group-structure-ropa

グループ構造のRoPA

概要

GDPR 第30条は、各管理者および各処理者に個別に適用されます。持株会社、事業子会社、シェアードサービスセンター、合弁会社で構成される企業グループでは、処理の目的と手段を独立して決定する各法人が、それぞれ第30条第1項の記録を維持する必要があります。グループ会社の処理者として活動する法人は、第30条第2項の記録を維持する必要があります。このスキルでは、法人の階層、グループ内のデータフロー、共有される処理活動、統合ガバナンスなど、グループレベルでのRoPA管理の複雑な課題を扱います。

企業グループの構成 — Helix Biotech Solutions

Helix Biotech Holdings SE (Netherlands — Holding)
├── Helix Biotech Solutions GmbH (Germany — Primary Operating Entity)
│   ├── Controller for: own employees, clinical trials, marketing
│   └── Processor for: group shared services (see below)
├── Helix Biotech Solutions Ltd (United Kingdom — UK Subsidiary)
│   ├── Controller for: own employees, UK customer data, UK clinical sites
│   └── Joint controller with GmbH for: multi-country clinical trials
├── Helix Biotech Solutions Inc. (United States — US Subsidiary)
│   ├── Controller for: own employees, US customer data
│   └── Processor for: global pharmacovigilance data processing (under GmbH instruction)
├── Helix Shared Services B.V. (Netherlands — Shared Service Centre)
│   ├── Processor for: group-wide IT infrastructure, payroll processing
│   └── Controller for: own employees only
└── Helix Biotech Diagnostics S.A.S. (France — Acquired Entity)
    ├── Controller for: own employees, diagnostic service customers
    └── Integration pending — separate RoPA maintained

法人単位とグループ単位の記録

法人単位のRoPA（必須）

各法人は、管理者または処理者として行う処理活動を記載した、自らのRoPAを維持する必要があります。これは法的義務であり、グループレベルの記録だけで満たすことはできません。

法人	管理者RoPA（第30条第1項）	処理者RoPA（第30条第2項）
Helix Biotech Holdings SE	最小限 — 株主データ、取締役データ	なし
Helix Biotech Solutions GmbH	全範囲 — ドイツでのすべての処理活動	あり — グループに提供する共有サービス
Helix Biotech Solutions Ltd	全範囲 — 英国でのすべての処理活動	なし
Helix Biotech Solutions Inc.	全範囲 — 米国でのすべての処理活動	あり — GmbH に代わって行うファーマコビジランス処理
Helix Shared Services B.V.	最小限 — 自社従業員のデータのみ	あり — グループ内のすべての法人を対象とする IT、人事、財務の処理
Helix Biotech Diagnostics S.A.S.	全範囲 — フランスでのすべての処理活動	なし

グループレベルの統合ビュー（推奨）

法人単位の記録に加えて、次の事項を含む統合されたグループビューを維持します。

1. すべての法人単位のRoPA項目を、検索可能な単一の登録簿に集約します。
2. グループ内のデータフローと移転の取り決めを明示します。
3. 共有される処理活動と共同管理者の取り決めを特定します。
4. 取締役会や監督機関へのグループレベルの報告を支援します。
5. 法人間のギャップ分析（例：記録が不完全な法人の特定）を可能にします。

統合ビューは、法人単位の記録に代わる法的なものではありませんが、ガバナンスと監督の目的に役立ちます。

グループ内のデータフロー

管理者から管理者への移転

あるグループ法人が個人データを別のグループ法人に移転し、双方が処理目的をそれぞれ決定する場合、これは管理者間の移転に該当し、次の対応が必要です。

• 法的根拠：開示のための第6条第1項の適法な根拠（通常は、グループ内のLIAを伴う第6条第1項(f)の正当な利益）
• 移転の仕組み：受領法人がEEA域外にある場合、適切な第V章の保護措置（SCC、BCR、十分性認定）
• RoPAへの記録：双方の法人が、それぞれのRoPAに移転を記録する必要があります。開示する法人は第30条第1項(d)に基づく受領者として、受領する法人はデータソースの記録として記載します。

例：

Helix Biotech Solutions GmbH（ドイツ）は、社内コミュニケーションのために従業員名簿データをHelix Biotech Solutions Inc.（米国）と共有します。

項目	GmbH（開示する管理者）	Inc.（受領する管理者）
目的	グループ内での従業員間の連携を可能にする	米国での事業運営のために従業員名簿を維持する
適法な根拠	第6条第1項(f) — 正当な利益（前文48：グループ内移転）	第6条第1項(f) — 正当な利益
RoPAの項目	第30条第1項(d)：受領者 = Helix Biotech Solutions Inc.；第30条第1項(e)：米国への移転	第30条第1項(c)：データソース = Helix Biotech Solutions GmbH
移転の仕組み	EU-US Data Privacy Framework（Inc.がDPF登録済みの場合）、またはEU SCC Module 1（管理者間）	—
LIA参照	LIA-2024-DIR-001	LIA-2024-DIR-002

管理者から処理者への移転（グループ内）

グループの共有サービスセンターが、別のグループ法人に代わってデータを処理する場合、両法人が同じ企業グループに属していても、管理者と処理者の関係になります。

• 第 28 条の DPA が必要：同じグループ内であっても、管理者である法人と処理者である法人との間でグループ内 DPA が必要です。
• RoPA の文書化：管理者である法人は、第 30 条第 1 項(d)に基づき、共有サービスセンターを処理者として記録します。共有サービスセンターは、第 30 条第 2 項(a)に基づく処理者の記録に、管理者である法人を記録します。

例：

Helix Shared Services B.V.（オランダ）は、グループ内のすべての法人の給与計算を処理します。

管理者である法人	DPA 参照番号	処理のカテゴリ	データのカテゴリ
Helix Biotech Solutions GmbH	DPA-IG-2024-SSC-DE-001	給与計算、税務申告、社会保障関連の申告	従業員の氏名、納税者番号、銀行口座、給与
Helix Biotech Solutions Ltd	DPA-IG-2024-SSC-UK-002	給与計算、HMRC への報告、年金拠出	従業員の氏名、NI 番号、銀行口座、給与
Helix Biotech Solutions Inc.	DPA-IG-2024-SSC-US-003	給与計算、IRS への報告、福利厚生の管理	従業員の氏名、SSN、銀行口座、給与

共同管理者の取り決め（第 26 条）

2 つ以上のグループ法人が、処理の目的と手段を共同で決定する場合、第 26 条に基づく共同管理者となります。

• 第 26 条の取り決めが必要：それぞれの責任を定める正式な取り決めが必要です。
• RoPA の文書化：各共同管理者は、第 30 条第 1 項(a)に基づき、第 26 条の取り決めを相互参照して、その取り決めを記録します。

例：

Helix Biotech Solutions GmbH と Helix Biotech Solutions Ltd は、多国間の臨床試験を共同で実施し、試験プロトコル、データ収集方法、分析の目的を共同で決定します。

項目	GmbH	Ltd
第 26 条の取り決め	JCA-2024-CT-001	JCA-2024-CT-001
責任	試験スポンサー、EMA への報告、EU 試験施設の管理	英国の試験施設の管理、MHRA への報告
データ主体の問い合わせ窓口	GmbH（第 26 条第 1 項に基づき指定）	GmbH（指定先）
RoPA 第 30 条第 1 項(a)	共同管理者：Helix Biotech Solutions Ltd、参照番号：JCA-2024-CT-001	共同管理者：Helix Biotech Solutions GmbH、参照番号：JCA-2024-CT-001

拘束的企業準則（BCR）とグループ RoPA

グループが第 47 条に基づく BCR の承認を受けている場合、RoPA の移転に関する項目（第 30 条第 1 項(e)）では、グループ内移転の移転メカニズムとして BCR を参照する必要があります。

移転	メカニズム	参照番号
GmbH から Ltd（英国）	英国の十分性認定（2021 年 6 月 28 日、延長済み）	該当なし（十分性認定）
GmbH から Inc.（米国）	BCR-C 参照番号：BCR-HELIX-2024-001（主務監督機関として BfDI が承認）	BCR-HELIX-2024-001
GmbH から S.A.S.（フランス）	EEA 域内 — 移転メカニズムは不要	該当なし
Shared Services B.V. から Inc.（米国）	BCR-P 参照番号：BCR-HELIX-2024-002（処理者向け BCR）	BCR-HELIX-2024-002

グループ RoPA のガバナンスモデル

集中型ガバナンスと各法人による実施

役割	対象範囲	責任を負う法人
グループ DPO	RoPA 全体のガバナンス、統合報告、グループレベルの基準	Helix Biotech Holdings SE（Dr. Elena Voss）
法人プライバシー責任者	法人レベルの RoPA の作成と維持	各子会社
共有サービスプライバシー責任者	すべての共有サービスに関する処理者 RoPA	Helix Shared Services B.V.
グループプライバシーアナリスト	統合ビューの管理、法人間のギャップ分析	Holdings SE

ガバナンスワークフロー

1. エンティティレベルでの作成：各エンティティのプライバシー責任者が、グループ基準に従ってエンティティレベルのRoPA記録を作成・維持します。
2. グループテンプレート：一貫性を確保するため、すべてのエンティティが同じRoPAテンプレートと項目定義を使用します。
3. 一元的な集約：エンティティレベルの記録を四半期ごとに集約し、グループの統合ビューにまとめます。
4. エンティティ横断レビュー：グループDPOが統合ビューを確認し、グループ内移転の網羅性、共同管理者の取り決めの一貫性、エンティティレベルの不足事項を特定します。
5. 取締役会への報告：グループDPOは、統合されたRoPAの指標を年次でHoldings SEの取締役会に報告します。

買収後の統合

新しいエンティティ（例：Helix Biotech Diagnostics S.A.S.）を買収した場合：

1. 直ちに（1日目）：買収したエンティティが既存のRoPAを保有しているか確認し、その形式、網羅性、品質を評価します。
2. 30日以内：グループRoPAテンプレートに照らしたギャップ分析を実施し、確立するグループ内データフローを特定します。
3. 60日以内：買収したエンティティのRoPAをグループテンプレートの形式に移行します。
4. 90日以内：共通サービスに関するグループ内DPAを締結し、両エンティティのRoPAにグループ内移転を記録します。
5. 6か月以内：グループの統合ビューおよび継続的なガバナンスサイクルに完全に組み込みます。

グループ構造におけるよくある落とし穴

1. グループで単一のRoPAを作成すれば、すべてのエンティティの要件を満たすと思い込むこと：各法人は、それぞれ独自の記録を持たなければなりません。グループレベルの統合ビューは、エンティティレベルの義務に代わるものではありません。

2. グループ内DPAの欠如：GDPRは、グループ内処理をArt. 28のDPA要件の適用除外としていません。子会社にITサービスを提供する持株会社は、DPAを締結しておく必要があります。

3. 文書化されていないグループ内移転：グループエンティティ間のデータフロー（共有ディレクトリ、統合人事システム、グループ全体の分析）は移転に該当し、Art. 30(1)(d)および(e)に従って記録しなければなりません。

4. エンティティの識別情報の不統一：異なるエンティティのRoPAで法人名ではなく商号を使用すると、監督当局の検査時に混乱を招きます。

5. 共同管理者の取り決めの欠如：2つのグループエンティティが処理目的を共同で決定する場合（例：2つの子会社が運営するグローバルマーケティングキャンペーン）、Art. 26に基づく取り決めが必要ですが、企業グループ内では見落とされることが少なくありません。

6. ワンストップショップに関する誤解：Art. 56に基づく主監督当局は、処理の大半が行われる場所ではなく、主たる事業所の所在地によって決まります。グループRoPAには、各エンティティの事業所と、越境処理を担当する主監督当局を明確に記載する必要があります。