gdpr-compliance-audit

データ保護監査の実施

概要

データ保護監査では、ガバナンス、処理活動、データ主体の権利、セキュリティ対策、第三者との取り決めにわたって、組織の GDPR 要件への準拠状況を体系的に評価します。このスキルは、特定の GDPR 条文に対応付けられた 50 を超える管理ポイントを備えた、構造化された監査フレームワークを提供します。これにより、監査担当者は優先順位を付けた是正勧告を含む、包括的なコンプライアンス評価を作成できます。

監査フレームワークの構成

監査は、GDPR の主要な章および条文に対応する 8 つのドメインで構成されています。

1. データ保護の原則（Art. 5）
2. 説明責任とガバナンス（Art. 24, 5(2)）
3. プライバシー・バイ・デザインおよびデフォルト（Art. 25）
4. 処理者の管理（Art. 28）
5. 処理活動の記録（Art. 30）
6. 処理のセキュリティ（Art. 32）
7. データ保護影響評価（Art. 35）
8. データ保護責任者（Art. 37-39）

ドメイン 1：データ保護の原則（Art. 5）

#	管理ポイント	GDPR 参照条文	必要な証拠
1.1	各処理活動について、処理目的を特定し、明確にし、文書化している	Art. 5(1)(a)-(b)	具体的な目的を記載した RoPA
1.2	各処理活動について、有効な適法根拠を特定し、文書化している	Art. 5(1)(a), 6	適法根拠の登録簿／評価記録
1.3	収集する個人データは適切かつ関連性があり、必要な範囲に限定されている	Art. 5(1)(c)	データ最小化のレビュー、項目レベルの正当化資料
1.4	個人データは正確であり、訂正手続きを通じて最新の状態に保たれている	Art. 5(1)(d)	データ品質プロセス、訂正ログ
1.5	すべてのデータカテゴリーについて保存期間を定め、削除／匿名化の手続きを設けている	Art. 5(1)(e)	保存期間一覧、削除ログ
1.6	不正アクセス、紛失、破壊から個人データを保護するため、適切なセキュリティ対策を講じている	Art. 5(1)(f)	セキュリティ管理策の文書、ペネトレーションテスト報告書
1.7	管理者は、すべての原則への準拠（説明責任）を証明できる	Art. 5(2)	取りまとめた証拠一式

ドメイン 2：説明責任とガバナンス（Art. 24）

#	管理ポイント	GDPR 参照条文	必要な証拠
2.1	データ保護方針が上級管理職によって承認され、全職員に周知されている	Art. 24(2)	署名済みの方針、配布記録
2.2	組織全体でデータ保護に関する役割と責任を正式に割り当てている	Art. 24(1)	RACI マトリックス、職務記述書
2.3	個人データを処理する全職員に定期的なデータ保護研修を実施している	Art. 39(1)(b)	研修記録、出席ログ、修了証明書
2.4	取締役会レベルへの報告を伴うデータ保護ガバナンス体制を設けている	Art. 24, 38(3)	ガバナンス憲章、取締役会議事録
2.5	GDPR のすべての義務（侵害通知、DSAR、DPIA）について、文書化された手続きを設けている	Art. 24(1)	バージョン管理された手続き文書
2.6	データ保護コンプライアンスに関する内部監査を、定められた間隔で実施している	Art. 24(1)	監査スケジュール、過去の監査報告書
2.7	データ保護リスク登録簿を維持し、レビューしている	Art. 24(1)	リスクスコアと対応計画を記載したリスク登録簿

ドメイン 3：プライバシー・バイ・デザインおよびデフォルト（第 25 条）

#	管理ポイント	GDPR 参照	必要な証拠
3.1	プライバシー要件がシステム開発ライフサイクルに組み込まれている	第 25 条第 1 項	プライバシーのチェックポイントを含む SDLC 文書
3.2	新しいシステムの導入または既存の処理の変更前に、プライバシーへの影響が評価されている	第 25 条第 1 項	DPIA スクリーニング記録、変更管理ログ
3.3	デフォルト設定により、必要な個人データのみが処理される	第 25 条第 2 項	設定レビュー、デフォルト設定の文書
3.4	システムおよびプロセスの設計段階でデータ最小化が適用されている	第 25 条第 1 項	データ最小化に関する判断を示す設計文書
3.5	システム設計において仮名化と暗号化が検討されている	第 25 条第 1 項、第 32 条第 1 項（a）	アーキテクチャ文書、暗号化標準
3.6	ユーザーインターフェースがデータ主体の権利（アクセス、削除、ポータビリティ）の行使を容易にしている	第 25 条第 1 項～第 2 項	UI/UX 仕様、データエクスポート機能

ドメイン 4：処理者の管理（第 28 条）

#	管理ポイント	GDPR 参照	必要な証拠
4.1	すべての処理者が特定され、ベンダー台帳に記録されている	第 28 条第 1 項	処理者の分類を含むベンダー台帳
4.2	第 28 条第 3 項で義務付けられた条項を含む、すべての処理者との書面によるデータ処理契約が締結されている	第 28 条第 3 項	DPA 台帳、DPA のサンプルレビュー
4.3	契約締結前およびその後も定期的に、処理者のデューデリジェンスが実施されている	第 28 条第 1 項	デューデリジェンス質問票、評価レポート
4.4	再処理者の承認および通知手順が文書化されている	第 28 条第 2 項～第 4 項	再処理者に関する条項、通知記録
4.5	監査、認証、または自己評価を通じて処理者のコンプライアンスが監視されている	第 28 条第 3 項（h）	行使された監査権、SOC 2／ISO 27001 認証書
4.6	契約終了時に、処理者が個人データを返却または削除する	第 28 条第 3 項（g）	データ返却／削除の確認書
4.7	処理者の侵害通知義務が契約で定められ、テストされている	第 28 条第 3 項（f）、第 33 条	DPA の侵害条項、インシデント対応テストの結果

ドメイン 5：処理活動の記録（第 30 条）

#	管理ポイント	GDPR 参照	必要な証拠
5.1	管理者によるすべての処理活動について、包括的な RoPA が維持されている	第 30 条第 1 項	第 30 条第 1 項（a）～（g）のすべての項目を含む完全な RoPA
5.2	管理者に代わって行われるすべての処理について、処理者の記録が維持されている	第 30 条第 2 項	第 30 条第 2 項（a）～（d）の項目を含む処理者の RoPA
5.3	定められたレビューおよび更新プロセスに従って RoPA が最新の状態に保たれている	第 30 条第 1 項～第 2 項	最終レビュー日、更新手順
5.4	要請に応じて、監督機関に RoPA を提供できる	第 30 条第 4 項	エクスポート機能、アクセス手順
5.5	RoPA が書面（電子形式を含む）で維持されている	第 30 条第 3 項	電子 RoPA システム、または文書化されたスプレッドシート

ドメイン 6：処理のセキュリティ（第 32 条）

#	管理項目	GDPR 参照	必要な証拠
6.1	適切なセキュリティ対策を決定するため、リスク評価を実施している	第 32 条（1）～（2）	処理活動のリスク評価報告書
6.2	適切な場合、個人データの仮名化と暗号化を実施している	第 32 条（1）（a）	保存時および転送時の暗号化に関する文書
6.3	システムの機密性、完全性、可用性および回復力を継続的に確保している	第 32 条（1）（b）	ISO 27001 管理策、アクセス管理、BCP／DR 計画
6.4	インシデント発生後、適時に個人データへのアクセスを復旧できる	第 32 条（1）（c）	バックアップ手順、復旧テスト記録
6.5	セキュリティ対策の定期的なテストと評価を実施している	第 32 条（1）（d）	侵入テスト報告書、脆弱性スキャン、監査結果
6.6	個人データへのアクセスを、業務上知る必要がある者に限定している	第 32 条（1）（b）	アクセス制御マトリクス、ユーザーアクセスレビュー
6.7	個人データを処理する施設を物理的セキュリティ対策で保護している	第 32 条（1）（b）	物理的セキュリティポリシー、アクセスログ
6.8	個人データ侵害の検知および対応手順を整備している	第 33～34 条	インシデント対応計画、侵害記録

ドメイン 7：データ保護影響評価（第 35 条）

#	管理項目	GDPR 参照	必要な証拠
7.1	DPIA が必須となる基準を定め、組織に周知している	第 35 条（1）、（3）	DPIA の実施基準、DPA のブラックリストの検討記録
7.2	高リスクにつながる可能性が高い処理の前に DPIA を実施している	第 35 条（1）	完了日を記載した DPIA 台帳
7.3	DPIA に第 35 条（7）の必須要素（説明、必要性、リスク、対策）がすべて含まれている	第 35 条（7）	完全性に関する DPIA のサンプルレビュー
7.4	DPIA のプロセスで DPO に相談している	第 35 条（2）	DPO への相談記録、承認記録
7.5	適切な場合、データ主体の意見を求めている	第 35 条（9）	相談記録、または相談しなかった理由の文書記録
7.6	DPIA の結果を実施し、監視している	第 35 条（11）	是正措置の追跡記録、フォローアップレビュー
7.7	残存リスクが高い場合、監督機関への事前相談を開始している	第 36 条	事前相談記録（該当する場合）

ドメイン 8：データ保護責任者（第 37～39 条）

#	管理項目	GDPR 参照	必要な証拠
8.1	必要な場合（公的機関、大規模な監視、特別カテゴリー）、DPO を任命している	第 37 条（1）	DPO の任命書、公開された連絡先
8.2	DPO に十分なリソース、独立性および上級管理職へのアクセスが確保されている	第 38 条（1）～（3）	予算配分、報告系統に関する文書
8.3	DPO は、職務の遂行に関する指示を受けない	第 38 条（3）	雇用契約／業務委託契約の独立性条項
8.4	DPO の連絡先を公開し、監督機関に通知している	第 37 条（7）	ウェブサイトへの掲載記録、DPA への通知記録
8.5	DPO がすべてのデータ保護事項に適時に関与している	第 38 条（1）	会議への招待、相談記録
8.6	DPO がコンプライアンスを監視し、助言を提供し、監督機関と協力している	第 39 条（1）	DPO の活動報告書、助言記録

監査実施方法

フェーズ 1：計画（第 1 週）

1. 監査範囲（組織全体または対象ドメイン）を定義します。
2. データ保護および情報セキュリティの専門知識を備えた監査チームを編成します。
3. 監査の 2 週間前に、事業部門へ監査通知を発行します。
4. 各ドメインの責任者に、監査前の文書一式を依頼します。

フェーズ 2：文書レビュー（第 2～3 週）

1. 依頼したすべての証拠を各管理ポイントと照合してレビューします。
2. 各管理策を「有効」「部分的に有効」「無効」「未実装」に分類します。
3. 証拠が欠落している、または不十分なギャップを特定します。

フェーズ 3：テストとインタビュー（第 3～4 週）

1. 処理責任者、IT セキュリティ、人事、法務、DPO にインタビューを実施します。
2. 主要な管理策（アクセスレビュー、データ侵害シミュレーション、DSAR プロセスのウォークスルーなど）のサンプルテストを実施します。
3. 設定レビューやツールのデモを通じて、技術的な管理策を検証します。

フェーズ 4：報告（第 5 週）

1. 指摘事項を重要度（クリティカル、重大、軽微、観察事項）別に分類した監査報告書を作成します。
2. ドメインごとのコンプライアンススコアと、全体的な成熟度評価を含めます。
3. 担当者と期限を明記した、優先順位付きの是正ロードマップを提示します。
4. データ保護運営委員会と取締役会に指摘事項を報告します。

フェーズ 5：フォローアップ（継続）

1. 指摘事項登録簿を通じて是正措置を追跡します。
2. 重要度に応じて、30 日、60 日、90 日の間隔でフォローアップレビューを実施します。
3. 監査結果を年次 DPO 報告書とリスク登録簿の更新に反映します。