CTO の ISO 27701・GDPR 対応：製品とシステムのプライバシー設計をどう進めるか

GDPR 第 25 条のデータ保護バイデザインとバイデフォルトを、研究開発はどの開発ゲートに入れるか？

設計段階に入れ、運用開始後も続けます。第 25 条第 1 項は管理者に対し、「処理の方法を決定する時点及び処理それ自体の時点の両方で」適切な技術的・組織的措置を講じることを求め、その例として仮名化を挙げています。第 2 項は、デフォルトで特定の目的ごとに必要な個人データだけを処理することを求め、その範囲は収集する量、処理の程度、保存期間、アクセス可能性に及びます。

実務では、既存の設計審査のチェックリストに次の四項目を加えられます。

欧州データ保護会議（EDPB）の第 25 条ガイドライン（Guidelines 4/2019）の最終版は 2.0 版（2020 年 10 月 20 日）で、設計審査の参考になります。

新機能で DPIA が必須になるのはいつか？研究開発のスケジュールのどこに置くか？

GDPR 第 35 条第 1 項により、処理（特に新しい技術を用いる場合）が自然人の権利と自由に高いリスクをもたらすおそれがあるときは、管理者は処理の開始前にデータ保護影響評価（DPIA）を行わなければなりません。第 35 条第 3 項は必須となる三つの場合を挙げています。

• プロファイリングを含む自動化された処理に基づいて個人の側面を体系的かつ広範に評価し、それに基づき重大な影響を及ぼす決定を行う場合。
• 第 9 条第 1 項の特別な種類のデータや犯罪歴データを大規模に処理する場合。
• 公衆がアクセスできる区域を大規模かつ体系的に監視する場合。

各加盟国の監督機関も第 35 条第 4 項に基づき DPIA が必要な処理の種類のリストを公表しており、EDPB は第 29 条作業部会の DPIA ガイドラインを承認しています。

研究開発のスケジュール：リリース直前に補うのではなく、要求確定または設計審査のゲートに DPIA の要否チェックを加えます。DPIA が必須かどうかは法的判断であり、法律顧問が個別に確認します。ISO 27701 はこの判断を扱いません。

研究開発のテストに実際の個人データを使えるか？仮名化すれば個人データではなくなるか？

仮名化しても個人データです。GDPR 第 4 条第 5 号は仮名化を、別に保管された追加情報を使わなければ特定のデータ主体に結び付けられないようにする処理と定義しています。EDPB の仮名化ガイドライン（Guidelines 01/2025、2025 年 1 月 16 日採択のパブリックコンサルテーション版）は、仮名化データは識別可能な自然人に関する情報であり続けるため個人データである（GDPR 前文第 26 項）と明記し、匿名性の条件を満たした場合にのみ匿名データになり得るとしています。

研究開発にとっての意味：

• 仮名化データを含む実データでのテストやデバッグも GDPR の対象であり、目的、アクセス権限、保存期間が必要です。
• 仮名化はリスクを下げる措置で、第 25 条が明記する例でもありますが、EDPB は仮名化だけでは通常十分ではないと指摘しています。
• 再識別のための対応キーはテスト環境と分けて保管し、アクセスを制限します。

データが匿名化されたといえるかは法的・技術的な個別判断であり、法律顧問が確認します。

製品のテレメトリーとシステムログに個人データが含まれる。研究開発はどう設計すべきか？

テレメトリーやログには端末識別子、アカウント、IP アドレスなどの識別可能なデータが含まれることが多く、同じく GDPR の原則に拘束されます。

• データ最小化（第 5 条第 1 項 (c)）：処理の目的に照らして十分で、関連性があり、必要な範囲に限ること。
• 保存期間の制限（第 5 条第 1 項 (e)）：データ主体を識別できる形での保存は、目的に必要な期間を超えないこと。
• デフォルト設定（第 25 条第 2 項）：デフォルトで必要な個人データだけを処理し、量、処理の程度、保存期間、アクセス可能性に及ぶこと。

エンジニアリング上は、テレメトリーの各項目に目的を付け、識別子を収集時点で仮名化し、ログに保存期間を設定して自動削除し、アクセスを役割で制限します。これらの処理は処理活動の記録（RoPA、GDPR 第 30 条）にも記載し、ISO 27701 の処理記録と共用できます。

EU のデータを台湾の研究開発拠点に送る、または台湾のエンジニアがリモートでデバッグする。越境移転に当たるか？

EDPB の移転に関するガイドライン（Guidelines 05/2021、2.0 版は 2023 年 2 月 14 日採択）によれば、三つの要件がすべて満たされた場合にのみ GDPR 第 5 章の「移転」になります。

1. 輸出者（管理者または処理者）がその処理について GDPR の適用を受けること。
2. 輸出者が、送信その他の方法で、別の管理者、共同管理者または処理者に個人データを利用可能にすること。
3. 輸入者が第三国にあること。

ガイドラインは、第三国からのリモートアクセス（サポートやトラブルシューティングなど）も三要件を満たせば移転に当たるとしています。同じ管理者の従業員が出張先で社内データにアクセスするのは、従業員が別の管理者ではないため移転に当たりません。EU の子会社が第三国の親会社にデータを利用可能にするのは移転に当たります。

台湾は現在 EU の十分性認定を受けていないため、移転に当たる場合は第 46 条の保護措置（標準契約条項など）と移転影響評価が必要です。移転に当たるか、どの仕組みを使うかは、法律顧問が個別に判断します。

ISO 27701 は研究開発プロセスに何を求め、どれくらいかかるか？

ISO/IEC 27701:2025（2025 年 10 月発行、第 2 版）は、PII 管理者と処理者を対象に、プライバシー情報マネジメントシステム（PIMS）の確立、実施、維持、継続的改善の要求事項を定めています。27001 がなくても構築・認証でき、2019 年版の証明書の移行期間は 2028 年 10 月までの見込みです。研究開発プロセスでは GDPR と同じ土台を共用します。

27701 の証明書は GDPR への適合ではありません。DPIA が必須か、EU 代理人、SCC モジュールの選択は、27701 が扱わない法的判断です。サービスページ記載では、GDPR の基礎構築は通常 2〜3 か月、ISO 27701 認証との統合は 5〜8 か月、ISO 27001 の基盤があれば 3〜5 か月です。

積穗科研は CTO の ISO 27701・GDPR 対応をどう支援するか？

副社長・取締役クラスのコンサルタントが最初から最後まで自ら主導し、外注しません。27701 を骨格に、GDPR の各義務を対応する管理策に結び付け、不足はプロジェクトで補い、まとめて認証に臨みます。サービスページ記載の四つの段階：

1. 適用性とデータの棚卸し：GDPR の適用と必要な仕組みを判定し、個人データ、データフロー、越境移転を棚卸しして RoPA の初稿を作ります。
2. 体制構築：27701:2025 に沿って PIMS の文書を整え、権利行使の手順、処理者契約、侵害通知を組み込みます。
3. 法的な仕組みの実装：SCC と TIA、DPIA、DPO と EU 代理人の指定。
4. 内部監査、マネジメントレビュー、認証への同行。

実名実績：超核心フィットネスセンター（Hypercore）、ISO 27001（ISMS）と ISO 27701（PIMS）のダブル認証支援。

詳しく：ISO 27701 導入支援、GDPR 対応支援、ISO 27701 コンサルタントの選び方、GDPR コンサルタントの選び方。無料のメカニズム診断を申し込む