gdpr-data-mapping

GDPR データマッピング

GDPR への準拠を示す記録とワークフローを作成します。

1. データインベントリ（第30条の処理記録）

各処理活動について、以下を記録します。

• 目的と適法な根拠（同意、契約、法的義務、重大な利益、公共のタスク、正当な利益。正当な利益については、比較衡量テストを文書化します）
• データ主体と個人データのカテゴリ（健康、バイオメトリクス、政治的情報などの特別なカテゴリにはフラグを付けます）
• サブプロセッサーと国際移転を含む受領者
• それぞれの保持期間とその根拠
• セキュリティ対策（技術的および組織的）

2. データフローマッピング

• システムインベントリとの相互参照：どのシステムがどのデータフィールドを保持しているか、バックアップやログでそれらがどこに複製されるか
• マーケティング、CRM、アナリティクスのフローは個別に管理します。データとともに同意状態も引き継がれるようにします
• 第三国への移転：移転の仕組み（十分性認定、SCC、EU-US DPF）を特定し、移転影響評価を実施します

3. データ主体の権利への対応準備（第15～22条）

• 1か月以内に、アクセス、訂正、消去、処理制限、データポータビリティ、異議申し立てに対応できる運用体制があることを確認します
• 過剰なデータ収集を行わずに本人確認を実施します
• 消去の実態を確認します：バックアップ、ログ、アナリティクスの保存先を確認し、システムごとに「削除」の意味を文書化します
• 同意取得の証拠を記録します：いつ、どのように、何が提示されたか（同意に基づく処理の場合）

4. データ侵害への対応（第33～34条）

• 監督機関への72時間以内の通知：テンプレートを用意し、「権利と自由へのリスク」に関する判断ツリーを作成します
• DPO に速やかに連絡が届く内部エスカレーション経路（検知 → 評価 → 通知）
• 通知しなかった事案も含め、すべての侵害に関する判断と、その根拠を記録します

5. 説明責任に関する追加項目

• 高リスク処理に関する DPIA プロセス（第35条）：基準、完了した DPIA、残存リスクの承認
• プライバシー通知と実際の運用が一致していること（第13条／第14条）
• 処理者との契約に第28条の条項が含まれていること

成果物

RoPA スプレッドシート／レジストリ、データフロー図、権利請求対応ランブック、侵害判断ツリー、リスクの優先度を付けたギャップ一覧。