ファイル共有サービス向けデータ処理契約(DPA)

GDPR に有効なファイル共有サービスのデータ処理契約（DPA）は、第 28 条（3）の八つの必須事項をカバーしなければなりません。処理の対象と期間、処理の性質と目的、個人データの種類、データ主体のカテゴリ、管理者の権利と義務、プロセッサの指示、サブプロセッサのルール、契約終了時の削除または返還です。これら八つのいずれかが欠けると契約は非準拠となり、両当事者に執行措置のリスクが生じます。第 28 条を超えて、良い DPA はセキュリティ措置、侵害通知のタイムライン、監査権限、第 32 条・第 33 条・第 V 章に基づく国際移転の保護措置も定義します。

DPA が必要になるとき

第三者が個人データをあなたに代わって処理するとき、7 日間のアップロードされた .zip ファイルの一時的な保存のみであっても、DPA が必要です。SwissTransfer 、 WeTransfer 、 Dropbox Transfer 、 Smash 、 Tresorit 、 Box 、そして HexaTransfer も含まれます。閾値は「機密データ」ではなく「個人データ」です。受信者リストの顧客メールも含まれます。人名が記載されたビジネスファイルに転送サービスを使用しているなら、DPA は第 28 条（3）に基づいて必須です。DPA がなければ、第 5 条（1）（a）の下で有効な契約根拠のない処理となり、違法です。

第 28 条（3）の八つの必須事項

第 28 条（3）はチェックリストとして機能します。（a）対象と期間：何の処理、どのくらいの期間。（b）性質と目的：配信のためのファイル転送と短期保存。（c）個人データの種類：名前、メール、ファイル内容、メタデータ。（d）データ主体のカテゴリ：管理者の従業員、顧客、取引相手。（e）管理者の義務と権利。（f）文書化された指示のみに基づく処理。（g）承認された担当者の機密保持コミットメント。（h）リスクに応じたセキュリティ措置、サブプロセッサのルール、データ主体の権利への支援、侵害通知、DPIA 支援、契約終了時の削除。

サブプロセッサ条項と 30 日前通知

第 28 条（2）と（4）はプロセッサにサブプロセッサの開示と変更に対する管理者の異議申し立て機会の提供を要求しています。市場慣行として、現在のサブプロセッサの公開リスト（CDN の Cloudflare 、ホスティングの OVH 、メールの SendGrid ）、重要な変更についての 30 日前通知、合理的な根拠に基づく管理者の異議申し立て権が含まれます。管理者が異議を申し立てた場合、プロセッサは代替を見つけるか、ペナルティなしで影響を受けるサービスの終了を許可できます。通知なしに無制限のサブプロセッサ置換を主張する DPA に注意してください—それは非準拠です。

第 28 条（3）（h）の監査権限

管理者はプロセッサを監査する権利を持ちます。小規模の管理者にとって、これは通常、自前の監査人を派遣する代わりにプロセッサの SOC 2 Type 2、ISO 27001、または ISAE 3402 レポートを受け入れることを意味します。大規模な管理者（銀行、病院、政府）は現地監査権限を留保します。DPA には形式を指定する必要があります。公開された証明書のレビュー権、追加情報の請求権、そして高リスクの処理については管理者の費用負担による独立監査の依頼権です。すべての監査権限を拒否することは非準拠です。年 1 回・30 日前通知付きのレビューへの制限は合理的です。

セキュリティ措置と第 32 条の整合

第 32 条（1）は四つの例示的な措置を列挙しています。仮名化と暗号化（a）、システムの機密性・整合性・可用性・回復力（b）、インシデント後の適時復旧（c）、定期的なテストと評価（d）。良いファイル共有の DPA はセキュリティ措置の附則に具体的な内容を記載します。保存時 AES-256-GCM、転送時 TLS 1.3、管理者アクセスの MFA、ISO 27001 認証、パッチ SLA を持つ脆弱性管理、年次ペネトレーションテストです。「業界標準のセキュリティ」のような曖昧な表現は測定不可能であり、監査に失敗します。

プロセッサと管理者間の侵害通知タイムライン

第 33 条（2）はプロセッサに個人データ侵害について「遅延なく」管理者に通知することを要求しています。ほとんどの DPA は 24〜48 時間を指定しています。プロセッサの仕事は迅速な通知であり、72 時間の期限—それは第 33 条（1）の下での管理者の仕事—ではありません。よく書かれた DPA では次を明示します。何が侵害を構成するか（損失、無断開示、無断アクセス）、通知の内容（侵害の性質、データ主体とレコードのカテゴリと概算数、予想される結果、取られた措置）、配信方法（名前付き担当者、メールが侵害された場合のバックアップチャンネル）。

DPA における国際移転の保護措置

プロセッサが EEA 外にデータを保存またはアクセスする場合、第 44 条が適用されます。DPA には 2021 年版 SCC（委員会実施決定 2021/914）を組み込み、適用モジュール（モジュール 2：管理者からプロセッサへ）を指定し、参照によって TIA を含める必要があります。米国サブプロセッサについては、DPF（データプライバシーフレームワーク）認証状況または具体的な追加的保護措置の説明を追加してください。英国への移転には 2022 年 3 月から有効になった ICO の国際データ移転附則（2021 年 SCC への追加）が必要です。

契約終了時の削除または返還

第 28 条（3）（g）はプロセッサにサービス終了時にすべての個人データを削除または返還することを義務付けています。EU またはメンバー国法が保持を要求する場合を除きます。どちらかを明確にしてください。ほとんどのファイル転送サービスは短い猶予期間（7〜30 日）での削除をデフォルトとしています。管理者が返還を希望する場合（すべてのファイルをエクスポート）、形式とタイムラインを指定してください。削除はバックアップもカバーする必要があります—バックアップローテーションサイクル（標準は 90 日）を引用し、復元されたデータが削除要求と整合した再処理または再削除を受けることを文書化してください。

共同管理者とマルチパーティのシナリオ

ファイル共有は第 26 条の共同管理者を伴うことがあります—例えば、雇用主とプラットフォームの両方が目的と手段を決定する採用プラットフォームの場合です。第 26 条の取り決めは DPA とは異なり、責任を透明に割り当てる必要があります。あなたがプラットフォームでプロセッサとして位置づけているのに、実際には本当の制御を行使している場合（ユーザーコンテンツで AI をトレーニングする、メタデータを収益化する）、規制機関はあなたを共同管理者として再分類する可能性があります。最初から分類を正確に把握してください。CNIL と ICO はともに誤分類に対して制裁金を課しています。

実用的なテンプレートの入手先

欧州委員会は管理者とプロセッサ間の SCC を公表しています（委員会実施決定 2021/915）。ほとんどの信頼できるファイル転送プロバイダはこれらの条項に基づく事前署名済み DPA を公開しています。ダウンロードして副署するだけで完了します。 Tresorit 、 Proton Business 、 Box 、 Microsoft 、 Google Workspace 、そして HexaTransfer もすべて対応しています。カスタム交渉が必要な場合、IAPP と CIPL がテンプレート DPA を公開しています。専門のプライバシー顧問なしにゼロから作成しないでください。エッジケース（共同管理者、サブプロセッサチェーン、TIA 文言）には特定の期待される文言があります。

第 28 条（3）の八点チェックリストに照らしてすべての条項を読んでください。

hexatransfer.comでお試しください — 無料、登録不要、最大10GB。