「GDPR 対応は数年前にやったが、その後の改正・判例で何が変わったか追えていない」――EU 顧客・拠点を持つ中堅企業の法務担当から多い相談だ。 GDPR は 2018 年施行以降、Schrems II 判決（2020 年）、SCC 改訂（2021 年）、日 EU 十分性認定の見直し（2023 年）等で運用が大きく変化した。本稿は国内中堅企業の越境移転対応 FAQ を整理する。

目次

  1. GDPR の越境移転規制 概要
  2. 日 EU 十分性認定の運用と相互認証
  3. SCC（標準契約条項）2021 年改訂版
  4. DPA（データ処理合意書）の必須記載事項
  5. TIA（移転影響評価）と補完措置
  6. データ主体権利への対応窓口
  7. 中堅企業の対応チェックリスト
  8. よくある質問（FAQ）

GDPR の越境移転規制 概要

GDPR 第 5 章は EEA（EU + アイスランド + リヒテンシュタイン + ノルウェー）外への個人データ移転を制限している。

移転根拠概要出典
十分性認定（Adequacy Decision）欧州委員会が認定した第三国GDPR 第 45 条
SCC（標準契約条項）EU が承認した契約条項GDPR 第 46 条
BCR（拘束的企業準則）多国籍企業内の規則GDPR 第 47 条
個別同意本人の明示的同意GDPR 第 49 条

日 EU 十分性認定の運用と相互認証

日本は 2019 年 1 月に欧州委員会から十分性認定を受け、2023 年に第 1 回見直しが完了し継続が確認された。

項目内容
認定根拠欧州委員会 Implementing Decision (EU) 2019/419
対象データEU から日本へ移転される個人データ
補完ルール個人情報保護委員会「個人情報の保護に関する法律に係る EU 域内から十分性認定により移転を受けた個人データの取扱いに関する補完的ルール」
見直し周期4 年ごと、第 1 回見直し 2023 年完了
十分性認定により、EU から日本への移転は SCC 締結が不要。ただし日本企業が EU 域内に拠点を持つ / EU 顧客から直接データを取得する場合は、別途 GDPR 全般への対応が必要。

SCC（標準契約条項）2021 年改訂版

項目旧 SCC（2010）新 SCC（2021）
構造単一テンプレモジュール式（4 シナリオ）
適用Controller-Processor 中心C-C / C-P / P-P / P-C 全パターン
移行期限既存契約は 2022 年 12 月 27 日まで同日以降は新 SCC 必須
TIA 要求明示なしSchrems II を踏まえ明示的に必須化
4 モジュール：
  • Module 1: Controller to Controller
  • Module 2: Controller to Processor
  • Module 3: Processor to Processor
  • Module 4: Processor to Controller

国内企業が EU 子会社からデータ移転を受ける場合、関係性に応じたモジュール選択と TIA 実施が必要。

DPA（データ処理合意書）の必須記載事項

GDPR 第 28 条に基づく DPA の必須記載事項：

記載事項内容例
処理の対象・期間顧客サポート目的、契約期間中
処理の性質・目的サポートチケット管理、回答提供
個人データの種別氏名、メール、組織名、サポート履歴
データ主体の種別顧客の従業員
Controller の権利と義務指示権、監査権、報告請求権
Processor の義務指示遵守、機密保持、技術的対策
副処理者の起用条件事前同意、同等義務伝達
データ主体権利対応開示・削除・訂正請求の支援
データ侵害通知認知後 72 時間以内通知
監査受入義務定期監査、第三者監査受入
データ削除・返却契約終了時の処理

TIA（移転影響評価）と補完措置

Schrems II 判決（2020 年 7 月、Case C-311/18）を受け、SCC を使った移転には TIA（Transfer Impact Assessment）が事実上必須化された。

TIA 評価項目内容
移転先国の法制度政府アクセス権、監視法、救済手段
移転データの性質機微度、量、影響範囲
移転経路直接 / 経由、暗号化状況
補完措置暗号化、仮名化、契約強化、組織的措置
残存リスク評価措置後のリスク水準と受容可否
補完措置例として、転送時暗号化、保管時暗号化（鍵を移転先国外で管理）、仮名化が一般的。

データ主体権利への対応窓口

GDPR が認める主なデータ主体権利：

権利内容対応期限
アクセス権自己のデータ開示請求1 ヶ月（複雑なら最大 3 ヶ月）
訂正権不正確データの訂正請求1 ヶ月
削除権（忘れられる権利）データ削除請求1 ヶ月
処理の制限処理停止請求1 ヶ月
データポータビリティ機械可読フォーマットでの取得1 ヶ月
異議申立権プロファイリング等への異議1 ヶ月
自動化決定への異議重要決定の人手介在請求1 ヶ月
国内企業は EU 拠点を通じた窓口、または EU 代理人（Article 27 Representative）を選任して対応窓口を確保する。

中堅企業の対応チェックリスト

  • [ ] 個人データ移転マップの作成（誰から誰へ、何を、どの根拠で）
  • [ ] 既存契約の SCC 改訂（2021 年版への移行）
  • [ ] TIA の実施・文書化
  • [ ] DPA の見直し（GDPR 第 28 条適合）
  • [ ] 副処理者リストの整備と顧客への通知体制
  • [ ] データ主体権利対応窓口の整備
  • [ ] EU 代理人の選任（必要な場合）
  • [ ] データ侵害通知体制（72 時間以内）
  • [ ] DPO（データ保護責任者）の選任要否確認
  • [ ] 教育・周知（営業・開発・カスタマーサポート向け）

「規制改訂への対応が遅れている、専門家の助けが欲しい」

業界規制対応の現状診断と移行ロードマップ、外部監査連携を提供します。

規制対応の無料相談を予約する

※ 営業電話はしません | オンライン対応可 | 相談だけでもOK

よくある質問（FAQ）

Q. 日 EU 十分性認定があれば SCC は不要か？ A. EU から日本への直接移転であれば SCC 不要。ただし日本から第三国（米国等）への再移転、または EU 拠点が直接データを取得するケースでは別途検討が必要。

Q. EU 顧客からのアクセス請求が来た場合の対応期限は？ A. 原則 1 ヶ月以内。複雑な場合は最大 3 ヶ月まで延長可能だが、初動 1 ヶ月以内に進捗連絡が必要。

Q. データ侵害発生時の 72 時間通知は厳格か？ A. 認知時点から起算で厳格。72 時間超過時は遅延理由の説明が必要。社内検知 → 評価 → 通知の体制整備が必須。

Q. EU 代理人選任は必須か？ A. EU 域内に拠点がなく EU 在住者のデータを定期的に処理する場合、原則必須（GDPR 第 27 条）。例外規定もあるため要確認。

参考資料

  • 欧州データ保護会議（EDPB）「Guidelines on Articles」シリーズ
  • 欧州委員会「Implementing Decision (EU) 2019/419（日本に関する十分性認定）」
  • 欧州委員会「Standard Contractual Clauses (SCC) 2021」
  • 個人情報保護委員会「補完的ルール」公式ページ

中堅企業の GDPR 越境移転対応、SCC 改訂、TIA 実施、DPA レビュー、EU 代理人選任支援は GXO のコンプライアンス対応サービスで対応可能です。

GXO実務追記: システム開発・DX投資で発注前に確認すべきこと

この記事のテーマは、単なるトレンド紹介ではなく、要件定義、費用、開発体制、ベンダー選定、保守運用を決めるための検討材料です。検索で情報収集している段階でも、発注前に次の観点を整理しておくと、見積もりのブレ、手戻り、ベンダー依存を減らせます。

まず決めるべき3つの論点

論点確認する内容未整理のまま進めた場合のリスク
目的売上拡大、工数削減、リスク低減、顧客体験改善のどれを優先するか成果指標が曖昧になり、PoCや開発が終わっても投資判断できない
範囲対象部署、対象業務、対象データ、対象システムをどこまで含めるか見積もりが膨らむ、または重要な連携が後から漏れる
体制自社責任者、現場担当、ベンダー、保守運用者をどう置くか要件確認が遅れ、納期遅延や品質低下につながる

費用・期間・体制の目安

フェーズ期間目安主な成果物GXOが見るポイント
事前診断1〜2週間課題整理、現行確認、投資判断メモ目的と範囲が商談前に整理されているか
要件定義 / 設計3〜6週間要件一覧、RFP、概算見積、ロードマップ見積比較できる粒度になっているか
PoC / MVP1〜3ヶ月検証環境、効果測定、リスク評価本番化判断に必要な数値が取れるか
本番導入3〜6ヶ月本番環境、運用設計、教育、改善計画導入後の運用責任と改善サイクルがあるか

発注前チェックリスト

  • [ ] 発注前に目的、対象業務、利用者、現行課題を1枚に整理したか
  • [ ] 必須要件、将来要件、今回はやらない要件を分けたか
  • [ ] 見積比較で、開発費だけでなく保守費、運用費、追加改修費を見たか
  • [ ] ベンダー選定で、体制、実績、品質管理、セキュリティ、引継ぎ条件を確認したか
  • [ ] 検収条件を機能、性能、セキュリティ、ドキュメントで定義したか
  • [ ] リリース後3ヶ月の改善運用と責任分界を決めたか

参考にすべき一次情報・公的情報

上記の一次情報は、社内稟議やベンダー比較の根拠として使えます。一方で、公開情報だけでは自社の現行システム、業務フロー、データ状態、予算制約までは判断できません。記事で一般論を把握した後は、自社条件に落とした診断が必要です。

GXOに相談するタイミング

次のいずれかに当てはまる場合は、記事を読み進めるだけでなく、早めに相談した方が安全です。

  • 見積もり依頼前に、要件やRFPの粒度を整えたい
  • 既存ベンダーの提案が妥当か第三者視点で確認したい
  • 補助金、AI、セキュリティ、レガシー刷新が絡み、判断軸が複雑になっている
  • 社内稟議で費用対効果、リスク、ロードマップを説明する必要がある
  • PoCや診断で終わらせず、本番導入と運用改善まで進めたい

GDPR FAQ 2026 国内企業の越境移転 Q&A｜中堅企業の DPA 締結と SCC 運用実務を自社条件で診断したい方へ

GXOが、現状整理、RFP/要件定義、費用対効果、ベンダー比較、導入ロードマップまで実務目線で確認します。記事の一般論を、自社の投資判断に使える形へ落とし込みます。

システム開発費用・要件診断を相談する

※ 初回相談では営業資料の説明よりも、現状・課題・判断材料の整理を優先します。