社長・CEO が見る GDPR と ISO 27701：制裁金、越境移転、責任者

当社は欧州に拠点がありません。GDPR は及びますか？社長・CEO はまず何を確認すべきですか？

EU に拠点のない台湾企業が GDPR の対象になるのは二つの場合だけです（第 3 条第 2 項）。EU 域内の人に商品やサービスを提供する場合と、EU 域内での行動をモニタリングする場合です。

社長・CEO は事業部門と法務に三点を確認させます。

1. どの事業が第 3 条第 2 項に当たるか：例えば EU 向け EC サイト、欧州顧客の会員システム。
2. 事業ラインごとの役割：管理者、共同管理者、処理者のどれか。義務が異なります（第 24、26、28 条）。判定を誤ると、文書と契約をすべてやり直すことになります。
3. EU 代理人の指定が必要か（第 27 条）。

結論は GDPR に詳しい法律顧問に確認してもらいます。

GDPR 違反の制裁金と賠償はどれほどですか？当局はどう金額を決めますか？

制裁金：最大 2,000 万ユーロまたは全世界年間売上高の 4% のいずれか高い額。欧州委員会の説明では、当局は違反の性質、重大性、期間、故意か過失か、本人の損害を軽減する措置を講じたか、協力の程度を考慮します。

賠償：本人は GDPR 違反による損害の賠償を請求できますが、欧州司法裁判所は 2023 年 5 月 4 日の判決で、GDPR 違反だけで当然に賠償請求権が生じるわけではなく、本人が実際の損害を証明する必要があるとしました。一方、非財産的損害は一定の重大性に達している必要はありません。

社長・CEO ができること：損害軽減措置と協力を記録で証明できるようにしておくことです。引当金の計上や偶発債務の開示が必要かは、監査法人と法律顧問が個別に判断します。

欧州子会社の社員データを台湾本社の人事システムに送っています。これは越境移転に当たりますか？

通常は当たります。欧州データ保護会議（EDPB）のガイドライン 05/2021 によれば、第 5 章の「移転」は三つの要件をすべて満たすものです。輸出者がその処理について GDPR の対象であること、輸出者が個人データを別の管理者または処理者に送信・提供すること、輸入者が第三国にあることです。同じグループの会社でもそれぞれ独立した管理者または処理者になりえ、グループ内の開示も移転に当たりえます。ガイドラインの例 9 は、EU 子会社が第三国の親会社にデータを提供するケースです。

台湾には現在 EU の十分性認定がないため、保護措置を選ぶ必要があります。

どれを使うかは、グループ構造に基づき法律顧問が判断します。

個人データが漏えいしたとき、72 時間以内に報告するかは誰が決めますか？社長・CEO の役割は？

GDPR 第 33 条により、管理者は漏えいを認識してから、リスクを生じる可能性が低い場合を除き、不当な遅滞なく、可能であれば 72 時間以内に監督機関へ通知します。EU に拠点のない会社にはワンストップショップがなく、複数の加盟国の監督機関に通知する必要が生じえます。

社長・CEO が事前に決めておくことは次のとおりです。

• 報告の要否を誰が判断するか：権限を誰に与え、夜間・休日は誰が代行するか
• 誰が送るか：通知内容と本人への説明を誰が承認するか
• 演習：72 時間の通知を実際に実行できるようにし、演習記録を残す

欧州委員会が 2025 年 11 月 19 日に提案したデジタル・オムニバスは、期限を 96 時間に延ばし報告の基準を引き上げる内容ですが、まだ立法手続き中で、現行は 72 時間です。

ISO 27701 に投資する価値はありますか？顧客や ESG 評価にどう役立ちますか？

ISO/IEC 27701:2025 は 2025 年 10 月 14 日に発行され、ISO 27001 がなくてもプライバシー情報マネジメントシステム（PIMS）を構築・認証できるようになりました。価値は、GDPR の義務を監査可能なマネジメントシステムにし、顧客監査やアンケートに証跡で回答できることです。

認証の限界：ISO 27701 の認証は GDPR への法的な適合ではありません。第 27 条の EU 代理人、SCC モジュールの選択、DPIA が必須かどうかは、27701 が扱わない法的判断です。

上場・店頭登録会社については、台湾証券取引所 ESG 評価の S-13 が「個人情報保護方針を定め、その内容と実施状況を開示しているか」を見ます。ESG 評価の対象は上場・店頭登録会社で、非公開発行会社はこの規範の対象外ですが、任意で参考にできます。

サービスページ記載の期間：GDPR の基礎対応は通常 2〜3 か月、ISO 27701 認証と統合すると 5〜8 か月、27001 があれば 3〜5 か月に短縮できます。

GDPR と台湾の個人情報保護法で二つの制度が必要ですか？

必要ありません。ISO 27701 のプライバシー情報マネジメントシステムを枠組みにすれば、一つの制度で GDPR と台湾の個人情報保護法の両方に対応できます。

• 処理活動の記録：GDPR 第 30 条に基づいて作成し、台湾の個人情報保護法上の収集・処理・利用にも対応させます。
• 特定目的と法的根拠：台湾の個人情報保護法第 19 条・第 20 条は収集・処理・利用に特定目的と法的根拠を求めており、GDPR の適法性の根拠と同じ棚卸しで記録できます。
• 漏えい報告：一つの対応手順に、GDPR の 72 時間と他の適用される報告要求を並べます。

注意点：台湾の個人情報保護法で 2025 年 11 月 11 日に公布された一部改正条文は、施行日を行政院が定めることになっており、施行前は発効済みの義務として計画すべきではありません。

積穗科研は社長・CEO の GDPR と ISO 27701 への対応をどう支援しますか？

副社長・取締役クラスのコンサルタントが外注せず最初から最後まで自ら支援します。

• 適用範囲と役割：個人データの種類、取得元、目的、保存期間、共有先を棚卸しし、GDPR の適用範囲と管理者・処理者の役割を判定します。
• 一つの制度：ISO 27701 を骨格とし、GDPR の各義務を対応する管理策に結びつけ、台湾の個人情報保護法にも対応させます。
• 越境移転：標準契約条項の確認、移転影響評価、越境移転記録の整備を支援します。
• 72 時間報告：漏えい通知の演習と年次見直しの仕組みを整えます。
• 実名の支援実績：顧客の許諾を得て公開している個人情報保護の支援先は、金融聯合徵信中心、Lativ、卓元科健、超核心フィットネスセンターです（超核心の事例全文）。

関連情報：GDPR 対応支援、ISO 27701 導入支援、GDPR コンサルタントの選び方、ISO 27701 の予算。

無料のメカニズム診断を申し込む