CISO が見る ISO 27701 と GDPR：越境データ、従業員データ、72 時間報告をどう管理するか

多国籍の顧客データと従業員データには、GDPR、APEC／Global CBPR、ISO 27701 のどれを使い、どう役割分担しますか？

EU は CBPR の参加者ではありません。CBPR 認証は GDPR 第 46 条の移転手段になりません。

EU 子会社が従業員データを台湾本社の人事・セキュリティシステムへ送るのは、越境移転に当たりますか？

EDPB ガイドライン 05/2021（2023 年 2 月 14 日採択の第 2 版）は、三つの累積的な基準で判断します。移転元がその処理について GDPR の適用を受けること、移転元が送信その他の方法で個人データを開示すること、移転先が第三国にあること（移転先自身が GDPR の適用を受けるかどうかを問わない）です。

• 同じグループの会社でも、それぞれ別の管理者・処理者になり得ます。ガイドラインの例では、子会社が第三国の親会社に従業員データを提供するのは移転に当たります。
• 出張中の従業員が自社のデータにリモートアクセスする例は、アクセスするのが従業員で別の管理者ではないため、移転に当たらないとされています。
• 移転に当たる場合、台湾には現在 EU の十分性認定がないため、第 46 条の適切な保護措置、たとえば標準契約条項や拘束的企業準則（BCR、第 47 条）が必要です。

個別の判断は、データの流れに基づき法律顧問が行います。

国ごとに個人情報保護法令が異なる子会社を、一つの仕組みでどう満たしますか？

「共通の土台＋国別の差分一覧」で対応します。共通の土台は一度作って各国で共有します。処理活動の記録とデータフロー図、プライバシーリスク評価と DPIA、処理者契約、漏えい対応です。差分は国ごとに挙げ、責任者を置きます。

差分一覧は法改正に合わせて更新します。台湾個人資料保護法の 2025 年 11 月 11 日公布の一部改正条文は、施行日を行政院が定めます。

個人データの漏えいが起きたとき、CISO は GDPR の 72 時間とほかの報告期限にどう間に合わせますか？

GDPR 第 33 条第 1 項：不当な遅滞なく、可能であれば認識から 72 時間以内に監督機関へ報告します（リスクを生じさせる可能性が低い場合を除く）。CISO が事前に準備することは三つです。

• 役割：自社が処理者の場合、第 33 条第 2 項により、漏えいを認識した後、不当な遅滞なく管理者に通知します。
• 受付機関：EU に拠点がなければ単一の窓口はないため、関係し得る加盟国の監督機関を事前に洗い出します。
• 複数の期限：一つの事案が NIS2、DORA、EU CRA の期限も同時に発生させることがあり、起算点も受付機関も異なります。同じインシデント分類の手順でどれに当たるかを判断します。

上場・店頭公開企業は、この経路を管控指引第 34 条の対応手順に加えられます。公開発行会社でない企業はこの指引の対象外で、任意に参考にできます。

ISO 27701 の認証があれば GDPR 適合といえますか？CISO、法務、DPO はどう分担しますか？

いえません。27701 はプライバシーマネジメントの仕組みがあることを示すもので、GDPR の法定手続きを自動的に満たすものではありません。分担の例は次のとおりです。

• CISO：暗号化、アクセス制御、漏えい検知などの技術的管理策。72 時間報告を実際に実行でき、演習記録を残すこと。
• 法務・法律顧問：第 27 条の EU 代理人、SCC モジュールの選択、DPIA が義務かどうか。これらは 27701 が扱わない法的判断です。
• データ保護責任者（DPO）：第 37 条第 1 項により、公的機関による処理、大規模で定期的かつ体系的な監視を要する中核業務、特別な種類のデータや犯罪データの大規模な処理の場合は選任が必要で、それ以外は任意です。

ISO 27001 がある場合、27701 への拡張にどれくらいかかりますか？ESG 評価 S-13 にはどんな証拠が使えますか？

サービスページ記載の期間：GDPR の基礎的な適合体制づくりは通常 2〜3 か月、ISO 27701 との統合認証は 5〜8 か月、27001 があれば 3〜5 か月に短縮できます。ISO/IEC 27701:2025 は 2025 年 10 月 14 日に発行され、27001 がなくても単独で認証できます。2019 年版の認証保持者の移行期間は 2028 年 10 月までの見込みです。27001 がある場合、内部監査とマネジメントレビューはまとめて行えます。

台湾証券取引所 ESG 評価の S-13 は、個人情報保護方針を定め、その内容と実施状況を開示しているかを問います。27701 の運用で残る方針や記録は説明の材料になりますが、対応するかどうかは当年度の指標の文言と一つずつ照合する必要があります。公開発行会社でない企業はこの評価の対象外で、任意に参考にできます。

積穗科研は CISO の ISO 27701 と GDPR 対応をどう支援しますか？

• まずデータフローを描く：GDPR の適用、必要な仕組み、27701 の範囲を確認します。
• 一つの骨格：27701 を骨格に、GDPR の義務を一つずつ対応する管理策に結び付け、不足はプロジェクトで補ってから一緒に認証に臨みます。
• 四つの入口：27701 の導入と認証、GDPR の越境移転の仕組み、臨床試験と健康データの DPIA、外部 DPO と EU 代理人。単独でも組み合わせても依頼できます。
• 演習：72 時間の漏えい報告演習と年次見直しの仕組みを作ります。
• 役割分担：積穗科研はコンサルタントで、認証は行いません。副社長・取締役クラスのコンサルタントが外注せず一貫して支援します。
• 実名の顧客：超核心フィットネスセンター（Hypercore）、卓元科健、金融聯合徵信中心（JCIC）、Lativ。

関連ページ：ISO 27701、GDPR、ISO 27701 コンサルタントの選び方、GDPR コンサルタントの選び方。無料の仕組み診断を申し込む