GDPR共同管理者は同意取得を外部委託できない
取得していない同意も、あなたの責任です。これは、ノルウェーのデータ保護当局が広告テクノロジー企業Xandr（現在はMicrosoftの一部）に対して課した860万ユーロ（約9,200万ノルウェークローネ）の制裁金が示す現実的なメッセージであり、「パートナーが同意を管理している」という言葉をすべてのデータ保護責任者が読み直すきっかけとなるべきです。
事実関係は具体的です。ノルウェーのDatatilsynet（データ保護当局）は2026年10月2日に最終決定に署名し、10月12日にノルウェー国内で制裁金を発表、欧州データ保護委員会（EDPB）は10月16日に自国のニュースページで決定を再掲載しました。この案件は、2020年にノルウェー消費者協会が、ゲイ・バイ・トランス・クィア向けの出会い系アプリGrindrのユーザーに関するリアルタイム入札について苦情を申し立てたことから始まりました。Xandrはこれらのユーザーから同意を取得しておらず、Grindrが収集したと主張する同意に依拠していましたが、当局はその同意を無効と判断しました。
広告テクノロジーが舞台ですが、原則は他分野にも及びます。パートナーから個人データを受け取る、パートナーに渡す、またはメール、ファイル共有、API、AIエージェントを通じてデータを共有するすべての組織は、規制当局から「誰が何を検証したのか」と問われた瞬間、Xandrと同じ立場に置かれます。本記事では、当局の判断内容、その論理がCISOやコンプライアンス担当者にとってなぜ重要なのか、そしてKiteworksのセキュアデータ交換のようなガバナンスされた交換が、どこまで自社の判断の実行と証拠化を支援できるのか、またできないのかを解説します。
主なポイント
1. 上流の同意は免罪符にならない。
当局は、共同管理者それぞれが同意の有効性と自社の処理範囲を検証しなければならないと判断しました。パートナーの保証は責任の転嫁にはなりません。
2. 契約条項だけでは共同管理者関係は消せない。
Xandrはパートナーに特別カテゴリーデータの共有を禁じていましたが、当局はどのカテゴリーデータが共有されたかを共同で決定していたと認定しました。
3. アプリの利用自体が特別カテゴリーデータを示す場合がある。
当局は、Grindrの利用事実と広告ID、IPアドレスの組み合わせを、GDPR第9条1項に基づく性的指向に関するデータとみなしました。
4. 過失には悪意は不要。
当局は、違反が少なくとも過失であり、かつ重大であると認定しました。これはGDPRの中核規定および機微なデータに関わるためです。
5. 証拠が最大の防御となる。
どのデータが、誰に、どのルールで、誰の承認で送信されたかを示せるコンプライアンス担当者は、契約上の保証だけを持つ担当者よりもはるかに有利な立場に立てます。
ノルウェーDPAの判断内容
当局は、Xandr Inc.に対し、GDPR第6条1項に基づく法的根拠なしにGrindrユーザーのデータ（Grindrの利用事実、広告ID、IPアドレス）を処理したこと、および第9条1項違反（有効な例外規定なし）を理由に、9,200万ノルウェークローネ（EDPBによれば8,600,000ユーロ）の制裁金を科しました。ノルウェー消費者協会が公開した編集済みの公開決定文によれば、アプリ識別子もそのデータセットの一部として扱われています。
論理の2点は特に注意深く読むべきです。第一に、当局はGrindrの利用という事実そのものを、性的指向を示すものと扱いました。フォームの項目で指向を申告する必要はなく、文脈からの推論だけで特別カテゴリーデータの禁止対象となりました。第二に、当局は該当する例外規定は「明示的同意」であり、Xandrの処理には有効な明示的同意が存在しなかったと結論付けました。
当局は違反を少なくとも過失であり、かつ重大であると位置付けました。どちらのラベルも、誰かが故意に法律を破ろうとした証拠を必要としません。この文脈での過失とは、その立場にある管理者が取るべき注意を怠ったことを意味します。この基準は故意よりも規制当局が立証しやすく、あなた自身の記録もこの基準で評価されます。
日付に関する注意点も一つ。決定日は2026年10月2日、ノルウェーおよび欧州での報道は10月12日、EDPBのページは10月16日付です。いずれも同じ決定を指しています。
完全版GDPRコンプライアンスチェックリスト
今すぐ読む
Grindrの同意への依拠が失敗した理由
Xandrはユーザーから自ら同意を取得していませんでした。決定文によれば、Grindrが以前の同意管理プラットフォームを通じて収集した同意に依拠していました。しかし当局は、その同意がGDPR第4条11項および第7条の要件（自由意思、特定性、十分な情報、明確性、撤回の容易さ）を満たしていないと判断しました。上流の同意がこの基準を満たさなければ、その上に構築されたすべてが無効となります。
構造的な教訓は、同意の仕組みより一段上にあります。Xandrにはもっともらしい商業的主張がありました。Grindrがユーザーとの関係を持ち、同意フローを運用し、Xandrは同意が存在するというシグナルを受け取っていました。しかし当局はこの主張を退け、すべてのコンプライアンスチームがホワイトボードに書くべき一文を示しました。「アカウンタビリティ（説明責任）は外部委託できない」。
第7条の条文がその理由を説明しています。証明責任は管理者にあり、データ主体が同意したことを示せなければなりません。パートナーからの「同意あり」というシグナルは証明にはなりません。証明とは、いつ、何に、どの目的で、どの処理範囲まで同意したかを示す記録です。
CISOの視点で読めば、これは法的な問題というよりデータリネージ（データの流れの追跡）問題です。記録が自社環境に入った瞬間から現在の保有者まで追跡し、各段階で依拠した法的根拠を紐付けられるかが問われます。これに迅速に答えられる組織は稀で、メールやファイル共有など単一アプリケーション外のデータ移動まで答えられる組織はさらに稀です。
契約条項が共同管理者関係を抑えきれなかった理由
当局は、XandrがGrindrと共同管理者であり、オークションでサプライサイド・プラットフォームとデマンドサイド・プラットフォームの両方を担っていたと認定しました。論理のポイントは、処理目的と手段の決定が収束していたことです。Xandrの契約フレームワークやプラットフォームが、どのデータ・どの受信者が関与するかを形作っていました。
Xandrの契約ではパートナーに特別カテゴリーデータの共有を禁じていましたが、この条項は結果を変えませんでした。当局はこの条項を十分なセーフガードとは認めず、XandrがGrindrと共同管理者であると結論付けました。紙の上の禁止では、システムが実際にデータを運んでしまえば意味がありません。
第26条の文言も同様の方向性を示しています。共同管理者はそれぞれの責任を透明に割り当てなければならず、データ主体はどちらにも権利を行使できます。決定文は第26条1項を引用し、共同管理者間の取り決めは、いずれかの当事者の義務を免除しないと明記しています。
コンプライアンス担当者にとって、ここが棚卸しのきっかけとなるべき部分です。共有プラットフォーム、共有コンソール、共有基準、共有パイプラインを伴うすべてのデータ共有は、書類上どうであれ共同管理者リスクを伴います。共同管理者関係は現実の記述であり、現実を変えるものではありません。
広告テクノロジー以外にも広がるパターン
この決定を広告分野の話として片付けるのは簡単ですが、執行件数がそれを否定しています。DLA PiperのGDPR制裁金・データ侵害調査によれば、GDPR施行（2018年5月25日）から2026年1月10日までの累計制裁金は71億ユーロ、2025年だけで約12億ユーロに上ります。
この規模の執行は特定業界だけから生じるものではありません。各国当局がすべての管理者に同じ質問を投げかけるようになった結果であり、Xandrの決定はその質問がデータサプライチェーンに適用された場合の一例です。「誰がこのデータを、どんな根拠で、どうやって渡したのか、どうやって確認したのか？」
インシデント件数も増加傾向です。DLA Piperの2026年2月の分析では、欧州当局が1日平均443件の侵害通知を受けており、前年比22%増となっています。各通知は、規制当局が管理者に「データがどこへ行き、誰が保有していたのか」を説明させる機会です。
これは個人データを商材とする企業だけの話ではありません。パートナークリニックと紹介記録を共有する病院、サービスプロバイダーに顧客ファイルを送る銀行、給与計算業者に従業員データを渡すメーカーなど、あらゆる組織が個人データを他者に送っています。Xandrとは規模や意図は異なりますが、「受領側の根拠がデータの利用方法をカバーしているか」を問われるリスクは同じです。チャネルが違っても質問は変わりません。メール、ファイル共有、API、AIエージェントなど、あらゆる手段で個人データが人・機械・システム間を移動し、その都度アカウンタビリティが問われます。
規制当局が今あなたに求める証明
このリスクは軽視できません。GDPR第83条5項は、第5条・6条・7条・9条違反を高額制裁金の対象とし、最大で2,000万ユーロまたは前年度全世界売上高の4%のいずれか高い方が上限です。これらがXandr決定の中心条項です。
制裁金の上限に目が行きがちですが、コンプライアンス担当者にとってより重要なのは、当局が管理者に何を期待したかです。自社の処理について同意を検証すること、その同意が具体的な利用をカバーしていることを確認すること、記録を保持すること。これらはすべて「証拠作り」の実務であり、テクノロジーの購入ではありません。
証拠のギャップは調査データにも現れています。Kiteworksの2026年データセキュリティ・コンプライアンスリスク年次調査レポートでは、調査対象のセキュリティ・コンプライアンス・技術担当者459人のうち63%が、過去12か月間に監査指摘、是正計画、取締役会へのエスカレーション、契約違約金、正式な規制調査などのコンプライアンス上の影響を経験したと回答しています。回答は自己申告であり、半数がEU・英国拠点のため、数値は傾向として捉えてください。
データ主権への関心も高まっています。BARCの2026年データ主権調査（320社対象、2026年2～3月実施）では、「データ主権が非常に重要」と評価する割合が2025年の42%から51%に上昇した一方、専用予算があるのは10%にとどまります。重要性と予算のギャップこそが、規制執行の事実認定の温床です。
これらを総合すると、コンプライアンス担当者の課題が明確になります。規制当局は「ポリシーがあるか」ではなく、「特定の転送・特定の日・特定の受領者に対して、そのポリシーが実際に運用された証拠」を求めてきます。
ガバナンスされたデータ交換の役割
まず、ガバナンスされた交換が「できないこと」から説明します。同意の有効性を判断することや、データ保護責任者や法務担当の法的判断を代替することはできません。同意管理プラットフォームは収集を管理し、法務チームが根拠の有無を判断します。その間に位置するのが「交換」そのものであり、個人データがメール、ファイル共有、API、AIエージェント経由で自社管理を離れる瞬間です。ここがKiteworksのセキュアデータ交換の出番です。
この時点で、プラットフォームは自社の判断を強制力あるルールに変換できます。Kiteworksが実装する属性ベースアクセス制御などのデータポリシーは、データの属性（フォルダパスやタグなど）、送信者・受信者の属性（ドメインやプロファイルなど）、および実行されるアクションの3要素を組み合わせて評価します。データポリシーエンジンは、アクションの許可・ブロック・承認者による承認待ちなどを実行前に制御できます。
分類機能もその強制力を支えます。データがアップロードや添付された際に、例えば健康データやその他の特別カテゴリー用のタグを自動付与し、後続のポリシーでそのタグを条件として利用できます。データ分類を入口で実施することで、第9条データに関する判断を一度行えば、その後のすべての移動に適用できます。
プラットフォームは論理の記録も可能です。アップロードやダウンロード時にフォーム入力を必須化し、分類や正当化理由を記録し、イベントとともに監査ログに保存できます。なぜ転送が行われたかを示す記録があれば、数か月後に記憶をたどって説明するよりも防御力が高まります。GDPRウェブフォームは、個人から直接収集する場合にも同様の仕組みを提供します。
証拠作りも重要です。Kiteworksはユーザー・データ・システムのアクティビティを単一の監査証跡で一元管理し、トラフィック急増時でもログ量を制限しません。エントリは外部SIEMツールへリアルタイムでsyslogやSplunk Universal Forwarder経由で送信できます。誰が・何を・いつ・どこへ送ったかを一つの記録で確認できます。
データを特定地域内に保管する必要がある組織向けには、データ主権コンプライアンス機能で、管理者がユーザーを国ごとに割り当て、データをそのロケーション内だけで保管・ルーティングでき、監査報告で所在を明示できます。Kiteworks Advanced Governanceを利用する場合、GDPRコンプライアンスレポートでポリシー設定や構成、監視状況のサマリーも追加されます。いずれもコンプライアンス認証ではなく、自社の対応を証明する材料を提供します。
DPO・CISO向け実践チェックリスト
この決定は実践的な見直しを促します。新たなツールは不要で、必要なのはカレンダーの時間と正直な回答です。
- すべての個人データの外部送信フローをリストアップ。メール、ファイル共有、API接続、AIエージェントによる送受信も含めて、受信者と各フローの根拠を明記してください。受信者が特定されていないフローには防御可能な根拠がありません。
- 上流の同意内容と実際の利用を比較。パートナーが自社のために同意を収集したケースごとに、本人に伝えた内容、同意した事項、自社の処理がその範囲内かを書き出してください。書き出せなければギャップが存在します。
- 特別カテゴリーデータは入口で分類。健康・性的指向など第9条データは到着時点でラベル付けし、人の記憶に頼らずポリシーで自動処理できるようにします。
- 受信者とデータ種別で転送を制御。許可・ブロック・承認待ちのポリシーを作成し、フリーメールドメインや自社未展開国の受信者などイレギュラーケースでもテストしてください。
- 転送時に正当化理由を記録。データ移動時に短いフォームを記入するだけで、後から再構築するよりも防御力が高まります。
- 証拠開示リハーサルを実施。実際の転送を一つ選び、2営業日以内に完全な記録をチームに提出させてください。その所要時間が実際の備えです。
本記事は一般的な情報であり、法的助言ではありません。決定が自社の処理にどう適用されるかの最終判断は、法務部門またはデータ保護責任者にご相談ください。
メール、ファイル共有、API、AIエージェントを横断して自社の同意・データ共有判断を実行・証明する方法について詳しく知りたい方は、カスタムデモを今すぐご予約ください。
よくある質問
本件はリアルタイム入札を発端としていますが、共同管理者関係や同意に関する論理はGDPRの一般規定（第4条11項、第6条1項、第7条、第9条1項）に基づいており、すべての管理者に適用されます。パートナーから個人データを受け取り自社目的で利用する組織は、どの同意がどの処理をカバーしているか同じ問いに直面します。まずはフローの棚卸しを行い、体系的なGDPRコンプライアンスレビューで基盤を固めましょう。本決定は、規制当局がアカウンタビリティをどう検証するかの実例として捉えてください。
契約は責任分担の明確化に役立ち、第26条も共同管理者にそれを求めていますが、規制当局や本人への義務をいずれかの当事者から免除するものではありません。Xandrのケースでも、特別カテゴリーデータの共有禁止条項があっても、フレームワーク自体がどのデータが共有されるかを形作っていたため、共同管理者認定を防げませんでした。契約で分担を文書化し、技術的制御で実効性を担保しましょう。適切なサードパーティリスク管理プログラムは両者を組み合わせて運用します。
依拠した法的根拠、同意とその範囲の記録、各受領者へのデータフロー、各段階で適用された制御の証拠が求められます。同意の証明責任は第7条により管理者にあるため、パートナーからの保証ではなく自社で開示できる記録が必要です。メールやファイル共有など複数チャネルをカバーする統合監査ログがあれば、記録の収集時間を短縮できます。フロー開始前に実施したプライバシー影響評価も、規制当局が重視する意思決定の証跡となります。
いいえ。Kiteworksのセキュアデータ交換は同意の法的有効性を評価せず、データ保護責任者や法務担当の役割を代替しません。プラットフォームが提供するのは、交換時点で自社の判断を強制できる仕組みです。データタグ・受信者・アクションに基づいて転送をブロック・保留でき、フォームで記録した正当化理由も監査ログに保存されます。データプライバシー責任者が最終判断を担い、プラットフォームはその適用状況の証明を支援します。
同意管理プラットフォームは同意の収集・記録を管理します。ガバナンスされた交換は、その後データが他者・他システム・他機械に移動する際の管理を担います。両者はデータライフサイクルの異なる局面をカバーし、Xandrの決定は両方が規制当局の関心対象であることを示しています。両者を組み合わせることでプライバシー・バイ・デザインを実現でき、収集時の判断が後続のすべての交換（ゼロトラスト・データ交換を含む）にも引き継がれます。
追加リソース
- ブログ記事 データをめぐる綱引き：CLOUD法とSHIELD法がセキュリティとプライバシーをどう対立させるか
- ブログ記事 DSPMをコンプライアンス目標にマッピングして機密データをセキュアに
- ブリーフ 主なFERPA違反3選とその回避策
- ブログ記事 大統領令14117号：米国人の大量機微個人データ保護
- ブログ記事 NIS2コンプライアンスが必要？まずはISO 27001から