gdpr-dpa-art28

データ処理契約の締結

概要

第28条第3項では、処理者による処理を、処理者を拘束し、特定の必須事項を定めた契約またはその他の法的行為に従って行うことが求められています。このスキルでは、8つの必須条項すべてを詳しく説明し、コンプライアンスチェックリストを提示するとともに、管理者から処理者への移転に関する2021年版EU標準契約条項を参照します。

第28条第3項の必須事項

要素1：処理の対象および期間

DPAには、処理の対象（実施する処理の内容）、期間（サービス契約の期間に準拠）、処理の性質（収集、保管、分析、削除）、および処理の目的を明記する必要があります。

要素2：個人データの種類

DPAには、処理対象となる個人データの具体的なカテゴリ（氏名、メールアドレス、財務データ、健康データなど）を列挙する必要があります。

要素3：データ主体のカテゴリ

DPAには、対象となるデータ主体（従業員、顧客、ウェブサイト訪問者、患者など）を特定する必要があります。

要素4：管理者の義務および権利

DPAには、処理者がデータに対して何を行う権限を与えられているかを含め、管理者から処理者への文書化された指示を定める必要があります。

要素5：処理者の義務（第28条第3項(a)～(h)）

(a) 文書化された指示：処理者は、第三国への移転に関する指示を含め、管理者からの文書化された指示に基づく場合に限り個人データを処理します。ただし、EU法または加盟国の法令により処理が義務付けられている場合はこの限りではありません。その場合、法令で通知が禁止されていない限り、処理者は処理を行う前に管理者に通知する必要があります。

(b) 機密保持：処理者は、個人データの処理を許可された者が機密保持を約束しているか、適切な法定の機密保持義務を負っていることを確保する必要があります。

(c) セキュリティ対策：処理者は、第32条（処理の安全性）に基づき求められるすべての措置を講じる必要があります。

(d) 再処理者：処理者は、管理者から事前に個別または一般的な書面による承認を得ることなく、別の処理者を起用してはなりません。一般的な書面による承認を得ている場合、処理者は再処理者の追加または交代に関する変更を予定しているときは管理者に通知し、管理者が異議を申し立てる機会を与える必要があります（第28条第2項および第4項）。

(e) データ主体の権利への対応支援：処理者は、可能な範囲で適切な技術的および組織的措置を講じ、データ主体からの請求に応じる管理者の義務（第15条～第22条）の履行を支援する必要があります。

(f) GDPR上の義務への対応支援：処理者は、処理の性質および処理者が利用できる情報を考慮したうえで、第32条～第36条（セキュリティ、侵害通知、DPIA、事前協議）の遵守を確保する管理者を支援する必要があります。

(g) データの返却または削除：処理者は、管理者の選択に従い、処理サービスの提供終了後にすべての個人データを削除または返却し、既存のコピーも削除する必要があります。ただし、EU法または加盟国の法令により保管が求められる場合はこの限りではありません。

(h) 監査および検査：処理者は、第28条に基づく義務の遵守を証明するために必要なすべての情報を管理者に提供し、管理者または管理者が指名した別の監査人が実施する監査（検査を含む）を認め、これに協力する必要があります。

要素6：国際移転

処理者または再処理者が個人データをEEA域外に移転する場合、適切な保護措置（SCC、BCR、十分性認定、または例外措置）を講じる必要があります。

要素7：再処理者の連鎖

処理者は、再処理契約において同一のデータ保護義務を課す必要があります。最初の処理者は、再処理者の業務遂行について、管理者に対する全責任を引き続き負います（第28条第4項）。

要素 8：書面形式

契約は、電子形式を含め、書面で締結する必要があります（第 28 条第 9 項）。

DPA 準拠チェックリスト

#	要件	条文参照	該当するか
1	対象事項と期間が明記されている	第 28 条第 3 項
2	処理の性質と目的が定義されている	第 28 条第 3 項
3	個人データの種類が列挙されている	第 28 条第 3 項
4	データ主体のカテゴリが特定されている	第 28 条第 3 項
5	処理者は、文書化された指示に基づいてのみ行動する	第 28 条第 3 項（a）
6	法令により指示を超える処理が求められる場合の通知	第 28 条第 3 項（a）
7	権限を付与された担当者の守秘義務への誓約	第 28 条第 3 項（b）
8	第 32 条のセキュリティ対策を実施している	第 28 条第 3 項（c）
9	再処理者の承認手続きが定められている	第 28 条第 3 項（d）、第 28 条第 2 項
10	再処理者の変更通知手続き	第 28 条第 4 項
11	新たな再処理者に対する管理者の異議申立権	第 28 条第 2 項
12	再処理者に同一の義務を課している	第 28 条第 4 項
13	データ主体の権利行使請求への対応支援	第 28 条第 3 項（e）
14	第 32～36 条の義務への対応支援	第 28 条第 3 項（f）
15	契約終了時のデータ返却または削除	第 28 条第 3 項（g）
16	管理者の監査および検査の権利	第 28 条第 3 項（h）
17	準拠を証明するための情報	第 28 条第 3 項（h）
18	国際移転に関する保護措置（該当する場合）	第 28 条第 3 項、第 V 章
19	書面形式（電子形式を含む）	第 28 条第 9 項
20	処理者から管理者への侵害通知	第 33 条第 2 項

2021 年標準契約条項の参照

2021 年 6 月 4 日付の欧州委員会実施決定（EU）2021/914により、モジュール 2（管理者から処理者）およびモジュール 3（処理者から処理者）を含む新たな SCC が制定されました。これらの SCC は、DPA として利用することも、国際移転に関する既存の DPA を補完するために利用することもできます。管理者から処理者へのモジュールの主な条項は次のとおりです。

• 条項 7：ドッキング条項（追加の当事者が加入できます）
• 条項 8：第 28 条第 3 項の要件を含むデータ保護措置
• 条項 9：個別または包括的な承認を定める再処理者に関する規定
• 条項 10：データ主体の権利
• 条項 13：監督機関による監督
• 条項 14：移転影響評価に関する義務
• 条項 15：政府によるアクセス請求があった場合の義務

実務上の考慮事項

交渉における優先事項

1. 監査権：SOC 2 レポートを現地監査の代わりに受け入れるだけではなく、実効性のある監査権を確保してください。
2. 再処理者の透明性：再処理者の最新リストと、変更前の適時な通知（少なくとも 30 日前）を求めてください。
3. 侵害通知の期限：第 33 条第 2 項では「不当な遅滞なく」と定められています。具体的な期限（例：24～48 時間）を明記してください。
4. データ削除の証明：具体的な形式と期限を定めた削除証明書の書面による提出を求めてください。
5. 責任：第 82 条第 2 項では、処理者固有の義務を遵守しなかったこと、または管理者の指示の範囲外もしくは指示に反して行動したことにより生じた損害について、処理者の責任を定めています。