目次
システム開発や保守、クラウドサービスの提供などを行っていると、元請企業や取引先から突然、「この案件についてDPAを締結してください」と求められることがあります。
DPAはGDPR（EU一般データ保護規則）との関係で利用されることが多いため、
|
・当社は日本企業なのに、なぜGDPRが関係するのか ・EU企業とは直接取引していないのに、なぜDPAが必要なのか ・DPAに署名すると何をしなければならないのか ・取引先から提示された以上、そのまま締結しなければならないのか |
などと困惑する担当者も少なくないと思われます。
特に、システム開発等では複数の事業者が業務に関与することがあり、上流事業者が負っている個人データ保護に関する義務が、契約を通じて下流事業者にも求められる場合があります。
本記事では、英文DPAの個別条項を詳細に解説するのではなく、取引先からDPAへの対応を求められた日本企業が、まず知っておきたい基本的な仕組みと確認事項を解説します。
取引先から突然DPAの締結を求められることがある
(1) 日本国内の取引でもDPAが問題になる
DPAは「Data Processing Agreement」の略称です。GDPRとの関係で用いられることが多いため、EU域内の企業同士が締結する契約という印象を持つかもしれません。
しかし、日本企業同士の取引であってもDPAへの対応を求められることがあります。
例えば、次のような取引関係が考えられます。
|
EU域内の企業等 ↓ 元請・サービス提供事業者 ↓ 一次請けの開発事業者 ↓ 二次請けの開発事業者・その他の再委託先 |
このような取引構造の中で、上流の事業者がGDPR上のPersonal Dataを取り扱い、その処理の一部を下流の事業者へ順次委託している場合があります。
したがって、自社がEU域内の企業と直接契約していないことだけを理由として、DPAが無関係であるとは判断できません。
(2) GDPR上の義務が契約を通じて下流へ及ぶ場合がある
GDPRでは、Personal Dataの処理を他の事業者に委ねる場合について、Controller（管理者）やProcessor（処理者）と呼ばれる当事者の役割が定められています。
さらに、Processorが別の事業者に処理を委託する場合には、その事業者に対しても一定のデータ保護義務を課すことが求められています。
このため、上位の事業者から、
「当社が顧客との間で負っているデータ保護義務を、再委託先である御社にも遵守してもらう必要があります」
という理由でDPAの締結を求められることがあります。GDPR28条4項は、Processorが別のProcessorに特定の処理業務を委託する場合、原則として当初のControllerとProcessorとの間で課されたものと同じデータ保護義務を当該事業者にも課すことを要求しています。
(3) 「自社にGDPRが直接適用されるか」とは分けて考える
ここで重要なのは、自社にGDPRが直接適用されるかという問題と、取引先との契約によってGDPRに由来する義務を負うかという問題は、必ずしも同じではないということです。
日本企業についても、EU域内の拠点における活動との関係でPersonal Dataを処理する場合や、一定の場合にEU域内にいる者に商品・サービスを提供したり、その行動をモニタリングしたりする場合には、GDPRが適用される可能性があります。
他方、自社へのGDPRの直接適用が明らかでなくても、上流事業者がGDPR対応を行うため、その契約上の義務の一部を下流事業者にも負担するよう求める場合があります。
そのため、「日本企業だから関係ない」と判断するのではなく、まず、なぜ自社にDPAが提示されたのかを確認する必要があります。
そもそもDPAとは何か
(1) DPAの意味
DPAとは、一般に、Personal Dataの処理を他の事業者に委ねる場合に、その処理に関する当事者間のルールを定める契約をいいます。
GDPR28条は、ControllerがProcessorにPersonal Dataを処理させる場合、両者の関係を契約その他の法的拘束力のある行為によって規律することを求めています。
DPAでは、例えば次のような事項が問題となります。
|
・どのようなPersonal Dataを処理するのか ・何の目的で処理するのか ・Processorは誰の指示に従って処理するのか ・どのような安全管理措置を講じるのか ・再委託を行う場合にどのような手続をとるのか ・Personal Dataの侵害等が発生した場合にどう対応するのか ・契約終了後にPersonal Dataをどう取り扱うのか |
したがって、DPAは単なる秘密保持契約ではありません。Personal Dataを他の事業者に処理させる場合の役割分担や管理方法を具体化する契約です。
(2) ControllerとProcessorとは
DPAを理解するためには、まずControllerとProcessorという用語を押さえる必要があります。
Controllerとは、Personal Dataの処理の目的及び手段を単独又は共同で決定する者をいいます。
これに対し、Processorとは、ControllerのためにPersonal Dataを処理する者をいいます。
例えば、ある企業が自社の顧客情報を管理するためにクラウドサービスを利用し、クラウド事業者が利用企業のために当該顧客情報を保存・処理する場合には、利用企業がController、クラウド事業者がProcessorとなることがあります。
もっとも、契約書に「Controller」「Processor」と記載すれば、そのとおりに決まるわけではありません。実際に誰が処理の目的や手段を決定し、誰のためにPersonal Dataを処理しているのかという実態から判断する必要があります。
(3) Sub-processorとは
中小のシステム開発会社にとって特に重要なのが、Sub-processor（再処理者）です。
Processorが自ら受託しているPersonal Dataの処理の一部を別の事業者へ委託する場合、その別の事業者がSub-processorとなることがあります。
例えば、元請事業者が顧客からPersonal Dataを取り扱うシステムの運用を受託し、その一部を開発会社へ再委託している場合、開発会社がSub-processorに該当する可能性があります。
さらに、その開発会社が処理のために外部事業者を利用すれば、その事業者がさらに下流のSub-processorとなる可能性もあります。
このような処理の連鎖が、上流事業者から中小の開発会社にDPAが提示される理由の一つです。
(4) 「DPA」という独立した契約書が必須とは限らない
GDPRが求めているのは、一定の事項を契約その他の法的拘束力のある行為によって規律することです。
したがって、必ず「Data Processing Agreement」や「DPA」という名称の独立した契約書を作成しなければならないわけではありません。
例えば、業務委託基本契約、個別契約、利用規約、データ処理に関する特約などに必要事項を盛り込む方法も考えられます。
重要なのは文書の名称ではなく、GDPR28条が求める内容について、当事者間で法的拘束力のあるルールが定められているかという点です。
なぜ自社にDPAが求められているのか
(1) 上流事業者がPersonal Dataの処理を受託している場合
中小の開発会社がDPAを求められる場面では、まず上流の契約関係を考える必要があります。
例えば、ある事業者Aが顧客BからPersonal Dataを取り扱うシステムの運用を受託していたとします。
BがController、AがProcessorに該当するのであれば、BとAとの間ではGDPR28条に対応した契約等が必要となります。
しかし、Aがすべての業務を自社だけで行うとは限りません。システムの開発・保守などを別の事業者Cに再委託することがあります。
この場合、CがPersonal Dataの処理に関与するのであれば、CがSub-processorとなる可能性があります。
(2) Sub-processorにも一定の義務を課す必要がある
GDPR28条では、ProcessorがSub-processorを利用する場合、原則としてControllerによる事前の個別的又は一般的な書面による承認が必要となります。
また、Sub-processorに対しては、元のControllerとProcessorとの契約において定められたものと原則として同じデータ保護義務を課す必要があります。
そのため、上流の事業者が、
|
・顧客とのDPAで再委託先への義務付けを求められている ・自社が利用している再委託先を管理する必要がある ・顧客からSub-processorの一覧や契約状況の確認を求められている |
といった事情から、下流の開発会社にもDPAの締結を求めることがあります。
つまり、下流事業者から見ると「突然DPAが送られてきた」ように見えても、その背景には、上流から下流までPersonal Dataの保護を確保するための契約関係が存在しているのです。
(3) 開発会社だから当然にSub-processorになるわけではない
もっとも、システム開発を受託しているからといって、当然にSub-processorになるわけではありません。
例えば、開発業務を行っていても、
・Personal Dataを含まない環境だけで開発する
・ダミーデータだけを利用する
・Personal Dataが格納された本番環境へアクセスしない
・本人が識別されない、又は識別され得ない状態に匿名化された情報のみを扱う（※仮名化されたデータは、原則としてGDPR上のPersonal Dataに含まれます）
といった場合があります。
反対に、保守業務の際に本番環境へアクセスでき、そこでPersonal Dataを閲覧・操作する可能性がある場合などには、処理への関与を慎重に確認する必要があります。
したがって、上位事業者から「御社はSub-processorなのでDPAを締結してください」と言われても、まずは自社が実際にどのようなPersonal Dataの処理を担当しているのかを確認することが重要です。
(4) 言われるままに締結すればよいわけではない
DPAを求められた場合、「大手の取引先が用意した契約だから問題ないだろう」と考え、そのまま締結してしまうことも考えられます。
しかし、DPAには、単なる情報管理義務だけではなく、
|
・再委託に関する制限 ・セキュリティ上の義務 ・Personal Data侵害時の報告義務 ・監査への協力義務 ・データの返却・削除義務 |
などが定められることがあります。
その内容が自社の業務実態や管理体制と合っていなければ、契約を締結したものの実際には履行できないという問題が生じます。
DPAを提示された場合には、まず契約の背景と自社の役割を確認したうえで、求められている義務を実際に履行できるかを検討する必要があります。
DPAを締結すると何を求められるのか
DPAの具体的な内容は契約ごとに異なりますが、GDPR28条との関係では、一定の事項を契約等で定めることが求められています。
中小のIT・開発事業者にとって特に注意したい事項を整理します。
(1) 指示された範囲でPersonal Dataを処理する
Processorは、原則としてControllerから文書化された指示を受けた範囲でPersonal Dataを処理します。
したがって、委託された目的とは別の目的で自由にPersonal Dataを利用できるわけではありません。
例えば、顧客から預かったPersonal Dataを、自社独自のサービス開発やマーケティングなど、Controllerから指示された目的とは別の目的で利用する場合には注意が必要です。Processorは、原則としてControllerから文書化された指示を受けた範囲でPersonal Dataを処理する立場であり、その範囲を超えて自社の判断でPersonal Dataを利用することは、Processorとして許容される処理の範囲を超え、GDPRに違反する可能性があります。
なお、DPAでは、処理対象、処理期間、処理の性質・目的、Personal Dataの種類、Data Subject （データ主体。Personal Dataの本人）のカテゴリーなどが定められることがあります。
(2) 秘密保持・安全管理措置を講じる
Personal Dataを取り扱う担当者について、秘密保持義務を確保することも求められます。
また、Processorには、GDPR32条に基づく適切な技術的・組織的安全管理措置を講じることが求められます。
具体的な内容は、取り扱うデータやリスクによって異なりますが、例えば、
・Personal Dataへのアクセス権限の管理
・ID・パスワード等の認証管理
・データの暗号化
・システムの可用性・完全性の確保
・バックアップ・復旧体制
・セキュリティ対策の定期的な確認
などが問題となります。
DPA本体では抽象的な義務だけを定め、具体的なセキュリティ措置を別紙に記載する場合もあります。
(3) 再委託先を自由に利用できない場合がある
中小の開発事業者にとって特に確認が必要なのが、再委託です。
GDPR28条では、ProcessorがSub-processorを利用する場合について、Controllerによる事前の個別的又は一般的な書面による承認を求めています。
一般的な承認がある場合でも、Sub-processorを追加・変更するときに通知し、Controllerに異議を述べる機会を与えることが求められます。
そのため、自社がDPAを締結した後に、
「開発の一部をいつもの外注先へ出す」
という従来の運用が、そのまま認められるとは限りません。
また、再委託先に対しても必要なデータ保護義務を負わせる必要があります。
(4) Personal Data侵害等が発生した場合に報告する
Processorは、Personal Data Breach（個人データ侵害）を認識した場合、不当に遅滞することなくControllerへ通知することが求められます。
実際のDPAでは、さらに「認識後24時間以内」「48時間以内」など、具体的な報告期限が定められている場合もあります。
このような条項を締結するのであれば、自社において、
・誰が事故を把握するのか
・誰に報告を上げるのか
・取引先への連絡を誰が行うのか
・必要な情報をどのように収集するのか
といった社内体制を整えておく必要があります。
(5) 本人の権利行使等に協力する
GDPRでは、Data Subjectに対して、アクセス、訂正、消去などの一定の権利が認められています。
これらへの対応について第一次的な責任を負うのはControllerですが、実際のデータをProcessorが保有している場合、Controllerだけでは対応できないことがあります。
そのため、DPAでは、Processorに対してData Subjectの権利行使への対応を支援する義務が定められることがあります。
また、データ保護影響評価（DPIA）など、Controllerが負うGDPR上の義務について協力を求められる場合もあります。
(6) 契約終了後にデータを返却・削除する
処理業務が終了した後のPersonal Dataについてもルールが必要です。
GDPR28条では、Controllerの選択に従い、ProcessorがPersonal Dataを削除又は返却し、原則として既存のコピーも削除することが求められています（ただし、EU法又は加盟国法により保存が義務付けられている場合を除く）。
もっとも、実際のシステムではバックアップデータ等が存在するため、「直ちにすべてのデータを完全削除する」という条件を技術的に実現できるとは限りません。
DPAを締結する前に、自社のデータ保存・バックアップの仕組みと契約条件が一致しているかを確認する必要があります。
(7) 情報提供や監査への対応を求められる
Processorは、GDPR28条上の義務を遵守していることを証明するために必要な情報をControllerへ提供するとともに、Controller等による監査・検査に協力することが求められます。
実務上は、
・セキュリティチェックシートへの回答
・社内規程等の提出
・認証取得状況の説明
・再委託先一覧の提出
・監査への対応
などが問題となることがあります。
したがって、DPAを締結することは、単に契約書に署名するという問題ではありません。
DPAで約束した内容を、自社の実際のシステム、業務フロー、社内規程、再委託管理等によって実行できるのかを確認することが重要です。GDPR28条は、処理条件、秘密保持、安全管理、Sub-processor、Controllerへの協力、終了時の返却・削除、監査等について具体的な契約上の規律を要求しています。
DPAを提示されたら、まず何を確認すればよいか
DPAを提示されたとき、GDPR全体を一から勉強しなければならないと考える必要はありません。
まずは、自社が担当する案件とPersonal Dataの処理実態を整理することが重要です。
(1) どの案件についてのDPAなのか
最初に確認したいのは、DPAの対象となる案件です。
複数の取引を行っている相手方からDPAを提示された場合でも、すべての取引が対象になるとは限りません。
|
・どの基本契約・個別契約に関するものか ・どのサービス・システムが対象なのか ・いつからいつまでの処理が対象なのか |
を確認します。
DPAの適用範囲が不明確であれば、対象業務を明確にしてもらうことも検討する必要があります。
(2) 自社は実際にPersonal Dataを取り扱うのか
次に重要なのは、自社が対象となるPersonal Dataを実際に処理するのかという点です。
システム開発会社だからといって、常に顧客のPersonal Dataを取り扱うとは限りません。
例えば、
|
・本番データへのアクセス権限があるか ・開発・テストで実データを使用するか ・保守作業中にPersonal Dataを閲覧できるか ・ログ等に個人を識別できる情報が含まれているか |
などを確認します。
「開発業務だからPersonal Dataを扱っているだろう」という推測ではなく、実際のシステム構成と権限を確認する必要があります。
(3) どのようなPersonal Dataを取り扱うのか
Personal Dataを処理するのであれば、その内容を特定します。
例えば、次のような情報が、特定又は識別可能な自然人に関する情報に該当するかを確認します。
|
・氏名 ・住所 ・電話番号 ・メールアドレス ・顧客ID ・従業員情報 ・アクセスログ ・位置情報 ・その他個人を識別し得る情報 |
健康情報等の特別なカテゴリーのPersonal Dataを取り扱う場合には、通常の顧客情報等とは異なるリスクが生じる可能性もあります。
DPAの別紙等に処理対象となるデータの種類が記載されている場合には、実際に自社が扱うデータと一致しているか確認します。
(4) 自社がどのような立場にあるのか
次に、取引関係全体を確認します。
例えば、
|
Controller ↓ Processor（元請） ↓ Sub-processor（自社） |
という関係なのか、それとも自社が直接Processorになるのかを確認します。
相手方からDPAに「Processor」「Sub-processor」などと記載されていたとしても、その名称だけで判断するのではなく、誰のために、どのような目的で処理を行っているのかを確認することが重要です。
(5) 自社がさらに再委託していないか
自社がSub-processorである場合でも、自社だけで処理を完結しているとは限りません。
例えば、
|
・別の開発会社 ・フリーランスのエンジニア ・クラウドサービス ・ホスティングサービス ・データ分析ツール ・AIサービスその他の外部サービス |
を利用している場合があります。
これらの事業者がPersonal Dataの処理に関与するのであれば、自社からみてさらに下流のSub-processorとして位置付ける必要があるかを確認する必要があります。
「再委託はしていない」と考えていても、クラウド等の外部サービス利用がDPA上のSub-processorに該当することがあるため注意が必要です。
(6) Personal Dataをどの国で保存・処理するのか
Personal Dataがどこに保存され、どこからアクセスされるのかも確認します。
例えば、
|
・日本国内のサーバーだけを利用するのか ・海外のクラウドリージョンを利用するのか ・海外事業者がデータにアクセスできるのか ・再委託先が外国に所在しているのか |
などです。
EU・EEA域外へのPersonal Data移転が生じる場合には、DPAとは別にGDPR第5章の国外移転規制を検討しなければならない場合があります。
(7) DPAで求められている義務を実際に履行できるか
最後に重要なのが、契約条件と自社の実態との照合です。
例えばDPAに、
|
・セキュリティ事故を24時間以内に報告する ・再委託には事前承認を得る ・契約終了時にすべてのコピーを直ちに削除する ・相手方による監査を受け入れる ・特定のセキュリティ基準を常時満たす |
などと記載されていた場合、自社が現実に履行できるかを確認する必要があります。
対応できない条件があるのであれば、少なくとも、その内容を理解しないまま締結することは避けるべきです。
DPAを提示された場合には、契約条項の確認と並行して、対象となるデータ、処理、当事者、再委託先、システム構成を整理することが重要です。これらが分からなければ、そもそも契約条件が適切なのかを判断することも困難です。
日本法上の「委託」とDPAは何が違うのか
(1) 日本の個人情報保護法にも委託先監督義務がある
日本の個人情報保護法にも、個人データの取扱いを他の事業者へ委託する場合の規律があります。
個人情報保護法25条は、個人情報取扱事業者が個人データの取扱いの全部又は一部を委託する場合、その個人データの安全管理が図られるよう、委託先に対して必要かつ適切な監督を行うことを求めています。
具体的には、適切な委託先の選定、委託契約の締結、委託先における個人データの取扱状況の把握などが問題となります。
(2) 日本法上の委託とDPAは同じではない
もっとも、日本の個人情報保護法は、「DPA」という名称の独立した契約書を締結することを義務付けているわけではありません。
「個人情報の保護に関する法律についてのガイドラインに関するＱ＆Ａ」では、外部事業者に定型的業務を委託する場合について、当該事業者の約款等を吟味し、これを遵守することにより個人データの安全管理が図られると判断できる場合には、必ずしも追加的な覚書の締結まで必要とされるわけではないとされています（Q5-11）。
これに対してGDPR28条は、ControllerとProcessorとの関係を契約等によって規律することを求め、その契約等に盛り込む事項についても具体的に定めています。
両制度には共通する部分がありますが、同じ制度ではありません。
日本法上の委託先監督の詳細については、次の記事をご参照ください。
個人情報保護法上の委託先監督義務とは？委託先の選定・契約・監査・漏えい対応を弁護士が解説
DPAとSCCは何が違うのか
(1) DPAと国外移転用SCCは目的が異なる
DPAとあわせて「SCC」という言葉が出てくることがあります。
国外移転との関係で利用されるSCC（Standard Contractual Clauses：標準契約条項）は、GDPRの適用を受けるPersonal Dataを一定の第三国へ移転する際に、適切な保護措置を確保するために用いられる標準契約条項です。
簡略化すると、
|
・DPA：ControllerとProcessor等の「データ処理関係」に関するもの ・第三国移転用SCC：第三国への「データ移転」に関するもの |
という違いがあります。
したがって、DPAを締結したからといって、国外移転に関する問題が当然に解決するわけではありません。欧州委員会もArticle 28対応のSCCと第三国移転用SCCをそれぞれ別に用意しています。
(2) 「SCC」という名称だけでは判断しない
少し分かりにくいのですが、欧州委員会は、GDPR28条に基づくController・Processor間の標準契約条項も制定しています。
そのため、相手方から「SCCを締結してください」と言われた場合には、それが国外移転のためのSCCなのか、Controller・Processor間の標準契約条項なのかを確認する必要があります。
(3) 日本の十分性認定とDPAは別の問題
日本はEUから十分性認定を受けています。十分性認定の対象となるEUから日本へのPersonal Data移転については、原則としてSCC等の追加的な移転保護措置を設けずに移転することができます。
もっとも、これは国外移転に関する問題です。
「日本は十分性認定を受けているからDPAも不要」ということにはなりません。
ControllerからProcessorへの処理委託についてGDPR28条に基づく契約等が必要かという問題と、第三国への移転についてどのような移転根拠が必要かという問題は、分けて検討する必要があります。
DPAについてよくある誤解
(1) 日本企業なのでDPAは関係ない？
日本企業であるという理由だけで、DPAが無関係になるわけではありません。
自社にGDPRが直接適用される場合だけでなく、上流事業者のGDPR対応との関係で、Sub-processorとして契約上の義務を求められる場合があります。
(2) EU企業と直接取引していないので関係ない？
これも一概にはいえません。
多重下請構造の中で、自社がPersonal Dataの処理に関与している場合には、上流事業者からDPAへの対応を求められることがあります。
(3) 元請から提示されたDPAなので、そのまま締結すればよい？
必ずしもそうではありません。
DPAの内容が自社の業務実態と合っているか、特に、
・自社が処理するデータ
・再委託先
・セキュリティ対策
・事故時の報告
・データ削除
・監査対応
などについて、実際に履行できる内容かを確認する必要があります。
(4) DPAを締結すればGDPR対応は完了する？
DPAはGDPR対応の一部にすぎません。
Personal Dataの処理の適法性、Data Subjectへの情報提供、安全管理措置、国外移転など、別途検討すべき事項があります。
(5) 日本は十分性認定国なのでDPAは不要？
十分性認定は主として第三国へのPersonal Data移転に関する制度です。
これに対し、DPAはController・Processor等の処理関係を規律するものです。
したがって、十分性認定によって第三国移転用SCCが不要となる場合であっても、DPA等への対応まで当然に不要になるわけではありません。
まとめ
DPAは、海外取引を積極的に行う大企業だけに関係する契約ではありません。システム開発等の多重下請構造では、上流事業者のGDPR対応との関係で、中小の開発事業者が突然DPAへの対応を求められることがあります。
その場合には、まず次の点を確認することが重要です。
|
・なぜ自社にDPAが求められているのか ・自社はどのPersonal Dataを処理するのか ・自社はProcessor・Sub-processorのどの立場にあるのか ・さらに再委託している事業者はないか ・データをどの国で保存・処理するのか ・DPAで求められる義務を実際に履行できるのか |
DPAという名称だけにとらわれず、実際のデータ処理の流れと自社の役割を整理したうえで対応することが重要です。
リーガルブレスD法律事務所のサポート内容
取引先からDPAの締結を求められた場合、契約書の内容だけを確認すればよいとは限りません。まず、なぜ自社にDPAが求められているのか、自社がどのようなPersonal Dataの処理に関与しているのか、Processor又はSub-processorのいずれに該当するのかなど、取引関係とデータ処理の実態を整理する必要があります。
また、DPAによって再委託、安全管理措置、事故発生時の報告、データの返却・削除、監査への対応などの義務を負う場合には、その内容を自社の実際の業務運用によって履行できるのかを確認することも重要です。
特に、システム開発等の多重下請構造では、上流事業者が負っているデータ保護上の義務との関係で、これまで意識していなかったPersonal Dataの取扱いや再委託先の管理について対応を求められることがあります。
リーガルブレスD法律事務所では、取引先からDPAへの対応を求められたIT・開発事業者に対し、主に次のような法務支援を行っています。
|
・DPAの締結を求められた背景及び取引関係の整理 ・自社が取り扱うPersonal Data及びデータフローの整理 ・Controller、Processor、Sub-processor等の当事者関係に関する法的検討 ・自社が利用する再委託先、クラウドサービス等の整理 ・Personal Dataの保存・処理場所や国外移転の有無に関する確認 ・DPAによって求められる義務と自社の実際の業務運用との整合性の確認 ・再委託、事故報告、データ削除、監査対応等についての社内運用の検討 ・日本の個人情報保護法上の委託先管理との関係整理 ・DPA対応に関連して必要となる国内の契約条項、社内規程等の作成・見直し |
DPAへの対応について、「なぜ自社がDPAを求められているのか分からない」「自社がどこまで対応する必要があるのか整理したい」「取引先から求められている内容を実際に履行できるのか確認したい」といった場合は、リーガルブレスD法律事務所までご相談ください。
ご相談内容やご希望に応じて、「法律相談サービス」「スポットサービス」「法律顧問サービス」をご利用いただけます。
(1) 法律相談サービス
法律相談サービスは、取引先からDPAの締結や対応を求められた場合に、弁護士へ1回単位で相談できる単発サービスです。1回90分以内で、対象となる取引関係やPersonal Dataの取扱いを確認し、DPA対応に必要な法的論点と確認事項を整理します。
例えば、
・なぜ自社にDPA対応が求められているのか
・自社がProcessor、Sub-processor等のどの立場にあるのか
・DPAで求められる義務を自社の業務運用で履行できるのか
といった点について、相談時間内で整理・助言します。
「取引先から突然DPAを提示されたが、まず何を確認すればよいか分からない」「社内で対応方針を決める前に論点を整理したい」といった場合にご利用いただけます。
|
ご相談内容例 |
・元請企業から突然DPAへの対応を求められたが、自社はEU企業と直接取引しておらず、なぜDPAを締結する必要があるのか、自社にどのような義務が生じるのか相談したい ・システム開発・保守業務について自社がSub-processorであると言われているが、本番環境へのアクセス範囲や取り扱うデータ、再委託先の利用状況を踏まえて、本当にそのような立場になるのか、何を確認すべきか相談したい ・提示されたDPAに、事故発生時の短時間での報告、再委託の事前承認、データの削除、監査への協力等が定められているが、自社の現在の運用で対応できるのか、社内でどのような確認を行うべきか相談したい |
|
サポート内容例 |
・DPAを求めている取引先との契約関係や上流の取引構造を確認し、Controller、Processor、Sub-processorの基本的な関係を踏まえて、なぜ自社にDPA対応が求められているのか、自社として確認すべき事項を整理します ・対象となるシステム、Personal Data、本番環境へのアクセス権限、再委託先やクラウドサービス等の利用状況を確認し、自社がPersonal Dataの処理にどのように関与しているのか、Processor・Sub-processor等の位置付けを検討するために必要な事項を整理します ・DPAで求められている事故報告、再委託管理、データの返却・削除、安全管理措置、監査対応等と自社の現在の業務運用を照合し、その場で確認できる範囲において、対応可能な事項、社内で追加確認が必要な事項、契約条件について別途検討が必要な事項を整理します |
|
相談者が得られるメリット |
・なぜ自社にDPAへの対応が求められているのかを整理しやすくなる ・自社がProcessor・Sub-processor等のどの立場にあるのかを検討するためのポイントを把握しやすくなる ・DPAへの対応に先立ち、社内で確認すべきデータ、システム、再委託先等を整理しやすくなる ・DPAで求められている義務と自社の実際の業務運用との相違を把握しやすくなる ・そのまま対応できる事項と、取引先への確認や追加の法的検討が必要な事項を切り分けやすくなる ・契約書の修正、社内ルールの整備その他の追加対応を、スポットサービスや法律顧問サービスとして依頼すべきか判断しやすくなる |
|
弁護士費用 |
1回（90分以内）15,000円（税別） |
|
実施方法 |
①ご予約（お問い合わせフォーム又はお電話にて日程調整） ②相談資料の事前共有（相談時に参照する資料をあらかじめ共有いただきます） ③相談実施（オンライン又は対面） ④対応方針の提示（法的な問題点、追加で確認すべき事項及び今後の対応方針を具体的にご提示） ⑤別途サービスのご案内（ご希望に応じて、別途契約の上、書面作成、交渉代理、訴訟対応又は継続支援に移行します） |
お問い合わせはこちら＞＞
(2) スポットサービス（個別案件対応）
DPAへの対応について、特定の案件を対象として、契約条項、取引先への回答書、社内運用ルールその他の文書の作成・改定まで依頼したい場合には、スポットサービスをご利用いただけます。
法律相談サービスが、1回90分以内の相談を通じて法的な問題点や対応方針を整理するものであるのに対し、スポットサービスでは、対象となる案件や確認資料、作成・レビューする文書をあらかじめ特定した上で、具体的な成果物の作成まで対応します。また、法律顧問サービスのような継続的な支援ではなく、特定のDPA対応やPersonal Dataの取扱いに関する個別業務としてご依頼いただけます。
例えば、次のようなご依頼に対応しています。
|
・上流事業者からDPA対応を求められた案件について、取引関係、データフロー、自社及び再委託先の役割を整理し、自社の対応事項をまとめた社内向け検討資料を作成する ・DPA対応に伴い、国内の再委託先にもPersonal Dataの取扱い、安全管理、事故報告、再々委託、データ削除等の義務を課す必要があるため、業務委託契約の特約・覚書等を作成又は改定する ・元請企業からSub-processor、データ保存場所、安全管理措置、再委託体制等について回答を求められたため、実際の業務内容やシステム構成を確認し、回答書や説明資料を作成する ・DPAで求められる事故報告、再委託の承認、データの返却・削除等を実際に運用できるよう、担当部署、確認事項、報告経路、対応手順等を定めた社内ルールやチェックリストを作成する ・Personal Dataを取り扱う特定の開発・保守案件について、外注先、クラウドサービス等を含むデータ処理の流れを整理し、再委託先管理や国外での処理・保存について必要となる対応を検討した上で、関連する日本語の契約条項や社内文書を整備する ・Personal Dataの漏えい、誤送信、不適切なアクセスその他の事故が発生し、DPA等に基づく上流事業者への報告が必要となった場合に、事実関係と契約上の義務を整理し、取引先への報告書・説明文や社内報告書を作成する ・DPA上の義務と自社のシステム・業務運用に不一致が判明した場合に、対応可能な運用へ見直すための社内ルールや、国内の取引先・再委託先との契約条項を作成・改定する |
ご依頼内容を簡単にお伺いした上で、対象となる案件、確認する資料、作成又はレビューする文書、修正回数、対応範囲、納期及び費用を整理し、お見積書をご提示します。
DPAへの対応に伴って国内の再委託先との契約を整備したい場合、取引先への回答書・説明資料を作成したい場合、特定案件についてPersonal Dataの取扱いに関する社内運用ルールを整備したい場合、又はPersonal Dataに関する事故について報告書その他の文書を作成したい場合は、リーガルブレスD法律事務所までお問い合わせください。
お問い合わせはこちら＞＞
(3) 法律顧問サービス（顧問弁護士サービス）
法律顧問サービスは、DPAやPersonal Dataの取扱いについて、日常的に弁護士へ相談できる継続的なサービスです。
システム開発等では、取引先ごとに異なるDPA対応を求められたり、再委託先や利用するクラウドサービスが変更されたりすることがあります。また、一度DPAを締結した後も、事故報告、データ削除、監査対応など、実際の運用について継続的な対応が必要となる場合があります。
法律顧問サービスでは、過去の相談内容や自社のシステム・取引関係を踏まえながら、DPA対応と実際の業務運用が整合するよう継続してサポートします。
|
ご依頼内容例 |
・複数の取引先からDPA、セキュリティチェックシート、再委託先情報等の提出を求められることが増えているため、案件ごとに対応するのではなく、社内の確認・回答手順を整備したい ・開発業務で利用する外注先、クラウドサービス、AIサービス等が随時追加・変更されるため、Sub-processorへの該当性や上流事業者への通知・承認の要否を継続的に確認したい ・複数のDPAで事故報告、データ削除、監査対応等の義務を負っているため、実際に問題が発生した場合に、契約条件を踏まえて速やかに対応できる体制を整えたい |
|
サポート内容例 |
・過去に求められたDPA対応や取引先からの確認事項を整理し、Personal Data、再委託、保存場所、安全管理措置等について社内で確認すべき項目や担当部署を明確にするなど、継続的なDPA対応のための社内フロー整備をサポートします ・外注先や利用サービスの追加・変更に応じて、Personal Dataの処理への関与やSub-processorへの該当性を整理し、上流事業者への確認・通知の要否を検討するとともに、必要に応じて国内の再委託先との契約条項等の作成・見直しを行います ・情報漏えいその他の事故、データ削除の要請、取引先からの監査等が発生した場合に、関係する契約上の義務と事実関係を確認し、取引先への報告、社内調査、再委託先への確認、再発防止策等の対応を継続的にサポートします |
|
依頼者が得られるメリット |
・DPAへの対応を求められるたびに、一から取引関係やデータ処理の状況を整理する負担を減らしやすくなる ・自社の業務内容や従前のDPA対応を把握した弁護士に継続して相談できる ・再委託先やクラウドサービス等の追加・変更について、その都度必要な対応を確認しやすくなる ・DPA上の義務と実際の社内運用との不整合を継続的に見直しやすくなる ・取引先から新たなDPA対応や情報提供を求められた場合に、社内での確認事項や対応方針を整理しやすくなる ・情報漏えい、監査、データ削除その他の問題が発生した場合に、従前の契約関係や運用を把握した弁護士へ速やかに相談できる |
|
実施方法 |
①お問い合わせ後、オンライン面談（30分程度、無料）を実施し、ご要望事項の聞き取りやプランの説明を行います ②ご提案書（見積書）の提示 ③顧問契約の締結 ④窓口の開設（専用メール、チャットの提供） ⑤サービス開始 ・日常的な対応（契約書レビュー、相談に即応（即日～数日以内対応可）） ・ミーティング（必要に応じて経営課題、法務リスクを総点検） ・追加支援（必要に応じて別途お見積りの上、交渉代理、訴訟対応、研修実施などを提供） |
お問い合わせ
＜2026年8月執筆＞
※本記事は、執筆時点における一般的な法的整理を示すものであり、個別案件への適用は具体的な事情により異なります。
