GDPR の制裁金をリスクマップの影響度評価にどう入れますか？
「上市上櫃公司風険管理実務守則」第 18 条では、GDPR は法令遵守リスクです。制裁金の上限は全世界年間売上高の 4% または 2,000 万ユーロ（いずれか高い額）で、影響の下限の目安になります。ただし制裁金は影響の一部にすぎません。顧客の要求、市場への参入、評判の毀損は通常制裁金より先に起こるため、同じ影響度評価に入れるべきです。
この守則は上場・店頭公開企業が対象で、公開発行会社でない企業は対象外ですが、任意に参考にできます。
EU に拠点はありません。GDPR は適用されますか？CRO はまず何を判断しますか？
まず二つを判断します。ここを誤ると、その後の文書と契約を作り直すことになります。
- 適用範囲：EU に拠点のない台湾企業は、EU 域内の人に商品やサービスを提供する場合、または EU 域内での行動をモニタリングする場合（Cookie による追跡など）にのみ GDPR が適用されます（第 3 条第 2 項）。
- 役割：事業ごとに管理者、共同管理者、処理者のどれに当たるか（第 24、26、28 条）。義務が異なります。
第 3 条第 2 項に該当する場合は、第 27 条に基づき EU に代理人を指定する必要があるかも判断します。
EU 子会社が人事管理のために従業員データを台湾の親会社に送っています。越境移転に当たりますか？
当たる可能性があります。EDPB ガイドライン 05/2021 は「移転」に当たる三つの累積的な要件を示しています。輸出者がその処理について GDPR の対象であること、輸出者が個人データを別の管理者または処理者（輸入者）に開示または利用可能にすること、輸入者が第三国にいることです。ガイドラインは、同じ企業グループの会社も別々の管理者または処理者になり得るため、グループ内の開示も移転に当たり得るとし、例 9 ではアイルランドの子会社が第三国の親会社に従業員データを提供することを第 5 章の移転としています。一方、従業員が出張先の第三国から会社のデータにリモートでアクセスすることは移転に当たりません。
台湾は現在 EU の十分性認定を受けていないため、移転に当たる場合は第 46 条の保護措置が必要です（台湾企業では標準契約条項 SCC が最も多く使われます）。個別の事案が移転に当たるかは、法律顧問が個別に判断します。
GDPR には証明書がありません。CRO は委員会にどんな証跡を示すべきですか？
GDPR に公式の証明書はなく、次の記録で示します。
- 処理活動の記録（RoPA、第 30 条）
- データ保護影響評価（DPIA、第 35 条）
- 処理者契約（第 28 条）
- 越境移転の仕組み（SCC／BCR）
- 漏えい通知の記録
ISO 27701 の認証は GDPR 対応を体系的に管理する能力を示せますが、法的に GDPR に適合していることにはなりません。ESG 評価の S-13（A 型）は、個人情報保護方針を定め、その内容と実施状況を開示しているかも問います。ESG 評価の対象は上場・店頭公開企業で、公開発行会社でない企業は対象外ですが、任意に参考にできます。
個人データ漏えいの訓練では何を試すべきですか？72 時間の期限は変わりますか？
第 33 条の現行の通知期限は 72 時間です。訓練で試すのは判断です。誰が通知の要否を判断するか、どの加盟国の監督機関に通知するか。EU に拠点がなければ、単一の窓口はありません。処理者の場合は、漏えいを管理者に通知する必要があります（第 33 条第 2 項）。
欧州委員会が 2025 年 11 月 19 日に提案したデジタル・オムニバス（2025/0360(COD)）は、期限を 96 時間に延ばし基準を引き上げる内容ですが、まだ立法手続き中で、現行は 72 時間のままです。
GDPR 対応にはどれくらいかかりますか？
サービスページ記載：基礎的な遵守体制（RoPA＋プライバシーポリシー＋SOP）は通常 2〜3 か月、ISO 27701 認証と合わせると 5〜8 か月、ISO 27001 の基盤があれば 3〜5 か月に短縮できます。
5 つのステップ：個人データの棚卸しと RoPA、DPIA、制度構築と文書作成、越境移転の仕組みと DPO、ISO 27701 認証準備と継続的な遵守。
積穗科研は CRO の GDPR 対応をどう支援しますか？
- 一つの仕組み：ISO 27701 PIMS の枠組みで GDPR と台湾の個人情報保護法を統合し、一つの仕組みで両方を満たし、二重の構築を避けます
- 越境移転：SCC の条項の審査、移転影響の評価、移転記録の整備を支援します
- 訓練と見直し：72 時間の漏えい通知訓練と年次見直しの仕組みを整えます
- 誰が担当するか：副社長・取締役クラスのコンサルタントが最初から最後まで自ら担当し、外注しません
- 実名の支援実績（個人情報保護）：金融聯合徵信中心（JCIC）、Lativ、卓元科健、超核心フィットネスセンター（Hypercore）
ほかの役割から見たこのサービス
同じ役割のほかのサービス
- CRO の ERM 導入：リスクマップ、KRI、取締役会報告はどう作るか？
- CRO から見た ISO 22301：中断シナリオ、RTO、訓練をリスク報告にどう入れるか？
- CRO の ISO 37001 導入：贈賄シナリオと海外リスク、誠実性指標をどう管理するか？
- CRO から見た営業秘密保護：流出シナリオ、合理的な秘密管理措置、KRI をどう設けるか？
- CRO から見た ISO 27001：情報リスクと全社リスクを同じ尺度でどう測るか？
- CRO から見た AI リスク：ISO 42001 と EU AI 法でまず何を決めるか？
- CRO から見た NIS2：適用の立場、制裁金、経営機関の責任をどう評価するか？
- CRO から見た EU CRA：市場参入リスク、報告義務、監督の役割をどう整理するか？
- CRO と DORA：ICT 第三者リスクとオペレーショナル・レジリエンスをリスクマップにどう載せるか
- CRO と AI 変革：AI リスクをリスクマップ、KRI、取締役会報告にどう組み込むか
公式情報源
- Regulation (EU) 2016/679 GDPR（EUR-Lex）
- EDPB：Guidelines 05/2021 on the interplay between the application of Article 3 and the provisions on international transfers as per Chapter V of the GDPR（v2.0）
- CNPD（盧森堡資料保護機關）：Notion of “transfer of personal data to a third country”
- EDPB：Guidelines 3/2018 on the territorial scope of the GDPR
- European Commission：Adequacy decisions
- European Parliament Legislative Observatory：2025/0360(COD) Digital Omnibus
- 上市上櫃公司風險管理實務守則（證交所法規分享知識庫，111.08.08）