right-to-erasure

消去権ワークフローの実施

概要

GDPR 第 17 条に基づく消去権により、データ主体は自身の個人データの削除を請求できます。この権利は絶対的なものではなく、消去の特定の根拠と一連の例外が適用されます。このスキルでは、消去請求の受領、評価、実行、確認に関する完全な運用手順を説明します。

法的根拠

GDPR 第 17 条 — 消去権（「忘れられる権利」）

第 17 条第 1 項に基づく消去の 6 つの根拠

次のいずれかの根拠が該当する場合、データ主体は消去を求める権利を有します。

1. 第 17 条第 1 項（a） — 目的の達成：個人データが、収集またはその他の方法で処理された目的との関係で不要になった場合。
2. 第 17 条第 1 項（b） — 同意の撤回：データ主体が、第 6 条第 1 項（a）または第 9 条第 2 項（a）に基づく処理の根拠となる同意を撤回し、かつ、その処理に他の法的根拠がない場合。
3. 第 17 条第 1 項（c） — 異議申立ての認容：データ主体が第 21 条第 1 項に基づき異議を申し立て、処理を優先する正当な根拠がない場合、またはデータ主体が第 21 条第 2 項に基づきダイレクトマーケティングを目的とする処理に異議を申し立てた場合。
4. 第 17 条第 1 項（d） — 違法な処理：個人データが違法に処理された場合。
5. 第 17 条第 1 項（e） — 法的義務：管理者が従うべき連合または加盟国の法令に基づく法的義務を遵守するために、個人データを消去する必要がある場合。
6. 第 17 条第 1 項（f） — 子どものデータ（情報社会サービス）：第 8 条第 1 項に規定する情報社会サービスの提供に関連して個人データが収集された場合。

第 17 条第 3 項に基づく 5 つの例外

処理が次の目的で必要な範囲では、消去は適用されません。

1. 第 17 条第 3 項（a） — 表現および情報の自由：表現および情報の自由の権利を行使するため。
2. 第 17 条第 3 項（b） — 法的義務：管理者が従うべき連合または加盟国の法令により処理が求められる法的義務の遵守、または公共の利益のため、もしくは管理者に付与された公的権限の行使において遂行される任務の実施のため。
3. 第 17 条第 3 項（c） — 公衆衛生：第 9 条第 2 項（h）および（i）、ならびに第 9 条第 3 項に従った、公衆衛生の分野における公共の利益のため。
4. 第 17 条第 3 項（d） — アーカイブ／研究：公共の利益におけるアーカイブ目的、科学的もしくは歴史的研究目的、または第 89 条第 1 項に従った統計目的のため。ただし、消去権を認めることで、当該処理の目的の達成が不可能になる、または著しく損なわれるおそれがある範囲に限ります。
5. 第 17 条第 3 項（e） — 法的請求：法的請求の確立、行使、または防御のため。

GDPR 第 19 条 — 通知義務

管理者は、個人データの消去について、その個人データが開示された各受領者に通知しなければなりません。ただし、それが不可能である場合、または過度の労力を要する場合を除きます。データ主体から請求があった場合、管理者は当該受領者についてデータ主体に通知しなければなりません。

消去処理ワークフロー

ステップ 1：消去請求を受領して記録する

1. 一意の参照番号（形式：ERA-YYYY-NNNN）を付けて請求を記録します。
2. 請求の受付経路、タイムスタンプ（UTC）、請求者の本人確認情報を記録します。
3. 3 営業日以内に受領確認を送信します。
4. DSAR 処理と同じ段階的なアプローチ（低／中／高リスク）を使用して本人確認を行います。

ステップ 2：消去の根拠を特定する

1. 請求を確認し、データ主体が第 17 条第 1 項（a）～（f）の 6 つの根拠のうち、どれを主張しているかを判断します。
2. データ主体が根拠を明示していない場合は、事実に基づいて該当する根拠を評価します。
3. 特定した根拠を処理記録に記録します。

ステップ 3：適用される例外を確認する

特定した各根拠について、Art. 17(3)(a)-(e) に定められた 5 つの例外のいずれかが適用されるかを評価します。

例外	評価の質問	Meridian Analytics Ltd における一般的なケース
表現の自由 (a)	このデータは、ジャーナリズムまたは公共の議論の一環として公開されていますか？	公開済みの調査レポート、一般公開の分析
法的義務 (b)	法令により保存要件が定められていますか？	Companies Act 2006 に基づく財務記録（6 年）、HMRC の要件に基づく税務記録（6 年）、MLR 2017 に基づくマネーロンダリング対策記録（5 年）
公衆衛生 (c)	このデータは公衆衛生上の目的に必要ですか？	該当するケースはまれです。健康データの処理者に適用されます
アーカイブ／研究 (d)	消去によって研究が不可能になるか、著しく損なわれますか？	公開済みの研究で使用される匿名化データセット
法的請求 (e)	このデータに関連する係争中または予想される法的手続きがありますか？	進行中の紛争、規制当局の調査、訴訟に関する保全対象データ

ステップ 4：削除と匿名化の判断ツリー

[Erasure Ground Established & No Exception Applies]
         │
         ▼
[Can data be permanently deleted from all systems?]
   │
   ├── Yes ──► [PERMANENT DELETION]
   │            - Remove from primary databases
   │            - Remove from backup systems within next backup cycle
   │            - Remove from third-party processors (Art. 19)
   │            - Purge from caches, logs, and temporary storage
   │            - Verify deletion across all systems
   │
   └── No ──► [Assess why deletion is not possible]
               │
               ├── Technical constraint (embedded in backup tapes)
               │     └── [ANONYMIZE + schedule deletion at next backup rotation]
               │         [Maximum retention of backup: 90 days at Meridian Analytics Ltd]
               │
               ├── Partial exception applies (some data needed for legal obligation)
               │     └── [PARTIAL DELETION + ANONYMIZATION]
               │         [Delete data not subject to exception]
               │         [Retain excepted data with restricted access]
               │         [Anonymize where possible]
               │
               └── Data is intermingled with other subjects' data
                     └── [TARGETED ANONYMIZATION]
                         [Replace identifiers with irreversible pseudonyms]
                         [Remove all direct identifiers]
                         [Verify re-identification risk < 0.05%]

ステップ 5：消去を実施する

1. 主要システム：特定したすべてのデータストアで、削除クエリ／コマンドを実行します。
2. バックアップシステム：次回のバックアップローテーションサイクルでデータが削除されるように指定します（完了予定日を記録してください。最長 90 日）。
3. サードパーティの処理者：Art. 28 の契約に基づき、すべての処理者に消去の指示を出します。指示日を記録し、完了確認を依頼します。
4. キャッシュと一時ストレージ：アプリケーションキャッシュ、CDN キャッシュ、一時ファイルを消去します。
5. 検索エンジンのインデックス削除：個人データが公開されていた場合（Art. 17(2)）、検索エンジンにインデックス削除を申請します。

ステップ 6：サードパーティの受領者に通知する（Art. 19）

1. 個人データの開示先となったすべての受領者を特定します（Art. 30 の処理記録を参照してください）。
2. 各受領者に消去通知を送り、以下を記載します。
   • データ主体の参照情報（匿名化済み）
   • 消去対象となる具体的なデータ
   • 消去依頼の法的根拠
   • 消去完了の確認期限（14 暦日）
3. 各通知と受領者からの確認を記録します。
4. データ主体から依頼があった場合は、通知した受領者の一覧を提供します。

ステップ 7：確認して回答する

1. すべてのシステムで検証を実施し、データが消去または匿名化されたことを確認します。
2. すべてのサードパーティの処理者から確認を取得します。
3. 消去完了記録を作成します。
4. 30 日間の回答期限内にデータ主体へ確認を送り、以下を記載します。
   • 消去が完了したことの確認
   • 適用された例外（該当する場合）とその法的根拠
   • バックアップシステムでの消去完了予定日（該当する場合）
   • 通知したサードパーティの一覧（依頼があった場合）

ステップ 8：記録の保存

1. 消去処理記録（依頼の詳細、評価、実行ログ、確認）を 3 年間保存します。
2. 記録には、消去した個人データ自体を含めてはなりません。消去プロセスに関するメタデータのみを記録します。
3. 適切な場合は、同一人物からの今後の依頼を識別し、データの再収集を防止するために必要最小限の識別情報を含む抑止記録を保存します。

回答期限

• 標準期限：受領日（または本人確認日）から 30 暦日。
• 延長：複雑な依頼の場合、さらに最大 60 日間延長できます（Art. 12(3)）。その場合は、最初の 30 日間の期間内にデータ主体へ通知します。
• バックアップの消去：次回の完全なバックアップローテーションサイクル内に完了する必要があります（Meridian Analytics Ltd では最長 90 日）。回答にもその旨を記録します。