法務・コンプライアンス責任者と GDPR・ISO 27701：処理者契約、越境移転、調査にどう対応するか

EU 顧客からデータ処理契約（DPA）への署名を求められた。法務責任者は契約審査で何を見るか？

• 第 28 条第 3 項 (h)：処理者は、本条の義務の遵守を示すのに必要なすべての情報を提供し、管理者またはその指定する監査人による監査（検査を含む）を認め、協力します。
• EDPB ガイドライン 07/2020：処理契約は GDPR の条文を繰り返すだけでなく、具体的にどう満たすかを書くべきです。別の処理者への再委託は第 28 条第 2 項・第 4 項の条件を満たす必要があり、処理者は第 32 条〜第 36 条の義務の履行で管理者を支援します。
• 第 33 条第 2 項：処理者は個人データ侵害を知ったとき、不当な遅滞なく管理者に通知します。

審査の枠組み：監査の方法、頻度、費用負担。再委託先リストと通知方法。侵害通知の期限が具体的な時間数で書かれているか、会社が守れるか。責任上限と補償が実際の統制と一致しているか。許容できる条件は法律顧問が個別に判断します。

EU に拠点がない。GDPR は及ぶか？EU 代理人は必要か？事故時はどの国の監督機関か？

• 適用：EU に拠点のない台湾企業が GDPR の対象になるのは、EU 域内の人に商品やサービスを提供する場合か、EU 域内での行動を監視する場合だけです（第 3 条第 2 項）。
• EU 代理人：第 3 条第 2 項が適用される場合、管理者または処理者は書面で EU 域内の代理人を指定します（第 27 条第 1 項。例外あり）。
• 監督の窓口：EU に拠点がなければワンストップショップはなく、侵害時に複数の加盟国の監督機関に通知が必要になる場合があります。
• 役割：事業ごとに管理者、共同管理者、処理者のどれに当たるかで、義務も契約も異なります（第 24 条、第 26 条、第 28 条）。

第 3 条第 2 項に当たるか、第 27 条の例外を使えるかは法的判断で、ISO 27701 は扱いません。法律顧問が個別に判断します。

EU 子会社や顧客のデータが台湾に戻ってくる。法務はどんな移転文書を準備するか？

1. 移転に当たるか：EDPB ガイドライン 05/2021 は三つの累積要件を示します。輸出者がその処理について GDPR の対象であること、送信その他の方法で別の当事者に提供すること、輸入者が第三国にいることです。グループ内の開示も移転になり得ますが、EU 域内の本人から直接収集する場合は通常当たりません。
2. 台湾に十分性認定はない：欧州委員会がこれまでに十分性を認めた国・地域のリストに台湾はありません。
3. 第 46 条の保護措置：移転に当たる場合は、標準契約条項（SCC）または拘束的企業準則（BCR）と移転影響評価が必要です。CBPR 認証は第 46 条の移転ツールになりません。
4. 第 49 条の例外：例外的な性質で、日常的・反復的な移転を支えるものではありません。
5. 台湾側：個人情報保護法第 21 条により、中央目的事業主管機関は特定の国際移転を制限できます。

どの SCC モジュールを使うか、BCR が必要かは、法律顧問が個別に判断します。

個人データの漏えいが起きたら、72 時間の通知は誰が決めるか？調査に耐える記録は何か？

• 期限：第 33 条により、管理者は侵害を知った後、不当な遅滞なく、可能であれば 72 時間以内に監督機関に通知します。リスクを生じる可能性が低い場合を除きます。
• 記録：第 33 条第 5 項により、管理者はすべての個人データ侵害について、事実、影響、講じた是正措置を記録し、監督機関が遵守状況を確認できるようにします。通知しないと判断した場合も記録を残します。
• 事前に決めること：通知するかを誰が判断するか、夜間・休日の代理は誰か、通知内容と本人への説明を誰が承認するか。

欧州委員会が 2025 年 11 月 19 日に提案したデジタル・オムニバスは、期限を 96 時間に延ばし通知の基準を引き上げる案ですが、まだ立法手続中で、現行は 72 時間です。台湾の個人情報保護法の 2025 年 11 月 11 日公布の一部改正条文は、施行日を行政院が定め、施行前は現行条文が適用されます。

米国の裁判所や他国の当局から EU の個人データの提出を求められたら、どうするか？

• 第 48 条：第三国の裁判所の判決や行政機関の決定が、管理者または処理者に個人データの移転・開示を求める場合、国際協定（例えば刑事共助条約）に基づくときに限り、EU で承認・執行され得ます。第 5 章のほかの移転根拠には影響しません。
• EDPB ガイドライン 02/2024（第 2 版は 2025 年 6 月 4 日採択）：外国当局の要求それ自体は処理の法的根拠にも移転の根拠にもなりません。二段階で検討します。まず第 6 条の法的根拠、次に第 5 章の移転規定への適合です。適用できる国際協定がない場合、別の第 6 条の根拠と第 5 章の移転根拠が必要で、第 49 条は限られた特定の状況にしか使えません。

判断の枠組み：要求の出所と国際協定の有無、データを保有する法人、EU 子会社の所在国の司法共助手続で対応できるかを確認します。二つの法制度が衝突する場合の対応は、法律顧問が個別に判断します。

監督機関の調査では何が見られるか？制裁金と代表者の責任をどう評価するか？ISO 27701 の証明書は役立つか？

• 調査権限：欧州委員会の説明では、監督機関は調査に必要なあらゆる情報の提出を命じ、施設や処理設備に立ち入り、処理の一時的または恒久的な禁止を命じることができます。
• 制裁金：最大 2,000 万ユーロまたは全世界年間売上高の 4% です。違反の性質、重大性、期間、故意か過失か、本人の損害を軽減するために講じた措置、協力の程度を考慮して決まります。
• 賠償：GDPR 違反だけでは当然に賠償請求権は生じず、本人が実際の損害を証明する必要があります。
• 台湾：個人情報保護法第 50 条により、非公務機関が過料を科される場合、代表者等も防止義務を尽くしたことを証明できない限り同額の過料を科されます。
• 証明書の限界：ISO 27701 の証明書は GDPR 適合ではありません。第 27 条の EU 代理人、SCC モジュールの選択、DPIA の要否は 27701 が扱わない法的判断です。

処理活動の記録、DPIA、契約、侵害記録が、協力の程度と軽減措置を示す根拠になります。

積穗科研は法務・コンプライアンス責任者の GDPR と ISO 27701 をどう支援しますか？

以下は積穗科研自身の説明です。上の質問で私たちも確かめてください。

• 誰が担当するか：副社長・取締役クラスのコンサルタントが最初から最後まで自ら担当し、外注しません
• 適用範囲と役割：個人データの種類、取得元、目的、保存期間、共有先を棚卸しし、GDPR の適用範囲と管理者・処理者の役割を判定します
• 越境移転：SCC の契約条項の審査、移転影響の評価、完全な越境移転記録の整備を支援します
• 72 時間通知：個人データ侵害の通知訓練と年次レビューの仕組みを整えます
• 一つの制度：ISO 27701 を枠組みに、一つの制度で GDPR と台湾の個人情報保護法の両方に対応します
• 分担：制度と記録は私たちが構築し、法律意見は提携弁護士が出します
• 期間（サービスページ記載）：GDPR の基礎的な適合体制は通常 2〜3 か月、ISO 27701 認証との統合は 5〜8 か月
• 実名実績：公開を許諾された個人情報保護支援の顧客には、金融聯合徵信中心（JCIC）、Lativ、卓元科健、超核心フィットネスセンター（Hypercore）があります

詳しく：GDPR、ISO 27701、GDPR コンサルタントの選び方、ISO 27701 コンサルタントの選び方、CISO 向けページ