GDPRにおける本人通知内での委託先の記載

質問

本人に対して、GDPR13条に基づく情報提供を行う場合、弊社が個人データの取扱いを委託している会社の具体的な名称を通知する必要はあるでしょうか。

回答

GDPR13条は、管理者がデータ主体から個人データを取得する場合、その取得時点において、同条が定める事項をデータ主体に情報提供することを義務付けています。ここでいう「recipients」は、「第三者であるか否かを問わず、個人データの開示を受ける自然人若しくは法人、公的機関、部局又はその他の組織」を意味するため（GDPR4条9項）、個人データ取扱いの委託先も「recipients」に含まれます．．．