gdpr-certification

データ保護認証の実施

概要

第42条から第43条では、処理業務におけるGDPR遵守を証明するためのデータ保護認証の仕組み、シール、マークに関する枠組みを定めています。認証は任意ですが、第24条第3項に基づく説明責任の手段となり、処理者については第28条第5項に基づく十分な保証を示すことができます。認証によって、管理者または処理者の責任が軽減されることはありません。

認証の枠組み

第42条の主な規定

• 第42条第1項：加盟国、監督機関、EDPB、および欧州委員会は、認証の仕組み、シール、マークの確立を奨励します。
• 第42条第3項：認証は任意であり、透明性のあるプロセスを通じて利用できるものとします。
• 第42条第5項：認証は、当局またはEDPBが承認した基準に基づき、認定された認証機関または所管の監督機関が発行します。
• 第42条第7項：認証の有効期間は最長3年で、同じ条件のもとで更新できます。
• 第42条第7項：要件を満たさなくなった場合、認証は取り消されます。

第43条の認証機関

• 第43条第1項：認証機関は、独立性、専門性、および利益相反がないことを証明する必要があります。
• 第43条第3項：認定は、監督機関または国内認定機関（規則（EC）No 765/2008に基づく）によって付与されます。
• 第43条第6項：認定の有効期間は最長5年で、更新できます。

認証基準の策定

認証基準では、以下に対応する必要があります。

1. 処理業務の範囲：認証の対象となる処理活動を定義します。
2. 遵守要件：認証基準をGDPRの具体的な条文に対応付けます。
3. 技術的措置：導入が必要な技術的管理策（暗号化、アクセス制御、仮名化）を明記します。
4. 組織的措置：ガバナンス、トレーニング、文書化、説明責任に関する要件を明記します。
5. 監査方法：遵守状況の評価方法（文書レビュー、技術テスト、面談）を定義します。
6. 継続的な遵守：監視、報告、再認証の要件を明記します。

利用可能なGDPR認証制度

制度	範囲	状況
Europrivacyに関するEDPB承認基準	GDPR全般の遵守認証	EDPB承認済み（意見書28/2022）
ISO/IEC 27701:2019	プライバシー情報管理システム	広く利用可能。正式なGDPR認証ではありませんが、遵守状況を示せます
EuroPriSe（欧州プライバシーシール）	製品、ITシステム、サービス	2008年から運用。GDPRに対応して更新済み
CNIL認証（フランス）	DPOの能力認証	CNIL承認済み

導入ロードマップ

フェーズ1：準備状況の評価（1～2か月目）

1. 組織のニーズに適した認証制度を特定します。
2. 認証基準に照らしてギャップ評価を実施します。
3. 特定したギャップを解消するための是正計画を作成します。

フェーズ2：導入（3～6か月目）

1. 必要な技術的措置および組織的措置を導入します。
2. 認証基準を満たすように文書を更新します。
3. 内部の事前評価監査を実施します。

フェーズ3：認証監査（7～8か月目）

1. 認定された認証機関に依頼します。
2. 認証監査（文書レビュー、現地評価、技術テスト）を受けます。
3. 監査で特定された不適合に対処します。
4. 認証の決定を受けます。

フェーズ4：維持（継続）

1. 認証要件に沿った継続的な監視を実施します。
2. 年次のサーベイランス監査を実施します。
3. 3年間の有効期間が満了する前に、再認証の準備をします。
4. 重要な変更があった場合は、認証機関に報告します。