ドイツ企業のためのGDPR（DSGVO）対応ガイド：チェックリストと主要要件

GDPR（ドイツ語ではDSGVO）の制裁金は、2025年に過去最高を記録しました。さらにNIS2、EU AI法、DORAが新たな要件を加えており、ドイツ企業を取り巻くコンプライアンス環境はますます複雑になっています。実務で使えるチェックリストをまとめました。

DSGVOの主な義務

1. 処理の法的根拠

すべてのデータ処理には法的根拠が必要です。同意、契約、法的義務、正当な利益のいずれかに該当しなければなりません。

2. データ保護責任者（DPO）

個人データの処理に日常的に携わる従業員が20人以上いる企業では、選任が義務です。DPOは独立した立場にあり、経営陣に直接報告しなければなりません。

3. データ侵害の通知

監督機関への通知期限は72時間以内です。本人へのリスクが高い場合は、影響を受ける個人にも通知します。

4. データ主体の権利

アクセス、訂正、消去（「忘れられる権利」）、データポータビリティなどの請求には、1か月以内に対応します。

5. 処理活動の記録

目的、データの種類、受領者、保存期間などを含む記録を書面で作成し、保持します。

コンプライアンス・チェックリスト

• 個人データを扱う処理活動をすべて洗い出す
• 処理活動ごとに法的根拠を文書化する
• 必要に応じてDPOを選任する（従業員20人以上）
• 技術的・組織的措置（TOMs）を実施する
• プライバシーポリシーを作成し、最新の状態に保つ
• データ侵害時の通知手順を整備する
• リスクの高い処理についてデータ保護影響評価（DPIA）を実施する
• データ処理委託契約（AVV）を締結しておく
• 全従業員にデータ保護の研修を行う
• データ主体からの請求に対応する手順を導入する

制裁金

違反の区分	制裁金の上限
下位区分	1,000万ユーロまたは年間売上高の2%
上位区分	2,000万ユーロまたは年間売上高の4%

新たな要件

NIS2指令（2024〜2025年）

対象範囲の拡大、インシデント報告の義務化、サイバーセキュリティに対する経営陣の責任。

EU AI法（2026年8月から適用）

AIシステムのリスク分類、透明性に関する要件、人間による監視の義務化。

DORA（金融セクター、2025年1月）

ICTリスク管理の枠組み、デジタル・オペレーショナル・レジリエンスのテスト。

コンプライアンス文書を安全に共有する

プライバシー影響評価、データ侵害の報告書、従業員データの処理記録といったコンプライアンス文書を共有するときは、安全な手段を使いましょう。LOCK.PUBなら、機密性の高いコンプライアンス情報をパスワード保護付きのメモで共有できます。Proでは、メモを一度だけ開けるように設定でき、閲覧後はそのリンクを再び開くことはできません。共有した記録が、かえってデータ管理上のリスクになるのを防げます。

DSGVO対応のチェックリストや機密性の高い社内文書は、暗号化されていないメール添付ではなく、有効期限を設定できる（Pro）LOCK.PUBのパスワード保護付きリンクで安全に保管しましょう。

---

DSGVOへの対応は任意ではなく、法律上の義務です。まずは上のチェックリストから始め、必要であればDPOを選任し、すべてを文書に残しましょう。