クイックアンサー: GDPRの下では、データコントローラーが個人データが処理される理由と方法を決定し、データプロセッサーはコントローラーの指示に従ってデータを処理します。責任は大きく異なり、コントローラーは最も広範な責任を負い、プロセッサーは合法的な指示に従わない場合や、特に彼らに向けられたGDPRの義務に違反した場合にのみ直接責任を負います。
主なポイント
- データコントローラーは処理の目的と手段を決定し、データプロセッサーはコントローラーの代理として行動します。
- コントローラーはGDPRの主要な責任を負い、プロセッサーは特定の状況下でのみ第82条に基づく直接責任を負います。
- 両方の役割は同一の組織内で同時に存在することができ、企業は自社の顧客に対してコントローラーとして、他のビジネスに対してプロセッサーとして機能することができます。
- コントローラーがプロセッサーを雇う際には、法的拘束力のあるデータ処理契約（DPA）が必須です。
- サブプロセッサーはコントローラーからの事前の書面による承認が必要であり、主要なプロセッサーはサブプロセッサーの行動に対して完全に責任を負います。
- 自分の役割を誤って分類することは、組織を規制上の罰則にさらすコンプライアンスリスクです。
- 自分の目的で個人データを使用するプロセッサーは、その処理活動に対して自動的にコントローラーになります。
- 英国のデータ（使用とアクセス）法2026は、英国GDPRの下で運営される組織が迅速に確認すべきさらなる変更を導入します。
GDPRにおけるデータコントローラーとデータプロセッサーの違いは何ですか？
データコントローラーは、個人データの処理の目的と手段を決定する任意の主体です。データプロセッサーは、コントローラーの指示に従って個人データを処理する任意の主体です[1]。
この区別は意思決定権に依存します。あなたの組織がデータが収集される理由とその使用方法を決定する場合、あなたはコントローラーです。別の主体から指示を受けてデータを扱うだけで、目的について独自の意見がない場合、あなたはプロセッサーです。
実際の例:
| シナリオ | 役割 |
|---|---|
| 顧客の購入データを収集するeコマース小売業者 | コントローラー |
| その小売業者のデータベースを保存するクラウドホスティングプロバイダー | プロセッサー |
| 雇用者のために従業員データを処理する給与SaaSプラットフォーム | プロセッサー |
| 自社の見込み客リストを作成するマーケティングエージェンシー | コントローラー |
| クライアントデータにアクセスしてサポートを提供するCRMベンダー | プロセッサー |
ICOは、契約におけるラベルが役割を決定するものではなく、実際の行動が決定することを強調しています[1]。契約で「プロセッサー」と呼ばれているベンダーがデータ使用に関して独自の決定を下している場合、契約に何が書かれているかに関係なく、法的にはコントローラーです。
GDPRにおけるデータコントローラーの主な責任は何ですか？
コントローラーはGDPRの下で最も重いコンプライアンスの負担を負います。彼らはデータライフサイクル全体に責任を持ち、関与するプロセッサーがGDPR基準を満たしていることを確認しなければなりません[3]。
コアコントローラーの義務には以下が含まれます:
- すべての処理活動に対して合法的な根拠を確立し、文書化すること
- データ主体に対して透明なプライバシー通知を提供すること
- データ主体の権利、アクセス、訂正、消去、移植、異議申し立てを促進すること
- 高リスク処理に対してデータ保護影響評価（DPIA）を実施すること
- 必要に応じてデータ保護責任者（DPO）を任命すること
- プロセッサーを雇う前にデューデリジェンスを行い、彼らの継続的なコンプライアンスを監視すること
- 関与するすべてのプロセッサーとの間で書面によるデータ処理契約を締結すること[3]
コントローラーは責任を外部に委託することはできません。プロセッサーが違反を引き起こした場合でも、コントローラーはプロセッサーの選択と契約上の保護の適切さについて監督当局に対して責任を負い続けます。
GDPRにおけるデータプロセッサーの主な責任は何ですか？
プロセッサーは直接的なGDPRの義務を負い、単に契約上の義務ではなく、コンプライアンスをコントローラーの問題だけと見なすことはできません[3]。
GDPRに基づくプロセッサーの直接的な義務には以下が含まれます:
- コントローラーからの文書化された指示に基づいてのみデータを処理すること
- 適切な技術的および組織的なセキュリティ対策を実施すること
- コントローラーのために行ったすべての処理活動の記録を保持すること
- 不当な遅延なくコントローラーにデータ侵害を通知すること
- データ主体の権利要求を満たすためにコントローラーを支援すること
- 契約終了時にすべての個人データを削除または返却すること
- コントローラーからの事前の書面による承認なしにサブプロセッサーを雇わないこと[3]
「プロセッサーはGDPRの下で直接的な義務を負い、単なる契約上の義務ではなく、コントローラーの合法的な指示の外で行動した場合には規制上のリスクにさらされます。」
データ侵害が発生した場合、責任を負うのはコントローラーかプロセッサーか？
両者が責任を負う可能性がありますが、その範囲は異なります。GDPRの第82条に基づき、GDPR違反によって損害を被った者は、責任のあるコントローラーまたはプロセッサーに対して補償を請求する権利があります[2]。
コントローラーはGDPRに違反する処理によって引き起こされた損害に対して責任を負います。プロセッサーは、特にプロセッサーに向けられたGDPRの義務に従わなかった場合、またはコントローラーの合法的な指示に反して行動した場合にのみ責任を負います[2]。
実際の責任の配分:
- プロセッサーがコントローラーから不十分なセキュリティ指示を受けて違反を引き起こした場合、コントローラーが主要な責任を負う可能性が高いです。
- プロセッサーがコントローラーのセキュリティ要件を無視した場合、プロセッサーが直接責任を負います。
- 両者は連帯して責任を負う可能性があり、データ主体は損害の全額をいずれかの当事者に対して請求でき、その後に責任を分配することができます。
プロセッサーは、損害を引き起こした事象に対して自らの過失がなかったことを証明することで責任を免れることができます[2]。これは高いハードルであり、プロセッサーはGDPRの義務を完全に遵守していることを示さなければなりません。
企業は同時にコントローラーとプロセッサーになることができますか？
はい。組織は、同一のビジネス関係内で、ある処理活動に対してコントローラーとして、他の活動に対してプロセッサーとして同時に機能することができます[1]。
例えば、デジタルマーケティングエージェンシーは、自社の従業員のHRデータを管理する際にはコントローラーとして機能し、クライアントの顧客データを使用して広告キャンペーンを実施する際にはプロセッサーとして機能します。役割は、企業ごとではなく、活動ごとに決定されます。
プロセッサーが自らの目的でデータを使用すると、コントローラーになることがありますか？
プロセッサーは、コントローラーの指示を超えて個人データを使用する瞬間に自動的にコントローラーになります[1]。これは実務上最も重要な誤分類の一つです。
クラウド分析ベンダーがクライアントデータを無断で掘り起こして自社のAIモデルを訓練し始めた場合、プロセッサーの役割を超えてその活動に対してコントローラーの地位を引き受け、すべてのGDPRの義務と責任を負うことになります。この再分類を防ぐ契約条項は存在しません；これは事実の問題であり、合意の問題ではありません。
データ処理契約はプロセッサーを責任からどのように保護しますか？
データ処理契約（DPA）は、コントローラーがプロセッサーを雇う際にGDPRの下で必須の法的文書です[3]。プロセッサーにとって、適切に作成されたDPAは責任のリスクを制限するための主要なメカニズムです。
準拠したDPAは以下を明記する必要があります:
- 処理の主題、期間、性質、目的
- 関与する個人データの種類とデータ主体のカテゴリ
- コントローラーの義務と権利
- 権限のある者に対する機密保持要件
- 実施すべきセキュリティ対策
- サブプロセッサーを雇う条件
- 契約終了時にデータを返却または削除する手続き[3]
プロセッサーがDPAの範囲内で厳密に行動する場合、結果として生じる損害に対する責任は主にコントローラーに移ります。逆に、プロセッサーがその指示を超えた場合、DPAは逸脱の証拠となり、保護の役割を果たしません。
プロセッサーがGDPRルールに違反した場合はどうなりますか？
GDPRに違反したプロセッサーは、規制上の罰金と損害に対する民事責任の両方に直面します。監督当局は、最も深刻な違反に対してプロセッサーに直接行政罰金を科すことができ、最高2000万ユーロまたは全世界の年間売上高の4%のいずれか高い方が適用されます[2]。
罰金に加えて、プロセッサーは損害を被ったデータ主体から第82条に基づく請求を受ける可能性があります。また、DPAに基づいてコントローラーに対して契約上の責任を負う可能性もあります。
プロセッサーは独自のデータ保護責任者を必要としますか？
プロセッサーはコントローラーと同じDPO任命の閾値に従います。プロセッサーは、大規模かつ体系的に個人を監視する場合、または特別なカテゴリのデータや犯罪歴データを大規模に処理する場合にはDPOを任命しなければなりません[1]。
プロセッサーであることは、組織がDPO要件から免除されることを意味しません。プロセッサーとして機能する多くの大規模なクラウドプロバイダーやSaaSプラットフォームは、扱うデータの量と敏感さのためにDPOを維持する必要があります。
コントローラーとプロセッサーの間のGDPR罰金の違いは何ですか？
GDPRの二層罰金構造は、コントローラーとプロセッサーの両方に平等に適用されます。第一層は軽度の違反（最大1000万ユーロまたは全世界の売上高の2%）をカバーし、第二層は最も深刻な違反、違法な処理やデータ主体の権利を尊重しないことを含みます（最大2000万ユーロまたは全世界の売上高の4%）[2]。
プロセッサーに対する法定の割引はありません。しかし、実際には、監督当局は罰金額を決定する際に有罪性、協力、違反の性質を評価し、同じ事件におけるコントローラーとプロセッサーの結果に違いをもたらす要因となることがあります。
サブプロセッサーは主要プロセッサーとは異なる責任を負いますか？
サブプロセッサーは主要プロセッサーと同じGDPRの義務を負いますが、契約上は主要プロセッサーに対してのみ拘束され、コントローラーには直接的には拘束されません。重要な違いは、主要プロセッサーがサブプロセッサーのパフォーマンスに対してコントローラーに対して完全に責任を負うことです[3]。
サブプロセッサーが違反を引き起こした場合、コントローラーの法的救済は主要プロセッサーに対して行われます。主要プロセッサーはその後、サブプロセッサーを別途追及しなければなりません。サブプロセッサーは、自らのGDPR違反に対して監督当局から直接的な規制措置を受ける可能性もあります。
サブプロセッサーのルールの概要:
- サブプロセッサーを雇う前にコントローラーからの事前の書面による承認が必要です
- 主要プロセッサーはサブプロセッサーに対して同等のデータ保護義務を課さなければなりません
- 主要プロセッサーはサブプロセッサーの過失を指摘することで責任を免れることはできません
自社がコントローラーかプロセッサーかをどのように判断しますか？
判断は単一の質問に依存します：あなたの組織は個人データが処理される理由を独自に決定していますか？もしそうであれば、あなたはコントローラーです。別の主体からの指示に従ってのみデータを処理し、独自の目的がない場合、あなたはプロセッサーです[1]。
実用的な判断チェックリスト:
- このデータを最初に収集することを決定したのは誰ですか？
- データが何に使用されるかを決定したのは誰ですか？
- あなたの組織はデータがどのように処理されるかについて裁量を持っていますか、それとも他の当事者の仕様に従っていますか？
- 他の当事者が指示を撤回した場合、処理は停止しますか？
- あなたの組織に独自に利益をもたらす目的でデータを使用していますか？
これらの質問に対する回答が異なる方向を指す場合、あなたは共同コントローラーである可能性があり、その場合は他の当事者との間で別の透明性の取り決めが必要です[1]。
コントローラーとプロセッサーの役割に関して企業が犯す一般的な誤りは何ですか？
誤分類は最も一般的なエラーであり、実際のコンプライアンスの結果を伴います。組織は、契約で「ベンダー」や「サービスプロバイダー」と呼ばれることがプロセッサーであると仮定しがちですが、実際の行動が彼らをコントローラーとして分類することがあります。
他の一般的な誤り:
- DPAをスキップする: 書面によるDPAなしにプロセッサーを雇うコントローラーは、プロセッサーのシステムがどれほど安全であってもGDPRに直接違反しています。
- サブプロセッサーを審査しない: コントローラーは、プロセッサーが承認なしにサブプロセッサーを雇ったり、同等の契約上の保護を欠いたりしていることを見落としがちです。
- プロセッサーがデータ主体の権利を扱うと仮定する: コントローラーはデータ主体の要求に応じる責任を負い、プロセッサーはそれを支援するだけです。
- 再分類リスクを無視する: サービスを拡大し、クライアントデータを分析、モデル訓練、ベンチマーキングに使用し始めるプロセッサーは、シフトを認識せずに誤ってコントローラーになる可能性があります。
ウェブサイトやデジタルプロパティ全体で同意とデータフローを管理する組織にとって、Biscotti CMPのような同意管理プラットフォームは、コントローラーが合法的な根拠を文書化し、同意記録を管理するのに役立ち、GDPRの下でのコントローラーの責任の基本要素となります。
小規模企業はコントローラーとプロセッサーの責任をどのように扱うべきですか？
小規模企業はGDPRのコントローラー・プロセッサーの枠組みから免除されません。小規模企業が顧客データを収集する場合、たとえニュースレターのためのメールアドレスだけであっても、それはコントローラーであり、すべてのコントローラーの義務を遵守しなければなりません。
小規模企業のための実用的なステップ:
- あなたのために個人データを扱うすべてのツールやベンダーをマッピングします（メールプラットフォーム、分析ツール、決済プロセッサー、CRM）。
- 各ベンダーとの間に署名されたDPAが存在するか確認します。
- 各ベンダーのDPAがGDPRの最低要件を満たしているか確認します。
- あなたの処理活動を正確に説明する準拠したプライバシー通知を公開します。
- データ主体の要求に30日以内に応じるためのプロセスを確立します。
2026年6月19日に王室の承認を受けた英国のデータ（使用とアクセス）法2026は、英国に拠点を置く小規模企業がコントローラーの義務を最新のものに保つために法的助言を受けるべきさらなる修正を導入します[1]。
よくある質問
Q: SaaS企業は常にプロセッサーですか？
SaaS企業は、顧客のためにのみ個人データを厳密に処理する場合にプロセッサーです。顧客データを自社の分析、製品改善、マーケティングに使用する場合、それはその活動に対してコントローラーになります。
Q: プロセッサーは監督当局に登録する必要がありますか？
登録要件はEU加盟国によって異なります。ただし、プロセッサーは、250人以上の従業員を雇用している場合、または処理がデータ主体にリスクをもたらす可能性がある場合、GDPRの第30条に基づいて内部の処理活動の記録（RoPA）を維持する必要があります。
Q: プロセッサーはコントローラーの指示を拒否できますか？
はい、指示に従うことがGDPRに違反する場合、プロセッサーは指示を拒否することができます。その場合、プロセッサーはコントローラーに通知し、指示が修正されない場合は関係を終了する必要があるかもしれません。
Q: 共同コントローラーの取り決めとは何ですか？
共同コントローラーは、2つ以上の主体が共同で処理の目的と手段を決定する場合に存在します。彼らはそれぞれの責任を透明な取り決めで文書化し、その取り決めの本質をデータ主体に提供しなければなりません[1]。
Q: DPAはどのくらいの期間有効である必要がありますか？
DPAは処理関係の期間中有効であるべきです。終了時には、プロセッサーの義務としてすべての個人データを削除または返却することが求められます。
Q: プロセッサーはコントローラーに科せられた罰金に対して責任を負いますか？
いいえ。罰金は違反を犯した主体に対して科せられます。ただし、プロセッサーは自らの違反に対して別途罰金を科せられる可能性があり、DPAに基づいてコントローラーからの補償請求に直面することがあります。
Q: GDPRはEU外に所在するプロセッサーに適用されますか？
はい。GDPRは、EUに拠点を置くコントローラーのためにEU居住者の個人データを処理する場合、またはGDPRの領域的範囲に従って適用される場合に、EU外に所在するプロセッサーに適用されます。
Q: DPAと標準契約条項の違いは何ですか？
DPAは国内のコントローラーとプロセッサーの関係を規定します。標準契約条項（SCC）は、EU/EEA外の第三国に個人データを移転するための特定の契約メカニズムです。
結論
コントローラーとプロセッサー：GDPRにおける責任の理解は、抽象的な法的演習ではなく、誰が規制上の罰金に直面し、誰がデータ主体に補償し、誰が何かがうまくいかないときに監督当局に対して責任を負うかを決定します。この区別は、契約ラベルではなく、意思決定権に関する事実の質問に基づいています。
実行可能な次のステップ:
- データマッピングを実施して、すべての処理活動と各活動における組織の役割を特定します。
- 既存のベンダー契約を監査して、関与するすべてのプロセッサーとの間に準拠したDPAが存在することを確認します。
- サブプロセッサーの取り決めを見直して、事前の承認が存在し、同等の義務が課されていることを確認します。
- 異なる活動においてコントローラーとプロセッサーの両方として機能する場合は、それぞれの役割を別々に文書化します。
- 英国の組織は、資格のある法的助言を受けてデータ（使用とアクセス）法2026の影響を見直します。
- Biscotti CMPのような同意管理ソリューションを導入して、監査可能な同意記録を維持し、コントローラーの義務をサポートします。
誤分類は単なる技術的な問題ではなく、直接的な財務的および評判上の影響を伴うコンプライアンスのギャップです。最初から役割を正しく設定することは、どの組織にとっても最もコスト効率の良いGDPR投資です。
参考文献
[1] コントローラーとプロセッサーとは - https://ico.org.uk/for-organisations/uk-gdpr-guidance-and-resources/controllers-and-processors/controllers-and-processors/what-are-controllers-and-processors/?utm_source=openai
[2] GDPR第82条 - https://gdpr-info.eu/art-82-gdpr/?utm_source=openai
[3] コントローラーとプロセッサーの関係 - https://dataprotection.ie/en/organisations/know-your-obligations/controller-and-processor-relationships?utm_source=openai