条項ライブラリ

データ保護条項をやさしく解説

データ保護条項は、個人データの取扱いを記録するものです。一方がUK GDPRの処理者にあたる場合、Article 28(3)は、定められた処理者の条件を求めます。

最終更新日：2026年10月28日

データ保護条項は何をするものですか？

供給側が、管理者であるクライアントのために個人データを処理するとき、UK GDPRのArticle 28は、その処理が契約によって規律されなければならないと定めています。Article 28(3)は、その契約が含まなければならない処理者の条件を列挙しています。同じUK GDPRは、スコットランドにも適用されます。米国の州のプライバシー法は、別の制度です。当社では、それらの条件を1つの共有ページに載せます。

Article 28 の処理者契約には、何を含めなければなりませんか？

契約は拘束力のあるものであり、処理の対象事項、期間、性質と目的、個人データと本人の種類、そして管理者の権利を定めなければなりません。そのうえで、Article 28(3)は、(a)から(h)の処理者の条件を求めます。文書化された指示、秘密保持、セキュリティ、再処理者、支援、削除または返却、監査です。

どんなとき、当事者は管理者ではなく処理者になりますか？

管理者は、処理の目的と手段を決めます。処理者は、管理者に代わって処理します。クライアントのメールを送るために、クライアントの顧客リストを保管するスタジオは、通常、処理者です。自社のマーケティングリストを作るスタジオは、そのリストの管理者です。Article 28 が適用されるべき場合にだけ適用されるように、データセットごとに役割を明記してください。

処理者は、再処理者を選任できますか？

管理者の事前の個別または一般的な書面による承認がある場合に限ります。一般的な承認の場合、処理者は、追加や交代の予定を管理者に知らせて、管理者が異議を述べられるようにしなければなりません。同じデータ保護の義務が、再処理者にも引き継がれなければなりません。最初の処理者は、再処理者について、管理者に対して全面的に責任を負い続けます。承認の方法を、条項に書いてください。

仕事が終わったら、データはどうなりますか？

Article 28(3)(g)は、管理者の選択により、処理者が、サービスの終了後に個人データを削除または返却し、国内法が保管を求める場合を除いてコピーを削除すると定めています。これを、秘密保持と、個人データではない秘密のファイルに関する返却または破棄の一文と組み合わせてください。法律が求める場合は、ログを何をどれだけ保管してよいかを明記します。

文例

文例 · 当社の自社ドラフト

供給側が、処理者としてクライアントのために個人データを処理する場合、供給側は次のことを行います。クライアントの文書化された指示にのみ従って、そのデータを処理すること。それを処理する権限を与えられた者が、秘密保持義務を負うようにすること。UK GDPR Article 32 が求めるセキュリティ措置を講じること。クライアントの事前の書面による承認なしに、再処理者を選任しないこと。データ主体の請求への対応、および Articles 32 から 36 について、クライアントを支援すること。クライアントの選択により、サービスの終了時に、データを削除または返却すること。ただし、国内法が保管を求める場合を除きます。そして、法令遵守を示すために必要な情報を提供し、監査を受け入れること。

やさしい言葉で

供給側が、クライアントのために個人データを取り扱う場合、クライアントが文書で示したことだけを行い、秘密を守り、セキュリティを管理し、書面での了解なしに別の処理者を入れません。本人の権利やセキュリティの義務への対応を支援し、仕事が終わったらデータを削除または返却します。法律がコピーの保管を求める場合は除きます。また、クライアントによる確認も認めます。

何に注意すべきですか？

論点注意する点求める点
役割双方が管理者である取引に、あとから付け足された処理者の別表。データセットごとに役割を明記する一文。
指示文書化された指示がない、「サービスに必要なとおりに処理する」。対象事項、期間、データの種類、本人の種類を示した別表。
再処理者誰でも自由に選任できる、または何も触れていないこと。事前の書面による承認、義務の引き継ぎ、継続する責任。
仕事の終了時削除または返却の一文がないこと。管理者の選択。適法な保管の例外つき。
上限小さな報酬に対する、上限のないデータの補償。または、侵害を飲み込んでしまう上限。責任の上限と補償に対する、明確な位置づけ。

どの契約書に含まれますか？

Lex は、この条項を次のような契約書などに含めます。

  • 業務委託契約（）
  • ウェブサイト制作契約
  • コンサルティング契約

法律はどう定めていますか？

  • 処理者（processor）による処理は、処理者を拘束する契約に従わなければなりません。その契約には、処理の対象事項と期間、処理の性質と目的、個人データの種類とデータ主体の区分、管理者（controller）の義務と権利を定め、28条3項(a)から(h)に挙げられた処理者の条件を含める必要があります。

    出典： UK GDPR, Article 28(3)確認日：2026年10月28日弁護士の確認待ち

この条項を含む基本業務委託契約をドラフトする

相手方は無料

Lexが法律の文言の横に、平易な言葉でドラフトを作ります。共有リンクを1つ送れば、双方が合意して署名できます。

よくある質問

データ保護条項とはどういう意味ですか？

契約に基づく個人データの取扱いを記録するものです。一方の当事者が、UK GDPRの処理者として、他方のために個人データを処理する場合、Article 28 は、その処理が、定められた処理者の条件を含む契約によって規律されることを求めます。

UK GDPR Article 28 の処理者契約には、何を含めなければなりませんか？

処理の対象事項、期間、性質と目的、データと本人の種類、そして Article 28(3)(a)–(h) の処理者の条件です。文書化された指示、秘密保持、セキュリティ、再処理者、支援、削除または返却、監査を含みます。

供給側は、どんなときに処理者になりますか？

目的と手段を自ら決めるのではなく、クライアントに代わって個人データを処理するときです。条項には、データセットごとに役割を明記すべきです。Article 28 は、処理者の関係に適用されます。

処理者は、再処理者を使えますか？

管理者の事前の個別または一般的な書面による承認がある場合に限ります。同じ義務が引き継がれなければならず、最初の処理者は、再処理者について、管理者に対して全面的に責任を負い続けます。

契約が終わったとき、個人データはどうなりますか？

管理者の選択により、処理者がそれを削除または返却し、国内法が保管を求める場合を除いてコピーを削除します。その選択を、条項に書いてください。

出典

関連

法的な文言が優先されます最終確認日：2026年10月28日弁護士の確認待ち