DPIA（データ保護影響アセスメント）とは

GDPRは第35条で、DPIAには少なくとも4つの内容が含まれなければならないと明記しています。

1. 計画されたデータ処理活動とその処理目的の明確な説明。
   

2. 必要性と比例性（つまり、データ処理の範囲は組織の目的に比例しているか）のアセスメント。
   

3. 関係者（規制では「データ主体」と呼ばれる）に対するデータ保護リスクの分析。
   

4. これらのリスクを軽減するための文書化された手段。

GDPRは比較的新しいものですが、企業は数十年前から、多くの場合は法的要件を遵守するために、さまざまな種類の影響評価やリスク評価を実施してきました。

米国の法律は1970年代から環境アセスメントを義務付けてきました。 1990年代のプライバシー法は、この考え方をプライバシー影響アセスメント（PIA）の概念にまで拡張しました。データ保護法は、企業がデータおよびデータ・プライバシーの領域に及ぼす可能性のある危害を予測し、軽減すべきだという考えを拡大しています。

EUはGDPRとそれに関連するDPIA要件を真剣に受け止めており、DPIAを実施しない、あるいはコンプライアンス違反を示した組織に罰金を科しています。

例えば、2019年、スウェーデン北部の高校では、生体認証顔認識テクノロジーを使用してロールコールを実施するパイロットを導入した際に、スウェーデン初となる罰金を科されました。DPIAを実施せずに導入したのです。学校は最終的に19,000ユーロの罰金を科されましたが、オブザーバーは、最高罰金は合計で約100万ユーロになる可能性があると指摘しました。¹（GDPRに基づく罰金は、最大2,000万ユーロまたは企業の全世界での年間収益の4%のいずれか高い方の額になります。）

あるウェブサイトがGDPRの罰金を追跡しています。2026年4月の時点で、3,000件を超える罰金が科されました。これらの罰金の多くは、特にGDPRの第35条（DPIAに関するもの）を罰金の原因として挙げています。2025年12月のある例では、フランスの企業に第35条違反が理由で350万ユーロの罰金が科されました。史上最大のGDPR罰金は、2023年にアイルランドのデータ保護委員会によってMeta社に科された12億ユーロの罰金ですが、この事件は影響評価ではなくデータ転送に焦点を当てたものでした。

GDPR.euでは、DPIAを適切に実施する方法に関するガイダンスを、テンプレートとともに提供しています。ただし、DPIAの実施は多くの場合、徹底したリスク管理プロセスの始まりにすぎないことに注意してください。DPIAが潜在的なリスクや脆弱性を特定した場合に罰金が科されることもありますが、実際の軽減策がない場合、DPIAは単なる演習に過ぎません。

最悪の場合、DPIAは、企業がリスクを認識しており、適切に対処しなかったことを証明する書類の記録としての役割を果たします。France Travail（国立職業紹介所）では、DPIAに明記されたセキュリティ対策が一切実施されず、大規模なデータ侵害が発生しました。2026年1月、規制当局はFrance Travailに500万ユーロの罰金を科しました。²

GDPRに従って、DPIAは常に3つの状況でトリガーされます。

1つ目は、自動化された意思決定が人々に大きな影響を与える場合です。一例としては、決定の法的根拠が精査されるプロファイリングに基づいて、ローン申請を自動的に拒否する銀行のアルゴリズムが挙げられます。

2つ目は、生体認証データ、政治的意見、個人の生活の親密な詳細を明らかにするその他の種類のデータを含む機密データの大規模な処理です。

3つ目は、大規模な公共エリア（電車の駅やショッピングセンターの大型カメラネットワークなど）の体系的な監視です。

これらの自動トリガーに加えて、EUのガイダンスでは、DPIAが必要となる可能性のある高リスクのデータ処理活動を特定するための9つの基準を定めています。これらの基準には、個人の評価や採点、新しいテクノロジーの革新的な活用、脆弱な立場にある人々（子どもなど）に関するデータの処理、異なる情報源からのデータ・セットの統合などが含まれます。

多くの企業は、処理オペレーションがこれらの基準の2つ以上に適合する場合は、DPIAを実行することが賢明であるという基本的なガイドラインに従っています。

DPIAプロセスは、通常はプロジェクト計画の初期段階で完全なアセスメントが必要かどうかを判断することから始まります。

アセスメントが必要な場合、組織は通常、関連するデータ処理活動を詳細にマッピングします。これらのマップには、個人データの収集方法、誰から収集したか、処理の目的、データの保持期間が記載されています。

その後、リスク分析が行われ、データから生じる可能性のある危害（金銭的損失、差別、風評被害、さらには肉体的危機）について、その可能性と重大性が評価されます。

特定されたリスクごとに、組織は軽減策を文書化します。軽減策には、暗号化やアクセス制御などの技術的保護措置や、スタッフの研修、プロジェクト全体の設計選択などの組織的な手順が含まれます。GDPRは、企業に対して設計によるデータ保護の原則を採用するよう指示しています。言い換えれば、データ保護は後から付け加えるものではなく、企業が行うすべての活動に組み込む必要があるということです。

軽減した後も、規制当局が「残存リスク」と呼ぶものは残ります。これは、合理的な対策を講じた後でも持続するリスクです。残存リスクが高いままである場合、組織はその国の監督当局に通知しなければなりません。

GDPRに基づき、一部の組織はデータ保護責任者（DPO）、つまりGDPRコンプライアンスを担当する独立した執行役員を任命する必要があります。DPOが存在する場合、多くはDPIAプロセスを主導し、少なくともプロセス全体を通じて協議の対象となります。

データ処理の影響を受ける利害関係者は、通常、可能な限り関与します。一部の規制当局は、DPIAプロセスの合理化に役立つツールを備えています。たとえば、英国の情報コミッショナーオフィス（ICO）の場合、7つのステップで構成された無料でダウンロード可能なDPIAテンプレートがあります。（英国はもはやEU加盟国ではありませんが、英国には英国GDPRと呼ばれるEUのGDPRと非常によく似た法律があります。）フランスの同等の組織(CNIL、「Commission nationale de l'informatique et des libertés」)は、オープンソース・ソフトウェアをリリースしています。スペイン当局は、サイトに、公共機関と民間企業向けの異なるテンプレートと、リスク管理に関する包括的なガイドを公開しています。

大まかに言うと、このようなツールとガイドは、効果的なDPIAプロセスが早期に開始され、個人のプライバシーとプライバシーのリスクに最初から取り組むことを強調しています。