人事責任者（CHRO）が見る GDPR と ISO 27701：従業員データ、越境移転、モニタリング

EU 子会社の従業員データを台湾本社の人事システムに送るのは、越境移転にあたりますか？

通常はあたります。欧州データ保護会議（EDPB）のガイドライン 05/2021 によれば、GDPR 第 5 章の「移転」は三つの条件をすべて満たすときに成立します。輸出者がその処理について GDPR の適用を受けること、輸出者が別の管理者または処理者に個人データを送信または提供すること、輸入者が第三国にあることです。同じグループの会社でも、それぞれ独立した管理者や処理者になり得ます。ガイドラインの例 9 は、EU 子会社が第三国の親会社にデータを提供する事例です。

台湾は現在 EU の十分性認定を受けていないため、保護措置を一つ選ぶ必要があります。

GDPR 第 88 条第 2 項も、加盟国の雇用ルールがグループ内の個人データ移転に特に配慮するよう求めています。台湾本社が管理者か処理者か、どの手段を選ぶかは、グループの構造に基づいて法律顧問が判断します。

台湾の従業員データを海外のクラウドに置いたり、海外の親会社に送ったりする場合、台湾の個人情報保護法はどう規律しますか？

台湾の個人情報保護法は、国際移転を「主管機関が制限できる」という仕組みにしています。現行の第 21 条は、非公務機関が個人データを国際移転する場合に、定められた事情のいずれかがあれば、中央の目的事業主管機関がこれを制限できるとしています。挙げられている事情には次のものがあります。

• 受領国に個人データ保護の十分な法規がなく、本人の権利を害するおそれがある
• 迂回した方法で第三国（地域）に個人データを移転し、本法を回避する

この権限による制限の例もあります。たとえば国家通訊伝播委員会の 2012 年の命令は、通信・放送事業者が利用者の個人データを中国大陸に移転することを禁じています。

人事がすべきことは三つです。自社の業種の主管機関に制限があるかを確認すること、移転の範囲を特定目的に必要な範囲内にとどめること（第 5 条）、処理活動の記録に移転先と目的を書くことです。2025 年 11 月 11 日公布の改正条文（第 21 条を含む）の施行日は行政院が定め、施行までは現行条文が適用されます。

従業員に個人データの同意書に署名してもらえば、従業員データを処理できますか？

同意書だけでは足りません。

• EU：GDPR 前文第 43 項は、データ主体と管理者の間に明らかな不均衡がある場合、同意を有効な法的根拠とすべきではないとしています。EDPB の同意に関するガイドライン 05/2020 はさらに、雇用関係から生じる従属性のため、雇用主が現在または将来の従業員の個人データを同意に基づいて処理することは問題があり、従業員が自由に同意できるのは、同意してもしなくても一切不利益がない例外的な場合に限られるとしています。
• 台湾：法務部の 2013 年 12 月 5 日付の書簡は、従業員の個人データ同意書について、まず就業服務法第 5 条第 2 項第 2 号に違反していないかを確認すべきで、書面の同意書だけを理由に免責されるものではないと述べています。また、個人情報保護法は一律に同意書への署名を義務づけているわけではないとも指摘しています。

実務では、従業員データの種類ごとに目的と根拠を書き出します。たとえば GDPR 第 88 条第 1 項に挙げられた採用、雇用契約の履行、職場の安全衛生などです。同意は、従業員が本当に自由に選べる項目に限ります。根拠が成り立つかは法律顧問が判断します。

従業員のモニタリング（メール、閲覧履歴、DLP、入退室カメラ）では何に注意すべきですか？

判断の枠組みは地域で異なります。

• EU：GDPR 第 88 条は、加盟国が法律または労働協約により雇用に関するより具体的なルールを定めることを認め、処理の透明性と職場のモニタリングシステムに特に配慮するよう求めています。欧州司法裁判所は 2023 年 3 月 30 日の C-34/21 判決で、第 88 条第 2 項の条件を満たさない国内規定は「より具体的なルール」にはならないと判断しました。したがって EU 子会社のモニタリングは、国ごとに現地のルールで判断します。
• 台湾：個人情報保護法第 5 条は、収集・処理・利用が特定目的に必要な範囲を超えず、収集目的と正当かつ合理的な関連を持つことを求めています。

導入前に、モニタリングの目的、対象者とデータの範囲、従業員への事前の告知方法、保存期間、閲覧できる人を書き出します。セキュリティと営業秘密保護に必要なログは、ISO 27001 のログ管理とルールを共有できます。データ保護影響評価（DPIA）が必要かどうかは法律顧問が判断します。

採用時に応募者にどんな情報を求められますか？身元調査、信用情報や犯罪歴は求められますか？

台湾ではまず就業服務法第 5 条第 2 項第 2 号を確認します。雇用主は、求職者や従業員の意思に反して、就業に必要でないプライバシー情報の提供を求めてはなりません。同法施行細則第 1 条の 1 は、プライバシー情報を求める場合、経済上の必要や公共の利益の維持などの特定目的に必要な範囲を超えてはならず、目的と正当かつ合理的な関連を持たなければならないとしています。法務部の 2013 年の書簡は、プライバシー情報には個人の生活情報、たとえば信用記録、犯罪記録、妊娠の予定、身元調査などが含まれると説明しています。

実務では：

• 履歴書、面接票、身元調査票の項目を一つずつ見直し、職務と関係のない項目を削る
• 特定の情報は本当に必要な職務に限って求め、その理由を書き残す
• 不採用者のデータの保存期間と廃棄期限を決める

応募者が EU にいる場合、GDPR 第 88 条第 1 項は採用を加盟国がより具体的なルールを定められる目的に挙げているため、現地のルールもあわせて確認します。個別の事案が違法かどうかは法律顧問が判断します。

取締役会と ESG 評価に対して、人事は何を示すべきですか？ISO 27701 に取り組む価値はありますか？

• ESG 評価 S-13（2026 年度・2027 年度で同じ文言）：会社が個人データ保護方針を定め、その内容と実施状況を開示しているか。従業員データの処理活動記録、越境移転の記録、モニタリングの告知、漏えい訓練の記録は、いずれも実施状況の裏付けになり得ます。評価対象は上場・店頭公開企業で、公開発行会社でない企業は対象外ですが、任意に参考にできます。
• ISO/IEC 27701:2025：2025 年 10 月 14 日に発行され、ISO 27001 がなくてもプライバシー情報マネジメントシステム（PIMS）を構築して認証を受けられます。顧客の監査や質問票に証拠で応えられるようになります。証明書は GDPR への法的な適合と同じではなく、第 27 条の EU 代理人、SCC のモジュール選択、DPIA が必須かどうかは、27701 が扱わない法的判断です。
• 期間（サービスページ記載）：GDPR の基本的な対応は通常 2〜3 か月、ISO 27701 の認証まで統合すると 5〜8 か月で、ISO 27001 を取得済みなら 3〜5 か月に短縮できます。

積穗科研は人事責任者の GDPR と ISO 27701 への対応をどう支援しますか？

以下は積穗科研自身の説明です。上の質問で、私たちも同じように確かめてください。

• 誰が担当するか：副社長・取締役クラスのコンサルタントが最初から最後まで自ら担当し、外注しません
• 従業員データの棚卸し：個人データの種類、取得元、目的、保存期間、共有先を洗い出し、GDPR の適用範囲と管理者・処理者の役割を判定します
• 一つの制度：ISO 27701 を骨格に、GDPR の各義務を対応する管理策に結び付け、台湾の個人情報保護法にも同時に対応します
• 越境移転：標準契約条項の審査、移転影響の評価、越境移転記録の整備を支援します
• 72 時間通報：個人データ漏えいの通報訓練と年次の見直しの仕組みを作ります
• 分担：法律意見は提携弁護士が出し、認証は第三者認証機関が行います。私たちは同行し、代わりに審査はしません
• 公開事例：個人データ保護支援の公開を承諾いただいた顧客には、金融聯合徵信中心、Lativ、卓元科健、超核心フィットネスセンターがあります

詳しく：GDPR 対応支援、ISO 27701 導入支援、GDPR コンサルタントの選び方、ISO 27701 の予算、CISO 向けページ