SCCs/DPA契約支援・RoPA/DSR対応

• 
  

• 対応が必要なケース

• 対応不要なケース

• SCCs／DPAが必要なケース
  

• ・欧州の顧客・ユーザーの個人データを、日本やその他のEU域外で処理・保管している
  
  ・クラウドサービス（AWS、Google Cloud、Salesforce等）を利用しており、データがEU域外のサーバーで処理される可能性がある
  
  ・外部ベンダーにEU居住者の個人データの処理を委託している
  
  ・欧州の取引先・親会社からDPA／SCCsの締結を要求されている
  
  ・グループ会社間で欧州拠点と日本本社の間でデータをやりとりしている
  

• ・EU居住者の個人データを一切取り扱っていない（顧客・従業員ともに非EU圏のみ）
  
  ・データの処理がすべてEU域内で完結しており、域外への移転が発生しない
  
  ※ 十分性認定があればSCCsが不要になるケースはありますが、外部委託が伴う場合はDPAは引き続き必要です。自社の状況がどちらに該当するか判断が難しい場合は、お気軽にご相談ください。

• RoPA／DSR対応が必要なケース
  

• ・GDPRが義務付けるRoPAを整備できていない、または一度作ったまま更新されていない
  
  ・欧州ユーザーからのDSR（開示・削除・訂正等の要求）への対応フローが確立していない
  
  ・監督機関の調査・監査に備え、説明責任を果たせる記録を整えたい
  
  ・RoPA・DSR対応が属人化しており、継続的に維持できる体制を構築したい

• 
  

Step 1

データ処理の棚卸しと契約状況の把握

データ処理に関わる外部委託先を網羅的に把握し、既存契約の収集・照合・ギャップ分析を実施。あわせて各部署でのデータ処理活動をヒアリングし、収集・処理するデータ項目、目的、共有先・移転先、法的根拠を洗い出します。

Step 2

DPA・SCCsの起案・整備

欧州の法律家がDPAを起案・レビューし、2021年改定版SCCsの選定・カスタマイズ、EU-日本間の十分性認定を活用した移転スキームの設計、各ベンダーへの契約締結対応サポートを行います。

Step 3

RoPAの作成・更新ルール策定

GDPRが定める記載要件を満たしたRoPA（GDPR第30条対応）を作成・整備。各処理活動の法的根拠・保存期間・移転先等を記載し、社内レビューとアップデートルールを策定します。

Step 4

DSR対応体制の構築

対応すべき権利の種類（アクセス・削除・訂正・移転等）の整理、受付から対応完了までの社内フロー設計、本人確認プロセスの設計、対応記録の管理方法の整備を行います。

Step 5

定着・継続運用支

担当者向けトレーニング・マニュアル作成、委託先管理プロセスの設計、定期的なRoPA見直しフロー、契約更新トリガーの設定、規制動向に応じたアップデートを行い、仕組みを組織に根付かせます。

• 項目

• 一般的な契約支援

• プライバシーテックのアプローチ

• 起案体制
  

• 日本の法務担当がひな型を翻訳・流用
  

• 欧州の法律家がビジネスモデルに即して直接起案
  

• 対応範囲
  

• DPA単体の作成
  

• SCCs・十分性認定・TIA（移転影響評価）を含む移転フレームワーク全体を設計

• 管理範囲
  

• 契約締結で完了
  

• ベンダーリスト整理からサプライチェーン全体の継続管理まで

Q. 自社で対応できないのでしょうか？

A. テンプレートを用いた対応は可能ですが、SCCs／DPAは「締結すれば終わり」ではなく、自社のデータフロー・委託内容に合わせたカスタマイズと、移転影響評価（TIA）等の補足措置が求められます。また、相手方（欧州企業やグローバルベンダー）から提示される契約書のレビューには、現地の法的要件や監督機関の最新動向に関する知見が不可欠です。形式的に締結しただけでは、有事の際に「適切な措置を講じた」と認められない可能性があります。

Q. 対応しないとどうなりますか？

A. GDPRに基づく制裁金は、最大で全世界年間売上高の4%または2,000万ユーロのいずれか高い方が上限です。ただし、制裁金だけが問題ではありません。DPA未締結のまま委託を続けた場合、データ漏洩時に責任の所在が不明確になり、欧州の取引先からの信頼喪失や契約打ち切りにつながるリスクがあります。また、欧州の監督機関は近年、SCCsの不備を理由としたデータ移転の差し止め命令を出した事例もあり、事業継続そのものに影響が及ぶ可能性があります。

Q. 今すぐ対応する必要がありますか？

A. すでにEU居住者の個人データを取り扱っている場合は、GDPRの義務はリアルタイムで適用されており、「いつかやる」ではなく「すでに必要」な状態です。特に、欧州企業との新規取引や、既存取引先からの契約更新のタイミングでDPA／SCCsの整備を求められるケースが増えています。取引先から要請が来てから慌てて対応するよりも、事前に整備しておくことで、契約交渉を有利かつスムーズに進めることができます。