- 2026年 10月 21日
2026年秋、日本国内では企業への不正アクセスが相次ぎ、個人情報の漏えいやそのおそれだけでなく、システム障害や、安全確認・復旧作業に伴うサービスの停止など、企業活動にも影響が及んでいます。
不正アクセスへの備えとして、システムの脆弱性対策やアクセス制御の強化など、技術的な安全管理措置は欠かせません。しかし、不正アクセスが実際に発生した場合、技術的な対応だけでなく、関係する法令に基づいた判断や手続も必要になることがあります。
では、EU一般データ保護規則（GDPR）が適用される企業については、不正アクセスの発生時に、どのような対応が必要になるのでしょうか。企業はどのような体制でGDPR上の義務を確認し、適切な判断を進めればよいのでしょうか。
その体制を支える役職の一つが、DPO（Data Protection Officer：データ保護オフィサー）です。DPOは、不正アクセスなどの有事における個人データ保護上の助言に加え、平時からGDPRの遵守状況を監視し、企業に必要な助言を行う役割を担います。
本記事では、GDPRにおけるDPOの役割と選任義務を整理するとともに、個人データ侵害への対応も含め、企業が平時から整えておきたい体制について解説します。
1．不正アクセス発生時に求められるGDPR対応
GDPRは、EU域内に拠点を持つ企業だけでなく、一定の条件下では日本企業にも適用されます。
GDPR第33条第1項では、個人データ侵害が発生した場合、個人の権利・自由に対するリスクが生じるおそれがない場合を除き、管理者は不当な遅滞なく、かつ可能な場合には侵害を認識してから72時間以内に監督機関へ通知することを求めています。また、個人の権利・自由に対する高いリスクが生じるおそれがある場合には、原則として本人への連絡も必要となります（GDPR第34条）。
こうした対応のためには、不正アクセスによる個人データ侵害の有無や影響を受けた個人データの種類、対象となる個人の範囲などを把握し、通知の要否を判断する必要があります。不正アクセスが発生した際に、限られた時間の中で適切に対応するには、技術的な調査・対応と並行して確実にGDPR対応ができるよう、社内の役割分担や専門的な助言を受けられる体制を平時から整えておくことが重要です。
2．DPOとは？ 個人データ侵害への対応における役割
DPOは、GDPRの遵守について、専門的な助言と監視の両面から企業を支える役職です。GDPRでは、その主な職務として、次の事項が定められています（38条4項、39条）。
- GDPRなどのデータ保護法令に関する情報提供・助言
- GDPRや社内の個人データ保護方針の遵守状況の監視
- データ保護影響評価（DPIA）に関する助言と実施状況の監視
- 監督機関との協力
- 監督機関との連絡窓口としての対応
- データ主体からの個人データの取扱いや権利行使に関する問い合わせへの対応
つまり、DPOは、個人データ侵害が発生した際の対応だけでなく、平時の予防や備えにも重要な役割を果たす役職なのです。
3．DPOの選任義務が生じるのはどんな企業？
DPOは、平時から個人データ保護を支える重要な役割を担いますが、GDPRが適用されるすべての企業に選任が義務付けられているわけではありません。
GDPR第37条第1項では、次のいずれかに該当する場合、管理者または処理者にDPOの選任を義務付けています。
1.公的機関等が個人データを取り扱う場合（司法権を行使する裁判所を除く）
2.中核的な活動が、個人に対する大規模かつ定期的・体系的な監視を必要とする個人データの取扱いである場合
3.中核的な活動として、特別な種類の個人データ（センシティブデータ）や犯罪歴等に関する個人データを大規模に取り扱う場合
例えば、オンライン上の利用者の行動を大規模かつ継続的に追跡・分析することを主要な事業活動とする企業や、多数の患者の健康データを日常業務として取り扱う病院などでは、DPOの選任義務が生じる可能性があります。
ここで重要なのは、「中核的な活動」と「大規模な取扱い」という条件です。
欧州データ保護会議（EDPB）の解説では、「中核的な活動」とは、企業の事業目的を達成するために重要な活動を指し、一般的な給与計算などの付随的な業務は通常含まれないとしています。また、「大規模」に該当するかどうかは、対象となる個人の人数やデータ量、取扱いの期間、地理的な範囲などを踏まえて判断します。
そのため、実際にDPOの選任義務があるかどうかは、自社の事業内容や個人データの取扱いの性質・規模などを踏まえて確認する必要があります。
4．義務がなければDPOは選任しなくてよい？
GDPR上、DPOの選任義務がない場合、任意に選任するかどうかは企業の判断に委ねられます。しかし、義務がないからといって、DPOの役割が重要でなくなるわけではありません。
欧州データ保護会議（EDPB）の個人データ侵害通知に関するガイドライン9/2022では、DPOの任意選任を望ましい実務の一つとして位置付けています（第130段落）。
同ガイドラインでは、DPOは平時の個人データ侵害の予防や備えに重要な役割を果たすとしています。また、侵害が発生した場合には、DPOに速やかに情報を共有し、侵害対応や通知の全過程に関与させることを推奨しています（第133段落）。
つまり、選任義務がない企業にとっても、DPOの任意選任は、GDPR遵守体制を強化するための有効な選択肢なのです。 なお、任意に選任した場合にも、その職務や独立性などに関するGDPRの規定を遵守する必要があります。
ただし、DPOを選任しても、企業自身のGDPR上の責任がDPOに移るわけではありません。個人データ侵害が発生した場合、監督機関への通知義務は管理者が負い、DPOは専門的な助言や監督機関との連携を通じて、その対応を支えます。
5．DPOが役割を果たすために必要な体制とは？
DPOの選任を企業の個人データ保護体制の強化につなげるには、DPOが専門性を発揮し、適切に職務を遂行できる環境を整えることが重要です。
GDPR第37条・第38条では、DPOの専門性や職務遂行のための体制について、主に次の事項が定められています。
- 職務遂行のための環境の整備：個人データ保護に関する問題への適切かつ適時の関与、必要なリソースや情報へのアクセス、専門知識の維持に対する支援
- 独立性の確保：職務遂行に関する指示や不利益な取扱いの禁止、最高経営層への直接報告、利益相反の回避
- 専門性の確保：データ保護法令や実務に関する専門知識を備えたDPOの選任
これらの条件は、DPOが独立した立場から、専門的な助言や監視を適切に行うために必要なものです。
不正アクセスが発生した際に、技術的な調査結果や被害状況などがDPOに速やかに共有され、法務・ITなどの担当部門と連携できるよう、平時から体制を整えておくことが重要です。
6．平時から確認しておきたいDPO体制と外部専門家の活用
不正アクセスは、いつ発生するか分かりません。GDPRへの対応を進める企業では、平時から次の3点を確認しておくことが重要です。
① 自社にDPOの選任義務があるか
事業内容や個人データの取扱いを踏まえ、DPOの選任義務の有無を確認します。
② DPOが適切に職務を遂行できるか
DPOを選任している場合は、必要な専門性や独立性、職務遂行のための環境が確保されているかを確認します。
③ 平時・有事にDPOと適切に連携できるか
監督機関やデータ主体からの問い合わせに対応できるよう、連絡体制を整えておきます。また、不正アクセスが発生した際に、DPOへの情報共有や監督機関への通知の要否の判断などを円滑に進められるよう、社内の役割分担を明確にしておきます。
こうした体制を整えるうえで、社内で適任者を確保することが難しい場合には、外部DPOの活用も選択肢となります。GDPR第37条第6項では、サービス契約に基づいて外部の専門家がDPOの職務を担うことも認められています。
重要なのは、DPOの選任義務の有無を確認するだけでなく、平時・有事を通じて個人データ保護を支える体制を整えることです。
DPOの選任・運用にお困りの企業様へ
IIJ DPOアウトソーシングサービスでは、法律とITにまたがる専門性や言語能力を備えたDPOを提供し、GDPRへの対応を支援します。監督機関との連絡窓口や、データ主体からの問い合わせ受付などにも対応しています。
IIJ DPOアウトソーシングサービスの詳細・お問い合わせはこちら
