実際のエンティティから始める
契約先のプロバイダー、インフラ運営者、関連する再委託先を特定してください。企業の法的所在地は、サーバーの物理的な所在地と異なる場合があります。お客様自身の所在地や、データに含まれる人々も重要となる場合があります。
地域の枠組みを理解する
スウェーデンとフィンランドはEUに属し、ノルウェーとアイスランドはEEAに参加しています。具体的な義務はサービス、活動、当事者によって異なります。具体的な法的または規制上の要件については、有資格の専門家の助言を受けてください。
データマップを確認
プライマリサーバー、バックアップ、ログ、サポートアクセスの所在を記録してください。EUまたはEEA内のサーバーであっても、すべての処理者と管理者が同じ場所に留まるとは限りません。
文書化されたコミットメントを優先する
締結済みの契約、処理条件、明確なポリシーは、リージョンが本質的にプライベートであるという主張よりも強い根拠となります。検討中の注文について、運営者、適用される契約、実際の施設を確認してください。
他社の法的主張を引き継がない
ある企業、施設、または裁判手続きに関する記述は、新たにブランド化されたサービスには引き継がれません。実際の運営者を確認し、その取り決めに応じた関連ポリシーのレビューを受けてください。他のプロバイダーのアイデンティティ、登録、履歴を帰属させるのではなく、KoalaVPSの運営者情報を直接確認してください。
レビューを最新の状態に保つ
依拠した契約およびポリシーの日付とバージョンを記録してください。ロケーション、決済プロセッサ、サポートツール、バックアップ先を変更した後は、データマップを見直してください。コンプライアンスレビューでは、現在存在するシステムを説明する必要があります。
4か国を検討の出発点として活用する
スウェーデンとフィンランドは EU 加盟国、ノルウェーとアイスランドは EU 外の EEA 加盟国です。各国のデータ保護当局は有用な公式の出発点となります。スウェーデンの IMY、フィンランドのデータ保護オンブズマン事務局、ノルウェーの Datatilsynet、アイスランドの Persónuvernd です。これは特定の国が合法的な開示に対して免疫があると位置づけるものでも、特定の苦情に対してどの当局が管轄権を有するかを確定するものでもありません。
- Stockholm / スウェーデン：所在地に依存する前に、実際の運営者とその契約上のコミットメントを確認してください。
- Helsinki / フィンランド: プライマリストレージ、バックアップの地理的配置、サポートアクセスを個別に確認してください。
- Oslo / ノルウェー: EEA のデータ保護への参加と EU 加盟を区別してください。
- Reykjavík / アイスランド：国名から免除を推測するのではなく、契約主体、ネットワークルート、バックアップ計画を評価してください。
公式ドキュメント: EDPB：各国の監督機関
ディスクの所在だけでなく、誰がデータにアクセスできるかを確認する
本番環境、レプリカ、バックアップ、テレメトリー、サポートを網羅するデータフロー記録を作成してください。EEA外の別組織が個人データを受領またはアクセスする場合、該当する条件の下で国際移転に関する問題が生じる可能性があります。地域サーバーの表示だけでは分析は完結しません。プロバイダーにサブプロセッサーとアクセス体制の特定を求めてください。法的義務が生じる場合は、実際の処理と契約を自社のワークロードに照らして評価してください。
- すべてのサービス関係が同一であると仮定せず、各処理活動についてご自身の役割とプロバイダーの役割を特定してください。
- 処理契約、サブプロセッサ変更手順、削除条件、インシデント連絡先を請求してください。
- サポートツールやバックアップ先が変更された場合は、古い保管場所の記述に依存する前にレビューを更新してください。
公式ドキュメント: EDPB：国際データ移転 · EDPB：管理者と処理者の責任