law-gdpr-pdpa

データプライバシーコンプライアンス（GDPRおよび台湾PDPA）

概要

データプライバシー法は、組織による個人データの収集、処理、保存、共有の方法を規定します。GDPR（EU）は世界的な基準であり、台湾のPDPA（個人資料保護法）は台湾国内に適用されます。どちらも基本原則は共通していますが、適用範囲、執行、具体的な要件は異なります。

フレームワーク

IRON LAW: No Collection Without Legal Basis

You CANNOT collect or process personal data just because you want to.
Every data processing activity requires a legal basis:
- GDPR: 6 legal bases (consent, contract, legal obligation, vital interests, public task, legitimate interests)
- Taiwan PDPA: Specific purposes listed in the act, with consent as primary basis

"We need this data for analytics" is NOT a legal basis.

GDPRと台湾PDPAの比較

項目	GDPR	台湾PDPA
適用範囲	EU居住者のデータを処理するすべての組織	台湾で個人データを処理するすべての組織
法的根拠	定められた6つの根拠	同意を中心とし、特定の目的に限定
同意の基準	自由意思に基づき、具体的で、十分な情報に基づき、曖昧さがなく、オプトイン方式	機微なデータには書面による同意が必要。機微でないデータは黙示の同意が認められる場合がある
データ主体の権利	アクセス、訂正、消去、ポータビリティ、処理の制限、異議申し立て	アクセス、訂正、削除、処理の停止
越境移転	十分性認定、SCC、BCR	中央当局の承認または十分な保護が必要
データ侵害の通知	72時間以内に当局へ通知	当局への報告と、影響を受ける個人への「遅滞なく」通知
罰則	最大2,000万ユーロまたは全世界売上高の4％	違反ごとに最大NT$500K（刑事罰が科される場合あり）
DPOの任命は必要か	はい（特定の場合）	明示的な義務なし

コンプライアンス評価の手順

1. データインベントリ：どのような個人データを収集、処理、保存していますか？
2. 法的根拠の監査：各処理活動は、どの法的根拠によって正当化されますか？
3. 目的の限定：データは明示した目的に限って使用されていますか？
4. データの最小化：必要なデータのみを収集していますか？
5. 保存期間の限定：データはどのくらいの期間保存されますか？削除ポリシーはありますか？
6. セキュリティ対策：適切な技術的・組織的対策を講じていますか？
7. 権利への対応：データ主体の権利に関する請求に対応できますか？
8. 越境移転：データは管轄区域の外に移転されますか？どのような仕組みに基づいていますか？
9. 侵害への対応：データ侵害の通知手順はありますか？

出力形式

# Privacy Compliance Assessment: {Organization}

## Data Inventory
| Data Category | Types | Legal Basis | Purpose | Retention |
|-------------|-------|-------------|---------|-----------|
| {category} | {specific fields} | {basis} | {why collected} | {period} |

## Compliance Gaps
| Requirement | Status | Gap | Priority |
|------------|--------|-----|----------|
| Legal basis | ✓/✗ | {detail} | H/M/L |
| Consent mechanism | ✓/✗ | ... | ... |
| Data subject rights | ✓/✗ | ... | ... |
| Breach notification | ✓/✗ | ... | ... |
| Cross-border transfer | ✓/✗ | ... | ... |

## Remediation Plan
1. {action} — priority: {H/M/L} — timeline: {X weeks}

例

正しい適用例

シナリオ： EUの顧客にも販売する台湾のECサイトのプライバシー評価

• 適用対象：台湾の顧客にはPDPA、EUの顧客にはGDPRの両方が適用されます
• 判明した不備：Cookieの同意バナーに「このサイトを利用するとCookieに同意したものとみなされます」とだけ記載 → GDPRの要件を満たしません（自由意思に基づかず、具体的でなく、必須でないCookieをオプトアウトできない）。マーケティングCookieはオプトインとする、詳細なCookie同意機能を実装する必要があります ✓
• 判明した不備：越境移転の仕組みを設けずに、顧客データを中国の物流パートナーと共有 → GDPR（十分性認定／SCCがない）とPDPA（当局の承認がない）の両方に違反します

誤った適用例

• 「台湾の会社なので、GDPRは適用されません」 → GDPRは、組織の所在地に関係なく、EU居住者のデータを処理するすべての組織に適用されます。EUの顧客に販売する場合、またはEUユーザーの行動を監視する場合は、GDPRが適用されます。

注意点

• 同意が常に最適な法的根拠とは限りません：GDPRでは、一部の処理（不正防止など）において、同意よりも「正当な利益」のほうが適切な場合があります。同意は撤回できるため、運用が複雑になる可能性があります。
• 「匿名」データが実際には匿名ではない場合があります：他のデータセットと組み合わせることで再識別できる場合、そのデータは匿名ではなく仮名化されており、引き続きプライバシー法の対象となります。
• 台湾のPDPAは公的部門と民間部門の両方を対象とします：主に民間部門を対象とするGDPRとは異なり、PDPAは政府機関にも適用されます。
• 後付けではなく、設計段階からプライバシーを考慮します：GDPRとベストプラクティスのどちらも、プライバシーを後から付け加えるのではなく、システムの設計段階で考慮することを求めています。
• これは教育目的のガイダンスであり、法律上の助言ではありません：プライバシーコンプライアンスには、適用される管轄区域に精通した、資格を持つデータ保護の専門家が必要です。

参考資料

• GDPR の条文ごとの参照資料については、references/gdpr-articles.md をご覧ください
• 台湾の PDPA 実装ガイドについては、references/taiwan-pdpa.md をご覧ください