プロダクトマネージャーと ISO 27701・GDPR：各市場で販売する前にどの個人情報対応が必要か？

各市場で販売するとき、どの個人データを収集すると GDPR が適用されるか？

まず製品の個人データの種類、取得元、目的、保存期間、共有先を棚卸しし、次に判断します。

• GDPR の適用範囲：EU に拠点のない台湾企業には、EU 域内の人に商品やサービスを提供するか、EU 域内での行動を監視する場合にのみ GDPR が適用されます（第 3 条第 2 項）。
• 役割：各事業ラインが管理者、共同管理者、処理者のいずれか（第 24、26、28 条）。義務が異なります。
• 台湾の個人資料保護法：台湾で個人データを収集・処理・利用する公的機関と非公的機関に適用され、現地の法的義務です。

判断を誤ると、その後の文書と契約をやり直すことになります。個別の適用の有無は、製品の実際の機能に基づいて法律顧問が判断します。

発売前に、製品自体にどのようなプライバシー設計とデフォルト設定が必要か？

GDPR 第 25 条は「設計段階およびデフォルトによるデータ保護」を求めています。EDPB ガイドライン 4/2019 によれば、中核となる義務はデータ保護原則を効果的に実施するための適切な措置と必要な保護策の実施で、「デフォルト」の義務は収集する個人データの量、処理の範囲、保存期間、アクセス可能性に及びます。同条が直接対象とするのは管理者で、処理者と製品の製造者は直接の対象ではありませんが、ガイドラインは三者の協力を勧めています。

発売前によくあるプライバシーの成果物：

• プライバシーポリシーと同意管理
• データ主体の権利への対応手順
• デフォルトで収集を最小にする製品設定

ブランド顧客が管理者の場合、あなたが納める製品設計は顧客の第 25 条の義務の証明に使われます。

どの製品機能で先にデータ保護影響評価（DPIA）が必要か？発売は遅れるか？

GDPR 第 35 条は高リスクの処理についてデータ保護影響評価を求めています。第 30 条の処理活動の記録と DPIA を誰が作り、どの頻度で更新するかは、プロジェクト開始時に決めます。DPIA は処理を始める前に終えるものなので、発売直前に補うのではなく、設計審査と並行して日程に入れます。

注意：DPIA が義務かどうかは法的判断で、ISO 27701 は扱いません。27701 のリスク評価と DPIA は一つの作業資料を共有できます。

サービスページ記載の期間：GDPR の基礎的な対応は通常 2〜3 か月、ISO 27701 認証と合わせると 5〜8 か月で、ISO 27001 の基盤があれば 3〜5 か月に短縮できます。

クラウドやリモートサービスで利用者データを台湾に戻す場合、越境移転に当たるか？

EDPB ガイドライン 05/2021 によれば、GDPR 第 5 章の「移転」には三つの要件をすべて満たす必要があります。

1. 輸出者（管理者または処理者）が当該処理について GDPR の適用を受ける
2. 輸出者が送信その他の方法で個人データを開示し、または利用可能にする
3. 輸入者が第三国にいる（輸入者が GDPR の適用を受けるかどうかを問わない）

データ主体が第三国の管理者に直接データを提供する場合は移転ではありません。第三国からのリモートアクセス（画面に表示するだけでも）は、三要件を満たせば移転です。台湾は現在 EU の十分性認定を受けていないため、移転に当たる場合は第 46 条の保護措置（標準契約条項など）と移転影響評価が必要で、CBPR は第 46 条の移転ツールになりません。製品の構成が移転に当たるかどうかは、データフローに基づいて法律顧問が判断します。

製品がクラウド事業者を使う、またはブランド顧客のためにデータを処理する。契約に何を書くか？

処理者契約は GDPR 第 28 条に従います。管理者が処理を委託する場合、処理者の義務を契約で定めます。プロダクトマネージャーは二つの状況を分けて考えます。

受託した処理自体が第 3 条第 2 項に当たる場合、処理者にも独自の法的義務があります。例えば EU 代理人の指定（第 27 条、例外あり）、処理活動の記録（第 30 条第 2 項）、侵害発生時の管理者への通知（第 33 条第 2 項）です。

顧客から ISO 27701 の認証や CBPR を求められた。各市場の顧客にとってどんな意味があるか？

四つは性質が異なります。まずデータがどこへ流れ、誰が証明を求めているかを確認します。

27701 は GDPR の DPO、EU 代理人、72 時間以内の通知、DPIA を自動的に生み出すものではありません。

積穗科研はプロダクトマネージャーの ISO 27701・GDPR 対応をどう支援するか？

積穗科研はまず製品のデータフローと顧客の要求を描き、そのうえでどれを行うか、どの順番か、または一つの文書で二つの証明を得る方法を提案します。

• 個人データの種類、流れ、処理目的を委託先も含めて棚卸しし、GDPR の適用範囲と管理者・処理者の役割を判断
• 27701 を骨格とし、GDPR の各義務を対応する管理策に結び付け、同時に台湾の個人資料保護法にも対応
• 法的な仕組みの実装：SCC と移転影響評価、DPIA、DPO と EU 代理人の指定
• プライバシーポリシー、同意管理、データ主体の権利への対応手順を作り、72 時間以内の侵害通知を訓練

副社長・取締役クラスのコンサルタントが外注せず一貫して支援します。実名の支援実績：超核心フィットネスセンター（ISO 27001 と ISO 27701 のダブル認証支援）。詳しく：ISO 27701 支援、GDPR 支援、GDPR コンサルタントの選び方、ISO 27701 のスケジュール。無料のメカニズム診断を申し込む