Prighter EU代理人サービスに関するよくあるご質問

Question 1

どのような企業にEU代理人が必要になるのでしょうか？

Accepted Answer

EU域外に設立された企業は、以下の場合、GDPR第27条に従ってEU代理人を指定する必要があります。
- EU域内の個人に商品やサービスを提供する場合（例：EUの言語でウェブサイトを提供、ユーロでの支払いを提供）
- 行動の監視する場合（例：クッキープロファイリング）

欧州データ保護会議（EDPB）の [ガイドライン 3/2018](https://edpb.europa.eu/sites/default/files/consultation/edpb_guidelines_3_2018_territorial_scope_en.pdf) によると、GDPRの 適用範囲 は、データ管理者とデータ処理者の両方に適用されます。EU域内に拠点のないデータ処理者の場合、 GDPRが適用化されるかどうかは、「データ処理内容」で判断されます。 データ処理が商品、サービス提供または行動の監視（Cookie）等に関連している場合、データ管理者とデータ処理者両方にGDPRが適用されます。

> **例1：オンラインゲーム:** EU圏外にあるオンラインゲーム会社で、EU圏のデータ主体に無料でゲームを提供しているとしまの。ゲームをプレイする際には、データ主体の位置情報、ウェブブラウザのデータおよび履歴を分析して広告を表示しています。このようにEU市場でユーザーの行動を監視しながらゲームを提供している場合、コンプライアンス遵守のために、EU加盟国にいるEU代理人を指定することが法的に求められます。EUのGDPRに違反すると当局から多額の制裁金を科せられたり、EUでの事業活動から除外される可能性があります。

> **例2: B2B SaaS:** EUに拠点を持つ企業、持たない企業の両方に対して、開発したCRMソフトウェアをSaaS製品として提供しているとします。このように顧客がEUのデータ主体をターゲットにしており、このCRMソフトウェア製品がEUの顧客データを処理・保存している場合、EU加盟国にいるEU代理人を指定する必要があります。また、EU域内の顧客企業からも代理人の指定とデータ処理契約の締結が求められる可能性があります。交渉段階ですでにGDPRに対応している場合、顧客企業からの信頼関係を築くこともできます。

Question 2

EU代理人の指定義務に対する免除条件はありますか？

Accepted Answer

GDPR第27条によると、以下の条件をすべて満たす場合、データ管理者または処理者は規則の対象外となります。

- 時折しか個人情報が取扱われず、体系的には行われない場合
- "特別なカテゴリの個人情報または有罪判決及び犯罪と関連する個人情報の大規模な取扱いは含まれない場合
- データ処理によってもたらされるデータ主体の権利および自由へのリスクが低い場合

これらすべての基準を満たすことは困難であり、特に「時折しか個人情報が取扱われない」という基準は、ほとんどの企業にとって大きなハードルとなっています。

Question 3

私の企業は、EU域内の顧客に商品やサービスを提供しているでしょうか？

Accepted Answer

EUの顧客と商業関係を構築することが、事業活動として明確にされている必要があります。EU域内でウェブサイトにアクセスできること、ウェブサイト上に電子メールや地理的な住所が記載されていること、国際コードのない電話番号が記載されているだけでは、EUの顧客に商品やサービスを提供する意図を示す十分な証拠とはなりません。EDPBは、GDPRの適用範囲に関する[ガイドライン 3/2018](https://edpb.europa.eu/sites/edpb/files/consultation/edpb_guidelines_3_2018_territorial_scope_en.pdf)の中で、商品やサービス提供の評価に際して考慮するべき要素を挙げています。ここではその一部をご紹介します。

- EU加盟国の言語を使用したり、EU加盟国の通貨での支払を受け付けている。
- EU市場に向けてGoogleやFacebookの広告を使用している、またはEUの顧客に向けたその他のマーケティング活動を行っている。
- EUに関する文献や証言を記載している。
- 観光活動など、国際的な性質を持つ活動を行っている。
- EU諸国から連絡可能な専用アドレスや電話番号を記載している。
- EUのトップレベルドメインを使用している。
- 1つ以上の他のEU加盟国からサービスが提供されている場所への移動指示が記述されている。
- EU加盟国へ商品を配送している。

要約すると、お客様がEUでアウトバウンドのビジネスを行っており、EUの顧客がお客様の製品を見つけることが可能である、もしくはEU圏内に向けてマーケティングを行っている場合はGDPRが適用される可能性が高いとされています。

>**例1** トルコで運営されているWebサイトにて、個別にカスタマイズした家族の写真を作成、編集、印刷、発送できるサービスを提供しています。ウェブサイトは英語、フランス語、オランダ語、ドイツ語に対応しており、支払いはユーロまたは英国ポンドで行うことができます。ウェブサイトによると、フォトアルバムの配送は、英国、フランス、ベネルクス、ドイツでは郵送のみとなっています。

> **例2** スイスにある大学が国際関係学のサマーコースを提供しており、コースへの参加者を最大限に増やすために、ドイツとオーストリアの大学でこのコースを広告を出しています。このケースでは、スイスにある大学がEU域内にいるデータ主体にサービスを提供するという明確な意図があると判断され、関連するデータ処理にGDPRが適用されます。

Question 4

私の企業はEUのデータ主体の行動を監視しているのでしょうか？

Accepted Answer

EU域内の個人情報のオンライン収集や分析がすべて自動的に「監視」とみなされるわけではありません。EUのデータ主体の行動監視とは、特定の目的のためにデータを収集することを示唆しています。したがって、プロファイリング技術の今後の使用の可能性を含め、インターネット上のあらゆる種類の人を追跡する技術は「監視」に該当します。EDPBは、ガイドライン 03/2018の中で、様々な指針を示しています。EDPBによると、モニタリングはインターネット上だけでなく、ウェアラブルやその他のスマートデバイスを通じて行われる情報収集も該当する場合があります。モニタリング活動には以下のようなものがあります。

- 行動ターゲティング広告
- 主にマーケティングを目的として位置情報を使用する活動
- Cookieまたは指紋認証などのその他の技術を使用したオンライン追跡
- オンライン上でパーソナライズされた食事管理や健康分析サービス
- 監視カメラ
- 個人のプロファイルに基づいた市場調査、およびその他の行動調査
- 個人の健康状態のモニタリング、または定期的なレポート

> **例1:** アメリカで設立されたマーケティング会社が、フランスのショッピングセンターでWi-Fiトラッキングを行い収集した顧客データ分析に基づいて、店舗レイアウトに関するアドバイスを提供しています。

> **例2:** あるアプリ開発会社はカナダで設立され、欧州連合には拠点がなく、アプリの最適化と保守のために米国で設立された処理業者を利用していますが、欧州連合内のデータ主体の行動も監視しています。したがって、この開発会社は第3条(2)bに基づきGDPRの対象となります。

Question 5

違反した場合、どのような制裁金が課せられますか？

Accepted Answer

GDPRはこの「適用範囲」をEU域外に登録事務所を持つデータ管理者、およびデータ処理者まで拡大しています。このため、データ処理者またはデータ管理者がEU代理人の指定義務を遵守しない場合、最大1,000万ユーロまたは全世界の年間売上高の2%という高額の罰則が個人請求または当局によって執行される可能性があります。また、EU域内のパートナー企業もデータ転送を停止せざるを得ない義務を負う可能性があります。

Question 6

代理人の責任は何ですか？

Accepted Answer

代理人はEU域外のデータ処理者やデータ管理者とのコミュニケーションのため、当局やデータ内容の名宛人となります。代理人はデータ管理者またはデータ処理者から書面で委任され、証明されている必要があります。さらに、代理人はGDPR第30条に基づいてデータ処理記録をとり、データ主体要求に応じて監督機関に記録を提供しなければなりません。

Question 7

これらの要件を満たすために、Prighter社のビジネスモデルはどのように設計されているのでしょうか。

Accepted Answer

- コミュニケーションを円滑にするためにPrighterはヨーロッパ中にオフィスのネットワークを構築し、監督機関とデータ主体の両方をつなぐハイエンドな技術ソリューションを開発しました。
- 書面でのアポイントメントも開始手続きの一部です。クライアントはオンラインで直接委任状に署名することが可能です。
- 現在はテンプレート、サポート、およびガイドを提供することで、データ処理記録のドラフト作成のために顧客をサポートしています。

Question 8

代理人は何処で指定するべきですか？

Accepted Answer

EDPBはEU領土の範囲に関するガイドライン 03/2018の中で、EU加盟国では代理人を1人だけ指定する必要があり、その代理人がすべての加盟国を担当できると述べられています。顧客基盤のかなりの割合が特定の加盟国にある場合、その加盟国で代理人を立てることが最善の方法です。代理人がどこにいようと、代理人はすべての加盟国のデータ対象に容易にアクセスすることが可能です。

Prighterはこれらの要件にどのように取り組んでいますか？
- PrighterはEUのすべての主要加盟国にオフィスとパートナーオフィスを持っています。これによって、お客様がどこにいようとも、現地で代理人を提供してコンプライアンスを遵守することが可能です。
- Prighterは単なる郵便ポストではなく、主要加盟国に経験豊富なプライバシー専門家を配置しています。

Question 9

EU代理人に対してPrighterはどのようなアプローチをとっていますか？

Accepted Answer

当社の目標は法律の専門知識とテクノロジーを組み合わせてこの 専門知識を提供することで、ヨーロッパ以外の企業がGDPRを遵守できるようにすることです。法律事務所として得た実際の知識と経験（大手銀行、金融サービスプロバイダー、ハイテク企業などのデータ保護責任者（DPO））から、データ主体要求（DSR）やデータ侵害などの問題処理を行うツールの開発や、データ処理記録の管理に活かしています。当社は個人情報保護に関するあらゆる問題をサポートしますが、何よりも、効率的かつプロフェッショナルな方法で個人情報保護問題を取り扱うことでお客様の信頼を得ているからこそ、多くのお客様のビジネスの成長をサポートすることが出来ています。

Question 10

PrighterをEU代理人として指定するすると何が可能になりますか？

Accepted Answer

私たちのサービスのコアは、GDPR第27条に基づく代理人サービスです。コンプライアンスを活用して効率を高め、顧客やパートナーとの信頼関係を築くための機能・サービス・ツールを提供しています。提供するサービスの詳細については以下をご覧ください。[「EU代理人サービス」](https://prighter.com/product/gdprrep/services):

- ### EU代理人：
EU代理人サービスでは、当社をEU域内の代理人としてご指定いただけます。当社の弁護士とプライバシー専門家からなる経験豊富な専門チームが、データ主体やデータ保護監督機関（SA）からの要請に対応するための最初の窓口となります。

- ### 信頼の獲得：
コンプライアンスランディングページには、プライバシーやセキュリティ関連の証明書、プライバシーポリシーやCookieポリシーなどを掲載いただけます。このページはプライバシー関連の窓口となり、プライバシー規則への対応状況を示すことで顧客の信頼と信用を高めることができます。また、このページは、GDPRプライバシーソフトウェアツールを利用した、プライバシー関連の要求を簡単に管理できる窓口としても機能します。

- ### GDPRプライバシーソフトウェアツール：
当社はお客様のクライアントからのデータ対象要求（DSR）を管理するため、独自の専門ツールを開発しています。これによりお客様の時間や社内のリソース、コスト削減を可能にし、コンプライアンスリスクを大幅に軽減します。また、処理活動の記録の提出をはじめとする、監督機関の一般的な要求にもすべて対応しています。さらに、お客様のデータがリスクにさらされる可能性がある場合、データ侵害管理ツールもご利用いただけます。

Question 11

データ主体やデータ保護当局からの要求にはどのように対応していますか？

Accepted Answer

Prighterはデータ主体要求（DSR）管理ツールを開発し、お客様や当局から届くすべてのプライバシー要求をチャネリング、構造化、フィルタリングしています。当社独自のAI技術を用いて何百万人ものデータ主体からの要求を1つのツールで処理することが可能です。コミュニケーションを含め、DSRの正式な処理のすべてに対応しており、サポートも行っております。データ削除をはじめとする、お客様のデータベースで処理されることは、お客様ご自身の判断で行っていただく形となります。DSRツールは、データ主体要求を管理し、すべてを正式なやり方で正しく処理し、アドバイザリーサービスを受けられるよう設計されています。このツールの詳細は、以下をご覧ください。

Question 12

どのような場合にDPOが必要で、どのような場合にEU代理人が必要なのでしょうか？

Accepted Answer

お客様の企業が以下の3つの条件のいずれかに該当する場合、データ保護責任者（DPO）を選任する義務が発生します。
- 公的機関または団体（司法権を行使する裁判所を除く）によって処理が行われている場合。
- お客様の主な事業に、その性質、範囲、または目的により、データ主体の定期的かつ体系的な監視を大規模に必要とする処理業務を含む場合。
- お客様の主な企業活動に、GDPR第9条にあたる特別なカテゴリのデータ、および第10条で言及されている第10条に言及した第10条に言及した有罪判決および犯罪と関連する個人データの大規模なデータの処理を含む場合。

これらの基準がどのように解釈されるかについての詳細は、[データ保護責任者に関する第29条専門調査委員会のガイドライン](https://ec.europa.eu/newsroom/article29/item-detail.cfm?item_id=612048). にまとめられています。DPO選任の条件と比較して、商品やサービスを提供したり、EUのデータ主体を監視したりする際には、EU代理人が必要となります。

DPOの必要条件の基準は、特定の処理活動に伴う高いリスクを反映されているのに対し、EU代理人の条件は、EU圏内の個人情報を処理していることがに明確な場合に適応されます。

Question 13

EU代理人と比べて、DPOの立場はどのように異なるのでしょうか？

Accepted Answer

データ保護責任者（DPO）は、企業における個人情報の保護に関連するすべての問題に関与します。企業がGDPRに準拠しているかどうかを監視し、データ保護の影響評価をサポート、プライバシーバイデザインやプライバシーバイデフォルトをはじめとする、その他すべてのプライバシー関連事項について経営陣に助言することがDPOの役割です。したがって、DPOは会社内で日々の業務に関与する必要があります。可能な限り、DPOは企業の本社がある場所に配置しなければなりません。

対して、EUに拠点がない企業にとって、EU代理人が企業の業務に関与することは、物理的な距離を伴います。したがって代理人は、子会社、支店、その他の事業所のような位置づけとなります。

Question 14

DPOがEUのEU代理人を兼ねることはできますか？またその逆も可能ですか？

Accepted Answer

DPOとEU代理人の役割は利益相反となり、できません。EDPBは、適用範囲に関する[ガイドライン 3/2018](https://edpb.europa.eu/sites/edpb/files/consultation/edpb_guidelines_3_2018_territorial_scope_en.pdf)において、強制執行手続きを行う場合は義務と利益が相反する可能性があることが述べられており、EU代理人は同じ企業のデータ処理者としての役割と互換性があるとは見なしていません。特にコンプライアンス準拠に関しては、DPOとEU代理人はそれぞれ異なる役割と責任を持っています。

Question 15

PrighterをEU代理人に指定するには、どのような手続きが必要ですか？

Accepted Answer

ご登録はとてもシンプルで、たった数分でお手続きいただけます。また、14日間の無料トライアルにより、リスクなしに代理人指定をしていただけます。

まずはプランをお選びください。企業の規模によって利用可能なプランが異なります。企業の規模は、ユーロスタットのカテゴリに準拠して従業員数で判断されます。'従業員 にはパートタイムやフリーランスも含まれます。

企業情報をご入力ください。

登録後、委任状（PoA）のダウンロードボタンが表示されます。監督機関からの要請があった場合、お客様が当社を代理人として指定した証拠として提出することから、署名されたPoAが必要となります。委任状にご署名いただき、アップロードをお願いいたします。

当社のチームが、ご提供いただいたお客様の企業情報とPoAを確認いたします。通常の場合、数時間以内に完了します。

PoAが承認されると、EU代理人の指定の完了となります。お客様管理ページにログインすると、ホームページやプライバシーポリシーに簡単に追加いただけるテンプレートや情報にアクセスいただけます。

リスクのない14日間のトライアルが始まります。

Question 16

Prighterを代理人に指定した場合、自分でデータ保護当局に通知する必要があるのでしょうか？

Accepted Answer

DPOの指定とは反対に、EU代理人に関してはデータ保護当局に通知する必要はありません。データ保護機関が企業について問い合わせをした場合、その企業のプライバシーポリシーから必要な情報を取得します。

GDPRのEU代理人ではなく、NIS代理人については、関係当局への通知が必要となります。

Question 17

私たちはグループ企業です。グループ企業向けのオプションも提供していますか？

Accepted Answer

GDPR第27条に基づき、全独立企業はEU代理人が必要です。当社は、グループ企業向けオプションもご用意しております。グループ全体で1つのメインアカウント作り、各グループ企業のサブアカウントを紐づける形で、それぞれのグループ企業の代理人を管理するサービスを提供しています。１回ログインでメインアカウントとサブアカウントの両方を処理するために、データ保護管理の中心となるポイントを社内で選択いただきます。対応可能なグループ企業の数は、お申し込みいただいたプランによって異なります。「Small」プランには2社まで、「Medium」プランには5社まで、「Large」プランには無制限でのグループ企業が含まれます。対象となるグループ企業は同じ業界で事業を展開し、同種の製品を提供し、同じブランドまたは共有したブランドを持つ企業です。

Question 18

サービス料金と支払オプションはどのようになっていますか？

Accepted Answer

サブスクリプションのサービス料金はユーロスタットの公式カテゴリに基づく企業規模と対象となるグループ企業の数に応じて設定され、月額19ユーロからとなっています。すべてのサブスクリプションに14日間のトライアル期間を設けていますので、リスクなしに当社サービスを体験いただけます。当社のサービス料金はデータ主体要求ごとに料金を請求することは一切なく、隠れた料金なども一切発生しません。お支払い方法は、月払い、四半期払い、年払いのいずれかをお選びいただけます。四半期ごとのお支払いには割引が適用され、年間のお支払いにはさらに割引が適用されます。

お支払い方法は、クレジットカードまたは銀行振込をお選びいただけます。クレジットカードは、ほぼすべてに対応しております。銀行振込の場合はユーロ、米ドル、英ポンドでのお支払いが可能です。ご不明な点がございましたら、当社サポートチームまでお問い合わせください。

どんな企業にEU代理人が必要になるのでしょうか？

GDPRへの対応

ビジネスを成長させる

効率性を上げる

特徴・サービス

データ主体の現地連絡先

当局からの問い合わせ先

EU全域をカバー

プライバシーマネジメントツールとナレッジハブ

顧客の信頼を得る

国際的な専門チーム

ご利用までの流れ