レッスン8：Privacy by Design ・生成 AI 時代の新論点・IPO 準備・キャリア

このレッスンで学ぶこと

Privacy by Design 7 原則（Ann Cavoukian 1995／2010 IAPP 採択）とプライバシーマーク／ISO 27701 認証を扱う
IPO 準備プライバシー体制と PMS 内部監査・CPO 選任判断を組み立てる
生成 AI 時代の新論点（LLM プロバイダー・AI プロファイリング・EU AI Act 2024/8 施行）を持つ
他法域のパッチワーク実務、DPO ／CPO のキャリア 5 方向、修了後の情報源を持ち帰る

前のレッスンの振り返り

個情法 26 条漏えい報告義務 2022/4 施行、報告要件 4 パターン、速報 3-5 日／確報 30-60 日、GDPR 33 条 72 時間通知。漏洩対応 5 段階（検知／封じ込め／調査／通知／再発防止）、CSIRT ／DPO 連携、身代金交渉と個情委通知の優先順位、ダークウェブ調査 3 社。委託先管理 6 ステップ、DPA GDPR 28 条準拠、ベネッセ 2014/7 ／CAPCOM 2020/11 ／LINE ヤフー 2023-2024 事案。本レッスンでは、対策設計層の実装原則・生成 AI 時代の新論点・IPO 準備プライバシー体制・DPO ／CPO のキャリアを扱います。

Privacy by Design 7 原則

Privacy by Design（PbD）は、Ann Cavoukian 博士（元カナダ・オンタリオ州情報プライバシー委員）が 1995 年に提唱した概念です。「プライバシー保護をシステム・プロセス・組織の設計段階から組み込む」という思想。

7 原則

1. Proactive not Reactive（予防的・事後的でない）：問題発生前に予防
2. Privacy as the Default Setting（デフォルトでプライバシー保護）：ユーザーが何もしなくても保護される
3. Privacy Embedded into Design（設計に組み込まれたプライバシー）：後付けではなく設計段階から
4. Full Functionality – Positive-Sum, not Zero-Sum（機能性の完全実現・Positive-Sum）：プライバシー vs 機能のトレードオフを避ける
5. End-to-End Security – Full Lifecycle Protection（エンドツーエンドセキュリティ）：データライフサイクル全体で保護
6. Visibility and Transparency – Keep it Open（可視性と透明性）：仕組みを開示し検証可能に
7. Respect for User Privacy – Keep it User-Centric（ユーザー中心）：ユーザーの利益を最優先

PbD の歴史

1995 年：Ann Cavoukian 博士が提唱
2010 年 10 月：IAPP 国際会議で決議採択（35 加盟国以上の DPA が採択）
2018 年 5 月：GDPR 25 条「Data Protection by Design and by Default」として法制化
2020 年代：ISO/IEC 29100（プライバシーフレームワーク）に組み込み

実装ポイント

新機能追加時の PbD レビュー（機能設計時に DPO レビュー）
ソフトウェア開発ライフサイクル（SDLC）への組み込み
Product Privacy Champion の設置（プロダクト単位でのプライバシー担当）
開発チームへの PbD 研修

Privacy by Default

「Privacy by Default」は Privacy by Design の中核概念の 1 つで、GDPR 25 条 2 項で法定化されています。

実装原則

デフォルトは最小開示：ユーザーが何もしなくてもプライバシー保護
選択の自由：ユーザーが意識的にプライバシー設定を緩めることは可能
オプトアウト方式は原則許容されない：GDPR 上はオプトイン方式が標準

実装例

SNS のデフォルト公開範囲：Friends only（Public ではなく）
位置情報の取得：オフ（ユーザーが明示的にオンにする必要）
分析 Cookie ：拒否がデフォルト（Reject All ボタンで実装）

機能追加時の PbD レビュー

新機能追加時の PbD レビュー実施は、DPO ／CPO の日常業務の中核です。

レビューフロー

開発チームが新機能仕様書を提出（開発着手前）
DPO が PbD 観点でレビュー（1-2 週間）
追加保護措置の推奨
開発チームが仕様書を改訂
高リスク機能は DPIA 実施（GDPR 35 条）
実装後の動作確認

レビューチェック項目

個人データの収集内容と目的の適法性
Data Minimisation の遵守
保存期間と削除ルール
アクセス権管理
越境移転の有無
暗号化・仮名化の適用
ユーザーへの透明性確保
Data Subject Rights の実装

プライバシーポリシー執筆実務

プライバシーポリシーは Web サイト・アプリの必須文書。個情法・GDPR で必須事項が定められています。

個情法上の記載必須事項（18 条）

個人情報取扱事業者の氏名・住所・代表者氏名
利用目的
開示等の請求窓口
苦情申出窓口
認定個人情報保護団体（該当する場合）

GDPR 13-14 条の記載必須事項

Controller の身元・連絡先
DPO の連絡先
処理目的と適法根拠
Legitimate Interests に基づく場合の詳細
受領者・受領者カテゴリ
越境移転の有無・根拠
保存期間
Data Subject Rights
同意撤回権
監督機関への苦情申立権
契約履行に基づく提供の場合の詳細
自動意思決定・プロファイリングの詳細

執筆時のポイント

平易な日本語（EU では Plain and Clear Language の要求）
階層構造（サマリー→詳細）
多言語対応（日本語＋英語＋その他）
定期的な改訂（法改正時・機能追加時）
改訂履歴の記録・保管

プライバシーマーク／ISO 27701 認証取得プロセス

日本発の「プライバシーマーク」と国際規格「ISO 27701」は、プライバシー体制の外部認証。

プライバシーマーク（Pマーク）

JIS Q 15001（個人情報保護マネジメントシステム）に基づく認証
JIPDEC（日本情報経済社会推進協会）が付与
2 年ごとの更新審査
2024 年時点で約 17,000 社が保持
対公的機関・BtoC ビジネスで信頼獲得の役割
新規申請から取得まで 6-12 か月、費用数十万〜数百万円

JIS Q 15001 の系譜

1999 年：JIS Q 15001 制定
2006 年：改訂
2017 年：改訂（GDPR 対応の意識）
2023 年 3 月：改訂（現行版）

ISO/IEC 27701:2019

ISMS（ISO/IEC 27001）の拡張規格
個人情報保護マネジメントの国際規格
Controller ／Processor 両方の要求事項
BSI ／DNV ／JQA ／SGS 等の認証機関で審査

選定判断

国内 BtoC ／官公庁対応：プライバシーマーク（Pマーク）
グローバル対応：ISO 27701（既に ISMS 保持している企業に追加取得）
両方保持：金融・医療・大企業の一部

IPO 準備プライバシー体制

上場申請時にプライバシー体制の整備状況が上場審査で問われます。

PMS 内部監査

年 1 回の PMS（Personal Information Management System）内部監査
JIS Q 15001 準拠のチェックリスト
監査結果の是正指導・改善計画・実施確認
監査報告書の経営陣提出

CPO 選任判断

上場審査で「個人情報保護管理者・CPO の選任状況」が確認
東証グロース市場の成長可能性資料でも記載
東証プライム上場企業は事実上必置
独立性確保（法務部長・総務部長との兼任は要注意）

上場審査での指摘頻出項目 5 種

1. プライバシーポリシーの整備状況
1. 個人情報保護規程の整備状況
1. PMS 内部監査の実施状況
1. 委託先管理の実施状況
1. 漏えい対応フローの整備状況

これらは主幹事証券・監査法人による事前レビューで検証されます。IPO 準備段階では、Pマーク取得を目指す会社も多い。

生成 AI 時代の新論点

2023 年以降の生成 AI（ChatGPT ／Claude ／Gemini 等）の普及で、データプライバシー実務に新論点が追加されました。

論点 1：LLM プロバイダーへの入力管理

従業員が個人情報を含む文書を LLM に入力するリスク
ChatGPT ／Claude ／Gemini の無料版・Plus 版は学習利用の可能性
企業向けプラン（Enterprise ／Business ／Teams）は学習利用なし
- OpenAI ChatGPT Team ／Enterprise：2023/11 発表、入力学習利用なし
- Anthropic Claude for Work：2024/5 提供開始、入力学習利用なし
- Google Gemini for Workspace：入力学習利用なし
- Microsoft 365 Copilot ／Copilot for Enterprise：2023/11 提供開始、入力学習利用なし
DPO は企業契約の締結と社員教育の徹底が実務課題

論点 2：AI プロファイリング規制

GDPR 22 条：完全自動意思決定への異議権
EU AI Act 2024/8/1 施行：高リスク AI システムの規制
日本 2025/3 中間整理の論点 6「プロファイリング規制」

論点 3：完全自動意思決定（GDPR 22 条）

人間の関与なしの自動意思決定への服従を拒否する権利
高影響領域（採用・融資・医療診断等）
実務では「人間による最終確認」プロセスの組み込み

論点 4：Cambridge Analytica 2018 の教訓

個人データ→政治マイクロターゲティング広告への転用リスク
事業者の適法根拠管理の重要性
監査法人・監督機関の執行力

論点 5：従業員モニタリング／Bossware

従業員の PC 使用・キー入力・画面キャプチャの監視ツール
労働プライバシーの観点で規制強化
EU DPA の執行事例増加
日本でも 2020 年代に議論拡大

論点 6：EU AI Act 2024/8/1 施行

EU AI Act は 2024 年 8 月 1 日施行、段階適用
禁止 AI 実務：2025/2 施行
GPAI（汎用 AI モデル）義務：2025/8 施行
高リスク AI システム義務：2026/8 施行
グローバル企業への影響大（GDPR 4 % 罰金と類似の 7 % 罰金）

他法域のパッチワーク実務

DPO はグローバル対応時、複数法域を並置して管理します。

CCPA/CPRA（カリフォルニア州）

CCPA（California Consumer Privacy Act）2018/6/28 成立・2020/1/1 施行
CPRA（California Privacy Rights Act）2020/11 成立・2023/1/1 施行
CPPA（California Privacy Protection Agency）2020/11 設立
消費者への権利付与・オプトアウト・GPC（Global Privacy Control）
加州以外の 20 州以上でも州法制定

LGPD（ブラジル）

Lei Geral de Proteção de Dados
2018/8/14 成立・2020/9/18 施行
ANPD（データ保護庁）
GDPR 相当の内容

PDPA（シンガポール・タイ）

シンガポール PDPA 2012 制定・2014 施行
タイ PDPA 2019 制定・2022/6/1 施行

PIPL（中国）

2021/8/20 成立・2021/11/1 施行
域外適用あり
越境移転規制が最も厳格

DPDPA（インド）

Digital Personal Data Protection Act
2023/8/11 成立、施行時期は段階的

実務のパッチワーク管理

「最大公約数対応」：GDPR 準拠を基準に各国法を上乗せ
OneTrust 等の CMP で複数法域対応を統合
各国別の DPO 選任判断
現地法弁護士との連携

DPO ／CPO のキャリア 5 方向

DPO ／CPO 実務経験者のキャリア展開は次の 5 方向。

方向 1：CPO ／GC 兼務

上場企業の C レベルポジションへの昇格
GC（General Counsel）との兼務も一般的
経営会議メンバーとして参画

方向 2：独立 DPO サービス提供

複数企業の DPO を独立提供
GDPR 対応でグローバル大手 IT 企業と提携
年間契約数千万円レンジ

方向 3：IAPP 認定 CIPP/E ／CIPM を活かしたコンサル

中堅上場企業向けのプライバシー体制構築支援
1 社あたり 3-6 か月の伴走支援
独立コンサル 3-5 年目でネットワーク確立

方向 4：プライバシー特化コンサル・監査法人

Big 4 監査法人（Deloitte ／EY ／KPMG ／PwC）のプライバシーコンサルティング部門
法律事務所のプライバシー実務チーム
認定資格＋実務経験の組み合わせが評価

方向 5：規制側（監督機関・業界団体）

個人情報保護委員会（PPC）への就職
IAPP 日本支部での活動
JIPDEC ／JISA ／JEITA での啓発活動

修了後の情報源

データプライバシー実務の学習継続に有用な情報源をまとめます。

監督機関・業界団体

個人情報保護委員会（PPC）：ガイドライン・執行事例・報告様式
IAPP（International Association of Privacy Professionals ／2000 年設立）：認定資格・イベント・記事
EDPB（European Data Protection Board）：ガイドライン・意見・勧告
NIST Privacy Framework v1.0（2020/1）：米国標準

法令情報

e-Gov 法令検索（総務省）
EDPB Guidelines（EU）
CDT（Center for Democracy & Technology）：米国プライバシー動向

業界誌・書籍

Business Law Journal（税務経理協会）
NBL（New Business Law ／商事法務）
旬刊商事法務
オライリー『データ倫理』
中央経済社『データ保護法制の教科書』

認定・学位

IAPP CIPP/E ／CIPP/US ／CIPM ／CIPT（実務者向け）
JIPDEC 個人情報保護オフィサー（日本発）
大学院修士課程（データ保護法・情報法）

コミュニティ

JILA（日本組織内弁護士協会／2001 年設立）：企業内弁護士コミュニティ
IAPP 日本支部：年 1 回の Global Privacy Summit Tokyo
プライバシーコミュニケーション研究会：業界横断コミュニティ

まとめ

Privacy by Design 7 原則（Ann Cavoukian 1995 提唱・2010/10 IAPP 決議採択）：Proactive ／Default ／Embedded ／Full Functionality ／End-to-End ／Visibility ／User-Centric
Privacy by Default は GDPR 25 条 2 項法定化、機能追加時の PbD レビュー
プライバシーポリシー執筆：個情法 18 条・GDPR 13-14 条の記載必須事項、平易な日本語・多言語対応
プライバシーマーク（JIS Q 15001 、JIPDEC 付与、2 年ごと更新）／ISO/IEC 27701:2019（ISMS 拡張、国際規格）
IPO 準備プライバシー体制：PMS 内部監査、CPO 選任判断、上場審査での指摘頻出項目 5 種
生成 AI 時代の新論点：LLM プロバイダーへの入力管理（企業向けプラン活用）／AI プロファイリング規制／完全自動意思決定（GDPR 22 条）／Cambridge Analytica 2018 教訓／従業員モニタリング／EU AI Act 2024/8/1 施行段階適用
他法域のパッチワーク：CCPA/CPRA ／LGPD ／PDPA ／PIPL ／DPDPA
DPO ／CPO のキャリア 5 方向：CPO ／GC 兼務／独立 DPO サービス／プライバシーコンサル／Big 4 監査法人・法律事務所／規制側
修了後の情報源：PPC ／IAPP ／EDPB ／NIST Privacy Framework ／e-Gov ／NBL ／JILA ／IAPP 日本支部

これでデータプライバシー実務コースは終了です。8 レッスンで学んだ知識を、明日からの実務で回してください。プライバシーは「権利」——事業成長の制約ではなく事業の前提で、DPO は「技術と法の翻訳者」として組織全体の仕組みを設計・運用する専門機能です。

講師の現場メモ

私が独立コンサルタントとして支援した IPO 準備 SaaS 企業のプライバシー体制構築エピソードです。従業員 200 名の会社が東証グロース市場への上場を控え、Pマーク取得を目指すことに。まず ROPA 作成を 6 か月で完了させ、次に PMS 内部監査体制を整備。並行して主幹事証券からは「Pマーク取得は上場審査に必須ではないが、プライバシー体制の整備状況は評価対象」との指摘。9 か月後、Pマーク取得と PMS 内部監査年 1 回体制、DPA 締結率 100 %、漏えい対応マニュアル整備、社員教育年 2 回の 5 点セットで上場審査に臨み、指摘なしで通過しました。ポイントは「Pマーク取得」ではなく「プライバシー体制の全体設計」。IPO 準備企業のプライバシー体制構築は 9-12 か月かけて計画的に進めるべきです。

Privacy by Design ・生成 AI 時代の新論点・IPO 準備・キャリア