right-to-rectification

訂正権への対応

概要

GDPR 第16条に基づく訂正権により、データ主体は、不正確な個人データを不当な遅延なく訂正すること、および不完全な個人データを補完することを求める権利を有します。このスキルでは、訂正請求の受領、確認、実施、完了確認に関する一連のワークフローを説明します。

法的根拠

GDPR 第16条 — 訂正権

データ主体は、管理者に対し、自身に関する不正確な個人データを不当な遅延なく訂正するよう求める権利を有します。データ主体は、処理の目的を考慮したうえで、補足説明を提出する方法を含め、不完全な個人データを補完する権利を有します。

GDPR 第19条 — 通知義務

管理者は、これが不可能である場合、または過度の負担を伴う場合を除き、個人データの開示先である各受領者に、訂正内容を通知するものとします。データ主体から求められた場合、管理者は当該受領者についてデータ主体に通知するものとします。

GDPR 第5条(1)(d) — 正確性の原則

個人データは正確であり、必要に応じて最新の状態に保たれなければなりません。処理の目的を考慮し、不正確な個人データが遅滞なく消去または訂正されるよう、あらゆる合理的な措置を講じなければなりません。

訂正処理ワークフロー

ステップ 1：請求を受領して記録する

1. 参照番号 REC-YYYY-NNNN を付けて請求を記録します。
2. データ主体が不正確または不完全だと主張する具体的なデータを記録します。
3. データ主体が正しい、または完全であると主張するデータの内容を記録します。
4. 提出された裏付け資料を記録します。
5. 3 営業日以内に受領確認を送信します。
6. 段階的な本人確認を使用して身元を確認します。

ステップ 2：影響を受けるデータを特定する

1. すべてのシステムで、不正確だと指摘された具体的なデータ項目を特定します。
   • CRM および顧客データベース
   • マーケティングプラットフォーム
   • 分析システム
   • サードパーティの処理者
   • バックアップシステム
2. 各データ項目の現在の値を記録します。
3. 各項目について、求められている訂正内容を記録します。

ステップ 3：訂正内容を確認する

訂正には 2 種類あり、それぞれ異なる確認が必要です。

タイプ A：不正確なデータの訂正

データカテゴリ	確認方法	例
氏名／綴り	疑う理由がない限り、データ主体の申告を受け入れます	データ主体が氏名は「McLeod」ではなく「MacLeod」だと申告した場合、受け入れます
生年月日	証明書類（パスポート、出生証明書）を求めます	データ主体が正しい生年月日を示すパスポートのスキャンを提出します
住所	現住所についてはデータ主体の申告を受け入れます。過去の住所は、関連がある場合、郵便記録と照合します	データ主体が確認書類として公共料金の請求書を提出します
雇用情報	データ主体の申告を受け入れるか、本人の同意を得たうえで雇用主に確認します	データ主体が正しい役職を申告します
財務データ	元の記録（銀行取引明細、請求書）と照合します	決済処理業者の記録と相互参照します
技術データ（IP、デバイス）	訂正が事実上可能かを評価します。これらはシステムによって生成された観測情報です	システムログに IP X が記録されている場合、ログ記録の誤りがない限り、訂正は適切でない可能性があります

タイプ B：不完全なデータの補完

1. 追加データが処理目的に関連するかどうかを評価します。
2. 関連する場合は、補足データを追加します。
3. 関連しない場合（つまり、追加データがいずれの処理目的にも必要ない場合）、管理者は追加を拒否できますが、その理由をデータ主体に通知する必要があります。

ステップ 4：判断

シナリオ	対応
検証により不正確であることが確認された場合	すべてのシステムのデータを訂正します
検証しても結論が出ない場合	調査を続けながら、第 18 条第 1 項（a）に基づく制限を適用します
検証によりデータが正確であることが確認された場合	データが正確であることを確認した旨を本人に通知し、本人の異議を記録したうえで、補足説明を追加する権利を案内します
補完の請求が関連性を有する場合	補足データを追加します
補完の請求が処理目的に関連しない場合	理由を説明して拒否します

ステップ 5：訂正を実施する

1. すべての主要システムのデータを同時に更新します（または、技術的に可能な限り同時に更新します）。
2. 不正確なデータを含む派生データやレポートも更新します。
3. バックアップシステム内のデータに、次回のローテーション時に訂正するためのフラグを付けます。
4. 以下を記録します：
   • 元の値
   • 訂正後の値
   • 訂正日
   • 更新したシステム
   • 変更を実施した担当者

ステップ 6：第 19 条に基づき受領者に通知する

1. 不正確なデータを受け取ったすべての受領者を特定します（第 30 条の記録を参照）。
2. 各受領者に訂正通知を送信します：
   • 訂正した具体的なデータ（可能な場合は本人の身元を開示せずに）
   • 訂正後の値
   • それに応じて記録を更新するよう求める指示
   • 14 日以内の確認期限
3. すべての通知と確認を記録します。

ステップ 7：データ主体に確認を通知する

30 日間の回答期限内に、以下を含む確認を送信します：

• 訂正した具体的なデータ項目
• 現在保有している訂正後の値
• すべてのシステムが更新されたことの確認
• バックアップシステムの訂正完了予定日（該当する場合）
• 通知した第三者の受領者一覧（本人から請求があった場合）
• 訂正の一部を拒否した場合は、その理由および本人の苦情申立て権

回答期限

• 標準期限：請求を受領してから暦日で 30 日。
• 延長：複雑な案件の場合、最大 60 日間の延長が可能です（第 12 条第 3 項）。
• 実施目標：正式な回答を準備中であっても、検証結果の決定から 5 営業日以内に主要システムへ訂正を適用します。