LASSIC Media らしくメディア
スイス改正データ保護法、記録と通知の進め方
監修・編集責任者：牛尾 昭昌（株式会社LASSIC 執行役員）
この記事の結論
- 記録は原則すべての管理者に：処理活動の記録は管理者と処理者が保持し、250人未満は条件つきで免除されます*1*2。
- 通知は時間ではなく速さで書かれている：侵害の通知は「できるだけ速やかに」とされ、時間数の期限は置かれていません*1。
- システムの勘どころ：ログを1年以上、対象システムと分離して保てるか。ここが独自の要件です*2。
※ 本記事は2026年8月時点の公式情報（省庁・公的機関・ベンダー公式ドキュメント）に基づきます。
GDPRに対応済みだからスイスも大丈夫、とは言い切れません。スイスの改正データ保護法（Federal Act on Data Protection、FADP。2020年9月25日制定、2023年9月1日時点の版）は、構成こそGDPRに似ていますが、記録の免除、通知の書きぶり、ログの保持といった細部が別に定められているためです*1*2。
この法律が適用される場面は、スイス国内に拠点がある場合だけではありません。国外に登記や住所のある私的な管理者についても、スイス国内の代理人を置く規定が置かれています*1。スイスの利用者に向けてサービスを出しているなら、確認しておく価値があります。
本記事では、スイス向けにサービスを出している、あるいはスイスからデータを受け取っている企業の情報システム担当と、その仕組みづくりを受託する立場に向けて、条文が求める記録・通知・ログを整理します。制度の解釈が要る部分は法令の本文と専門家の確認を経て進めてください。
目次
処理活動の記録は誰が持つのか
まず、記録の義務からです*1。
第12条は、管理者と処理者がそれぞれ処理活動の記録を保持すると定めています*1。管理者の記録に最低限含めるべき項目として挙げられているのは、管理者の識別情報、処理の目的、データ主体の類型と処理する個人データの類型の説明、受領者の類型、可能であれば保存期間またはその判断基準、可能であればデータ安全性を保証するために講じた措置の一般的な説明、そして国外へ開示する場合は当該国と第16条第2項の保証の詳細です*1。
処理者の記録には、処理者と管理者の識別情報、管理者のために行う処理の類型、そして前記のうち措置の説明と国外開示の詳細が含まれるとされています*1。
免除もあります。第12条第5項は、従業員250人未満の法人で、その処理がデータ主体の人格を害する危険が軽微である場合について、連邦参事会が例外を定めるとしています*1。これを受けたデータ保護命令（DPO）第24条は、毎年1月1日時点で従業員250人未満の企業・私的組織と自然人を記録の義務から免除すると定めています*2。
ただし免除には条件があります。機微な個人データを大量に処理している場合、または高リスクのプロファイリングを行っている場合は、免除されません*2。「250人未満だから不要」と結論する前に、この二つを確認する必要があります。
| 要件 | 条文の定め | システム側で持つ対象 |
|---|---|---|
| 処理活動の記録 | 管理者と処理者が保持。目的・類型・受領者・保存期間・措置・国外開示先など | 処理の台帳と、システムとの対応 |
| 記録の免除 | 従業員250人未満は免除。ただし機微データの大量処理・高リスクのプロファイリングは対象 | 扱うデータの種類と量の把握 |
| 国外への開示 | 十分性の決定、または条約・契約条項・標準条項・拘束的企業準則など | 移転先と根拠の対応表 |
| 侵害の通知 | 高いリスクの恐れがある場合、できるだけ速やかにFDPICへ | 検知から報告までの経路 |
| ログ | 保存・変更・読取・開示・削除・破棄を記録。1年以上、分離して保管 | ログ基盤と保持の設定 |
記録の作り方そのものは、他国の枠組みと大きくは変わりません。データカタログとガバナンスで扱うような、処理とシステムの対応を持つ仕組みがあれば、そこから項目を出せます。
国外へ出すときの根拠と、国外にいる場合の代理人
次に、国境をまたぐ場面です*1。
第16条第1項は、連邦参事会が当該国または国際機関の法制について十分な保護水準を保証すると決定した場合に、個人データを国外へ開示できるとしています*1。
その決定がない場合、第2項が挙げる手段のいずれかで十分な水準が保証される必要があります*1。挙げられているのは、国際法上の条約、管理者または処理者と契約相手との合意に含まれるデータ保護条項であらかじめFDPICに届け出たもの、所管の連邦機関が作成しあらかじめFDPICに届け出た個別の保証、FDPICが事前に承認・発行・認定した標準データ保護条項、そしてFDPICまたは十分な保護水準を保証する国の当局が事前に承認した拘束的企業準則です*1。
ここでGDPRとの差が出ます。EUの標準契約条項はそのままでは根拠になりません。FDPICが承認・発行・認定したものであることが条件とされているためです*1。契約の締結にあたっては、どの条項がスイスで認められているかの確認が要ります。
例外も定められています*1。第17条は、データ主体が明示的に同意した場合、契約の締結や履行に直接関係する場合、優越する公益の保護や法的権利の行使に必要な場合、生命や身体の保全に必要で同意を得る時間がない場合、データ主体が一般に利用可能にし処理を明示的に禁じていない場合、法定の公的登録簿に由来する場合を挙げています*1。ただし一部の例外については、求めに応じてFDPICに開示について報告することとされています*1。
もう一つ、国外に登記や住所がある私的な管理者には代理人の規定があります*1。第14条は、スイスにいる人の個人データを処理し、かつ次の四つをすべて満たす場合に、スイス国内の代理人を指定するとしています*1。処理がスイスにいる人への商品・サービスの提供またはその行動の監視に関連すること、大規模であること、定期的に行われること、そしてデータ主体の人格に高いリスクをもたらすことです*1。
代理人はデータ主体とFDPICの窓口となり、管理者は代理人の氏名と住所を公表することとされています*1。代理人は第12条第2項の情報を含む記録を保持し、求めに応じてFDPICへ提供し、データ主体には権利行使の方法を案内するとされています*1。
移転の根拠を管理するという論点は、GDPRの越境移転と標準契約条項やブラジルの越境移転で扱う内容と構造が重なります。国ごとに認められる手段が違うため、移転先と根拠の対応表を一つ持ち、国の列を足していく形が現実的です。
侵害の通知は「速やかに」と書かれている
データ安全性の侵害について、第24条が通知を定めています*1。
管理者は、データ主体の人格または基本的権利に高いリスクをもたらす恐れがある侵害について、できるだけ速やかにFDPICへ通知することとされています*1。通知には最低限、侵害の性質、その結果、講じたまたは計画している措置を記載します*1。処理者は、侵害を認識したらできるだけ速やかに管理者へ通知することとされています*1。
データ主体への連絡は、その保護のために必要な場合、またはFDPICが求める場合に行うとされています*1。連絡を制限・遅延・省略できる場合も定められており、法定の守秘義務により禁じられる場合、連絡が不可能または不相応な労力を要する場合、公表によって同等に情報提供が保証される場合が挙げられています*1。
実務上、押さえたい点は三つです。
第一に、時間数の期限が書かれていないことです。「できるだけ速やかに」という表現であり、何時間以内という数字はありません*1。数字がないぶん、遅れた理由を説明できることが重要になります。検知の時刻、判断の時刻、通知の時刻。これらを記録できる運用にしておく必要があります。
第二に、通知の判断に「高いリスクの恐れ」の評価が要ることです。すべての侵害を通知するわけではありません*1。判断の根拠を残していないと、通知しなかったことの説明ができません。
第三に、処理者からの連絡経路です。処理者は管理者へ速やかに通知することとされています*1。委託先が複数ある場合、どこから誰へ連絡が入るのかを契約と運用の双方で決めておく必要があります。
また第24条第6項には、この条に基づく通知が、通知義務者に対する刑事手続きにおいて、その者の同意なしには使用できないという定めが置かれています*1。
検知から報告までの流れをどう設計するかは、インシデント対応とオンコールで扱う内容と一体です。通知の判断を当番の担当者が一人で背負う形にすると、判断が遅れます。
ログの要件は命令に書かれている
スイス特有と言える要件が、データ保護命令（DPO）第4条のログです*2。
私的な管理者とその処理者は、機微な個人データを自動化された手段で大量に処理する場合、または高リスクのプロファイリングを行う場合で、予防的な措置ではデータ保護を保証できないときに、最低限として保存、変更、読取、開示、削除、破棄を記録することとされています*2。収集または開示の目的のために処理されたかどうかを他の方法では確認できない場合には、とくにログを保持しなければならないとされています*2。
ログに含める情報も定められています*2。処理を行った人物の識別情報、処理の形態、日付と時刻、そして該当する場合は受領者の識別情報です*2。
保持と保管についても定めがあります*2。ログは少なくとも1年間保持し、個人データが処理されるシステムとは分離して保管することとされています*2。アクセスできるのは、データ保護規則の適用を検証する、あるいは機密性・完全性・可用性・追跡可能性を保全または回復する必要がある部署と人に限られ、その目的にのみ使用できるとされています*2。
この条文は、そのままログ基盤の要件になります。押さえたい点を挙げます。
読取まで記録する点です。更新系だけでなく、参照した事実も対象に挙げられています*2。アプリケーションのログに参照の記録がない場合、そこから作り込むことになります。
分離保管が明記されている点です。同じデータベースにログテーブルを置く構成では、この要件を満たしにくくなります。ログの保持とローテーションで扱うような、収集先を分ける構成が前提になります。
1年以上という下限がある点です。コスト削減のために保持期間を短くしている場合、対象のシステムだけは下限を割らないよう設定を分ける必要があります。
あわせて命令第5条は、機微な個人データを大量に処理する場合や高リスクのプロファイリングを行う場合に、自動処理に関する規程を定めることを求めています*2。内部の組織構造、データ処理と管理の手順、データ安全性を保証する措置を含め、定期的に更新することとされています*2。データ保護責任者を置いている場合は、規程をその者に提供することとされています*2。
ログの設計そのものについては、監査ログの設計で扱う考え方が土台になります。誰が、いつ、何に、どう触れたか。この四つを後から辿れる形が出発点です。
着手の順序と、受託で進めるときの要点
優先順位をつけるなら、次の順になります。
第一に、記録の要否の判定です。従業員250人未満でも、機微データの大量処理や高リスクのプロファイリングがあれば対象です*2。まずここを確かめます。
第二に、移転の根拠の確認です。EUの標準契約条項をそのまま使っている場合、スイスの要件を満たすかを確認します*1。
第三に、ログの点検です。読取が記録されているか、1年以上保持しているか、分離して保管しているか*2。三つとも満たしていないことは珍しくありません。
第四に、通知の経路です。検知から判断、FDPICへの通知までの流れと、時刻を残す仕組みを整えます*1。
受託で進める場合の要点も挙げます。
GDPR対応の成果物をそのまま流用しないことです。記録の項目も、認められる移転の手段も、ログの要件も別に定められています*1*2。流用するなら、項目単位で差分を洗い出す作業が先に来ます。
ログの保持設定を対象システム単位で持つことです。全社一律の保持期間で運用していると、コスト削減の判断が要件違反につながります。対象のシステムに印を付け、設定を分けられる形にしておく必要があります。
通知の判断を記録に残す設計にすることです。「高いリスクの恐れ」の評価は人が行います*1。その評価をどこに残すかを決めていないと、判断の経緯が消えます。
自動化された個別決定を洗い出すことです。第21条は、もっぱら自動化された処理に基づき、法的な結果または相当の不利益をもたらす決定について、データ主体への情報提供と、求めに応じた意見表明の機会、自然人による再審査の請求を定めています*1。与信や審査の自動化を進めている場合、この規定に触れる可能性があります。
体制としては、法務の実務とログ・基盤の実装、その双方に触れられる要員が入れるかが分かれ目になります。処理の実態、契約の締結状況、ログの出力先と保持期間。これらは仕様書の項目名だけを見ていても判断できません。業務側と設計側が同じ場で話せる形を作れるかを、委託先を選ぶ観点に入れておくとよいでしょう。
まとめ：スイスFADP対応で押さえる3つの視点
スイスの改正データ保護法（FADP、2020年9月25日制定）は、構成こそGDPRに似ていますが、細部が別に定められています。押さえたい視点は三つです。第一に、処理活動の記録は管理者と処理者がそれぞれ保持することとされ、データ保護命令により毎年1月1日時点で従業員250人未満の企業などは免除される一方、機微な個人データの大量処理や高リスクのプロファイリングがあれば免除されないこと。第二に、国外への開示には根拠が要ること。連邦参事会の十分性の決定がない場合は、条約、あらかじめFDPICに届け出た契約上のデータ保護条項、FDPICが事前に承認・発行・認定した標準データ保護条項、事前に承認された拘束的企業準則などによることとされており、EUの標準契約条項をそのまま用いれば足りるわけではありません。第三に、ログの要件が命令に具体的に書かれていること。保存・変更・読取・開示・削除・破棄を最低限記録し、処理を行った人物・形態・日時・受領者を含め、少なくとも1年間、個人データを処理するシステムとは分離して保管することとされています。侵害の通知は「できるだけ速やかに」とされ時間数の期限は置かれていないため、検知と判断の時刻を残せるかが説明の要になります。
よくある質問
従業員250人未満なら処理活動の記録は不要ですか。
条件つきです。データ保護命令は、毎年1月1日時点で従業員250人未満の企業その他の私的組織および自然人を記録の義務から免除しています。ただし、機微な個人データを大量に処理している場合、または高リスクのプロファイリングを行っている場合は免除されません。人数だけで判断せず、扱うデータの種類と量を確認する必要があります。
GDPRの標準契約条項をスイスでも使えますか。
そのままでは根拠になりません。FADP第16条第2項は、FDPICが事前に承認、発行または認定した標準データ保護条項を挙げています。また、契約に含めるデータ保護条項による場合は、あらかじめFDPICに届け出ることとされています。どの条項がスイスで認められているかを確認したうえで締結することになります。
スイスに拠点がなくても代理人が必要ですか。
四つの要件をすべて満たす場合には必要とされています。スイスにいる人の個人データを処理し、その処理がスイスにいる人への商品・サービスの提供または行動の監視に関連し、大規模であり、定期的に行われ、データ主体の人格に高いリスクをもたらす場合です。代理人はデータ主体とFDPICの窓口となり、管理者はその氏名と住所を公表することとされています。
侵害の通知は何時間以内ですか。
時間数の期限は置かれていません。第24条は「できるだけ速やかに」と定めており、データ主体の人格または基本的権利に高いリスクをもたらす恐れがある侵害についてFDPICへ通知することとされています。通知には侵害の性質、その結果、講じたまたは計画している措置を最低限記載します。数字の期限がないぶん、検知と判断の時刻を残せる運用が説明の支えになります。
ログはどこまで記録すればよいですか。
データ保護命令第4条は、保存、変更、読取、開示、削除、破棄を最低限記録することとしています。ログには処理を行った人物の識別情報、処理の形態、日付と時刻、該当する場合は受領者の識別情報を含めます。保持は少なくとも1年間で、個人データが処理されるシステムとは分離して保管し、アクセスできる範囲も限定することとされています。
記録・移転根拠・ログ基盤の整備はLASSICへ
元請（プライムベンダー）として、処理の台帳づくりから移転根拠の一元管理、読取まで残すログの設計と分離保管までご提案します。まずはお気軽にご相談ください。
出典
- *1 参考：スイス連邦法「Federal Act on Data Protection (FADP)」（SR 235.1、2020年9月25日、2023年9月1日時点）（https://www.fedlex.admin.ch/eli/cc/2022/491/en）。第12条の処理活動の記録と最低限の項目および従業員250人未満に関する例外の委任、第14条・第15条の国外の管理者による代理人の指定要件と代理人の職務、第16条の国外開示の原則（連邦参事会の十分性の決定、条約、事前届出した契約条項、FDPICが承認・発行・認定した標準条項、拘束的企業準則）、第17条の例外、第19条の情報提供義務、第21条の自動化された個別決定、第22条のデータ保護影響評価、第24条の侵害通知（できるだけ速やかに・記載事項・第6項の刑事手続における制限）、第28条のデータポータビリティ、第60条・第61条の罰則（25万フランを超えない罰金）の一次情報として（2026年8月確認）
- *2 参考：スイス連邦法「Ordinance on Data Protection (DPO)」（SR 235.11、2022年8月31日）（https://www.fedlex.admin.ch/eli/cc/2022/568/en）。第3条の機密性・可用性・完全性・追跡可能性を保証する技術的組織的措置、第4条のログ（対象となる処理、ログに含める情報、少なくとも1年間の保持と処理システムからの分離保管、アクセスの限定）、第5条の私人による自動処理に関する規程、第21条のデータポータビリティの技術要件、第23条のデータ保護責任者への資源・情報・報告経路の付与、第24条の記録義務の免除（毎年1月1日時点で従業員250人未満、ただし機微データの大量処理・高リスクのプロファイリングは除く）の一次情報として（2026年8月確認）
