2018年度「情報セキュリティ対策の診断研究プロジェクト」成果報告

EU一般データ保護規則（GDPR）への対応
2018年度「情報セキュリティ対策の診断」研究プロジェクト
主査
メンバー

木村裕一、

尾崎孝章、赤尾嘉冶、鈴木淳哉（発表者）
オブザーバー久山真宏

1©2019JSSAシステム監査学会－「情報セキュリティ対策の診断研究プロジェクト」 All right reserved.

2018年度「情報セキュリティ対策の診断研究プロジェクト」成果報告

アジェンダ
1. 研究プロジェクトの発足と経緯
2. 研究の考え方と位置づけ
3. 研究プロジェクトの検討プロセス
4. GCPR基本事項の検討・確認
5. GDPR対象企業となるかのチェック
6. 対象企業のパターン化
7. GDPRへの対応
8. 制裁金の仕組み
9. 同意書10.違反時の対応
11.Pﾏｰｸ、ISMSによる認定取得内容の強化
12.2018年度の成果
13.今後の課題と進め方
2©2019JSSAシステム監査学会－「情報セキュリティ対策の診断研究プロジェクト」 All right reserved.

2018年度「情報セキュリティ対策の診断研究プロジェクト」成果報告

１．研究プロジェクトの発足と経緯

 GDPRへの対応• GDPR（General Data Protection Regulation）は2018年5月28日から施行された、EUにおける個人データの保護における規則。主には個人データの処理と移転に関して厳しく定めている。

• GDPRではEEA域内（欧州経済領域）の所在者の個人データの保護は、EU圏内に限定していない。EEA在住者との取引やサービ
ス提供があればGDPRが適用される。

• このような状況の中で、我が国おける企業での対応が必要となることが想定されるので、この手引きを作成することとした。

3©2019JSSAシステム監査学会－「情報セキュリティ対策の診断研究プロジェクト」 All right reserved.

2018年度「情報セキュリティ対策の診断研究プロジェクト」成果報告

２．研究の考え方と位置づけ（１）研究当初の考え方• GDPRは世界で最も厳しいデータ保護規則の1つと見なされており、EU
市民の個人データを一貫して保護することを目的としている。この規則により、EU市民のデータをインタラクティブに操作および保管するすべての組織には、違反時に制裁金が科されることになる。このため、外国の法令に基づく影響の範囲や具体的な対応策について研究する必要があると考えた。
（２）最終的な論点• 最終的には、下記の事項を検討テーマとして設定し研究する事とした①GDPR対象企業となるかのチェック②対象企業のパターン化③パターン別対策の主要な観点©2019JSSAシステム監査学会－「情報セキュリティ対策の診断研究プロジェクト」 All right reserved.

4

2018年度「情報セキュリティ対策の診断研究プロジェクト」成果報告

３．研究プロジェクトの検討プロセス（１）研究プロジェクトの中で実際に以下の解釈と理解を試みた。
解釈と理解の対象テーマ

対象文献

ＧＤＰＲ規則の内容と対策の概要

ＢＳＩ ＥＵ一般データ保護規則（GDPR）

保護規則の条文理解

EU の一般データ保護規則 (GDPR）

前文の理解

一般データ保護規則の前文

同意書の理解同意に関するガイドライン

制裁の理解

一般データ保護規則の条文（２）「我が国企業における対応」として以下のテーマ検討を試みた。
対象テーマ•GDPR対象企業となるかのチェック
対象企業のパターン化•パターン別対策の主要な観点•©2019JSSAシステム監査学会－「情報セキュリティ対策の診断研究プロジェクト」 All right reserved.

成果資料
GDPR対象企業チェックリスト
GDPRGDPR対象企業パターンフロー5
パターン別主要観点表

2018年度「情報セキュリティ対策の診断研究プロジェクト」成果報告

４．GDPR基本事項の確認• ＥＵ一般データ保護規則の関係文書の原文は英文で、その日本語訳として以下の組織が対応していることを確認。

• 個人情報保護委員会、
https://www.ppc.go.jp/enforcement/cooperation/cooperation/GDPR/
6©2019JSSAシステム監査学会－「情報セキュリティ対策の診断研究プロジェクト」 All right reserved.

2018年度「情報セキュリティ対策の診断研究プロジェクト」成果報告

４．GDPR基本事項の確認
以下のような文書より、さらにGDPRの基本事項を確認した
文書名

ページ数

一般データ保護規則の前文 (PDF：654KB)

62

一般データ保護規則の条文 (PDF：1230KB)

108

データポータビリティの権利に関するガイドライン (PDF：1105KB)
データ保護オフィサー（DPO）に関するガイドライン (PDF：906KB)

43
54

管理者又は処理者の主監督機関を特定するためのガイドライン (PDF：596KB)

26

データ保護影響評価（DPIA）及び取扱いが2016/679規則の適用上、「高いリスクをもたらすことが予想される」か否かの判断に関するガイドライン (PDF：1152KB)

49

規則における制裁金の適用及び設定に関するガイドライン (PDF：304KB)

25

同意に関するガイドライン (PDF：487KB)

71

GDPR の地理的適用範囲（第3 条）に関するガイドライン
Infographic（外部サイト（欧州委員会））
日本語仮訳付PDF (PDF：1090KB) （中小企業向けの、簡単にまとめられたGDPR説明）

18

Fact Sheet "Questions and Answers – Data protection reform package"（外部サイト（欧州委員会））
日本語仮訳付PDF (PDF：318KB) （GDPRによるデータ保護改革案についての質疑応答概略）

18©2019JSSAシステム監査学会－「情報セキュリティ対策の診断研究プロジェクト」 All right reserved.

7

2018年度「情報セキュリティ対策の診断研究プロジェクト」成果報告

４．GDPR基本事項の確認
４.２ GDPRが義務付ける「基本原則」、権利（１）透明性：• 取り組んでいるデータ処理作業について、全面的に透明であること、データ主体が十分認識していない
データの扱いを実施しないことが必要になる。
（２）明確さ：• どのようなデータ処理作業であるかについて明確であること。「法律用語」や難しい言葉を使って処理の詳細を覆い隠すことはもはや許されない。データ処理に関する情報は、わかりやすい平易な言葉を使用した明確な文章で説明する必要がある。
8©2019JSSAシステム監査学会－「情報セキュリティ対策の診断研究プロジェクト」 All right reserved.

2018年度「情報セキュリティ対策の診断研究プロジェクト」成果報告

４．GDPR基本事項の確認
４.２ GDPRが義務付ける「基本原則」、権利（３）説明責任：
組織構造内で、また、自分のデータの監督と管理、さらにデータ主体の権利の実行に責任を負うデータ主体自体に対して、その両方で明確でなければならない。
（４）GDPRによる個人の３つの権利①知る権利‐ 取得されたデータの利用方法開示②許可する権利‐ 同意しない個人情報取得禁止③忘れられる権利‐ 要求に応じて個人情報の削除
9©2019JSSAシステム監査学会－「情報セキュリティ対策の診断研究プロジェクト」 All right reserved.

2018年度「情報セキュリティ対策の診断研究プロジェクト」成果報告

４．GDPR基本事項の確認
４.３ GDPRにおける個人データ（条文第4条定義）

英文

日本語訳

Name

氏名

Identification number

識別番号

Location data

位置データ

Online identifier

オンライン識別子

Physical identity

身体的な同一性を示す要素

Physiological identity

生理的な同一性を示す要素

genetic identity

遺伝的な同一性を示す要素

mental identity

精神的な同一性を示す要素

economic identity

経済的な同一性を示す要素

cultural identity

文化的な同一性を示す要素

social identity

社会的な同一性を示す要素©2019JSSAシステム監査学会－「情報セキュリティ対策の診断研究プロジェクト」 All right reserved.

10

2018年度「情報セキュリティ対策の診断研究プロジェクト」成果報告

５.GDPR対象企業となるかのチッェク• 企業とすれば、まず、第一に我が社がGDPRの対象となるかどうかの心配がある。

• そのため、対象企業チェックリストを作成した。
質問

チェック
項目

チェック内容

GDPR
条文

判断の
結果

A

ＥＵ域内
拠点有無

EU域内に管理者または処理者の拠点がある。

３

ＹＥＳ／ＮＯ

B

データ移転

EU所在のデータ主体の個人情報を日本に移転している。

４４

ＹＥＳ／ＮＯ

C

データ移転

EU所在のデータ主体の個人情報を移転元より受け取っている。

４４

ＹＥＳ／ＮＯ

収集場所

EU域内の市場では活動しておらず、EU域内データ主体が日本滞在時にのみ個人情報の収集している。

３

ＹＥＳ／ＮＯ

サービス内容EU域内データ主体に対し日本国内からネットワーク経由で、 ３EUの言語、通貨等によるサービス・商品を提供している。

ＹＥＳ／ＮＯ

DE

11©2019JSSAシステム監査学会－「情報セキュリティ対策の診断研究プロジェクト」 All right reserved.

2018年度「情報セキュリティ対策の診断研究プロジェクト」成果報告

６.対象企業のパターン化• 今回のGDPRのケースではEU域内と日本との２拠点での事象に対しての対応であるため、幾つかのパターンに分けて説明した方が分かりやすいと判断した。

• パタン化を実施した上で、以下の手順に従って、主要な観点が理解できるよう整理した。

1「資料図：GDPR対象企業パターンフロー」に基づき、質問A～Eまでを辿り、自社がパターンの１～５のどのパターンに該当するか確認する。

2

パターンが決まったら、各パターンの詳細が書かれている内容で、質問A～Eの選択の正しかったことの確認

3

ＥＵ域内と日本との２拠点での状況を図示した画像で地理的適用範囲の関係をイメージする。

4

更に各パターンの「観点」、「法令」、「認定」、「同意」、「制裁」の内容を把握
12
し、自社の置かれている環境、管理するべき状況を確実にし、取るべき対策の主要な観点を理解していただきたい。

©2019JSSAシステム監査学会－「情報セキュリティ対策の診断研究プロジェクト」 All right reserved.

2018年度「情報セキュリティ対策の診断研究プロジェクト」成果報告「資料図：GDPR対象企業パターンフロー」

質問：B
EU所在のデー
タ主体の個人情報を日本に移転している。
質問：A
EU域内に管理者または処理者の拠点がある。

質問：CEU所在のデー
タ主体の個人情報を移転元より受け取っ
ている。

パターン１
パターン２
パターン３

パターン４

質問：D
EU域内の市場では活動しておらず、
EU域内データ主体
が日本滞在時にのみ個人情報の取集をしている。

質問：E
EU域内データ主体に対し日本国
内からネット
ワーク経由で、EUの言語、通貨等によるサービス・商品を提供
している。

パターン５
GDPR適用外13©2019JSSAシステム監査学会－「情報セキュリティ対策の診断研究プロジェクト」 All right reserved.

2018年度「情報セキュリティ対策の診断研究プロジェクト」成果報告

パターン１：ＥＵ域内に管理者または処理者の拠点があり、個人情報を日本に移転している。
質問
A
B
C
D
E

観点
法令
認定
同意

チェック項目ＥＵ域内拠点有無
データ移転
データ移転
収集場所
サービス内容チェック内容EU域内に管理者または処理者の拠点がある。
EU所在のデータ主体の個人情報を日本に移転している。
EU所在のデータ主体の個人情報を移転元より受け取っている。
EU域内の市場では活動しておらず、EU域内データ主体が日本滞在時にのみ個人情報の収集している。
EU域内データ主体に対し日本国内からネットワーク経由で、EUの言語、通貨等によるサービス・商品を提供している。

EU域内事業所
・ＧＤＰＲ遵守・ＩＳＭＳの取得
・データ主体からの同意書の取得
・データ主体からの移転の同意取得

判断の結果
ＹＥＳ
ＹＥＳ
不問
不問
不問

移転に関する統治日本国内事業所（本社→事業所への指示）
・ＧＤＰＲ遵守指示
・個人情報保護法遵守
・十分性認定遵守・ＩＳＭＳ又はＰマークの取得―
・補完的ルールの順守
・同意書の取得指示
・EU域内の事業所が同意書の取得済
・同意書の内容確認
確認
14

制裁

・制裁金の対象©2019JSSAシステム監査学会－「情報セキュリティ対策の診断研究プロジェクト」 All right reserved.

・制裁金は受けないが、契約の関係に基づき影響を受ける。

2018年度「情報セキュリティ対策の診断研究プロジェクト」成果報告

パターン２：ＥＵ域内に管理者または処理者の拠点があり、個人情報を日本に移転していない。
質問
A
B
C
D
E

観点
法令
認定
同意
制裁

チェック項目ＥＵ域内拠点有無
データ移転
データ移転
収集場所
サービス内容チェック内容EU域内に管理者または処理者の拠点がある。
EU所在のデータ主体の個人情報を日本に移転している。
EU所在のデータ主体の個人情報を移転元より受け取っている。
EU域内の市場では活動しておらず、EU域内データ主体が日本滞在時にのみ個人情報の収集している。
EU域内データ主体に対し日本国内からネットワーク経由で、EUの言語、通貨等によるサービス・商品を提供している。

・ＧＤＰＲ遵守

移転に関する統治（本社→事業所への指示）
・ＧＤＰＲ遵守指示―

・ＩＳＭＳの取得―

EU域内事業所

・データ主体からの同意書の取得
・同意書の取得指示
・データ主体からの同意書の取得済
・同意書の内容確認
確認
・制裁金の対象©2019JSSAシステム監査学会－「情報セキュリティ対策の診断研究プロジェクト」 All right reserved.

判断の結果
ＹＥＳ
NO
不問
不問
不問

日本国内事業所

―

―
―

15

2018年度「情報セキュリティ対策の診断研究プロジェクト」成果報告

パターン３：ＥＵ域内に拠点がなく、個人情報を移転元より日本国内で受け取っている。
質問
A
B
C
D
E

観点
法令
認定
同意

チェック項目ＥＵ域内拠点有無
データ移転
データ移転
収集場所
サービス内容チェック内容EU域内に管理者または処理者の拠点がある。
EU所在のデータ主体の個人情報を日本に移転している。
EU所在のデータ主体の個人情報を移転元より受け取っている。
EU域内の市場では活動しておらず、EU域内データ主体が日本滞在時にのみ個人情報の収集している。
EU域内データ主体に対し日本国内からネットワーク経由で、EUの言語、通貨等によるサービス・商品を提供している。

・ＧＤＰＲ遵守

移転に関する統治（自社→他社への指示）
・ＧＤＰＲ遵守指示

・ＩＳＭＳの取得―

EU域内事業所

・データ主体からの同意書の取得
・データ主体からの移転の同意取得

・同意書の取得指示・同意書の内容確認

判断の結果
ＮＯ
不問
ＹＥＳ
不問
不問

日本国内事業所
・個人情報保護法遵守
・十分性認定遵守・ＩＳＭＳ又はＰマークの取得
・補完的ルールの順守
・EU域内の事業所が同意書の取得済
確認
16

制裁

・制裁金の対象©2019JSSAシステム監査学会－「情報セキュリティ対策の診断研究プロジェクト」 All right reserved.

・制裁金は受けないが、契約の関係に基づき影響を受ける。

2018年度「情報セキュリティ対策の診断研究プロジェクト」成果報告

パターン４：ＥＵ域内に拠点がなく、データ主体が日本に滞在時のみ個人情報を収集する。
質問
A
B
C

チェック項目ＥＵ域内拠点有無
データ移転
データ移転
収集場所

D
E

サービス内容EU域内事業所

観点
法令
認定
同意

チェック内容EU域内に管理者または処理者の拠点がある。
EU所在のデータ主体の個人情報を日本に移転している。
EU所在のデータ主体の個人情報を移転元より受け取っている。
EU域内の市場では活動しておらず、EU域内データ主体が日本滞在時にのみ個人情報の収集している。
EU域内データ主体に対し日本国内からネットワーク経由で、EUの言語、通貨等によるサービス・商品を提供している。

―――

移転に関する統治
―
―
―

制裁

判断の結果
ＮＯ
不問
ＮＯ
ＹＥＳ
不問

日本国内事業所
・個人情報保護法遵守
・十分性認定遵守・ＩＳＭＳ又はＰマークの取得
・補完的ルールの順守
・データ主体からの同意書の取得
・日本国内の法制度に従う。

※ＧＤＰＲの地理的適用範囲（第３条）に関するガイドラインより、ＥＵ市場で活動して 17いない企業に対するＧＤＰＲの適用は対象外となるが、国内の個人情報保護法の範囲での対応は必要。
©2019JSSAシステム監査学会－「情報セキュリティ対策の診断研究プロジェクト」 All right reserved.

2018年度「情報セキュリティ対策の診断研究プロジェクト」成果報告

パターン５：ＥＵ域内データ主体に日本国内からネットワーク経由で個人情報を収集する。
質問
A
B
C

チェック項目ＥＵ域内拠点有無
データ移転
データ移転
収集場所

D
E

サービス内容―移転に関する統治（自社→他社への指示）
―

―

―

観点
法令
認定
同意
制裁

チェック内容EU域内に管理者または処理者の拠点がある。
EU所在のデータ主体の個人情報を日本に移転している。
EU所在のデータ主体の個人情報を移転元より受け取っている。
EU域内の市場では活動しておらず、EU域内データ主体が日本滞在時にのみ個人情報の収集している。
EU域内データ主体に対し日本国内からネットワーク経由で、EUの言語、通貨等によるサービス・商品を提供している。

EU域内事業所――――©2019JSSAシステム監査学会－「情報セキュリティ対策の診断研究プロジェクト」 All right reserved.

判断の結果
ＮＯ
不問
ＮＯ
ＹＥＳ
不問

日本国内事業所
・個人情報保護法遵守
・十分性認定遵守・ＩＳＭＳ又はＰマークの取得
・補完的ルールの順守
・データ主体からの同意書の取得
・データ主体からの移転の同意取得
・制裁金の対象。

18

2018年度「情報セキュリティ対策の診断研究プロジェクト」成果報告

７.GDPRへの対応
７．１．対応策に向けての考え方
GDPRで要求されている内容に対して取るべき対応策を以下のように考えることにした。
①対象となる企業は日本に帰属することから、先ず我が国の「個人情報保護法」を遵守していることを確実にする必要がある。
②そのため、現時点では、Pﾏｰｸ 、「ISMS」の認証制度を受審して、第三者からの客観的な観点からの保証を取得しておくことが有効であり必要と考える。
③ Pﾏｰｸ 、「ISMS」認証を取得する方法は別途ご相談ください。
19©2019JSSAシステム監査学会－「情報セキュリティ対策の診断研究プロジェクト」 All right reserved.

2018年度「情報セキュリティ対策の診断研究プロジェクト」成果報告④ただしこの方法には幾つかの課題がある。
◆「EU域内から十分性認定により移転を受けた個人データの取扱いに関する補完的ルール」への対応について、 2019年1月23日、個人情報保護委員会より発表があったとおり、日本も“十分性認定”を受けることになり、日本国内法「個人情報保護法」と「補完的ルール」を遵守すれば、EU域内の事業者から個人データの移転を受けることが可能となった。
◆従って Pﾏｰｸ 、「ISMS」の認証取得時に「個人情報保護法」と「補完的ルール」を遵守していることが保証されていることが条件。
◆このためには Pﾏｰｸ 、「ISMS」の認証機関による保証の声明が公表されていなければならないと考える。
◆Ｐマーク審査ではＧＤＰＲへの対応に関する「十分性認定に関する補完的ルール」（H30年9月公表）への適合を、H31年1月
20から確認している。対応が必要。

©2019JSSAシステム監査学会－「情報セキュリティ対策の診断研究プロジェクト」 All right reserved.

2018年度「情報セキュリティ対策の診断研究プロジェクト」成果報告

７．２ EU域内の日本企業事業所での対策①法令ではＧＤＰＲを遵守する「方針」を打ち出す。
②認定では「PMS」＊又は「ISMS」の認証を取得する。
＊：個人情報保護MSを運用する③同意では・データ主体からの同意書の取得
・データ主体からの同意書の取得済確認
・データ主体からの移転の同意取得④制裁では制裁金の目的の理解と周知徹底
21©2019JSSAシステム監査学会－「情報セキュリティ対策の診断研究プロジェクト」 All right reserved.

2018年度「情報セキュリティ対策の診断研究プロジェクト」成果報告

７．３ 日本国内の事業所での対策①法令では「個人情報保護法」と「補完的ルール」を遵守する「方針」を打ち出す。
②認定では Pﾏｰｸ 又は「ISMS」の認証を取得する。
③同意では・EU域内の事業所が同意書の取得済確認
・データ主体からの同意書の取得④制裁では・制裁金は受けないが、契約の関係に基づき影響を受ける。
・日本国内の法制度に従う。
・制裁金の対象となった対応のシミュレーション
22©2019JSSAシステム監査学会－「情報セキュリティ対策の診断研究プロジェクト」 All right reserved.

2018年度「情報セキュリティ対策の診断研究プロジェクト」成果報告

８．制裁金の仕組み
８．１ 制裁金のきっかけ
１．①顧客の苦情②大規模な個人データの漏えい
GDPRへの対応が不十分な結果、制裁金が発生する事態を招かないよう制裁金の仕組みと保護対策を検討した。
２．制裁金を判断する要素
制裁金は、GDPR第83条の規定により科せられる。
事業者（組織体）が対応すべき措置（表8‐1、表8‐2）が、実施されていないこと、またその結果、個人データの侵害が発生し、ﾃﾞｰﾀ主体に損害が及ぶなどの要因により制裁金が発生する。

• 制裁金と表現しているが、警告、懲戒、命令、取扱い禁止などの措置も含む。（第58条2）23©2019JSSAシステム監査学会－「情報セキュリティ対策の診断研究プロジェクト」 All right reserved.

2018年度「情報セキュリティ対策の診断研究プロジェクト」成果報告

表8‐1：制裁金判断に関わるGDPR管理項目(項目は一部を抜き書き）

GDPRの仕組みへの対応措置(例)

個人データの取扱いへの対応措置(例)

前提事項

1－1枠
・個人情報保護方針の公開
・管理者の指名

1－2枠
・個人データを漏れなく洗出し対応
・同意書は同意撤回の権利などを明記、同意書の要件を満たしている

運用事項

2－1枠
・個人データ侵害発生時の72時
間以内の報告・加盟国の国内法を遵守

2－2枠
・同意を得て個人データを利用している・リスクに応じた取扱いで安全性を確保
・データ主体の権利に対応してる

共通事項

3－1枠
・侵害行為が故意か、過失か・管理者・処理者の講じた軽減措置

3－1枠
・過去の措置命令の遵守状況
・管理者・処理者の過去の違反への対応
等＜2－2枠＞は、顧客の個人データの侵害を発生させ、顧客に損害を与えることの多い項目の区分けである。企業は一番注力するべき部分と考える。
24©2019JSSAシステム監査学会－「情報セキュリティ対策の診断研究プロジェクト」 All right reserved.

2018年度「情報セキュリティ対策の診断研究プロジェクト」成果報告

８．２ 制裁金の内容のﾁｪｯｸﾘｽﾄ• 第83条により制裁金の対象が規定されている。制裁金をまねかないた
めの規定のチェックリストを検討した。
表8‐2 違反可能性 評価 チェックリストNo
１

２

チェック項目GDPR 条文
83 条 258 条 2 a)～h)、j)に規定する是正権限の措置に加えて、又は代えて制裁金を科す。制裁金を科す判断、額の判断においての考慮事項a)～k)に規定

チェック内容項目
58 条 2 a)～k)の規定項目：a)違反行為の性質、重大性、持続期間、被害の人数、損害の程度。
b)違反行為の故意または過失。c)
損失の軽減のための措置。d)管理者又は処理者の責任の程度。e)管理者又は処理者の過去の違反。f)
違反解消のための監督機関との協力。g)違反の個人データ種類。h)違反が判明した経緯。i)過去の経緯。j)行動規範の遵守。k)その他の要素。
左記各条の義務に違反することが83 条４
管理者及び処理 ない行為を実施する必要がある。
者の義務
8 条、11 条、25 条～39 条、による©2019JSSAシステム監査学会－「情報セキュリティ対策の診断研究プロジェクト」 All right reserved.

評価事項
個人データ侵害に関する左記
内容の状況により制裁金を判断される
個人情報保護に関して組織の行う努力が評価され、制裁金の低減に反映される。努力は見えるように（記録を残して）実施し
ているか

判断の
結果

備考

遵守しているか（以下に個別に展開）

25

2018年度「情報セキュリティ対策の診断研究プロジェクト」成果報告

９．同意書
９．１ 同意書の位置づけ• GDPRでは企業がﾃﾞｰﾀ主体から個人情報を取得し取り扱うことの法的根拠を明確に規定している。

• 同意書は個人データ取扱いの法的根拠の1つである。
同意書は個人情報の取扱いでﾃﾞｰﾀ主体との関わりが大きく顧客の苦情に結びつき易く、“同意”が持つ意味は大きい。

• 同意の定義：①自由に与えられ、②特定され、③事前に説明を受けた上での、④不明瞭でない、データ
主体の意思の表示。それによりデータ主体が、⑤その陳述又は積極的行為により、自身に関連する個人
データの取扱いの同意を表明するもの
26©2019JSSAシステム監査学会－「情報セキュリティ対策の診断研究プロジェクト」 All right reserved.

2018年度「情報セキュリティ対策の診断研究プロジェクト」成果報告

９．１ 同意書の位置づけ（つづき）• 同意を得る：上記の①～⑤を満たすことが必要• ただ、日本の企業が Pﾏｰｸ、ISMSに基づいて取得した同意と、GDPRで要求される同意には相違がある。

• 相違：「同意文の表現」と、「同意の取扱いの相違」がある• 日本の企業としては、GDPRに対応するためには、上の相違を解消する対処が必要である。

27©2019JSSAシステム監査学会－「情報セキュリティ対策の診断研究プロジェクト」 All right reserved.

2018年度「情報セキュリティ対策の診断研究プロジェクト」成果報告

９．２ 同意書表現と内容（１）同意書の表現について：下記の要求事項がある• 同意目的：具体的、かつ十分な情報開示に基いており、明確でわかりやすく表示されているか• 自由に与えられた：ﾃﾞｰﾀ主体に真に選択権があるかどうか
任意性の厳密な運用をする。
例：雇用関係における同意は力関係を考えると任意性に欠ける
可能性がある• 説明：データ主体が事前に説明を受けているか• 同意の撤回：同意と同様に容易に撤回が可能か• 同意したこと、内容が明瞭か（注）グーグルが「説明・同意」に不備があったとして仏当局から62億円の制裁金を命じられた。（２０１９．１）
28©2019JSSAシステム監査学会－「情報セキュリティ対策の診断研究プロジェクト」 All right reserved.

2018年度「情報セキュリティ対策の診断研究プロジェクト」成果報告

９．２ 同意書表現と内容（２）「同意の取扱い」について：下記の要求事項がある①この同意書に基づいて同意を取った記録があるか②同意書のない個人データは適切に廃棄されているか③同意目的が変更された場合、速やかに新しい同意を得ているか
個人情報保護管理者は責任を持って対応する必要がある(３) 「同意に関するガイドライン」が公表されている①ガイドラインの項目から同意に関する要求事項リストを作成
表９‐１に構成を示す②要求事項に対して、グーグル、フェイスブック及び日本の企業の同意書を事例として参考に対比してみた。

29©2019JSSAシステム監査学会－「情報セキュリティ対策の診断研究プロジェクト」 All right reserved.

2018年度「情報セキュリティ対策の診断研究プロジェクト」成果報告

表９‐１ 同意のガイドラインと同意の留意事項
No
同意ガ

ガイドライン項目

イドラ

小見出し

ﾎﾟﾘｼｰ

の対応

への要

ガイドラインの記述内容を想起する記述

条項：

求事項

イン

（ガイドラインの記述の一部抜き書き）

○条

要求

番号

ガイドラインの内容の要約ではない（要約は

前文：

○

できない）
17

GDPR と

3.3

説明を受けた○項

同意の取得に先立ってデータ主体に情報を提供し、ﾃﾞｰﾀ主体が何について承諾しているかを理解できるようにすること

5条

〇

6条

同意を撤回する権利を行使できるようにする
ため
18

3.3.1

同意が「説明を受けた」上「説明を受けた」の最小限の要件でのものとなる最小限の(ⅰ)管理者の身元要件(ⅱ）同意が求められるそれぞれの取扱業務の

13 条

〇

14 条
22 条

目的

(ⅲ)収集され利用されるデータ（そのタイプ） 46 条
第 29 条（作業部会の見解） (ⅳ)同意を撤回する権利の存在
では(ⅴ)関連する場合、第 22 条（2）（c）に従右は、ﾃﾞｰﾀ主体が選択を行い自動化された意思決定のためのデータ利用うために提供すべき要素についての情報である、とする(ⅵ)十分性認定及び第 46 条で述べられる適切な保護措置がないことによるデータ移転で起こりうるリスクについて
30©2019JSSAシステム監査学会－「情報セキュリティ対策の診断研究プロジェクト」 All right reserved.

2018年度「情報セキュリティ対策の診断研究プロジェクト」成果報告

１０．違反時の対応（１）データ侵害発生時の対処が第３３条に規定されている。
表10－1
事故時の対応＿＿＿＿＿＿＿＿＿＿＿GRPRの規定

事
故
時
の
対
応

日本企業としての対応

プライバシー違 万が一、データ侵害が発生した際には、その反時の報告が義 事実を検知して適切な対応ができるようにす務化され、侵害 る体制が必要である。例えばGDPRの管轄監を認識してから 督機関との窓口となる「DPO」（Data
可能な72時間以 Protection Officer）を選任し、その氏名と連内にGDPRの管轄 絡先を明示する。72時間以内にGDPRの管轄
監督機関への報 監督機関への報告ができる体制を整備する。
告が必要である。※個人情報保護法では、事故時の個人情報保護委員会等への速やかな報告は努力義務であり、マイナンバーについてのみ、特定個人情報の安全の確保に係る「重大な事態」が生じたときに、個人情報保護委員会に報告するこ
31とが法令上の義務である。

©2019JSSAシステム監査学会－「情報セキュリティ対策の診断研究プロジェクト」 All right reserved.

2018年度「情報セキュリティ対策の診断研究プロジェクト」成果報告

１１． Pﾏｰｸ、ISMSによる認定取得内容の強化• ＧＤＰＲへの対応として Pﾏｰｸ やISMSの認定取得が有効で必要である。そのままでは対応は不足である。
次の検討を行った。(継続検討中である）(１) Pﾏｰｸ 取得認定企業のＧＤＰＲ対応
ＧＤＰＲ対応に必要な内容を取込む
PMS構築ステップを検討(２)ISMS認定取得企業のＧＤＰＲ対応
ISMSの項目に対する要修正,要検討事項を検討

32©2019JSSAシステム監査学会－「情報セキュリティ対策の診断研究プロジェクト」 All right reserved.

2018年度「情報セキュリティ対策の診断研究プロジェクト」成果報告

１２．２０１８年度の研究成果
 GDPRの対象企業チェックリストを作成した。
 GDPRへの対応策パターンを作成した。
 GDPRの違反可能性チェックリストを作成した。
 同意書作成の留意点を作成した。
 PMS,ISMSの認定取得による対応を検討した。
 検討過程の成果物をまとめ、公表する(検討中を含む）。
 「ＥＵ一般ﾃﾞｰﾀ保護規則(ＧＤＰＲ)対応研究成果物集」をご覧いただき、ご意見、ご提案をお寄せください。

33©2019JSSAシステム監査学会－「情報セキュリティ対策の診断研究プロジェクト」 All right reserved.

2018年度「情報セキュリティ対策の診断研究プロジェクト」成果報告

１３．今後の課題と進め方

1. 成果の活用
今回は、各条文を確認することでチェックリストやパターン化を行い、対策を実施する上での着手ポイントとして活用できると考える。
しかしながら、実際の事例については十分な研究が行えておらず、今回の成果物を活用するだけで十分であるかの検証は行えていない。今後の課題である。

2. 対応計画
実際の事例についても調査・検討を行い、今回の成果物以外に留意すべき点や、実施事項がないか検証を行うとともに、不足している内容について成果物を作成していく必要がある。

34©2019JSSAシステム監査学会－「情報セキュリティ対策の診断研究プロジェクト」 All right reserved.

2018年度「情報セキュリティ対策の診断研究プロジェクト」成果報告

参考資料【個人情報保護委員会 】
・個人情報の保護に関する法律（平成15年法律第57号）
https://www.ppc.go.jp/files/pdf/290530_personal_law.pdf
・補完的ルール(個人情報の保護に関する法律に係るＥＵ域内から十分性認定により移転を受けた個人データの取扱いに関する補完的ルール(平成 30 年９月)
https://www.ppc.go.jp/files/pdf/Supplementary_Rules.pdf【GDPR 参考リンク、書籍集 】
・ GDPR日本語訳、GDPRの原文、ハンドブック、ガイドラインの和訳 等https://xn‐‐gdpr‐ev9g41r.net/reference/japanese.html【ハンドブック、ガイドライン】
・「EU 一般データ保護規則（GDPR）」に関わる実務ハンドブック by JETRO
入門編 https://www.jetro.go.jp/ext_images/_Reports/01/dcfcebc8265a8943/20160084.pdf
実践編 https://www.jetro.go.jp/ext_images/_Reports/01/76b450c94650862a/20170058.pdf
・「EU 一般データ保護規則（GDPR）」に関わる実務ハンドブック（第29 条作業部会ガイドライン編） by JETRO
データ保護責任者 https://www.jetro.go.jp/ext_images/_Reports/01/28dd771ad2a2c020/20170094.pdf
データポータビリティの権利 https://www.jetro.go.jp/ext_images/_Reports/01/2d8d30044cc65583/20170096.pdf
・管理者および処理者の主導監督当局の特定https://www.jetro.go.jp/ext_images/_Reports/01/9a90f1003bc16515/20170095.pdf
・データ保護影響評価（DPIA）の実施）
https://www.jetro.go.jp/ext_images/_Reports/01/4d53cce1193597c7/20170117.pdf【概要・解説】
ＮＴＴデータ先端技術株式会社
・EU一般データ保護規則（GDPR）の概要（前編・後編）
http://www.intellilink.co.jp/article/column/security‐gdpr01.html
http://www.intellilink.co.jp/article/column/security‐gdpr02.html©2019JSSAシステム監査学会－「情報セキュリティ対策の診断研究プロジェクト」 All right reserved.

35

2018年度「情報セキュリティ対策の診断研究プロジェクト」成果報告

ご清聴有難うございました
当研究プロジェクトは継続して、一緒に研究する方を募集しています。
研究会は、ほぼ毎月１回
場所

メンバー企業

時期・時間

会議室

開催しています。

他

毎月中旬、平日の１８：３０から約２時間
研究結果については、ＨＰに公表します。

連絡は、「情報セキュリティ対策の診断」研究プロジェクトまで＜問い合わせの窓口アドレス＞ （学会事務局経由）

http://www.sysaudit.gr.jp/toiawase/index.html（ｃ）2017 JSSAシステム監査学会 情報セキュリティ対策の診断プロジェクト©2019JSSAシステム監査学会－「情報セキュリティ対策の診断研究プロジェクト」 All right reserved.

36