gdpr-dsgvo-expert

GDPR/DSGVO の専門家

EU 一般データ保護規則（GDPR）およびドイツ連邦データ保護法（BDSG）への準拠に関するツールとガイダンスです。

---

目次

• ツール
  • GDPR 準拠チェッカー
  • DPIA ジェネレーター
  • データ主体の権利トラッカー
• 参考ガイド
• ワークフロー

---

ツール

GDPR 準拠チェッカー

コードベースをスキャンし、個人データのパターンやリスクの高いコードの慣行など、GDPR 準拠に関する潜在的な問題を検出します。

# Scan a project directory
python scripts/gdpr_compliance_checker.py /path/to/project

# JSON output for CI/CD integration
python scripts/gdpr_compliance_checker.py . --json --output report.json

検出項目:

• 個人データのパターン（メールアドレス、電話番号、IP アドレス）
• 特別カテゴリのデータ（健康、生体認証、宗教）
• 財務データ（クレジットカード、IBAN）
• リスクの高いコードのパターン:
  • 個人データのログ記録
  • 同意取得の仕組みの欠如
  • データの無期限保存
  • 機密データの暗号化なしでの保存
  • 削除機能の無効化

出力:

• 準拠スコア（0～100）
• リスクの分類（重大、高、中）
• GDPR の条文を参照した優先度付きの推奨事項

---

DPIA ジェネレーター

第 35 条の要件に従って、データ保護影響評価の文書を生成します。

# Get input template
python scripts/dpia_generator.py --template > input.json

# Generate DPIA report
python scripts/dpia_generator.py --input input.json --output dpia_report.md

機能:

• DPIA の実施要否の自動評価
• データ処理の特性に基づくリスクの特定
• 法的根拠の要件に関する文書化
• リスク軽減策の推奨
• Markdown レポートの生成

評価対象の DPIA 実施要件:

• 体系的な監視（第 35 条第 3 項（c））
• 大規模な特別カテゴリのデータ処理（第 35 条第 3 項（b））
• 自動化された意思決定（第 35 条第 3 項（a））
• EDPB が承認した高リスク基準（WP248 rev.01）

---

データ主体の権利トラッカー

GDPR 第 15～22 条に基づくデータ主体の権利に関する請求を管理します。

# Add new request
python scripts/data_subject_rights_tracker.py add \
  --type access --subject "John Doe" --email "[email protected]"

# List all requests
python scripts/data_subject_rights_tracker.py list

# Update status
python scripts/data_subject_rights_tracker.py status --id DSR-202601-0001 --update verified

# Generate compliance report
python scripts/data_subject_rights_tracker.py report --output compliance.json

# Generate response template
python scripts/data_subject_rights_tracker.py template --id DSR-202601-0001

対応する権利:

権利	条文	期限
アクセス	第 15 条	1 か月（第 12 条第 3 項）
訂正	第 16 条	1 か月（第 12 条第 3 項）
消去	第 17 条	1 か月（第 12 条第 3 項）
処理の制限	第 18 条	1 か月（第 12 条第 3 項）
データポータビリティ	第 20 条	1 か月（第 12 条第 3 項）
異議申し立て	第 21 条	1 か月（第 12 条第 3 項）
自動化された意思決定	第 22 条	1 か月（第 12 条第 3 項）

機能:

• 期限の追跡と期限超過アラート
• 本人確認のワークフロー
• 回答テンプレートの生成
• 準拠状況のレポート

---

参考ガイド

GDPR 準拠ガイド

references/gdpr_compliance_guide.md

以下を網羅した、包括的な実装ガイダンスです:

• データ処理の法的根拠（第 6 条）
• 特別カテゴリのデータに関する要件（第 9 条）
• データ主体の権利の実装
• 説明責任の要件（第 30 条）
• 国際移転（第 V 章）
• データ侵害の通知（第 33～34 条）

ドイツ BDSG の要件

references/german_bdsg_requirements.md

以下を含む、ドイツ固有の要件です:

• DPO の選任基準（BDSG 第 38 条 - 従業員 20 人以上）
• 雇用データの処理（BDSG 第 26 条）
• ビデオ監視の規則（BDSG 第 4 条）
• クレジットスコアリングの要件（BDSG 第 31 条）
• 州のデータ保護法（Landesdatenschutzgesetze）
• 事業所委員会の共同決定権

DPIA の方法論

references/dpia_methodology.md

DPIA の段階的なプロセスです:

• 実施要否の評価基準
• EDPB が承認した高リスクの指標（WP248 rev.01）
• リスク評価の方法論
• リスク軽減策のカテゴリ
• DPO および監督機関への相談
• テンプレートとチェックリスト

---

ワークフロー

ワークフロー 1: 新たなデータ処理活動の評価

Step 1: Run compliance checker on codebase
        → python scripts/gdpr_compliance_checker.py /path/to/code

Step 2: Review findings and compliance score
        → Address critical and high issues

Step 3: Determine if DPIA required
        → Check references/dpia_methodology.md threshold criteria

Step 4: If DPIA required, generate assessment
        → python scripts/dpia_generator.py --template > input.json
        → Fill in processing details
        → python scripts/dpia_generator.py --input input.json --output dpia.md

Step 5: Document in records of processing activities

ワークフロー 2: データ主体からの請求への対応

Step 1: Log request in tracker
        → python scripts/data_subject_rights_tracker.py add --type [type] ...

Step 2: Verify identity (proportionate measures)
        → python scripts/data_subject_rights_tracker.py status --id [ID] --update verified

Step 3: Gather data from systems
        → python scripts/data_subject_rights_tracker.py status --id [ID] --update in_progress

Step 4: Generate response
        → python scripts/data_subject_rights_tracker.py template --id [ID]

Step 5: Send response and complete
        → python scripts/data_subject_rights_tracker.py status --id [ID] --update completed

Step 6: Monitor compliance
        → python scripts/data_subject_rights_tracker.py report

ワークフロー 3: ドイツ BDSG の準拠チェック

Step 1: Determine if DPO required
        → 20+ employees processing personal data automatically
        → OR processing requires DPIA
        → OR business involves data transfer/market research

Step 2: If employees involved, review § 26 BDSG
        → Document legal basis for employee data
        → Check works council requirements

Step 3: If video surveillance, comply with § 4 BDSG
        → Install signage
        → Document necessity
        → Limit retention

Step 4: Register DPO with supervisory authority
        → See references/german_bdsg_requirements.md for authority list

---

GDPR の主要概念

法的根拠（第 6 条）

• 同意: マーケティング、ニュースレター、分析（自由意思に基づき、特定され、十分な情報を得たうえで与えられる必要があります）
• 契約: 注文の履行、サービスの提供
• 法的義務: 税務記録、労働法
• 正当な利益: 不正防止、セキュリティ（利益衡量テストが必要です）

特別カテゴリーのデータ（第9条）

明示的な同意または第9条第2項の例外が必要です：

• 健康データ
• 生体データ
• 人種・民族的出自
• 政治的見解
• 宗教的信念
• 労働組合への加入
• 遺伝データ
• 性的指向

データ主体の権利

すべての権利は、受領から1か月以内に履行する必要があります（第12条第3項）。期限は30日ではなく暦月単位で計算されます。また、複雑な請求や多数の請求については、さらに2か月延長できます。その場合、データ主体には最初の1か月以内に延長の旨と理由を通知する必要があります：

• アクセス：データの写しと処理に関する情報を提供する
• 訂正：不正確なデータを訂正する
• 消去：データを削除する（法的義務がある場合を除く）
• 制限：問題が解決するまで処理を制限する
• データポータビリティ：機械可読形式でデータを提供する
• 異議申し立て：正当な利益に基づく処理を停止する

ドイツ連邦データ保護法（BDSG）による追加規定

項目	BDSG の条項	主な要件
DPO の要件	§ 38	従業員が20人以上の場合、DPO の選任が必須
雇用	§ 26	従業員データに関する詳細な規則
ビデオ	§ 4	表示と比例性
スコアリング	§ 31	説明可能なアルゴリズム