誰の責任か？

GDPR を正しく理解する

Shalini Kurapati, CIPP/E

Co-founder, Clearbox AI

GDPRの主要な役割

• データ管理者（コントローラ）
• データ処理者（プロセッサ）
• データ保護責任者（DPO）
• 監督機関（SA）／データ保護当局（DPA）

データ管理者（コントローラ）

• 目的と手段を決定
• 共同決定なら共同管理者
• 最終的な責任主体

例：ブティック菓子店が給与計算を外部委託

• データ管理者：ブティック店
• データ処理者：給与計算会社

データ処理者（プロセッサ）

• 通常は第三者／下請けで、管理者のために個人データを処理
• 直接の責任は負わない
• データ処理契約（DPA）で条件合意
• 準拠のため管理者の義務に整合

データ保護責任者（DPO）

• 監視・助言・遵守支援
• SAとの連携と窓口
• 管理者・処理者の双方に関与
• 義務付け対象：
  • 公的機関
  • 高リスク処理
• 重要なのはリスク。企業規模ではない

¹ Guidelines on Data Protection Officers ('DPOs') (wp243rev.01)

監督機関（SA）／データ保護当局（DPA）

• 独立した公的機関
• 不遵守への罰金
• すべての加盟国にSA/DPAあり
  • Garante per la Protezione dei Dati Personali（伊）
  • Autoriteit Persoonsgegevens（蘭）

¹ https://edpb.europa.eu/about-edpb/about-edpb/members_en

データ侵害：何をすべきか

データ侵害とは？

• 紛失、不正アクセス／開示
• 機密性・完全性・可用性

対応は？

• SA/DPAへ遅滞なく通知
• 72時間以内
• 高リスクなら本人に通知、追跡措置

例：オンラインマーケットのハッキング

• DPOの重要な役割
• 侵害記録の管理
• データ侵害ポリシー

¹ Guidelines on personal data breach notification under regulation 2016/679, WP250 rev.01

国をまたぐ調整

• 規則の一貫した適用
• 加盟間の協力
• EU27の監督機関
• EDPS（欧州データ保護監督官）
• アイスランド、ノルウェー、リヒテンシュタインは投票権なし

¹ https://edpb.europa.eu/about-edpb/about-edpb/members_en

練習してみましょう！

GDPR を正しく理解する