privacy-compliance

グローバルなプライバシー規制の動向

EU 一般データ保護規則（GDPR）

適用範囲：処理を行う主体の所在地を問わず、EU／EEA 内に所在する個人の個人データの処理を規制します。

社内法務チームの主な義務：

• 法的根拠の記録：すべての処理活動は、認められた6つの根拠のいずれかに基づく必要があります。すなわち、同意、契約上の必要性、正当な利益、法的義務、重大な利益の保護、または公的機関の任務です
• 個人の権利への対応：アクセス、訂正、削除、データポータビリティ、処理の制限、異議申し立ての請求には、1暦月以内に対応する必要があります。特に複雑な請求については、2か月の延長が認められます
• 影響評価（DPIA）：処理によって個人に高いリスクが生じると予想される場合、実施が義務付けられます
• インシデント報告：個人データ侵害を検知してから72時間以内に、管轄の監督機関へ通知する必要があります。侵害によって高いリスクが生じる場合は、影響を受ける個人にも速やかに通知する必要があります
• 処理活動の記録：第30条で定められた処理活動の記録を維持します
• 越境移転の保護措置：EEA 域外への移転には、標準契約条項、十分性認定、または拘束的企業準則などの有効な仕組みが必要です
• データ保護責任者：特定の状況で任命が義務付けられます。公的機関、機微なカテゴリーのデータを大規模に処理する組織、または大規模な体系的監視を行う組織が該当します

社内チームが関与することの多い業務：

• ベンダーの DPA が規制要件に適合しているか評価する
• プライバシー・バイ・デザインの組み込みについて、製品チームに助言する
• 監督機関との連絡を管理する
• 移転の仕組みを維持し、更新する
• 同意フローとプライバシーに関する開示を確認する

カリフォルニア州 CCPA／CPRA

適用範囲：カリフォルニア州の住民の個人情報を取り扱い、所定の売上高、データ量、またはデータの収益化に関する基準を満たす企業に適用されます。

主な義務：

• 開示請求権：個人は、収集、使用、開示された個人情報の全容を請求できます
• 削除請求権：個人は、自身の個人情報の消去を求めることができます
• オプトアウト権：個人は、自身の個人情報の販売または共有を禁止できます
• 訂正請求権：個人は、不正確な記録の修正を求めることができます（CPRA により追加）
• 機微なデータの利用制限：個人は、機微な個人情報の利用を列挙された目的に制限できます（CPRA により追加）
• 平等な取り扱い：組織は、法定の権利を行使した個人に不利益を与えてはなりません
• 収集時の通知：収集するカテゴリーとその目的を詳述したプライバシーに関する開示を、収集時点またはそれ以前に提供する必要があります
• ベンダーとの契約：サービスプロバイダーとの契約では、個人情報の利用を指定された業務機能に限定する必要があります

対応期限：

• 受領の確認：10営業日以内
• 実質的な回答の提供：45暦日以内。通知により45日の延長が可能です

追加で対象とする法域

枠組み	地域	特徴
LGPD	ブラジル	GDPRを緊密にモデルとしており、DPOの任命が必須で、ANPDが執行します
POPIA	南アフリカ	Information Regulatorが監督し、処理の登録が必要です
PIPEDA	カナダ（連邦）	同意を重視するモデルで、OPCが監督し、近代化が進められています
PDPA	シンガポール	Do Not Call登録簿を含み、侵害の通知が必須で、PDPCが執行します
Privacy Act	オーストラリア	Australian Privacy Principles（APPs）と、通知対象となるデータ侵害の制度が定められています
PIPL	中国	厳格な越境移転要件、データの国内保存義務があり、CACが監督します
UK GDPR	英国	Brexit後の適応版で、ICOが監督します。実質的にはEU GDPRと同等ですが、英国固有の十分性認定の枠組みがあります

データ処理契約のレビュー

DPAまたはデータ処理に関する補足条項を評価する際は、以下の要素が含まれているか、またその内容が適切かを確認してください。

必須項目（GDPR第28条に基づく）

• 処理の範囲と期間：対象事項、期間、範囲が明確に定められていること
• 処理活動：実施する処理とその業務上の目的が具体的に記載されていること
• データのカテゴリー：対象となる個人データの種類が列挙されていること
• データ主体の属性：誰のデータが処理されるかが特定されていること
• 管理者の権限：管理者の指示権限と監督権が明記されていること

処理者の確約事項

• 指示の遵守：適用法によって別段の定めがある場合を除き、処理者は、文書化された管理者の指示のみに基づいて行動することを約束する
• 担当者の守秘義務：個人データの取り扱いを許可されたすべての者が、拘束力のある守秘義務を負っていること
• セキュリティ対策：第32条の基準を参照し、適切な技術的・組織的保護措置を記載していること
• 再処理の管理：
  • 事前の書面による承認（包括的または個別）の要件
  • 包括的な承認の場合、再処理者の変更を事前に通知し、実質的な異議申し立て期間を設けること
  • 再処理者が、同等の義務を契約上負うこと
  • 再処理者の行為について、処理者が引き続き責任を負うこと
• 権利請求への対応支援：処理者が、個人の権利の履行に関して管理者を支援することを約束する
• インシデントおよび評価への支援：処理者が、セキュリティコンプライアンス、侵害報告、影響評価、事前協議について支援を提供する
• 契約終了時のデータ取り扱い：契約終了時に、管理者の選択に従ってすべての個人データを削除または返却し、法律で保存が義務付けられている場合を除き、残存するコピーを破棄する
• 検証権：管理者が監査・検査を行う権利、または独立した第三者の監査報告書を受け入れる権利を有する
• 侵害の通知：処理者は、不当な遅延なく、できれば24～48時間以内に個人データ侵害を報告し、管理者が規制上の72時間の期限を守れるようにする

国際移転に関する条項

• 移転メカニズムの明記：SCC、十分性認定、拘束的企業準則、その他の認められた保護措置が特定されていること
• SCCのバージョン：該当する場合、現行のEU SCC（2021年6月採択）が使用されていること
• モジュールの選択：関係に応じた適切なSCCモジュール（管理者から処理者、管理者から管理者、処理者から処理者、処理者から管理者）が選択されていること
• 移転リスク評価：十分性認定がない移転先について、評価が完了していること
• 補完的な保護措置：移転リスク評価で明らかになった不足に対処する技術的、組織的、または契約上の措置
• 英国への対応：英国の個人データが対象に含まれる場合、UK International Data Transfer Addendumが添付されていること

運用上の整合性

• 責任の調整：DPA の責任条項が基本サービス契約と整合しており、これを損なわないこと
• 契約期間の同期：DPA の期間が基礎となるサービス契約と一致していること
• 地理的な具体性：処理場所が列挙され、許容可能であること
• セキュリティ認証：関連する基準または保証（SOC 2 Type II、ISO 27001 など）が必要とされていること
• リスク移転：データ処理活動に対する十分な保険補償が確認されていること

DPA に繰り返し見られる弱点

弱点	リスク	推奨される立場
通知なしの包括的な再処理者の承認	処理チェーンに対する管理者の監督権限が弱まります	事前通知と異議を申し立てる権利を義務付けます
侵害通知の期限が72時間を超えている	管理者が規制上の報告期限に間に合わない可能性があります	通知期限を24～48時間に設定します
監査権が第三者レポートのみに限定されている	直接検証する手段がありません	SOC 2 Type II を最低要件として受け入れ、理由がある場合は直接監査を認めます
データ削除の期限が定められていない	契約終了後もデータが無期限に残る可能性があります	契約終了後30～90日以内の削除を義務付けます
処理場所が開示されていない	通知なしにデータがあらゆる法域へ移転される可能性があります	すべての処理場所の列挙を義務付けます
旧版の SCC が引き続き参照されている	移転の仕組みが法的に無効となる可能性があります	現行の2021年版 EU SCC の使用を義務付けます

個人の権利請求の管理

受付手順

個人の権利請求を受け付けた場合：

1. 請求を分類します：

   • アクセス（本人の個人データのコピーを提供する）
   • 訂正（不正確な記録を修正する）
   • 消去（個人データを削除する。「忘れられる権利」）
   • 処理の制限（特定の利用を一時停止する）
   • データポータビリティ（構造化され、機械可読な形式でデータを提供する）
   • 異議申し立て（特定の処理活動に異議を唱える）
   • 販売／共有のオプトアウト（CCPA/CPRA）
   • 機微データの利用制限（CPRA）

2. 適用法を特定します：

   • 個人はどこに居住していますか？
   • 組織の地理的な事業展開と活動を踏まえて、どの法令が適用されますか？
   • どのような具体的な手続き要件と期限が適用されますか？

3. 請求者を本人確認します：

   • 相応の確認措置を通じて、個人の身元を確認します
   • 確認の厳格さを、対象となるデータの機微性に応じて調整します
   • 権利行使の障壁となり得る、過度な証明を求めないようにします

4. 請求を記録します：

   • 受領日
   • 請求の分類
   • 請求者の身元
   • 適用される法令
   • 回答期限
   • 担当チームメンバー

法定期限

法令	受領確認の初回連絡	全面的な回答	利用可能な延長
GDPR	ベストプラクティス：速やかに	暦日で30日	通知により＋60日
CCPA/CPRA	営業日で10日	暦日で45日	通知により＋45日
UK GDPR	ベストプラクティス：速やかに	暦日で30日	通知により＋60日
LGPD	規定なし	暦日で15日	延長の選択肢は限定的

履行を拒否または制限する根拠

請求に対応する前に、認められた例外が適用されるかどうかを評価します：

広く認められている例外：

• 法的請求の提起、行使、または防御
• 法律または規制により義務付けられた保持
• 公益、または公的職務の遂行
• 表現および情報の自由（消去の場合）
• 公益目的のアーカイブ、科学研究、または歴史研究

組織固有の要因：

• 係争中の訴訟保全措置：法的保全の対象となっているデータは破棄できません
• 規制上の保存期間：財務記録、雇用ファイル、その他の分類には、最低保存期間が定められている場合があります
• 第三者の権利：請求への対応が、別の個人の権利または自由に悪影響を及ぼす可能性があります

履行ワークフロー

1. 組織内のシステム全体から、請求者に関するすべての個人データを特定します
2. 該当する例外を評価し、記録します
3. 回答を準備します。請求に応じるか、応じられない理由（全部または一部）を明確に説明します
4. 全部または一部を拒否する場合は、正確な法的根拠を示します
5. 関連する監督機関に苦情を申し立てる権利があることを請求者に伝えます
6. 請求、回答、および根拠となる理由を完全に記録し、保管します

規制の変更に関する最新情報の把握

監視する分野

以下を継続的に監視します。

• 監督機関の公表情報：ICO、CNIL、FTC、州の司法長官、および同等の機関による新規または改訂されたガイダンス
• 執行活動：規制上の優先事項や基準を明らかにする制裁、命令、和解
• 立法の動向：新たなプライバシー法の制定、既存法の改正、施行規則
• 技術標準の進展：ISO 27001、SOC 2、NIST フレームワーク、および業界固有の要件の改訂
• 移転メカニズムの動向：新たな十分性認定決定やその撤回、SCC の変更、データローカライゼーションの義務

実践的な監視方法

1. 公式チャネル：規制当局のメール通知、RSS フィード、官報の正式な告示を購読します
2. 法的分析：新たな動向を解説する、信頼できるプライバシー法関連の出版物を確認します
3. 業界団体：業界に合わせたガイダンスを得るため、業界団体や業界グループからの情報を監視します
4. コンプライアンスカレンダー：既知の施行日、届出期限、コンプライアンスの節目を時系列で管理します
5. チームへの共有：組織のデータ処理活動に影響する動向について、法務チームに定期的に説明します

エスカレーションが必要な場合

以下の場合は、規制上の動向についてシニアカウンセルまたは経営陣に報告します。

• 新たな法律やガイダンスが組織の主要なデータ処理活動に直接影響する場合
• 組織の業界における執行措置が、規制当局の関心の高まりを示している場合
• 迫りつつあるコンプライアンス期限に対応するため、運用上または技術上の変更が必要な場合
• 組織が依存する移転メカニズムが法的な異議申し立てや無効化に直面している場合
• 監督機関が組織に関する正式な照会または調査を開始した場合