- 2024年4月17日
質問
GDPR35条ではDPIA（データ保護影響評価）について定められており、第1項では「. 取扱いの性質、範囲、過程及び目的を考慮に入れた上で、特に新たな技術を用いるような種類の取扱いが、自然人の権利及び自由に対する高いリスクを発生させるおそれがある場合、管理者は、その取扱いの開始前に、予定している取扱業務の個人データの保護に対する影響についての評価を行わなければならない」とされています。
この場合、当社が個人情報を取得、取扱いはしないけれども、当社が製造・販売した製品 や提供しているサービスプラットフォーム上でお客様が個人情報を取扱うような場合、そのような製品・サービスに対してもDPIAを当社が実施することは必要でしょうか？
（この欄で紹介するQ&Aはこれまで多くのお客様からお寄せいただきました代表的な質問です。）
回答
ご理解の通り、DPIAは、御社が管理者となって個人データを処理する場合において、正常な処理のもとでもデータ主体のプライバシーに対するリスクが高いと考えられるときに行うべきものであり…
