データプライバシー

データプライバシー は何をしますか？

中核となる哲学

データプライバシーコンプライアンス（欧州のGDPR、カリフォルニアのCCPA/CPRA、ブラジルのLGPD）は、Webサイトのフッターにコピーペーストされる静的な法的免責事項ではありません。プライバシーはエンジニアリングアーキテクチャです。現代の規制は、プライバシーバイデザイン、データ最小化、適法な根拠の正当化、30日以内の自動データ主体アクセス要求（DSAR）履行、および72時間以内の必須侵害報告といった厳格な原則を強制します。データプライバシー違反には、GDPRのもとで最大で全世界年間売上高の4%または2000万ドルの法定罰金が科せられます。

---

4ステップで実現する技術的データプライバシーアーキテクチャ

ステップ1: データインベントリと処理活動記録（ROPA / 第30条）

1. 包括的なデータフローマップ:
   • すべての個人データ要素をそのライフサイクル（収集 -> 保存 -> 処理 -> 共有 -> 廃棄）全体にわたって追跡します。
   • 以下を文書化します: データカテゴリ（PII、IPアドレス、財務データ、機密データ）、データ主体（顧客、従業員）、保存場所（AWS us-east-1）、保持期間、サブプロセッサ（Stripe、PostHog、AWS）。
2. 処理の適法な根拠（GDPR 第6条）:
   • すべての処理フローについて適法な根拠を特定します: 契約上の必要性、法的義務、正当な利益（文書化された正当な利益評価（LIA）付き）、または明示的な同意。

ステップ2: 同意管理とCookieガバナンス（ePrivacy）

1. EUにおける事前同意の義務:
   • トラッキング、分析、マーケティングCookieは、ユーザーからの確定的なオプトイン同意を得る前に決して発動してはなりません。
   • 事前にチェックされたチェックボックスやCookieウォール（同意がない限りアクセスをブロックする）は、EDPBガイドラインのもとで法的に無効です。
2. 詳細な同意カテゴリ:
   • 厳密に必要なもの（常にアクティブ）
   • 分析/パフォーマンス（オプトインが必要）
   • 広告/マーケティング（オプトインが必要）

ステップ3: 自動データ主体アクセス要求（DSAR）パイプライン

1. 法的権利の履行（30暦日以内）:
   • アクセス権/ポータビリティ権: 保存されているすべての個人データを構造化された機械可読形式（JSON/CSV）でユーザーに提供します。
   • 消去権（「忘れられる権利」）: 主要データベース、ログ、バックアップ、およびサブプロセッサシステム全体でユーザーのPIIを削除します。
2. 「ハードデリート」エンジニアリングプロトコル:
   • リレーショナルデータベースレコードの暗号化消去または匿名化を実行します（user_id -> hash）。
   • 財務/税務監査に法的に必要なもの（例: 7年間の請求書記録）はPIIを編集した上で厳密に保持します。

ステップ4: サブプロセッサ管理と72時間以内の侵害対応

1. データ処理契約（DPA）と国境を越えた移転:
   • EU標準契約条項（SCC）および英国追加条項を含む、すべてのサードパーティベンダーと署名済みDPAを締結します。
2. 72時間以内のインシデント対応プロトコル:
   • 個人データ侵害が発生した場合、GDPR 第33条に基づき、侵害を認識してから72時間以内に主たる監督当局（DPA）に通知します。
   • 個人に高いリスクがある場合: 影響を受けるデータ主体に不当な遅延なく通知します。

---

成果物フォーマット: データプライバシーアーキテクチャとROPA仕様（PRIVACY-SPEC.md）

# データプライバシーアーキテクチャとROPA登録簿: [製品名]

## 1. 処理活動記録（ROPA - GDPR 第30条）
| 処理活動 | 個人データカテゴリ | データ主体 | 適法な根拠 | 保存場所 | 保持期間 |
|---|---|---|---|---|---|
| ユーザー認証 | メール、ハッシュ化パスワード、IP | 登録ユーザー | 契約上の必要性 | Postgres（AWS ダブリン） | アカウント存続期間 + 30日 |
| 支払い処理 | 請求先住所、カード下4桁 | 支払い顧客 | 法的義務 / 契約 | Stripe Inc.（米国） | 7年間（税法） |
| 製品分析 | 匿名化ユーザーID、クリックイベント | Web訪問者 | 同意（オプトイン） | PostHog（EUクラウド） | 12ヶ月 |

## 2. サブプロセッサ名簿と移転メカニズム
- **Stripe, Inc.**: 決済インフラ | DPA + EU標準契約条項（SCC）
- **Amazon Web Services（AWS EMEA）**: クラウドホスティング | DPA + ISO 27001認証

## 3. DSAR自動消去プロトコル（`DELETE /api/v1/user/dsar`）
1. アクティブなユーザーセッションと認証トークンを無効化します。
2. `users` テーブル内のPIIをスクランブルします: `email = anonymized_${uuid}@deleted.local`
3. Stripe と PostHog にWebhookを送出し、下流での削除をトリガーします。
4. 確認受領書とともに200 OKをデータ主体に返します。

## 4. 72時間以内の侵害通知エスカレーション
- 主たるDPA: アイルランドデータ保護委員会（DPC）
- エスカレーションチーム: ゼネラルカウンセル、CISO、CTO
- 緊急通知テンプレート: `legal/templates/breach-notification-dpa.md`

---

実例: 自動化された忘れられる権利パイプライン

• 課題: ユーザーがGDPR 第17条に基づく消去要求を発動。エンジニアリングチームは8つのデータベースと4つのサードパーティSaaSツールにまたがる手動削除に直面。
• 解決策: AWS Lambdaで自動化された非同期DSARワーカーを構築。要求が確認されると、ワーカーはソフトデリートをハードな暗号化匿名化にカスケードし、StripeとSegmentに自動消去Webhookを送信。
• 結果: DSARターンアラウンドタイムが手動エンジニアリングの14日から自動化された90秒に短縮。完全なコンプライアンス監査証跡が生成。

---

検証チェックリスト

• 処理活動記録（ROPA）は、すべての個人データフローと適法な根拠を文書化している。
• Cookie同意バナーは、EUで分析または広告トラッカーを発動する前に、確定的なオプトイン同意を要求する。
• 自動化されたDSARエクスポートおよび消去エンドポイントが機能し、30日以内に要求を履行する。
• SCCを含む署名済みデータ処理契約（DPA）がすべてのサードパーティサブプロセッサに対して締結されている。
• 72時間以内の法定侵害報告手順が文書化され、リーダーシップとともにテストされている。

---

アンチパターン

• 事前チェック済みCookieバナー: EDPBの裁定に違反する、暗黙の同意を想定したり、欺瞞的なダークパターンを使用すること。
• サブプロセッサの削除を無視する: ユーザーをローカルデータベースから削除する一方で、生のPIIをCRMや分析ツールに残したままにすること。
• 侵害インシデントの隠蔽: データ漏洩の規制当局への通知を3ヶ月遅らせ、最大法定罰金を誘発すること。