ルーマニアにおけるGDPR準拠：2026年企業向け実践ガイド

2026年更新。 本記事は2026年時点の法的枠組みを反映しています。

ルーマニアにおけるGDPR準拠：2026年企業向け実践ガイド

一般データ保護規則（GDPR）は、その規模や所在地に関わらず、ルーマニアで個人データを処理するすべての企業に適用される、欧州連合（EU）の包括的なデータ保護法規です。GDPRの目指すところは、EU域内の個人データの自由な移動を確保しつつ、個人のデータ保護権を強化することにあります。このEU法規は、ルーマニア国内で直接適用される性質を持つとともに、その規定を補完し、特定の側面を国内法制に落とし込むためのルーマニア法 Legea nr. 190/2018 privind măsuri de punere în aplicare a Regulamentului (UE) 2016/679 al Parlamentului European și al Consiliului din 27 aprilie 2016 privind protecția persoanelor fizice în ceea ce privește prelucrarea datelor cu caracter personal și privind libera circulație a acestor date și de abrogare a Directivei 95/46/CE (Regulamentul general privind protecția datelor)（個人データの処理および当該データの自由な移動に関する欧州議会および理事会の2016年4月27日付規則(EU) 2016/679の実施措置および指令95/46/CEの廃止に関する法）と組み合わさることで、企業は包括的なデータ保護コンプライアンスを確保する必要があります。後者の法律は、GDPRが特定の事項について加盟国に裁量権を与えている範囲で、国内での適用条件を定義しています。

遵守の義務があるのは誰か？ルーマニアにおけるGDPR適用範囲の詳細

GDPRは、EU域内で事業を行うすべての企業に適用されるのみならず、EU域内のデータ主体に商品やサービスを提供したり、その行動を監視したりするEU域外の企業にも適用されます。ルーマニアにおいては、以下のいずれかの活動を行っている場合、貴社はGDPRの適用対象となります。

• 顧客データ（氏名、メールアドレス、電話番号、住所、支払情報など）を収集、保存、利用する: 例として、オンラインストア、サービスプロバイダー、ホテルなどが挙げられます。これらのデータは、契約の履行、請求処理、顧客サポート、マーケティング目的で収集されることが一般的です。
• 従業員データ（氏名、ID番号、納税番号、給与、住所、銀行口座情報、健康状態、労働組合加入状況など）を処理する: これは、ルーマニア国内に拠点を置くすべての雇用主に適用されます。人事管理、給与計算、福利厚生、労働安全衛生などの目的でデータが処理されます。
• ルーマニアのユーザーを対象としたウェブサイトやアプリケーションを運営する: これには、クッキーやトラッキング技術の使用、問い合わせフォームからの情報収集、オンライン広告の配信などが含まれます。ルーマニア語のコンテンツを提供したり、ルーマニア・レウでの決済オプションを提供したりする場合も該当します。
• ビデオ監視システム（CCTV）を導入し、公開場所や職場内で個人を識別可能な映像を記録する: 不法侵入防止、資産保護、従業員安全確保などの目的で広く利用されていますが、その設置と運用には厳格な規則が伴います。
• マーケティング通信やニュースレターを電子メールやSMSで送信する: これには、製品やサービスの宣伝、イベントの告知、プロモーション活動などが含まれます。データ主体の事前同意が原則として必要とされます。
• クラウドサービスプロバイダー、ITアウトソーシングベンダーなどとして、ルーマニアの企業から個人データの処理を委託される: この場合、貴社はGDPRの「処理者（Processor）」として、厳格な義務を負います。
• 健康データ、生体認証データ、遺伝子データなどの機微なデータを処理する: 病院、クリニック、製薬会社、フィットネスジムなどが該当し、これらのデータはGDPR上、特別な保護が求められます。

企業の中心的な義務：詳細解説とルーマニア法的側面

GDPRは、データ管理者（Controller）と処理者（Processor）に対し、個人データ処理の原則に従い、個人の権利を保護するための多くの義務を課しています。

1. 処理活動の記録（ROPA: Records of Processing Activities）

GDPR第30条により義務付けられているROPAは、データ管理者が自身の処理活動を詳細に記録する文書です。従業員が250人未満の組織であっても、定期的に個人データを処理する場合、機微なデータを処理する場合、またはデータ主体への権利や自由に影響を及ぼす可能性のある処理を行う場合には、作成が必須となります。実際には、多くのルーマニア企業が、規模に関わらずROPAの作成を求められると考えられます。

2. 処理の法的根拠

すべての個人データ処理活動は、GDPR第6条に規定される6つの法的根拠のいずれかに基づいて行われなければなりません。ルーマニア法 Legea nr. 190/2018は、特定の状況におけるこれらの法的根拠の適用に関する追加の指針を提供しています。

• 同意 (Consimțământul): GDPRにおいて最も強力な法的根拠の一つですが、最も厳格な要件が課せられます。同意は「自由に与えられ、特定の、情報に基づいた、曖昧さのない、明確な肯定的な行為による意思表示」でなければなりません（GDPR第4条11項）。ルーマニアのANSPDCPは、同意の取得方法について具体的なガイダンスを発行しています。例えば、ウェブサイトでのCookie同意バナーや、ニュースレター登録時の明確なチェックボックスなどが該当します。
• 契約 (Contractul): データ主体との契約の履行、または契約締結前のデータ主体の要請に基づく措置の実行に不可欠なデータ処理。顧客に対する製品の発送、サービスの提供、雇用契約の履行などがこれに該当します。データの処理が契約目的の達成に真に「必要不可欠」であることの証明が重要です。
• 法的義務 (Obligație legală): データ管理者がEU法または加盟国の法律に服する場合に、その法的義務の遵守に不可欠なデータ処理。ルーマニアにおいては、Legea Contabilității nr. 82/1991に基づく会計記録の保管、Codul Muncii (労働法)に基づく従業員記録の保持、Legea nr. 677/2001 (廃止された旧データ保護法)およびLegea nr. 190/2018に基づく当局への報告などが該当します。
• 正当な利益 (Interes legitim): データ管理者または第三者の追及する正当な利益のために、データ処理が必要であり、かつデータ主体の基本的権利と自由によってその利益が凌駕されない場合。これは柔軟性の高い法的根拠ですが、利益衡量テスト（Legitimate Interest Assessment - LIA）が義務付けられ、慎重な検討が必要です。ルーマニアのANSPDCPは、正当な利益の適用について事例に基づくガイダンスを提供しています。例としては、不正行為の防止、ネットワークおよび情報セキュリティ、直接マーケティング（特定の条件下）、債権回収などが挙げられます。
• 生命にかかわる利益 (Interese vitale): データ主体または他の個人の生命にかかわる利益を保護するために不可欠なデータ処理。非常に限定的な状況でのみ適用され、例としては、医療上の緊急事態における意識不明の患者の治療に関するデータ共有などが挙げられます。
• 公益 (Interes public): 公共の利益のために行われる職務の遂行、またはデータ管理者に付与された公的権限の行使に不可欠なデータ処理。主に公的機関に適用され、例としては、保健医療機関による公衆衛生対策、警察による犯罪捜査などが挙げられます。

3. データ保護責任者（DPO: Data Protection Officer）

DPOの任命は、GDPR第37条およびルーマニア法 Legea nr. 190/2018 第14条で義務付けられています。DPOは、組織のGDPR遵守を監督し、データ主体および監督機関との連絡役を務める独立した専門家です。

以下の場合にDPOの任命が必須です。

• 公的機関および団体: 中央政府機関、地方自治体、公立病院、公立学校など。ただし、裁判官が司法権を行使する裁判所は除外されます。
• 大規模な体系的監視を行う組織: データ主体の行動を大規模かつ体系的に監視する企業。これには、オンライン行動追跡を行う広告プラットフォーム、大規模なビデオ監視を行うショッピングモール、テレマティクスシステムを持つ運送会社などが含まれます。
• 大規模に機微なデータ（GDPR第9条）または犯罪に関するデータ（GDPR第10条）を処理する組織: 健康データ（病院、保険会社）、人種的出身、政治的意見、宗教的・哲学的信念、労働組合加入状況、遺伝子データ、生体認証データ、性生活または性的指向に関するデータ、犯罪歴に関するデータなどを大量に処理する組織。

DPOは、企業の従業員である必要はなく、外部の専門サービスに委託することも可能です。重要なのは、DPOが独立性を保ち、経営層から直接報告を受け、データ保護に関する助言を経営層に提供できる立場にあることです。

4. データ保護影響評価（DPIA: Data Protection Impact Assessment）

DPIAは、GDPR第35条によって義務付けられています。個人データ処理がデータ主体の権利と自由に重大なリスクをもたらす可能性が高い場合に、そのリスクを特定し、評価し、軽減するための体系的なプロセスです。ルーマニアのANSPDCPは、DPIAが必須となる処理活動のリストを具体的に公表しています。

これには以下が含まれます。

• 法的効果を伴う、またはデータ主体に同様に重大な影響を及ぼす自動プロファイリング: 例えば、信用スコアリングシステム、ローン申請審査システム、採用プロセスにおける自動選別システムなど。
• 大規模な機微なデータの処理: 上記のDPOのセクションで列挙されたタイプのデータを大量に処理する場合。
• 公開されている領域の体系的な監視: 大規模なCCTVシステム、スマートシティプロジェクトなど。
• 新しいテクノロジーの利用: AI、機械学習、ブロックチェーンなどの技術を用いた個人データ処理で、そのリスクが十分に評価されていない場合。
• データ主体への損害をもたらす可能性のある大規模なデータの統合または照合: 異なるデータセットを結合し、新しいプロファイルを作成するような場合。

DPIAは、リスクベースのアプローチを採用し、リスクの高い処理活動を開始する前に実施されるべきものです。DPIAの結果、残存するリスクが高いと判断された場合、データ管理者は事前にANSPDCPに相談する義務があります。

実装ロードマップ：ルーマニア企業向け詳細ステップ

GDPR準拠は一朝一夕に達成できるものではなく、体系的なアプローチが必要です。ここに、より詳細なステップとルーマニア独自の考慮事項を盛り込んだロードマップを提供します。

フェーズ1：データ監査とマッピング（2-4週間） これはGDPR準拠の基盤となる最も重要なステップです。

• すべての個人データフローをマッピングする: 組織内のどこで、どのような個人データが、誰によって、どのような目的で、どのように収集され、保存され、処理され、誰と共有され、どこに転送されるかを特定します。これは、データインベントリの作成に他なりません。
• 実践ガイド: データフロー図を作成し、各データセットについて以下の情報を記録します。 - データの種類（例: 顧客氏名、従業員の給与、ウェブサイトのIPアドレス）。 - データの収集方法（例: オンラインフォーム、紙の書類、第三者のシステム）。 - データの保存場所（例: オフィスのサーバー、クラウドサービス、Excelファイル）。 - データの利用目的（例: 注文処理、給与計算、マーケティング）。 - データの共有先（例: 税務当局、配送業者、外部コンサルタント）。 - データのセキュリティ対策（例: 暗号化、パスワード保護、アクセス制限）。 - データの保持期間。 - データ責任者とその役割。
• ルーマニア法との関連: ルーマニアのデータがEU/EEA域外に転送される場合は、Legea nr. 190/2018 Art. 9 に基づく十分性認定、標準契約条項（SCC）、拘束的企業準則（BCR）などの適切な法的根拠が必要です。

フェーズ2：ギャップ分析とリスク評価（1-2週間）

• 現在の慣行とGDPR要件を比較する: データ監査結果に基づき、既存のデータ処理慣行がGDPRおよびLegea nr. 190/2018の要件をどの程度満たしているかを評価します。
• リスクレベルによってコンプライアンスのギャップを優先順位付けする: 発見されたギャップがデータ主体の権利や自由に与える潜在的な影響度、およびその発生可能性を評価します。重大な違反につながる可能性のあるギャップから優先的に対応します。
• 実践ガイド: ギャップを特定し、それぞれについて以下の点をスコアリングします。 - 違反のリスク（高、中、低）。 - 発生した場合のビジネスへの影響（財務、評判、法務）。 - 是正措置の難易度。
• ルーマニア法との関連: ANSPDCPは、特定の業界やデータ処理活動について追加のガイダンスを発行する可能性があり、これらの情報を参考にギャップ評価を行います。

フェーズ3：文書化とポリシーの整備（2-4週間） GDPR準拠の「説明責任の原則」に基づき、すべての施策を文書化することが極めて重要です。

• プライバシーポリシー (Politica de Confidențialitate): ウェブサイト、アプリケーション、物理的な事業所で、どのような個人データが収集され、処理され、共有されるかを明確に説明した文書。データ主体の権利（アクセス、訂正、削除、処理制限、データポータビリティ、異議、自動処理の拒否など）を明記し、ANSPDCPへの苦情申し立て権についても言及します。これは、GDPR第12条、第13条、第14条の要件を満たす必要があります。
• Cookieポリシー (Politica Cookie): ウェブサイトで使用されるCookieの種類、目的、期間、およびユーザーがCookieを管理する方法について詳細に説明します。ユーザーの明確な同意取得メカニズム（Cookieバナーなど）の実装が必須です。
• 従業員データ処理通知 (Notificare de Prelucrare a Datelor Salariaților): 従業員から収集される個人データの種類、目的、法的根拠、保持期間、アクセス権、ANSPDCPへの苦情申し立て権などを明確に従業員に通知します。これは、Codul Muncii (労働法) の規定との整合性も図る必要があります。
• ベンダーとのデータ処理契約（DPA: Data Processing Agreement）: データ処理を外部のサービスプロバイダー（クラウドプロバイダー、給与計算会社、CRMベンダーなど）に委託する場合、GDPR第28条に準拠したDPAを締結することが義務付けられています。DPAには、処理の目的と期間、データ処理者の義務、セキュリティ対策、監査権などが明確に記載されている必要があります。
• 同意フォームとメカニズム: 同意が法的根拠である場合に、明確で、特定の目的のための、自由に与えられた、情報に基づく、曖昧さのない同意を記録するための手続きとフォームを整備します。
• ROPA、DPIAの記録、データ漏洩通知手続きなどを文書化します。

フェーズ4：技術的対策とセキュリティ強化（2-6週間） データセキュリティはGDPRコンプライアンスの柱の一つです。

• データ暗号化（保管時および転送時）: 保存されているデータ（At Rest）と送受信中のデータ（In Transit）の両方に対し、適切な暗号化技術を導入します。これは、GDPR第32条のセキュリティ要件を満たすための重要な手段です。
• アクセス制御（ロールベース）: 個人データへのアクセスを、業務上必要とする従業員のみに制限します。最小権限の原則（Principle of Least Privilege）に基づき、各従業員の役割と責任に応じてアクセス権を付与します。
• リカバリテストを伴う定期的なバックアップ: データの喪失や破損に備え、定期的なバックアップシステムを構築し、リストア手順のテストを定期的に実施します。
• 機微なデータの仮名化 (Pseudonymization) または匿名化 (Anonymization): 個人を特定できる情報を他の情報と分離することで、データ漏洩時のリスクを低減します。匿名化は不可逆的であり、GDPRの適用範囲外とすることができますが、仮名化されたデータは引き続き個人データとして扱われます。
• 安全なデータ削除手順: 保持期間が終了した個人データを安全かつ完全に削除するための手順とポリシーを確立します。
• 侵入検知システム (IDS) および侵入防止システム (IPS)、ファイアウォールなどのネットワークセキュリティ対策。
• セキュリティインシデント対応計画: データ漏洩が発生した場合の対応策を事前に作成し、定期的に訓練を行います。GDPR第33条に基づくANSPDCPへのデータ漏洩通知義務（72時間以内）を確実に履行できるように準備します。

フェーズ5：トレーニングとカルチャー変革（継続的） GDPR準拠は技術的な問題だけでなく、組織文化の問題でもあります。

• スタッフ意識向上トレーニング: すべての従業員に対し、GDPRの原則、個人データの重要性、自身の役割と責任、情報セキュリティポリシーについて定期的なトレーニングを実施します。
• 実践ガイド: - オンボーディング時に新規従業員向けのGDPRトレーニングを含める。 - 毎年、全従業員向けのGDPRリフレッシャートレーニングを実施する。 - 特定の役割（例: 人事、マーケティング、IT）を持つ従業員には、より専門的なトレーニングを提供する。 - フィッシング詐欺やソーシャルエンジニアリングに対する意識向上キャンペーンを実施する。
• インシデント対応訓練 (Incident Response Drills): データ漏洩やセキュリティインシデントが発生した際に、責任者が迅速かつ効果的に対応できるよう、模擬訓練を定期的に実施します。
• 定期的なポリシーレビューと更新: GDPRの要件や組織のデータ処理活動は時間とともに変化するため、プライバシーポリシー、セキュリティポリシーなどを定期的にレビューし、必要に応じて更新します。
• データ保護監査: 内部または外部の専門家による定期的なGDPR準拠監査を実施し、継続的な改善を促進します。

ルーマニアにおけるGDPR準拠のコストとタイムライン

GDPR準拠にかかるコストと時間は、企業の規模、現在のコンプライアンス状況、処理しているデータの種類と量によって大きく異なりますが、一般的な目安を以下に示します。

ルーマニアにおける罰金と執行：具体的な法的根拠

GDPR違反に対する罰金は非常に高額であり、企業にとって大きなリスクとなります。ルーマニアのANSPDCP（Autoritatea Națională de Supraveghere a Prelucrării Datelor cu Caracter Personal、国家個人データ処理監督機関）は、これらの罰金を課す権限を持っています。罰金の金額は、違反の性質、重大性、期間、意図、是正措置、協力度、過去の違反歴、影響を受けたデータ主体の数、損失の種類などの要因を考慮して決定されます（GDPR第83条）。

ANSPDCPは積極的にGDPRの執行に取り組んでおり、これまでにルーマニア国内の多くの企業（銀行、通信事業者、小売店、オンラインサービスプロバイダーなど）に対し、数千ユーロから数十万ユーロの罰金を科しています。2023年だけでも、ANSPDCPは数十件の罰金を科しており、特にデータ漏洩やデータ主体の権利侵害に対する関心が高いです。

GDPR準拠のためのチェックリスト (2026年時点)

このチェックリストは、ルーマニアにおいてGDPR準拠を評価し、維持するための実用的なツールです。

• 組織の評価
• 自社がGDPRのデータ管理者またはデータ処理者に該当するかを確認したか？
• ルーマニア法 Legea nr. 190/2018 の最新の規定を理解しているか？
• DPOを任命しているか、または任命義務があるかを評価したか？（DPOが必要な場合は、適切な資格と独立性を持つDPOが任命されているか？）
• データマッピングと記録
• 処理するすべての個人データの種類、目的、法的根拠、保持期間を特定し、文書化しているか？（ROPAを作成しているか？）

---