← 概念辨析に戻る

Concept Contrast Fable

データ処理契約と副処理者、一つは契約そのもの、一つは契約に列挙された人

先に結論:データ処理契約は、データ管理者と処理者の間でデータ処理の範囲、責任、保護措置を定める法的契約である。子処理者は、処理者が管理者の承認を得てさらに委託する第三者の処理主体である。子処理者をDPAと呼ぶのは、契約付属文書の中の人名を契約そのものの名前と取り違えるようなものだ。

データ処理契約は、データ管理者と処理者の間でデータ処理の範囲、責任、保護措置を定める法的契約である。子処理者は、処理者が管理者の承認を得てさらに委託する第三者の処理主体である。子処理者をDPAと呼ぶのは、契約付属文書の中の人名を契約そのものの名前と取り違えるようなものだ。

寓話

镖局には一紙の約書と同行者名簿がある

江南の絹商人が貢品の一批を京城まで護送する必要があり、町で最大の四海镖局を見つけた。双方は一紙の契約書に署名し、そこには護送ルート、開始終了時間、貨物価値、紛失賠償条項、および沿途各駅の責任引き継ぎが明記されていた。この契約書が双方の協力関係を確立する法的基盤である——誰が事故を起こせば誰が賠償するか、境界点は明確に引かれていた。

镖局のルートは三省七府を通過し、道のりが遠すぎるため、四海镖局は自分で最初の区間である蘇州・杭州から徐州までしか請け負わず、後の二区間はそれぞれ信義镖局と龍門镖局に転包した。転包には商人の同意が必要で、契約書には信義镖局と龍門镖局の屋号、担当区間、護送規程を列記した一覧が添付された。商人はその一覧に署名し、転包を承認した。

徐州に着くと大雨が降り、信義镖局は荷を沿途の駅に預け、陳保という名の脚夫を臨時に雇って荷を倉庫へ運ばせた。陳保は入库時に貢品の箱を一つ落とし、織錦を損傷した。問題の追跡時、商州府衙は商人に尋ねた。約書に書かれた損失負担者は誰か。商人は四海镖局と答えた。府衙はさらに尋ねた。陳保は約書に書かれているか。商人は長いこと調べたが、信義镖局は書類にあるが、陳保はいなかった。

府衙は商人が四海镖局にのみ賠償を請求できると判じたが、四海镖局は損失が信義镖局の区間で発生したと弁明し、信義镖局は臨時の脚夫である陳保の責任だと言う。三つの線が絡み合い、唯一の法的な錨はあの約書——DPA——だが、約書自体は管理者と処理者の責任関係を定義するだけで、処理者の下にある各層の操作担当者を網羅的に列挙してはいない。

商人は後に契約書の形式を変えた。主契約書は依然として四海镖局とのみ結ぶ——責任の帰属と違約条項を明確にする。しかし「権限付与済みの処理チェーン」という添付を新たに加え、その中に四段階を列挙した。四海镖局自身、信義镖局、龍門镖局、そして第四段階——いかなる下請け業者が使用する臨時人員も、前段階が完全な責任を負うことを前提に事前報告しなければならない。この添付は契約書本体の代替ではなく、その補足リストである。

衙門の推官は後にこの事例を同僚にこう語った。約書はあなたと直接契約する相手との間の法的枠組みであり、データをどう処理できるか、誰が最終責任を負うかを定義する。子処理者の一覧は、「あなたの直接の契約相手が、その手の仕事をさらに誰に委ねたか」に関する事実の開示である。すべての子処理者の開示を求めることはできるが、子処理者の名簿を DPA そのものとして署名に使うことはできない。

ある人が推官に尋ねた:もし四海镖局が契約後に新しい子処理者を追加したが商人に通知しなかった場合、商人は約書に基づいて四海镖局に責任を負わせられるか?推官はもちろんできると言った——約書の賠償条項は依然有効であり、新たに追加された子処理者は未承認であり契約違反責任に該当する。正確に更新された子処理者リストを維持する必要があるのは、リスト上の名前が「承認された処理チェーン」という事実の公開記録だからである。

データ処理契約

データ管理者とデータ処理者の間の正式な法的契約であり、データ処理の範囲、目的、責任境界、安全保障措置を定義する。これは法的文書そのものであり、人名リストではない。

子処理者

データ処理者が管理者の承認を得てさらにデータ処理を委託する第三者の実体。DPAの付属文書または開示リストに現れ、契約文書ではなく法的主体である。

物語の対応

  • 四海镖局の約書:DPA——主契約関係と責任条項を確立する
  • 信義镖局と龍門镖局:サブプロセッサ——認可された処理チェーンにおける実体
  • 臨時人足の陳保:未承認の下層オペレーター、露出リストの網羅漏れ
  • 商人はリストをめくったが陳保はいない:子処理者リストが網羅されていない現実的リスク
  • 新しい契約書式は主契約と附属書に分ける:DPA本体と子処理者リストの正しい構造
  • 推官のまとめ:約書は法的枠組み、チェックリストは事実開示であり、両者は交換できない
  • 極端な問題:通知なき新たな子処理者は契約違反を構成し、DPAの責任条項が担保する

ベンダー契約とコンプライアンスヒアリングに落とし込む

SaaSベンダーと契約する際は、相手に2つのものを分けて提出するよう求める。1つは完全なDPA契約条項で、データ処理範囲、目的制限、安全措置、賠償責任を重点的に確認する。もう1つは子処理者リストで、あなたが禁止している、または評価が必要な第三者がいるかを見る。コンプライアンス面談で「あなたたちの子処理者契約を見せてください」と言ってはいけない——子処理者に独立した「契約」はなく、それらはDPAの添付または公開リストに現れる。正しい問い方は「DPAのテキストと現在の子処理者リストを提供してください」である。

京ICP备2026014272号