事例① DPA（データ処理契約）なしでサービス提供

EU企業向けにSaaSサービスを提供していた日本企業。EU顧客から「GDPRが要求するData Processing Agreement（DPA）を締結してほしい」と求められたが，対応できる条項が契約書になかった。DPAなしでのデータ処理はGDPR違反であり，取引停止と損害賠償請求を受けるリスクが生じた。

事例② データ移転条項（SCC）の欠落

EU拠点の取引先から個人データを受け取り日本で処理していた企業。EU→日本へのデータ移転には欧州委員会が定めるStandard Contractual Clauses（SCC）の組み込みが必要だが，古い契約書にはその規定がなく，GDPR施行後も気づかないまま運用を続けていた。監督機関から調査通知を受けた。

事例③ データ漏洩通知義務を契約に入れていなかった

システム委託先でデータ漏洩が発生。GDPRでは個人データ侵害の発覚から72時間以内に監督機関への通知義務がある。しかし委託契約書にデータ侵害時の通知義務・タイムラインが規定されておらず，委託先からの報告が遅延。通知義務違反による制裁金リスクを自社が負うことになった。

事例④ 「目的外利用禁止」の範囲で取引先と紛争

マーケティング目的で取得した顧客データを，提携先企業へ共有する条項が契約書に含まれていた。GDPRでは個人データの利用目的を特定・限定することが必要で，目的外利用には本人同意が必要。取引先への提供がGDPR違反に該当するとしてEUの顧客から苦情・損害賠償請求を受けた。

事例⑤ 「個人情報」の定義の違いで認識がずれた

日本法基準で「個人情報ではない」と判断してB2B契約書に個人データ保護条項を入れなかった。しかしGDPRにおける「個人データ」の定義は日本法より広く，IPアドレス・Cookie・位置情報なども対象になる。EU側取引先から契約違反として問題提起された。

事例⑥ 委託先の再委託でデータ管理が破綻

EU企業から個人データ処理を受託し，さらに国内の協力会社に再委託していた。GDPRでは再委託（Sub-processing）には元の管理者の事前書面承認が必要だが，契約書にその規定がなく，再委託先での不適切な管理が発覚。自社が直接GDPR違反の責任を問われた。

事例⑦ 旧来の秘密保持契約書（NDA）で個人データをカバーしていた

GDPR施行（2018年）以前に締結したNDAをそのまま使い続け，個人データの取り扱いもNDAでカバーできると認識していた。しかしGDPRはNDAとは別にData Processing条項・DPAの締結を要求しており，NDAだけでは法令要件を満たさないと指摘を受けた。

事例⑧ M&A後に買収先のGDPR違反が発覚

欧州企業を買収した際，デューデリジェンスでGDPR対応状況を確認しなかった。買収完了後に買収先がGDPR違反の状態でデータを処理していたことが判明。買収者として制裁金リスクと顧客対応コストを引き継ぐ結果になった。契約書上の表明保証条項にGDPR遵守が含まれていなかったことも問題だった。

確認条項 01

Data Processing Agreement（DPA）

個人データの処理を委託・受託する場合に必須。処理目的・手段・期間・データ主体の権利保護等を規定。

確認条項 02

Standard Contractual Clauses（SCC）

EU域外へのデータ移転に必要な条項。2021年改定版SCCへの対応が必要。旧版SCCは無効。

確認条項 03

Data Breach Notification条項

データ侵害発生時の通知義務・タイムライン（72時間以内）・手順を明記。委託先からの報告義務も規定。

確認条項 04

Sub-processing（再委託）条項

個人データの再委託を行う場合の事前承認・再委託先への同等義務の課し方を規定。

確認条項 05

データ主体の権利対応条項

アクセス権・削除権（忘れられる権利）・訂正権・携帯性への対応。委託先としての協力義務を含む。

確認条項 06

GDPR Compliance表明保証条項

相手方がGDPRを遵守していることの表明保証。M&AやSaaS導入時に特に重要。違反時の補償も規定。

弁護士 菊地正登

英文契約書へのGDPR・個人情報条項の組み込み　全国対応
「現在の契約書で問題ないか確認したい」段階からご相談いただけます。見積りは無料です。