセス日を記載し、ポータルへのリンクやSAの連絡先を決して捏造しないでください。Assessment Dashboardに「Regulatory Intelligence」セクションを追加してください。

---

国境を越える処理に関するルール

まず、実際に国境を越える処理かどうかを確認する

ワンストップショップの適用には、真の国境を越える処理（第4条(23)）が必要です。すなわち、複数の加盟国にある拠点の活動に関連して行われる処理、または複数の加盟国の個人に実質的な影響を及ぼす処理を指します。影響を受ける個人が複数の加盟国に居住しているという理由だけで、国境を越える処理だと決めつけないでください。テストの対象は処理であり、データ主体の居住地ではありません。ワンストップショップを適用する前に分析してください。

EU域内に拠点を持つ管理者

• 主たる拠点と主導監督機関を特定できる場合は、主導監督機関のみに通知します（ワンストップショップ）。
• 主導監督機関＝主たる拠点の所在地
• 通知には影響を受ける加盟国を明記します（EDPBテンプレートでは国ごとのデータ主体数が求められます）。

EU に拠点を持たない管理者

• ワンストップショップは適用されません — EU 域内代理人の存在だけでは適用されません（EDPB ガイドライン 9/2022 v2.0、第 73 段落）
• 影響を受けるデータ主体がその加盟国に居住している 各 SA に通知します
• 提出を個別に追跡します。各国のポータルでは現地の形式や項目が求められる場合があります

主導 SA の決定に関する質問

1. 「このデータ処理に関する決定はどこで行われますか？」
2. 「あなたの中央管理部門はどこにありますか？」
3. 「この処理に対する権限を持つのはどの拠点ですか？」

SA 連絡先ディレクトリ

特定された主導 SA または関連 SA について、web_search を使用して以下を探します：

• 公式 SA 通知ポータルの URL
• 侵害通知用の SA 連絡先メールアドレスと電話番号
• SA 固有の通知フォームや要件（一部の SA には独自の必須フォームがあります。例：ドイツの BfDI、フランスの CNIL）
• 営業時間と緊急連絡手順

ドイツについては、BfDI（連邦機関、電気通信・郵便）と該当する Bundesland（民間部門）の LfDI/LDA との間で振り分けます — references/web-research.md のドイツのルーティングルールを参照してください。

SA の連絡先詳細を Assessment Dashboard に出力します。**プロセッサ専用（Track B）**の実行では、SA の詳細を管理者への引き継ぎパッケージ用の参考資料として位置づけます — プロセッサ自身が使用すべきポータルとして決して位置づけず — ダッシュボードの「Notify SA」/ SA 期限の行は下流の管理者の義務としてマークします（プロセッサにとっては N/A）。

---

緩和プレイブック

リスク評価後、インシデントに固有のオーダーメイドの緩和プレイブックを生成します — 一般的なチェックリストではなく、この侵害にとって実際に重要なケース駆動型のアクションです。

プレイブックの設計原則の全体、出力形式（担当者/期限/依存関係を含む優先順位付きアクションプラン）、および活用できる一般的なアクションカテゴリについては、references/mitigation-playbook.md を参照してください。

---

ユーザーによる上書きプロトコル

ユーザーが算出された深刻度に同意しない場合：

1. 元の評価を記録します：「私の評価では [LEVEL]（SE = [score]）です。あなたは [USER LEVEL] として分類することを希望しています。」
2. 正当な理由を求めます
3. 引き下げの場合は、警告を表示します：

⚠️ 規制リスク警告 あなたは ENISA が示すよりも低い深刻度を選択しています。後に SA がより高い深刻度が妥当であったと判断した場合、規制上の監視が強まり、別途制裁につながる可能性があります。法務顧問を関与させて文書化することを推奨します。

4. 上書きを Internal Compliance Log に記録します

---

出力：Assessment Dashboard

╔══════════════════════════════════════════════════════════════╗
║                 BREACH ASSESSMENT SUMMARY                     ║
╠══════════════════════════════════════════════════════════════╣
║ Triage:         [BREACH CONFIRMED / LIKELY — UNDER            ║
║                  INVESTIGATION / INSUFFICIENT FACTS]          ║
║ Role:           [Controller / Processor / Hybrid]             ║
║ Breach Type:    [Confidentiality / Integrity / Availability]  ║
║                 (multiple types may apply)                    ║
║ T0 (Awareness): [Timestamp]                                   ║
║ Clock Status:   [X hours elapsed / Y hours remaining]         ║
║ DPA Deadline:   [If applicable: X hours / N/A]                ║
╠══════════════════════════════════════════════════════════════╣
║                 SEVERITY CALCULATION                          ║
╠══════════════════════════════════════════════════════════════╣
║ DPC: [Score] - [Category + Adjustments]                       ║
║ EI:  [Score] - [Level]                                        ║
║ CB:  [Score] - [Breakdown]                                    ║
║ SE = (DPC × EI) + CB = [Final Score]                          ║
║ Severity Level: [LOW / MEDIUM / HIGH / VERY HIGH]             ║
║ Borderline:     [YES - near X threshold / NO]                 ║
║ EDPB Case Match: Case [XX] - [Supports/Reconsider]            ║
╠══════════════════════════════════════════════════════════════╣
║                 EVIDENCE POSTURE                              ║
╠══════════════════════════════════════════════════════════════╣
║ Confidence: [HIGH/MED/LOW] | Material unknowns: [count/list]  ║
╠══════════════════════════════════════════════════════════════╣
║                 FLAGS                                         ║
╠══════════════════════════════════════════════════════════════╣
║ 🚩 Scale: [YES/NO] | 🔒 Encrypted: [YES/NO]                   ║
║ 👶 Vulnerable: [YES/NO] | ⚠️ Cross-Border: [YES/NO]           ║
║ 🤖 AI System: [YES/NO]                                        ║
╠══════════════════════════════════════════════════════════════╣
║                 LEGAL VERDICT                                 ║
╠══════════════════════════════════════════════════════════════╣
║ Legal Bridge:    Art. 33(1) [notify / no risk]                ║
║                  Art. 34(1) [high risk / not high risk /      ║
║                  exception 34(3)(a)/(b)/(c)]                  ║
║ Notify SA:       [YES/NO] - Deadline: [TIME]                  ║
║ Notify Subjects: [YES / NO / Exception 34(3)(a)/(b)/(c)]      ║
║ Internal Log:    [MANDATORY]                                  ║
║ AI Act Art. 73:  [Required/Not Required/Not Yet Applicable/   ║
║                  N/A]                                         ║
║ Parallel Regimes: [list or "none identified"]                 ║
╠══════════════════════════════════════════════════════════════╣
║                 SA CONTACT DETAILS                            ║
╠══════════════════════════════════════════════════════════════╣
║ Lead SA:         [Name]                                       ║
║ Portal:          [URL]                                        ║
║ Contact:         [Email / Phone]                              ║
║ Additional SAs:  [If cross-border without one-stop-shop]      ║
╠══════════════════════════════════════════════════════════════╣
║                 REGULATORY INTELLIGENCE                       ║
╠══════════════════════════════════════════════════════════════╣
║ [Summary of relevant enforcement precedents and guidance]     ║
╚══════════════════════════════════════════════════════════════╝

---

Art. 34 決定モジュール

事実またはスコアが高リスクの可能性を示唆する場合は常に、専用の Art. 34 分析を実行します — 決して yes/no の一行に縮約しないでください：

• トリガー：「高リスクをもたらす可能性が高い」（Art. 34(1)）；タイミングは「不当な遅延なく」。
• 例外（Art. 34(3)）： (a) 影響を受けるデータに適切な技術的・組織的保護措置が講じられていた場合 — 特に、安全な鍵による最先端の暗号化など、データを解読不能にする措置；(b) 事後的な措置により高リスクがもはや現実化する可能性がなくなることが確保される場合；(c) 通知が過度の負担を伴う場合 → 代わりに公衆への通知または同等に効果的な措置を行わなければなりません。
• 内容（Art. 34(2)）： 侵害の平易な言葉での説明、DPO/連絡窓口、想定される結果、講じたまたは提案する措置、および具体的な自己防護の手順。
• 戦略： 直接通知か公衆への通知か、段階的通知、脆弱なデータ主体を優先、影響を受ける加盟国ごとの言語、サポートチャネル、詐欺・フィッシング警告の文言。
• バックストップ： SA は通知を命じるか、例外を確認することができます（Art. 34(4)）。

完全な決定フレームワークについては references/art34-communication.md を参照し、結果を Art. 34 Decision Memo に記録します（references/templates.md を参照）。

---

戦略的アドバイザリー

評価ダッシュボードの提示後、クライアントの危機対応チームに説明するシニアデータ保護弁護士として、戦略的な助言を行います。これは ENISA のスコアを超える内容であり、適切なコンプライアンス対応と優れたインシデント対応を分けるものです。

アドバイザリーの枠組み、原則、セクション構成、トーンの例については、references/strategic-advisory.md をお読みください。次の項目を取り上げます：事案の評価とリスク状況、SA とのやり取りの戦略、通知文案の作成ガイダンス、潜在的リスクと二次的影響、防御のための文書化、危機における競争優位性。

---

文書の作成

評価の完了後、監査対応可能な .docx 文書の作成を提案してください。

作成可能な文書

1. EDPB データ侵害証拠ファイル — EDPB テンプレート［2026］の構成を反映した完全な通知書類一式（以下を参照）
2. 第 33 条 SA 通知 — 監督機関への正式な通知
3. 第 34 条 データ主体への連絡 — データ主体向けの平易な言葉による通知
4. 第 34 条 判断メモ — 文書化された高リスク分析と例外の根拠
5. 処理者によるクライアントへの通知＋引き継ぎパッケージ — 管理者であるクライアントへの通知およびサポートパッケージ（トラック B）
6. 社内コンプライアンス記録 — 第 33 条第 5 項に基づく必須の文書化
7. 通知しないことの正当化文書 — 通知しないと判断した場合
8. フォローアップ／撤回通知 — 以前の通知の補足、完了、または撤回
9. 軽減策プレイブック — 担当者と期限を記載した優先順位付きチェックリスト
10. データ侵害対応完全パッケージ — 該当するすべての文書をまとめたもの

EDPB データ侵害証拠ファイル

依頼があった場合、および SA への通知が必要な場合は常に先回りして、EDPB テンプレートに準拠したデータ侵害証拠ファイルを作成してください。これは、EDPB の『個人データ侵害通知テンプレート［2026］』の番号付き構成（§1 通知情報から §7 添付書類まで）を反映した単一の文書です。評価からすべての項目を記入し、不明な項目には [UNKNOWN — investigate]、該当しない項目には [N/A] と記載してください。テンプレートが草案／パブリックコメント段階であること、および採択までは各国の SA ポータルが引き続き正式な情報源であることを必ず明記してください。項目対応表、記入規則、文書のひな形については、references/edpb-template-evidence-file.md をお読みください。

文書作成のプロセス

文書テンプレートと書式設定基準（A4、Arial 11pt、ヘッダー／フッター、ISO 8601 日付）については、references/templates.md をお読みください。docx 作成スキル（Claude Code では docx-processing-anthropic、Claude.ai Projects では /mnt/skills/public/docx/SKILL.md）が利用可能か確認してください。利用できない場合は、Markdown を使用してください。評価から値を事前入力し、不足項目には [TO BE COMPLETED] と記載してください。

---

通知後の進捗管理

初回評価の後、継続的な事案管理を提案してください。SA への通知状況（フォローアップや撤回を含む）、データ主体への連絡、軽減策の実行段階、文書化の完了状況を網羅する進捗ダッシュボードのテンプレートについては、references/post-notification-tracking.md をお読みください。

各セッションの最後に、ユーザーに次の点を確認してください。

• 「EDPB の証拠ファイルを含め、.docx ファイルとして文書を作成しましょうか？」
• 「お客様の SA 固有の通知ポータルと要件を調査する必要はありますか？」
• 「通知後の進捗管理表を更新しましょうか？」

---

緊急モード

発動条件

• 残り時間が 12 時間未満
• ユーザーが明示的に依頼
• データ主体の安全に対する差し迫ったリスク
• T0 から 60 時間以上経過

緊急プロトコル

表示：

⚡ 緊急モードが有効になりました 最低限の実行可能な評価を生成しています。

簡易インテーク（8つの質問）： 0. インシデントに個人データが関係していますか？（明らかに関係しない場合 → セキュリティインシデントのみ — その理由を記録し、GDPR ワークフローを終了します）

1. 役割：管理者、処理者、または両方ですか？
2. データの種類は何ですか？（一般／行動／財務／機微）
3. 影響を受けた人数は何人ですか？
4. データは鍵が安全な状態で暗号化されていましたか？
5. 悪意によるものですか、それとも偶発的なものですか？
6. 影響を受けた個人はどの国にいますか？
7. 処理者の場合：DPA に通知期限が定められていますか？（例：24時間、48時間）

迅速な計算：

• DPC：申告されたカテゴリをそのまま使用し、調整は行いません
• EI：既定値は0.75（重大）
• CB：悪意によるものか偶発的なものかに基づいてスコアを算出し、機密性の喪失を想定します

緊急時の出力：

1. 留保事項を含む暫定判定 — 法的判断への橋渡し（第33条／第34条の結論をそれぞれ1行に要約したもの）を含みます
2. 最低限実行可能な第33条通知（可能であれば .docx として生成）
3. 直ちに行うべき重要な軽減措置（上位5つのみ）
4. 監督機関の連絡先（ウェブ検索で取得）
5. フォローアップチェックリスト（48時間以内に必須）

---

重要な注意事項

1. すべてを記録してください — 通知不要の侵害であっても記録します（第33条第5項）
2. 処理者は不当な遅滞なく管理者に通知します（第33条第2項） — 処理者には法定の72時間期限は適用されません。管理者の期限は、処理者が通知した時点から始まります。DPA の期限は契約上のものであり、これに加えて適用されます
3. 72時間は最長期限であり、目標ではありません — 「不当な遅滞なく」
4. 段階的な通知は可能です — 情報が完全にそろうまで待たないでください
5. ENISA スコアは推定にすぎません — 判断の根拠となるのは第33条／第34条の法的判断への橋渡しです。書面で記録してください
6. すべてのインシデントが侵害に当たるわけではありません — ワークフローに進む前に、侵害該当性の判定ゲートを実施してください
7. 監督機関はデータ主体への通知を命じることができます — 管理者が通知を見送った場合でも同様です
8. 通知を怠ると、別個に制裁の対象となります — 最大1,000万ユーロまたは売上高の2％
9. EU 域外の管理者にはワンストップショップ制度が適用されません — 該当する各監督機関に通知してください
10. 暗号化しても侵害が消えるわけではありません — 内部記録は引き続き必要です
11. 英国は別扱いです — Brexit 後は ICO への通知が必要です。ICO のガイダンスは EDPB と異なる場合があります。ICO 独自の自己評価ツールと通知ポータルを使用してください
12. AI システムには並行する義務があります — AI Act 第73条は GDPR と並行して適用されます（2026年8月2日から適用）
13. EDPB テンプレート［2026］は草案です — 2026年8月5日までパブリックコンサルテーション中です。各国の監督機関ポータルが引き続き正式な情報源です
14. 常に文書生成を提案してください — チャットでの出力だけでなく、監査対応可能な .docx ファイルを提供します
15. 該当する監督機関を個別に調査してください — ポータルの URL や要件は大きく異なります

---

バージョンと規制上の根拠

文書	バージョン	最終確認
EDPB ガイドライン 9/2022（通知）	v2.0	ウェブ検索で更新情報を確認してください
EDPB ガイドライン 01/2021（事例）	v2.0	ウェブ検索で更新情報を確認してください
ENISA 重大度評価方法	v1.0	ウェブ検索で更新情報を確認してください
EU AI Act（規則 2024/1689）	発効済み。第73条は2026年8月2日から適用	第73条の重大インシデント報告
個人データ侵害通知に関する EDPB テンプレート［2026］	v1.0 草案 — 2026年8月5日までパブリックコンサルテーション中	証拠ファイルの構成。ウェブ検索で協議結果を確認してください

重要： 規制上のガイダンスは更新されます。すべての評価で動的ウェブ調査モジュールを使用し、これらの基本文書の更新情報を確認してください。

関連する GDPR スキル

このスキルは単独で動作しますが、他の EU データ保護スキルと組み合わせると便利です。各スキルは個別にインストールすることも、組み合わせて使用することもできます。

• DPIA Sentinel — 第35条のデータ保護影響評価
• Privacy Notice Generator — 第13条／第14条のプライバシー通知
• Transfer Impact Assessment (TIA) — 第V章の移転影響評価
• DPA Art. 28 — 管理者と処理者の間の契約（AVV）
• Legitimate Interest — 第6条第1項(f)の LIA／利益衡量テスト