GDPRのセキュリティ条項の対応関係：プライバシー法のセキュリティ面

GDPRはプライバシー法です。大部分は、個人データの取扱いそのものが許されるかどうか、本人にどう説明するか、本人がどのような権利を持つかに関するものです。ただし、セキュリティ上の義務を課す条文が複数あり、そこがセキュリティチームと規制が接する点です。ControlMappingが対象とするのは、これらの条文のみです。完全性及び機密性(第5条(1)(f))、説明責任(第24条)、設計段階からのデータ保護(第25条)、処理者(第28条)、処理記録(第30条)、処理のセキュリティ(第32条)、侵害通知(第33条及び第34条)、影響評価(第35条)、データ保護責任者(第37条～第39条)です。

ISO 27001でどのように対応しているか

GDPR の 13 件のセキュリティ関連記事のうち、12 件（92%）は ISO 27001 の何らかの項目にマッピングされ、0 件は緩やかに関連するのみで、1 件は当サイトのデータにマッピングがありません。 ギャップレポートを開く →

セキュリティ関連のGDPR条文は、ほぼすべてISO 27001に対応します。ISMSは、リスクに基づくセキュリティ措置（第32条）、個人データ侵害の通知に活用できるインシデント管理（第33条及び第34条）、処理者に対するサプライヤー管理（第28条）、文書化された責任分担を提供します。ISO対応がない条文は第38条のみで、データ保護責任者の地位に関するものです。独立性や報告経路に関する内容であり、ISO 27001は扱っていません。

条文ごとの対応

GDPR	要件	一致	ISO 27001
Art.5(1)(e)	Principles relating to processing of personal data	編集	A.5.14A.8.10A.8.11A.5.31
Art.24(1)	Responsibility of the controller	編集	Clause 6.1.1Clause 6.1.3A.5.37Clause 5.2
Art.25(1)	Data protection by design and by default	編集	A.8.25A.8.26A.8.28A.8.29
Art.28(1)	Processor	編集	A.5.19A.5.20A.5.21A.5.22
Art.29	Processing under the authority of the controller or processor	編集	A.6.1A.6.4A.8.16
Art.30(1)	Records of processing activities	編集	A.5.9A.5.11A.7.14
Art.32(1)(a)	Security of processing	編集	A.8.24A.5.16A.5.18A.5.29
Art.33(1)	Notification of a personal data breach to the supervisory authority	編集	A.5.5A.5.24A.5.25A.5.26
Art.34(1)	Communication of a personal data breach to the data subject	編集	A.5.5A.5.26A.6.8Clause 7.4
Art.35(1)	Data protection impact assessment	編集	Clause 6.1.2Clause 6.1.3
Art.37(1)	Designation of the data protection officer	編集	A.5.2A.5.4
Art.38	Position of the data protection officer	当サイトのデータにはマッピングがありません	—
Art.39(1)	Tasks of the data protection officer	編集	A.5.2A.5.4A.6.3Clause 7.3

GDPRがISO 27001に加えて求める点

セキュリティ条文の中でも、GDPRは一部で具体性が高くなっています。

• 侵害通知の期限。 個人データ侵害を認識してから72時間以内に監督機関へ通知し（第33条）、本人への影響リスクが高い場合は不当な遅滞なく本人にも通知します（第34条）。ISOはインシデント管理を求めるものの、期限付きの規制当局への通知までは求めていません。
• 仮名化及び暗号化は、検討すべき措置として第32条に明記されています。
• 設計段階及びデフォルトでのデータ保護（第25条）は、システムの構築及び設定の仕方にまで及び、単なるセキュリティ確保にとどまりません。
• 影響評価（第35条）は、高リスクの取扱いに対する評価であり、ISOのセキュリティリスクアセスメントより範囲の広いプライバシー評価です。

逆方向の対応

ISO 27001 の 123 件の附属書A の管理策およびISMSの箇条のうち、47 件（38%）は GDPR の何らかの項目にマッピングされ、47 件は緩やかに関連するのみで、29 件は当サイトのデータにマッピングがありません。 ギャップレポートを開く →

GDPRからISO 27001への対応では、附属書Aの大部分が対応するか緩やかに関連していますが、ISMSの箇条、物理的セキュリティ、一部の技術的管理策にはGDPR側の対応先がありません。GDPRは管理システムを要求せず、技術的管理策を規定することもありません。リスクに見合った措置を求め、その選択をあなたに委ねています。

重複部分の活用方法

1. 第32条をISMSの要件として扱う：法的及び契約上の要件（ISO A.5.31）に記載し、リスクアセスメントから参照します。
2. 個人データ侵害のインシデントプロセスを拡張する：通知するかどうかの判断、72時間の期限、通知の有無を問わず全ての侵害の記録（第33条(5)）を含めます。
3. 処理者にはサプライヤー管理を適用し、契約に第28条の条件を盛り込みます。
4. セキュリティを超えてプライバシーを検討する：ISO/IEC 27701は、ISMSをプライバシー管理に拡張するものです。

本サイトのGDPRに関するリンクはすべて、公式の対応表が存在しないため、ControlMappingの編集上の判断によるものです。ISO 27001 vs GDPRの比較及びGDPRフレームワークのページでは、各対応とその根拠を掲載しており、ギャップ分析ではそれらをエクスポートできます。

よくある質問

GDPR第32条は何を求めているか？

処理のセキュリティ：リスクに応じた適切なセキュリティレベルを確保するための適切な技術的及び組織的措置。該当する場合は仮名化及び暗号化、処理システム及びサービスの継続的な機密性、完全性、可用性及びレジリエンス、インシデント発生時の適時の復旧、並びに措置の定期的なテスト。

ISO 27001を取得すればGDPR準拠になるか？

いいえ。ISO 27001はセキュリティ上の義務、特に第32条を支えるが、GDPRは適法根拠、透明性、データ主体の権利などを求めており、ISO 27001がカバーしない事項も多い。