第三者との個人データ共有：GDPRにおける7つのリスク管理

GDPRに基づき個人データを共有できるのは、第6条に基づく法的根拠があり、受領者が処理者か管理者かを書面で合意し、関係者に共有について通知している場合に限ります。主な例外は、欧州経済領域（EEA）外への移転と高リスク処理であり、これらはGDPR第5章および第35条に基づく追加要件が適用されます。

オランダでは、オランダデータ保護庁（Autoriteit Persoonsgegevens、AP）が、GDPRとオランダの実施法（Uitvoeringswet AVG、UAVG）を施行しています。クラウドプロバイダー、給与計算代行会社、債権回収業者、海外のグループ会社へのデータフローはすべて個別の処理操作であり、それぞれに正当な理由が必要です。以下では、実際に発生する7つのリスク、その背景にある規定、そしてそれぞれへの対処法について説明します。

リスク1：正当な法的根拠なしにデータを共有していませんか？

個人データの開示には、GDPR第6条(1)に規定されている6つの法的根拠のいずれかが必要である。商業上の理由は、その根拠には含まれない。

6つの根拠は網羅的である。同意、契約の履行、法的義務、生命に関わる利益、公共の利益、正当な利益である。第5条第1項(a)は、処理は合法、公正かつ透明性のあるものでなければならないと付け加えているため、誰にも説明されていない根拠は依然として抜け穴となっている。

正当な利益がなぜ落とし穴になり得るのか？

正当な利益は、パートナーとの情報共有の根拠として最もよく用いられるが、最も誤用されやすい根拠でもある。正当な利益を判断するには、以下の3つのステップを踏む必要がある。

• その利害関係は正当なものでなければならない。
• その共有は、その目的を達成するために必要でなければならない。
• その利益は、関係する人々の権利と自由によって覆されてはならない。

このテストは、データ共有を開始する前に実施し、記録する必要があります。なぜなら、GDPR第5条(2)項では、管理者（データ管理者）に立証責任（説明責任）が課せられているからです。苦情が寄せられた後に作成された評価は、ほとんど意味がありません。

同意と目的制限についてはどうでしょうか？

従業員からの同意は、権力関係の不均衡から自由意志に基づくものではないため、有効となることは稀です（GDPR第7条(4)項および前文43項）。第5条(1)(b)項に基づく目的制限は、データの共有にも適用されます。サービス提供のために収集されたデータは、マーケティング目的でパートナーに単純に提供することはできません。新たな目的が当初の目的と両立しない場合は、新たな根拠が必要となります。

対処法：データが組織から流出する前に、その根拠を特定し、文書化し、プライバシー通知に既にその共有について記載されていることを確認してください。同意は、自由意思に基づき、具体的で、十分な情報に基づき、明確で、かつ、与えるのと同様に容易に撤回できるものでなければなりません（GDPR第4条(11)項および第7条(3)項）。

リスク2：コントローラーとプロセッサーの役割を間違えていませんか？

管理者は処理の目的と手段を決定し、処理者は管理者の文書化された指示に従ってのみ行動します（GDPR第4条第7項および第8項）。重要なのは、実際に誰が決定するかであり、契約書で当事者が何と呼ばれているかではありません。

よくある間違いは、すべてのサプライヤーをプロセッサと呼ぶことである。しかし、以下のいずれも純粋に命令に基づいて動作するわけではない。

• 顧客データを利用して自社製品を改善するSaaSプロバイダー。
• 専門的な規則に拘束される会計士。
• 銀行が支払いを実行する。
• 独自のオーディエンスプロファイルを作成する広告プラットフォーム。

それぞれが、少なくとも処理の一部について管理者となる。2つの組織が共同で目的と手段を決定する場合、それらはGDPR第26条に基づく共同管理者となる。両者は、合意書においてそれぞれの責任を明記し、その要旨を関係者に周知しなければならない。

EU司法裁判所は共同支配をどの程度広範に定義しているのか？

概して言えば、 Fashion ID事件（C-40/17）において、欧州司法裁判所は、第三者のソーシャルプラグインを埋め込んだウェブサイト運営者は、その後データにアクセスできなかったとしても、訪問者データの収集と送信に関して共同管理者であると判断しました。目的に対する部分的な影響力があれば十分であり、結果として、自らが引き起こしていない違反に対しても共同責任を負うことになります。

実施方法：データフローをマッピングし、各フローについて、誰が、なぜ、どのようにデータを処理するのかを記録する。処理者には第28条に基づく処理契約を、両当事者が決定する場合は第26条に基づく共同管理者協定を用いる。

リスク3：データ処理契約書が欠落しているか、不備がありますか？

個人データの処理を委託する場合、GDPR第28条第3項では書面による契約が義務付けられています。契約がない場合、たとえデータ漏洩が一切発生しなくても、処理が開始された時点から違反となります。

内容は法律で定められています。法令に準拠したデータ処理契約には、処理の対象、期間、性質、目的、個人データの種類と対象者のカテゴリー、および管理者の権利と義務が明記されています。また、処理者に対して以下の事項を義務付ける必要があります。

• 文書化された指示に従ってのみ処理する。
• 従業員に守秘義務を課す。
• 第32条で要求される安全対策を講じること。
• データ主体からの要求やデータ漏洩通知への対応を支援する。
• 契約終了時にデータを削除または返却する。
• 法令遵守を証明するために必要な情報を提供し、監査を可能にする。

サブプロセッサ句はなぜこれほど頻繁に失敗するのか？

第28条(2)および(4)に基づき、処理者は、いかなる下請け処理者に対しても、事前にあなたの個別または包括的な書面による承認を得る必要があります。包括的な承認の場合、処理者は変更予定をあなたに通知し、異議を申し立てる機会を与えなければなりません。処理者が自由に誰とでも契約できるという条項は、この基準を満たしていません。

対処法：第28条第3項の条項を一つ一つ踏襲したテンプレートに基づいて作業を進め、サプライヤー独自の条件に頼るのではなく、既存の契約内容を見直すこと。長年にわたる取引関係は、文書化されていない可能性が最も高い。

リスク4：保護措置を講じずにEEA域外にデータを転送していませんか？

EEA域外へのデータ移転は、十分性認定（GDPR第45条）または適切な保護措置（第46条）に基づいてのみ許可されます。適切な保護措置とは、通常、欧州委員会の標準契約条項（SCC）または拘束力のある企業規則を指します。第49条に規定されている例外（明示的な同意など）は、一時的なデータ移転に適用されるものであり、構造的なデータフローを支えるものではありません。

データが欧州経済領域（EEA）外からアクセス可能になった時点で、データがコピーされた時だけでなく、いつでもデータ移転が発生します。たとえサーバーがフランクフルトに残っていても、海外の親会社によるリモート管理はデータ移転とみなされます。

シュレムスII判決とデータプライバシーフレームワークは、あなたにとってどのような意味を持つのでしょうか？

シュレムスII事件（C-311/18）において、欧州司法裁判所はEU・米国間のプライバシーシールドを無効とし、標準契約条項だけでは不十分であるとの判断を下した。輸出者は、仕向国の法律が当該条項を損なうかどうかを評価し、損なう場合には補足的な措置を追加しなければならない。また、第46条に基づくすべての移転について、移転影響評価（TIA）が依然として必要である。

欧州委員会は2023年7月にEU・米国データプライバシー枠組み（DPF）の十分性認定を採択し、2025年9月3日、一般裁判所は同枠組みの無効を求める訴訟を棄却しました（Latombe、T-553/23）。この枠組みに基づいて認定された米国組織へのデータ移転は、その認定対象データであれば十分性認定に依拠できますが、その他の米国受領者への移転は依拠できません。欧州司法裁判所への上訴は可能なので、認定内容を確認し、代替手段を用意しておくことをお勧めします。

対処方法：サプライチェーンにおける第三国へのデータ移転（サブプロセッサーおよびサポート契約を含む）を一覧表示します。十分性要件が適用されない場合は、現行の標準契約条項（SCC）を使用し、TIA（第三国間アクセス協定）を文書化し、EEA（欧州経済領域）に保管されている鍵を使用した暗号化などの補足措置を記録します。行政機関は、GDPR第58条(2)(j)に基づき、データ移転の停止を命じることができます。

リスク5：データ保護影響評価を省略していませんか？

GDPR第35条では、データ処理が個人に高いリスクをもたらす可能性が高い場合、データ保護影響評価（DPIA）の実施が義務付けられています。しかし、データの共有は、組織が想定するよりも早く、この基準を超えることが少なくありません。

第35条(3)では、法的またはそれに準ずる重大な影響を及ぼす体系的かつ広範な自動評価、特別なカテゴリーまたは犯罪データの大規模処理、公共エリアの大規模かつ体系的な監視という3つのケースが挙げられています。また、APは、DPIAが常に必要とされる操作のリストも公表しています。データセットの結合、分析プロバイダーとの健康データの共有、従業員の監視などは、多くの場合、それ自体で閾値を超えてしまいます。

DPIAには何を含める必要があるか？

第35条(7)項に基づき、データ保護影響評価（DPIA）は、処理の内容とその目的を記述し、必要性と比例性を評価し、関係者に対するリスクを特定し、それらに対処するための措置を定める。高い残存リスクが残る場合、第36条は、処理開始前に行政機関（AP）との事前協議を義務付けている。

対処法：新たなデータ共有協定はすべて、第35条(3)項およびAPリストに照らして審査し、データ保護責任者がいる場合はその担当者を関与させる。処理内容が変更された場合は、データ保護影響評価（DPIA）を見直し、必要なDPIAを実施しないこと自体が違反となる。

リスク6：情報共有について、人々に伝えるべきことが少なすぎるのではないか？

透明性は別の義務であり、共有自体が合法であっても、この義務に違反する可能性があります。GDPR第13条および第14条では、目的、法的根拠、および受信者または受信者のカテゴリーを明示することが求められています。

「データは信頼できるパートナーと共有される場合があります」という文言だけでは、具体的な内容は示されません。ホスティングプロバイダー、給与管理者、信用情報機関など、具体的なカテゴリー名を挙げてください。EEA域外へのデータ移転については、第13条(1)(f)および第14条(1)(f)に基づき、通知にその旨を明記し、依拠する保護措置を特定することが義務付けられています。

自分でデータを収集しなかった場合、どのような追加措置が適用されますか？

第14条に基づき、通知にはデータのカテゴリとその情報源も明記する必要があります。通知は合理的な期間内、遅くとも1か月以内、または本人との最初の連絡がそれより早い場合はその時点で提供しなければなりません。オランダにおけるプライバシーポリシーに関する当社のページに、詳細な内容が記載されています。

対処方法：通知は、新しい受信者がデータを受け取る前に更新してください。次回の年次レビュー時ではありません。第12条(1)では、通知は簡潔で分かりやすく、明確かつ平易な言葉で記載されなければならないと規定されています。

リスク7：仮名化されたデータを匿名データとして扱っていますか？

鍵を握る組織にとって、仮名化されたデータは依然として個人データである。真の匿名化のみが、データをGDPRの適用範囲外にする。

GDPR第4条(5)では、仮名化とは、別途保管される追加情報なしには個人と関連付けられないようにデータを処理することであると定義されています。前文26では、そのようなデータは、それを再識別できる者にとってはGDPRの適用範囲内にあることが確認されています。したがって、氏名を顧客番号に置き換えたとしても、法的根拠、処理契約、またはプライバシー通知の必要性がなくなるわけではありません。

匿名化されたデータは、受信者にとって非個人情報となり得るか？

可能性はある。欧州司法裁判所は、 EDPS対SRB事件（C-413/23 P、2025年9月4日）において、匿名化されたデータは、関係者を合理的に再特定できない受領者にとって個人データである必要はないとの判決を下した。また、裁判所は、情報開示を行う管理者は、収集時に受領者について関係者に通知しなければならないとも判決を下した。

対処方法：受信者が使用する可能性のある手段（受信者が保有する他のデータセットを含む）を評価します。郵便番号、生年月日、取引履歴などは、多くの場合、再識別を可能にします。鍵がどのように別々に保管されているかを文書化します。第32条では、匿名化がセキュリティ対策として挙げられており、情報漏洩が評価された場合に有利に働きます。

オランダにおける法執行はどのようなものですか？

GDPR第58条に基づき、データ管理者は警告、叱責、遵守命令、処理の禁止、データ転送の停止を行うことができ、第83条では罰金が科せられる。特定のデータフローに依存している企業にとって、データ処理の禁止は罰金よりも大きな損害となることが多い。

第83条には2つの段階があり、それぞれに固定の上限額、または前会計年度の世界年間売上高の一定割合のうち、いずれか高い方が適用される。

• 下位層： 例えば、処理契約書やDPIA（データ保護影響評価）が欠落している場合、最大10万ユーロまたは2％の罰金が科せられる（第25条から第39条）。
• 上位ティア： 原則、法的根拠、データ主体の権利、および移転規則の違反に対しては、最大20万ユーロまたは4%の罰金が科せられる。

GDPR第82条は、物的損害または非物的損害を受けた者に対し、管理者または処理者から賠償を受ける権利を付与しています。オランダでは、財団が集団訴訟における集団損害賠償に関する法律（Wet afwikkeling massaschade in collectieve actie、WAMCA、第3条305a項BW）に基づき、こうした請求を集団で提起するケースが増えています。

不正な共有によってデータ漏洩が発生した場合、第33条に基づき、遅滞なく、可能な限り72時間以内にAP（承認機関）に通知する必要があります。ただし、漏洩によってリスクが生じる可能性が低い場合はこの限りではありません。第34条に基づき、リスクが高い場合は、影響を受ける人々にも通知しなければなりません。通知しない場合も含め、すべての漏洩について社内で記録を残してください。

データを共有する組織として、どのような点を確認すべきでしょうか？

データ管理者として、あなたは主要な責任を負い、GDPR第5条(2)項に基づく法令遵守を証明できなければなりません。データが組織外に流出する前に、以下の点を確認してください。

• 第6条に基づく法的根拠は特定されており、正当な利益については、利益衡量テストの結果が記録されている。
• 受領者の役割は、第30条に基づく処理活動記録に記録されます。
• 第28条に基づく処理協定、または第26条に基づく取り決めが締結される。
• EEA域外へのデータ移転は、十分性認定または標準契約条項（SCC）と一時的情報アクセス協定（TIA）に基づいて行われる。
• DPIAスクリーニングは実施され、文書化されています。
• プライバシーに関する通知には、受信者またはそのカテゴリーが記載されています。

データ受信者として、何をチェックすべきでしょうか？

データ処理者またはデータ受領管理者として、あなたには独自の義務があり、GDPR第83条に基づき直接罰金を科される可能性があります。データを受け入れる前に、以下の点を確認してください。

• 指示に従ってのみ動作する（プロセッサ）か、データを自身の目的にも使用する（コントローラ）か。
• データ処理契約書に記載されている指示が、実際にデータに対して行っていることと一致しているかどうか。
• サブプロセッサーが第28条(2)に基づき書面で承認されているかどうか。
• セキュリティ対策が第32条を満たしているか、また、違反を管理者に遅滞なく通​​知できるか（第33条(2)）。
• 第30条(2)に基づき、処理の記録を自分で保管するかどうか。

GDPRに基づくデータ共有に関して、弊社はどのようなお手伝いができますか？

当社のIT法務チームは、サプライヤー、グループ、パートナーとの契約におけるデータ保護面を担当しています。具体的には以下のとおりです。

• 当社はお客様のデータフローをマッピングし、各受信者が処理者、共同管理者、または独立管理者であるかを判断します。
• 私たちは、第28条に基づく処理契約および第26条に基づく共同管理者協定の作成または審査を行います。
• 当社は、EEA域外への移転を評価し、DPF認証を確認し、移転影響評価書を作成します。
• 私たちは、DPIAスクリーニングおよびDPIA自体を実施またはレビューします。
• 受取人および送金先が正しく記載されるよう、プライバシーポリシーを更新しました。
• 当社は、72時間以内の期限内に、不正アクセス調査または情報漏洩通知を行う際にお客様をサポ​​ートいたします。

製品概要

• 個人データの共有にはすべて、GDPR第6条に基づく法的根拠が必要であり、商業的な理由だけでは不十分である。
• 各受信者について、それが処理者、共同制御者、または独立制御者のいずれであるかを判断し、それを文書化する。
• 第28条に基づく処理契約は、処理者にとって必須であり、契約がない場合、初日から違反となります。
• EEA域外へのデータ移転には、十分性（DPF認証など）またはセーフガードに加え、データ移転影響評価が必要です。
• 匿名化されたデータは、その鍵を握っている者にとっては個人データのままであり、プライバシー通知には受信者を具体的に明記する必要があります。

よくある質問