gdpr-ropa-audit

GDPR 第30条の記録監査の実施

概要

GDPR 第30条では、すべての管理者および処理者に対し、自らの責任の下で行う処理活動の記録を書面で保持することが義務付けられています。このスキルでは、管理者については第30条第1項、処理者については第30条第2項で定められた網羅的な項目要件に照らして、RoPA の記載を監査するための体系的な手法を提供し、完全性、正確性、および監督機関による審査への対応準備を確保します。

管理者の記録要件 — 第30条第1項

管理者が保持する各処理活動の記録には、次の内容を含める必要があります。

項目	GDPR の参照条文	説明
管理者の識別情報および連絡先	第30条第1項(a)	管理者、共同管理者、および DPO の氏名、住所、連絡先
処理の目的	第30条第1項(b)	各処理活動に関する具体的、明示的、かつ正当な目的
データ主体のカテゴリー	第30条第1項(c)	すべてのデータ主体グループの特定（従業員、顧客、患者、未成年者）
個人データのカテゴリー	第30条第1項(c)	活動ごとに処理する個人データの種類（識別子、財務情報、健康情報、生体情報）
受領者のカテゴリー	第30条第1項(d)	処理者、共同管理者、および第三国の受領者を含むすべての受領者
国際移転	第30条第1項(e)	保護措置に関する文書を伴う、第三国または国際機関への移転
保持期間	第30条第1項(f)	各カテゴリーのデータを消去する予定の期間
技術的および組織的措置	第30条第1項(g)	データを保護する第32条のセキュリティ対策の概要

処理者の記録要件 — 第30条第2項

項目	GDPR の参照条文	説明
処理者の識別情報および連絡先	第30条第2項(a)	処理者、処理者が代理して行動する各管理者、および DPO の氏名と連絡先
処理のカテゴリー	第30条第2項(b)	各管理者に代わって実施する処理のカテゴリー
国際移転	第30条第2項(c)	保護措置に関する文書を伴う、第三国または国際機関への移転
技術的および組織的措置	第30条第2項(d)	第32条のセキュリティ対策の概要

監査方法

フェーズ1：インベントリの検証

1. データ保護管理システムまたは文書リポジトリから最新の RoPA を取得します。
2. RoPA とエンタープライズアプリケーションのインベントリを照合し、未記録の処理活動を特定します。
3. 組織図と照合して、各事業部門が処理活動の申告を提出済みであることを確認します。
4. 部門へのヒアリングを通じて、シャドー IT や非公式なデータ処理（スプレッドシート、共有ドライブ）が記録されていることを確認します。
5. 自動処理と手作業による処理の両方が記録されていることを検証します。

フェーズ2：項目の完全性チェック

1. 管理者の記録ごとに、第30条第1項(a)～(g)に基づく7つの必須項目すべてに、具体的で一般的すぎない内容が記入されていることを確認します。
2. 処理者の記録ごとに、第30条第2項(a)～(d)に基づく4つの必須項目すべてが記入されていることを確認します。
3. 目的が過度に広い表現（例：「事業運営」ではなく「雇用契約の履行に伴う給与計算」）で記載されている項目にフラグを立てます。
4. 保持期間が「必要な期間」といった表現ではなく、具体的な期間または基準で示されていることを確認します。
5. セキュリティ対策が、実際に実施済みの管理策を示しており、将来的な目標を述べたものではないことを確認します。

フェーズ 3：正確性の検証

1. RoPA の項目の 20％をサンプル抽出し、処理責任者に聞き取りを行って、記録された目的、データのカテゴリー、受領者が正確かどうかを検証します。
2. 記載されたデータフローを、実際のシステムアーキテクチャ図およびデータフローマップと照合します。
3. 国際移転の記録が、ネットワークログおよびアプリケーションログで確認された実際のデータルーティングと一致していることを検証します。
4. 記載された受領者に、引き続き有効な法的根拠および契約上の取り決め（処理者に関する Art. 28 の契約、共同管理者に関する Art. 26 の取り決め）があることを確認します。

フェーズ 4：最新性の評価

1. 各 RoPA 項目の最終レビュー日を、組織が定めたレビューサイクル（推奨：少なくとも年 1 回、または重大な変更があった場合）と照合します。
2. 廃止されたシステム、連絡先として記載された元従業員、または期限切れの契約を参照している項目を特定します。
3. 前回のレビューサイクル以降に導入された新たな処理活動が RoPA に追加されていることを検証します。
4. 変更管理ログおよび DPIA 登録簿と相互参照し、記録されていない処理の変更を特定します。

フェーズ 5：報告と是正

1. 監査結果報告書を作成し、問題を重大度別に分類します。重大（必須項目の欠落）、大（項目が不完全または不正確）、軽微（書式または事務上の問題）。
2. 各指摘事項について、是正担当者と期限を割り当てます。
3. 重大な指摘事項については 30 日以内、大きな指摘事項については 90 日以内にフォローアップレビューを予定します。
4. 監査で特定された全体的な不備に対処するため、RoPA のガバナンス手順を更新します。

免除に関する考慮事項

Article 30(5) では、従業員数が 250 人未満の組織に限定的な免除が規定されていますが、次の場合は適用されません。

• 処理によってデータ主体の権利および自由にリスクが生じる可能性が高い場合
• 処理が一時的なものではない場合
• Art. 9(1) に基づく特別なカテゴリーのデータ、または Art. 10 に基づく有罪判決に関する個人データを処理する場合

実際には、顧客データまたは従業員データを定期的に処理する組織の大半は、この免除の対象になりません。

監査でよく見つかる問題

1. 処理者の記録の欠落：管理者が自らの記録を保持していても、処理者が Art. 30(2) の記録を保持していることを確認していません。
2. 連絡先情報の陳腐化：組織再編後、DPO または管理者の代理人の詳細が更新されていません。
3. 目的の記述が曖昧：処理活動ごとではなく部門単位で目的を記述しているため、Art. 5(1)(b) に基づく目的の制限を示せていません。
4. 保存期間の未記載：保存期間が、実際の期間や削除基準を明記せず、「ポリシーに従う」と記録されています。
5. 移転に関する文書が不完全：国際移転を記録していても、依拠する保護措置の仕組み（SCC、十分性認定、BCR、または適用除外）が明記されていません。
6. セキュリティ対策の説明がない：Art. 30(1)(g) の項目が空欄であるか、実施しているより広範な組織的および技術的対策を説明せず、「暗号化」とだけ記載されています。

連携ポイント

• DPIA 登録簿：高リスクとしてフラグが付けられた RoPA 項目を、Art. 35 の DPIA 登録簿と相互参照します。
• 侵害ログ：過去の侵害に関与した処理活動について、RoPA の項目にセキュリティ対策の更新が反映されていることを検証します。
• ベンダー登録簿：RoPA に記載されたすべての処理者について、対応する Art. 28 のデータ処理契約があることを検証します。
• 研修記録：処理担当者が必須のデータ保護研修を修了していることを確認します。