---
name: dpa-checklist
description: データ処理契約（DPA、データ処理補遺）を条項ごとに確認する。管理者（controller）と処理者（processor）の役割、再委託先（サブプロセッサー）、安全管理措置、漏えい時の通知、国外移転、削除、監査権を見て、GDPR 型の条項は弁護士確認の印をつける。顧客や取引先から DPA が届いたとき、セキュリティやプライバシーの審査で DPA を求められたとき、「この DPA にサインしていい？」と聞かれたときに使う。
---

# DPA のチェックリスト

> 法的助言ではない。弁護士のレビューに備えるための一次チェックで、レビューの代わりにはならない。手順の枠組みは EU の GDPR。日本の個人情報保護法での扱いは [要確認: 日本の法令。確認先の例は個人情報保護委員会]。

DPA は、個人データの扱いを決めるのは誰か、実際に扱うのは誰か、問題が起きたときにそれぞれが何を負うかを定める。良い一次チェックは、ユーザーが今の体制で実際に守れる約束はどれかを示す。守れない約束にサインすることこそが本当のリスクだから。

## 使う場面

- 大企業の顧客が、契約書と一緒に自社の DPA を送ってきた。
- ユーザーの会社が、取引先（分析、メール配信、CRM、ホスティング）の DPA にサインする必要がある。
- プライバシーやセキュリティの審査で、DPA があるか、何が書いてあるかを聞かれた。
- 会社にどのプライバシー法が適用されるかを決める用途には使わない。それは弁護士に聞くこと。

## 用意するもの

- DPA と、それが付属する本契約。本契約がなければ、責任や解除の定めがそちらにある可能性を書いておく。
- ユーザーがどちらの立場か: データの持ち主の側（管理者、controller と呼ばれることが多い）か、その代わりにデータを扱う側（処理者、processor と呼ばれることが多い）か。はっきりしなければ一度だけ確認する。
- ユーザーの実態: データの保管場所、使っている再委託先、インシデントをどれくらいの速さで検知・報告できるか、データをどう削除するか。なければ約束ごとに「[要確認: 当社で対応できるか]」と書く。

## 手順

1. **役割と範囲を確かめる。** GDPR 第28条3項の列挙をチェックリストの枠にする: 処理の対象と期間、性質と目的、個人データの種類、本人の区分、そして処理者の8つの義務（文書化された指示、従業員の守秘、安全管理、再委託の条件、本人からの請求への協力、安全管理と漏えい対応への協力、終了時の削除または返還、情報提供と監査）。誰が管理者、誰が処理者と書かれているかを見る。役割がサービスの実際と合わない（たとえば取引先が自社製品のためにもデータを使う）なら赤にし、弁護士に聞く。
2. **指示にもとづく処理かを確かめる。** 処理者は文書化された指示にだけ従って動くべき。処理者が自社の目的（分析、製品改善、モデルの学習）でデータを使う権利を残していれば、必ず指摘する。
3. **再委託先を確かめる。** 許可は個別か包括か。包括の許可の場合、欧州委員会の標準契約条項の Q&A によれば、処理者は再委託先を1社ずつ名指しし（区分だけでは足りない）、変更を書面で通知し、通知の期間は当事者が決める。管理者は異議を出せる。DPA に通知が何日前か、異議のあとどうなるかが書いてあるかを確かめる。ユーザーが処理者なら、一覧を実際に使っている取引先と照らし合わせる。載っていない取引先があれば赤。
4. **安全管理措置を確かめる。** 技術的・組織的措置の別紙があるか。約束を1つずつユーザーの実態と比べる。実態の裏づけがない約束には「[要確認: …]」をつける。
5. **漏えい時の通知を確かめる。** 期限は書いてあるとおりに書き写す。欧州委員会の標準契約条項は「不当な遅滞なく」とし、具体的な時間数は当事者に委ねている。つまり時間数の決め打ちは交渉で決まる条件。通知に何を含めるかも書き留める。ユーザーが処理者で、今の体制では期限を守れないなら赤。
6. **国外移転を確かめる。** データがどこへ行き、DPA がどの移転の仕組みを挙げているか。欧州委員会の2021年の移転用標準契約条項は、EU 域内の管理者・処理者から域外の者へのデータ送付を対象とし、Q&A では、これに依拠する前に移転影響評価を行うとしている。評価があるかを確かめる。仕組みが十分かどうかは判断しない: 「[弁護士に確認: この移転の仕組みは、これらの国について十分か]」。
7. **削除・返還と監査を確かめる。** 終了時の削除か返還か、その期限、証明の有無。監査権: 頻度、事前通知、費用負担、第三者の報告書で実地監査に代えられるか。処理者にとって、処理者負担で回数制限のない実地監査は赤。
8. **責任とその他を確かめる。** DPA に独自の責任の定めがあるか、本契約の責任上限に従うか。補償、本人からの請求への協力、優先順位の定め。そのうえで表、穴、質問を書く。

## 出力の形式

```markdown
# DPA のチェックリスト — [相手方]、[日付]

_法的助言ではない。弁護士のレビュー用に作成。_

**ユーザーの立場:** [管理者 / 処理者 / 不明]  
**データと目的:** [書いてあるとおりの区分、本人、目的]

| 項目 | 評価 | 書いてあること（引用、条項） | 当社で対応できるか |
|---|---|---|---|
| 役割と範囲 | [緑/黄/赤] | 「[引用]」（第[n]条） | [できる / できない / 要確認] |
| 指示と自社利用 | | | |
| 再委託先 | | | |
| 安全管理措置 | | | |
| 漏えい時の通知 | | | |
| 国外移転 | | | |
| 削除と返還 | | | |
| 監査 | | | |
| 責任 | | | |
| 本人からの請求 | | | |

## まだ確かめられていない約束
- [約束] — [要確認: 確かめられる人]

## 弁護士への質問
- [弁護士に確認: ...]
```

## 例

**入力:** フォーム作成ツールを提供するカタチフォーム株式会社（処理者）の中村さんが、顧客の東和ひかり銀行から DPA を受け取った。実態: 東京リージョンでホスティング、再委託先はクラウド基盤、メール配信、エラー監視の3社。インシデントは翌営業日に確認している。DPA の抜粋:

> 3.2 処理者は、個人データの漏えいを認識してから24時間以内に管理者に通知する。  
> 5.1 処理者は、別紙3に記載のもの以外の再委託先を使わない（別紙3: クラウド基盤事業者、メール配信事業者）。  
> 8.1 管理者は、2営業日前の通知により、いつでも処理者の施設を監査できる。費用は処理者の負担とする。  
> 9.1 契約終了時、処理者は30日以内にすべての個人データを削除する。

**出力:**

```markdown
# DPA のチェックリスト — 東和ひかり銀行、11月4日（水）

_法的助言ではない。弁護士のレビュー用に作成。_

**ユーザーの立場:** 処理者  
**データと目的:** [要確認: 抜粋にない]

| 項目 | 評価 | 書いてあること（引用、条項） | 当社で対応できるか |
|---|---|---|---|
| 漏えい時の通知 | 赤 | 「認識してから24時間以内」（3.2） | できない: インシデントの確認は翌営業日 |
| 再委託先 | 赤 | 別紙3にはクラウド基盤とメール配信だけ | できない: エラー監視が載っていない |
| 監査 | 赤 | 「2営業日前の通知により、いつでも……費用は処理者の負担」（8.1） | 要確認: 費用と頻度に上限がない |
| 削除と返還 | 緑 | 「30日以内にすべての個人データを削除する」（9.1） | 要確認: バックアップも含むか |
| 国外移転 | — | 抜粋にない | [要確認: DPA の全文] |

## まだ確かめられていない約束
- 24時間以内の漏えい通知 — [要確認: 開発チームが土日の当番を約束できるか]
- バックアップを含めた30日以内の削除 — [要確認: バックアップの保存期間]

## 弁護士への質問
- [弁護士に確認: 実地監査の代わりに、年1回の第三者の監査報告書を提案できるか]
- [弁護士に確認: エラー監視を別紙3に加えるべきか、それとも通知と異議の手続きを提案すべきか]
```

## 送る前のチェック

- [ ] 出力の冒頭に、法的助言ではないという一行がある。
- [ ] ユーザー側の約束すべてに「当社で対応できるか」の答えか「[要確認: …]」がある。
- [ ] 漏えい通知の期限が、書いてあるとおりに引用されている。
- [ ] ユーザーが処理者なら、再委託先の一覧を実際の取引先と照らし合わせた。
- [ ] 移転の仕組みや条項が法的に十分だと言う文がない。
- [ ] 相手方が自社の目的でデータを使う権利があれば、指摘してある。

## よくある失敗

- DPA をひな形だと思って流す。期限や監査の条件は、実際の運用の手間を生む。
- 本契約の責任上限が DPA に及ぶとは限らないことを見落とす。
- 今使っている取引先ではなく、これから使う予定の取引先を並べる。