こちらでは、「質問事例を見る」の内容の一部をサンプル質問としてご紹介しております。
質問：当社は、一部の個人情報を、委託業務として、当社敷地内にて協力企業に提供しています。もし、この委託先から個人情報の漏洩が発生し、ＥＵ監査機関から制裁金が課せられた場合、と仮定します。
EU監査機関から制裁金が課せられるのは、当社になるのでしょうか？ それとも、委託先の協力会社になるのでしょうか？ または、当社と委託先の両者になるのでしょうか？
仮に、当社が直接課せられた場合、その後当社から委託先へ損害賠償を請求するようなことは出来るのでしょうか？ また、当社の管理対応が正当であることが証明できるような場合には、制裁を免れることができるのでしょうか？
（この欄で紹介するQ&Aはこれまで多くのお客様からお寄せいただきました代表的な質問です。）
回答：個人情報の漏洩というインシデントが個人データ侵害と判断された場合において、83条の一般的要件を満たすときに管理者である貴社および処理者である委託先の両方、あるいは、どちらか一方当事者に対して制裁金が課される可能性があります。
同条2項において、違反の性質や重大性など、故意または過失の存在、管理者または処理者が講じた措置、管理者または処理者の責任の程度、過去の違反状況、監督当局への協力、等々の要素を勘案するとされています。したがって、貴社および委託先ともに、制裁金の対象となりうるということになります。
貴社に制裁金が課せられた場合、貴社が委託契約上の損害賠償請求権を援用して委託先に損害賠償請求を行うことが考えられます。そのためには、事前に契約の手当をしっかりとしておくことをお勧めします。
質問：当初の一般消費者様向けの事業にて、マーケティング利用の際の個人データ取得では、包括的なプライバシーノーティスを提示した上での取得ではなく、個別のチェックボックスの利用等による同意取得が必要となっております。この理由を教えていただきたくお願いします。
（この欄で紹介するQ&Aはこれまで多くのお客様からお寄せいただきました代表的な質問です。）
回答：マーケティング目的以外の場合には、適法根拠を契約履行や正当な利益とできる場合が多く、これが採用されています。この場合、プライバシーノーティスにてユーザに内容を説明すれば足りることになり、同意は不要です。
一方、マーケティングにつきましては、適法根拠を同意と整理するのが通常になります。マーケティングを正当な利益に拠ることは、必ずしも否定はされていませんが、限定的です。例えば、下記リンクの英国ICOのガイダンスをご参照ください。
https://ico.org.uk/for-organisations/guide-to-data-protection/guide-to-the-general-data-protection-regulation-gdpr/legitimate-interests/when-can-we-rely-on-legitimate-interests/
なお、GDPR7条2項・4項を考慮すると、同意は他の事項と分けて取得し、更に契約履行に必要のない個人データ処理の同意を契約履行の条件としてはならないとされています。従いまして、マーケティングでの個人データ取得に関しましてはオプトイン同意とし、マーケティングに同意しない場合でもサービス利用ができるようにすることが求められます。
質問：当社が管理者で処理者と結ぶ処理契約を準備中です。個人データの越境移転を伴うものですので、契約書文面のチェック方針として次の内容を考えておりますが、これでよろしいのでしょうか？
・GDPR第28条の法的要件を満たした条項が盛り込まれているか
・管理者－処理者としてのSCC（標準契約条項）または、それと同等の内容が記載されているか
（この欄で紹介するQ&Aはこれまで多くのお客様からお寄せいただきました代表的な質問です。）
回答：処理者がEU域外に所在し、個人データのEU域外移転を伴う場合、GDPR28条準拠の処理契約と併せ、管理者ー処理者型のSCC（ C(2010)593）を締結することが一般的です。
処理契約中にSCC相当の文言を盛り込む方法については、上記SCC10条が「SCCの文言を変更しないようにすること」と規定しているので避けるべきだと考えます。
（参考）JetroのSCC仮訳
https://www.jetro.go.jp/world/reports/2018/01/8d894f365ea5c3a7.html