直答：GDPR のコンサルタントに最初に聞くべきことは「GDPR は自社のどこまでに適用され、各事業で自社は管理者なのか処理者なのか」です。EU に拠点を持たない台湾企業には、EU 域内の人に商品やサービスを提供する場合、または EU 域内で行われるその人の行動を監視する場合にのみ GDPR が適用されます（第 3 条第 2 項）。管理者と処理者では義務も異なります（第 24 条、第 28 条）。ここを誤れば、その後の文書や契約はやり直しになります。次に、処理活動の記録、データ保護影響評価、72 時間以内の漏洩通知、越境移転の仕組みを実際に機能する制度にし、台湾の個人情報保護法や ISO 27701 と一つの文書体系で共有できるかを確認します。
八つの判断基準
| 基準 | どのコンサルタントにもそのまま聞ける質問 |
|---|---|
| 適用範囲 | 自社のどの業務が第 3 条第 2 項に当たるか。「商品やサービスの提供」と「行動の監視」をどう判断するか |
| 管理者か処理者か | 各事業で自社は管理者、共同管理者、処理者のどれか。契約をどう合わせるか（第 26 条、第 28 条） |
| EU 代理人 | 第 27 条に基づき EU 域内に代理人を指定する必要があるか |
| 処理活動の記録と影響評価 | 第 30 条の処理活動の記録、第 35 条のデータ保護影響評価は誰が作成し、どのくらいの頻度で更新するか |
| 漏洩通知 | 第 33 条の現行の 72 時間以内の通知について、通知の要否を誰が判断するか。どの加盟国の監督機関に通知するか（EU に拠点がなければワンストップショップはない） |
| 越境移転 | 台湾には現在 EU の十分性認定がない。EU から台湾へのデータの送付は第 5 章の「移転」に当たるか（EU 域内の本人から直接取得する場合は通常当たらない）。当たる場合、第 46 条のどの保護措置を使うか。現行の標準契約条項は、自ら第 3 条第 2 項の規制を受ける企業にも使えるか |
| 台湾の法律・ISO 27701 との統合 | 一つの制度で GDPR、台湾の個人情報保護法、ISO 27701 に同時に対応できるか |
| 誰が主導し、実名事例はあるか | 実際に案件を担当するのは誰か。顧客が公開に同意した個人情報保護の支援事例はあるか |
コンサルタントが必ずしも必要でない場合
EU に拠点がなく、EU 域内の人に商品やサービスを提供しておらず、EU 域内での行動も監視していないことが確かであれば、通常 GDPR は直接適用されません。処理者にすぎず、顧客が完全なデータ処理契約を提示している場合は、法務部門が契約を確認し、契約が求めるセキュリティ措置を実施すれば十分なこともあります。ただし、受託した処理自体が第 3 条第 2 項に当たる場合は、処理者にも独自の法的義務があります。例えば EU 代理人の指定（第 27 条、例外あり）、処理活動の記録（第 30 条第 2 項）、漏洩時の管理者への通知（第 33 条第 2 項）です。
積穗科研はこれらの基準にどう応えるか
以下は積穗科研自身の説明です。上の質問で、他のコンサルタントと同じように私たちも検証してください。
- 適用範囲と役割：個人データの種類、取得元、目的、保存期間、共有先を棚卸しし、GDPR の適用範囲と管理者・処理者の役割を判定します
- 処理活動の記録と影響評価：第 30 条に沿った処理活動の記録を作成し、台湾の個人情報保護法にも同時に対応させます。リスクの高い処理にはデータ保護影響評価を実施します
- 権利行使への対応と漏洩通知：プライバシー通知、同意管理、本人からの請求への対応手順を整え、72 時間以内の漏洩通知を演習します
- 越境移転：データ保護責任者の設置要否を評価し、標準契約条項の確認を支援し、越境移転の記録を整えます
- 台湾の法律・ISO 27701 との統合：ISO 27701 のプライバシー情報マネジメントシステムを枠組みとし、一つの制度で GDPR と台湾の個人情報保護法に同時に対応します
- 誰が主導するか：副社長・取締役クラスのコンサルタントが最初から最後まで支援し、外注しません
- 実名事例：顧客の許諾を得て公開している個人情報保護の支援実績には、JCIC、Lativ、卓元科健（Cho Yuan）、超核心フィットネスセンター（Hypercore）があります（Hypercore の事例）
関連する質問
- データ保護責任者（DPO）は必ず置く必要があるか 必ずではありません。第 37 条第 1 項により、指定が必要なのは三つの場合です。公的機関・団体による処理（司法権を行使する裁判所を除く）、中核的な活動が大規模で定期的かつ系統的な本人の監視を必要とする場合、中核的な活動が第 9 条の特別な種類の個人データや第 10 条の犯罪歴データの大規模な処理である場合です。民間企業では主に後の二つが問題になります。それ以外は任意ですが、EU 法や加盟国法で別に求められることがあります（第 37 条第 4 項）。GDPR 支援
- 72 時間の通知期限は変わるか 欧州委員会が 2025 年 11 月 19 日に提出したデジタル・オムニバス（手続番号 2025/0360(COD)）の提案は、監督機関への通知期限を 96 時間に延ばし、通知の基準を引き上げる内容です。提案はまだ立法手続き中で、現行の期限は 72 時間のままです。GDPR 支援
- ISO 27701 と GDPR の関係は ISO 27701 はプライバシー情報マネジメントシステムの国際規格で、GDPR の義務を監査可能な管理制度にできます。ただし、ISO 27701 の認証を取得しても、それだけで法的に GDPR に適合したことにはなりません。台湾で ISO 27701 コンサルタントを選ぶには
- GDPR の支援にはどれくらいかかるか 基本的な整備（処理活動の記録、プライバシー通知、権利行使への対応手順）は通常 2〜3 か月、ISO 27701 の認証まで含めると 5〜8 か月です。GDPR 支援
コンプライアンスは三位一体、コンサルタントの価値は統合にある
CRA、TISAX、ISO 27701、AI Act はどれも単独の技術課題ではなく、プロセス・セキュリティ技術・法令遵守の三つが同時に成立して初めて完成します。一つだけ補っても、残り二つの欠落は審査・通報・顧客デューデリジェンスの場面で露呈し、結局やり直しになります。
| 側面 | 答えるべき問い | その側面だけ補った場合によくある欠落 |
|---|---|---|
| プロセス（マネジメントシステム） | 誰が、何を、いつ行うか。実施の証拠はどこにあり、どう継続的に改善するか | ツールは揃っているが定期的に運用する人がおらず、審査時に記録が出せない |
| セキュリティ技術 | 管理策をどう設計し、有効性をどう検証するか | 文書は整っているが、システムが実際にはそのとおり動いていない |
| 法令遵守 | どの法規が適用され、自社の役割は何か。期限と罰則は何か | 管理策は作ったが、法規や役割を取り違えており、義務が網羅されていない |
積穗科研のコンサルティングチームはこの三つの側面を同時にカバーし、法規判定からプロセス設計、技術的管理策までを一括で設計します。一つの証拠セットで複数の法規と顧客要求に対応できます。