GDPR対応とサイバー保険｜適用判定・72時間通知と補償の境界

EU向けにサービスを提供する、あるいはEU域内の個人の行動を分析している日本企業の管理部門・法務・情報セキュリティ・保険担当の方に向けた記事です。GDPR（EU一般データ保護規則）への対応と、サイバー保険による備えは、目的も成果物も異なります。本記事を読むと、自社にGDPRが適用され得るかの判定手順、個人データ侵害を認識した後の連絡経路と時間軸、そしてサイバー保険で点検すべき費用と証券条件の照合の順序を、担当・期限・確認資料まで落とし込んで判断できます。

先に押さえておきたいのは、サイバー保険に加入してもGDPR対応を達成したことにはならない、という点です。GDPR対応は、適用判定、処理の適法性の確保、記録、契約、セキュリティ、侵害通知などの法務・情報管理体制そのものです。サイバー保険は、契約で定めた事故によって現実に発生した財務損失の一部を、限度額や免責などの条件のもとで移転する手段にすぎません。片方がもう片方を代替することはありません。

また、行政制裁金本体をサイバー保険で補償できるかどうかは、準拠法・法域・公序に関する判断や約款、個別事情によって分かれます。本記事では一律の断定を避け、何を、誰に、どの資料で確認するかまで示します。数値や制度の記述は2026年7月16日時点の一次資料に基づいています。

Summaryこの記事のポイント

GDPRの適用は「EU拠点の活動」「EU域内の個人への商品・サービス提供」「EU域内の個人の行動モニタリング」の3条件で判定する。国籍やサーバー所在地だけで決まるものではない。
サイバー保険はGDPR遵守の証明でも代替でもない。目的・成果物・事故時の判断が異なるため、1枚の分界表で切り分ける。
侵害を認識した後は、GDPR上の72時間の時計と、保険会社への通知・事前承認の時計を並行して動かす。両者の期限は同じとは限らない。
事故対応費用・損害賠償費用・利益損害を区分し、支払限度額・免責・通知条件などと1件ずつ証券照合する。すべてが自動的に補償されるわけではない。
制裁金本体の付保可否は断定せず、証券・約款の定義と準拠法を確認する。制裁金以外の費用は別々に点検する。

保険証券の診断・見直しのご相談を受け付けています

初回のご相談・現契約の診断は無料です

無料で相談する

先に結論

進め方は、①自社にGDPRが適用され得るかを判定する、②管理者・処理者・監督機関・本人・委託先・保険会社への連絡経路を先に設計する、③侵害認識後に残る財務損失を証券・約款と照合する、という順序です。適用判定を飛ばして保険条件だけ見ても、対象事故や補償地域が自社の実態に合わず、いざというときに機能しません。逆に、法務体制だけ整えても、事故時の費用負担は移転されません。順序を守ることが要点です。

GDPR対応とサイバー保険の3ステップ
順序	やること	主な着地点
①適用判定	3条件で自社の適用可能性を確認し、EU代理人選任の要否を検討	適用判定・担当
②連絡設計	管理者・処理者・委託先・EU代理人・保険会社の連絡網と期限を確定	担当・期限
③証券照合	事故対応・賠償・利益損害を証券条件と1件ずつ照合	資料・契約条件

日本企業にもGDPRは適用されるかを3条件で確認する

まず判断すべきは「そもそも自社にGDPRが適用され得るのか」です。GDPRは、次の3条件のいずれかに当たる処理を対象とします。第一に、EU域内の拠点の活動に伴う個人データの処理。第二に、EU域外の企業が、EU域内にいる個人へ商品・サービスを提供する場合（有償・無償を問わない）。第三に、EU域内にいる個人の行動をモニタリングする場合です。判定の基準は、対象となる個人がEU域内にいるかどうかや、その活動の実態であって、個人の国籍やデータの保管場所そのものではありません（欧州委員会適用範囲の解説）。

ここで避けたい単純化が二つあります。「EU国籍者のデータなら常に対象」「データがEUのサーバーにあれば常に対象」という発想です。いずれも判定条件そのものではありません。判定は、上記3条件に照らした処理の実態で行います。

EU域内に拠点がないまま第3条2項（域外適用）に当たる場合、原則として第27条に基づくEU域内代理人の選任要否を検討します。ただし第27条には例外があるため、一律に義務があると断定はできません。自社が例外に当たるかは、処理の性質・規模・リスクをもとに外部法律事務所へ確認するのが実務的です（EUR-Lex GDPR本文）。

なお、日本に対するEUの十分性認定は、EUから日本への越境データ移転を円滑化する仕組みに関する論点です。個社の地理的な適用判定や、GDPR上の個別義務を一括して免除するものではありません。「適用の有無」と「移転の適法化手段」は別の論点として切り分けてください（個人情報保護委員会 EU（外国制度））。

GDPR適用判定の3条件と確認資料
条件	確認する事実	確認資料
EU拠点の活動	EU域内の子会社・支店・駐在の有無と処理の関与	法人・拠点一覧、組織図
EU域内の個人への提供	EU向け販売・多言語・ユーロ建て決済・EU向け規約の有無	EU向け販売画面、利用規約、配送条件
行動モニタリング	EU域内個人のアクセス解析・広告追跡・位置情報の取得	アクセス解析・広告・位置情報設定、データフロー図

3条件の判定と代理人選任要否は、欧州委員会の適用範囲の解説、EUR-Lex掲載のGDPR第3条・第27条、および個人情報保護委員会の公表情報を一次資料として確認してください。

GDPR対応とサイバー保険の分界を1枚の表にする

適用の可能性が見えたら、次に「GDPR対応」と「サイバー保険」の役割を切り分けます。GDPR対応は、処理の法的根拠の確保、透明性の確保、本人の権利対応、処理活動の記録（第30条）、管理者・処理者間の契約、適切なセキュリティ、そして侵害通知といった体制を指します。これらは自社が構築・運用すべき成果物であり、保険で肩代わりできるものではありません。

一方、サイバー保険は、契約であらかじめ定めた事故が起きたときに発生する財務損失の一部を、支払限度額・免責金額・待機期間などの条件のもとで移転する手段です。保険への加入は、GDPRを遵守している証明にはなりませんし、体制構築の代替にもなりません。両者を混同すると、「保険に入ったから大丈夫」という誤解が生まれます。

GDPR対応とサイバー保険の分界
観点	GDPR対応	サイバー保険
目的	法令上の義務の履行と個人の権利保護	事故による財務損失の一部移転
成果物	記録・契約・手順・通知体制	証券・約款・補償条件
担当	法務・情報セキュリティ・事業部門	保険担当・代理店・引受保険会社
事故時の判断	通知要否・本人通知・記録	事故通知・事前承認・費用の付保確認
他方で代替できるか	不可（保険では代替できない）	不可（対応体制の代わりにはならない）

この分界表の「事故時の判断」列は、次章の連絡経路設計と、後半の費用区分・証券照合へそのまま引き渡します。誰が何を判断し、どこへ連絡するかを、あらかじめ紐づけておくことが実務では効いてきます。

管理者・処理者・委託先の連絡経路を先に決める

侵害が起きてから連絡先を探し始めると、GDPRの時計にも保険の時計にも間に合いません。役割と最初の連絡先を先に決めておきます。GDPR上、管理者（データの目的・手段を決める主体）は、侵害が個人の権利・自由へのリスクをもたらし得るかを評価し、その可能性がある場合に監督機関への通知を検討します。処理者（管理者のために処理する主体）は、個人データ侵害を認識したら、不当に遅滞なく管理者へ通知します。処理者が常に監督機関へ直接通知するわけではない、という役割分担を押さえてください。高リスクと判断される場合は、本人への通知も検討対象になります。

連絡網には、海外子会社、クラウド事業者、再委託先、EU代理人、外部法律事務所、そして保険会社・代理店まで含めます。特に委託先・再委託先については、契約書上の「通知期限」「提供すべき情報」「調査協力義務」「費用分担」「再委託先からの通知」の各条項と、自社の対応手順が整合しているかを事前に確認します。契約に通知期限が定められていないと、処理者からの一報が遅れ、管理者側の72時間対応が圧迫されます。

侵害時の役割・最初の連絡先・必要情報・契約確認欄
役割	最初の連絡先	必要情報	契約で見る欄
管理者	監督機関・本人（要否評価後）	侵害の事実・影響範囲・対象者・対応状況	委託契約の通知・協力条項
処理者	管理者	認識時刻・侵害の性質・暫定対応	通知期限・提供情報・費用分担
再委託先	委託元（処理者）	影響したシステム・データ範囲	再委託先通知・調査協力
EU代理人	管理者・監督機関の窓口	域外管理者の連絡経路	代理人委任契約
保険会社・代理店	事故受付窓口	事故概要・費用発生の見込み	通知期限・事前承認・指定業者

侵害を認識した後の72時間と保険通知を並行する

GDPR上の起算点は「侵害を認識した時点」です。攻撃が始まった日から機械的に数えるものではありません。管理者は、不当に遅滞なく、かつ実行可能な場合は認識後72時間以内に、監督機関への通知を行います（第33条）。72時間を超える場合には、遅延の理由を添える必要があります。個人の権利・自由へのリスクが生じる可能性が低いと判断される場合の例外や、高リスク時の本人通知（第34条）にも留意しますが、こうした個別判断は法務・外部法律事務所へ渡してください（欧州委員会個人データ侵害時の対応）。

この72時間の間、記録が生命線になります。認識時刻、把握した事実、影響を受けた可能性のあるデータの種類、対象者の概数、暫定的な封じ込め措置、そして通知要否の判断根拠を、時系列で残します。判断が二転三転しても、根拠を記録しておけば説明責任を果たせます。

同時に進めるのが保険側の初動です。保険会社・代理店への事故通知、費用支出前の事前承認、指定業者（フォレンジックや法律事務所）の利用可否、費用発生前の確認を並行します。約款上の通知期限や事前承認の要件は、GDPRの72時間と同じとは限りません。フォレンジック費用や法律相談費用は、事前承認を経ずに発注すると付保対象外と判断される場合があるため、発注前の確認が重要です。

侵害認識後の初動タイムライン
時間帯	法務	セキュリティ	広報・顧客対応	保険担当
0〜4時間	認識時刻の確定・記録開始	封じ込め・証拠保全	問い合わせ受付体制の確認	事故第一報・事前承認の確認
4〜24時間	通知要否の一次評価	影響範囲・対象データの特定	想定問答の準備	指定業者・費用条件の照会
24〜72時間	監督機関通知の要否判断・起案	フォレンジック着手	本人通知要否の検討支援	費用見込みの証券照合
72時間以後	通知（要時）・遅延理由の付記	復旧・恒久対策	本人・取引先への説明	保険金請求書類の整備

侵害発覚から72時間の初動を、部門横断の役割分担としてより詳しく確認したい場合は、次の記事が具体的な手順の起点になります。

情報漏えい発覚後72時間の初動

通知義務の内容と時間軸は、欧州委員会の侵害通知に関する解説、およびEUR-Lex掲載のGDPR第33条・第34条を一次資料として確認してください。

サイバー保険で点検する費用と損失を区分する

残る財務損失は、区分してから証券と照合します。大きくは三つに分かれます。第一に事故対応費用で、フォレンジック調査、法律相談、本人通知・コールセンター、広報対応、システム復旧などが含まれます。第二に損害賠償費用で、第三者に対する損害賠償と、それに伴う争訟・防御費用です。第三に利益損害・営業継続費用で、事業中断による利益損失や、復旧までに要する追加費用です（日本損害保険協会サイバー保険）。

重要なのは、これらがすべて自動的に補償されるわけではない、という点です。対象事故の定義、被保険者の範囲、補償地域、遡及日、既知事由の扱いなどによって、同じ費用でも付保されたりされなかったりします。区分した費用ごとに、証券・約款の該当条項を一つずつ照合してください。

費用区分と証券確認欄の照合
費用区分	主な内訳	証券・約款で確認する欄
事故対応費用	フォレンジック・法律相談・通知・広報・復旧	対象事故、指定業者、事前承認、サブリミット、待機期間
損害賠償費用	第三者賠償、争訟・防御費用	被保険者、補償地域、請求提起地、支払限度額、免責
利益損害・営業継続費用	事業中断、利益損失、追加費用	待機期間、遡及日、既知事由、委託先事故の扱い

サイバー保険の基本的な仕組みや、どのような事故が対象になり得るかを先に押さえたい場合は、次の記事が土台になります。

サイバー保険とは

財務面のリスクヘッジとして保険を検討する位置づけは、IPA サイバー保険活用の検討も参考になります。自社の事故シナリオへ引き付け、保有する損失と移転を検討する損失を分けてください。

GDPRの制裁金・損害賠償を保険で補償できるか

GDPRの金銭的リスクは、行政制裁金（第83条）と、個人からの損害賠償（第82条）に分かれます。行政制裁金の上限は二段階です。第83条4項の類型では、最大1,000万ユーロまたは全世界年間売上高の2%のいずれか高い方。第83条5項・6項の類型では、最大2,000万ユーロまたは4%のいずれか高い方です。いずれも「上限」であって自動的に適用されるものではなく、違反の性質・重大性・故意過失・是正措置などの個別事情を踏まえて判断されます（EUR-Lex GDPR第83条）。

第82条により、違反によって物質的または非物質的な損害を受けた個人は、一定の場合に賠償を求め得ます。これは制裁金とは別の金銭的リスクです（欧州委員会損害賠償責任の解説）。

問題は、行政制裁金本体をサイバー保険で補償できるかどうかです。これは準拠法、法域、公序（制裁金の付保を認めるかという公序に関する判断）、約款の定義、個別事情によって異なり、一般的な補償可否を一律に断定することはできません。実務では、証券・約款における「制裁金」「罰金」「規制対応費用」「防御費用」の各定義、免責事由、準拠法、補償地域を具体的に確認する必要があります。制裁金本体だけでなく、監督機関の調査対応、法律相談、通知、争訟、第三者賠償、事業停止に伴う損失を、それぞれ別々に付保状況を確認してください。

執行の実態を示す参考として、EDPB（欧州データ保護会議）のAnnual Report 2025（2026年4月9日公開）があります。同レポートによれば、2025年中に414件の越境案件が作成され、1,299件のワンストップショップ手続が開始され、572件が最終決定に至ったとされています。ただしこれは、個社の侵害確率や制裁金の発生確率を示す統計ではありません。越境の執行と当局間の調整が現実に動いている、という文脈を理解するための資料として扱ってください（EDPB Annual Report 2025）。

制裁金・損害賠償の枠組みは、EUR-Lex掲載のGDPR第82条・第83条、欧州委員会の損害賠償に関する解説、およびEDPB Annual Report 2025を一次資料として確認してください。

海外子会社・委託先・クラウドを証券上の対象へ照合する

グループで事業を営む場合、証券が誰の・どの事故を対象にしているかを照合します。確認すべきは、記名被保険者、対象となる子会社、共同事業（JV）の扱い、委託先で起きた事故の扱い、補償地域、そして請求が提起され得る地（請求提起地）です。データがどこにあるか（データ所在地）だけで補償可否は決まりません。被保険者の範囲と補償地域・請求提起地の組み合わせで判断されます。

また、クラウドサービスの停止（可用性の事故）と、個人データ侵害（機密性の事故）は、別の事故類型として扱われることがあります。両方が自社のシナリオに含まれるなら、それぞれが対象事故に含まれるかを確認してください。加えて、グループ再編、買収、EU子会社の新設、新サービスの公開といったタイミングでは、被保険者の追加や保険会社への通知が条件になる場合があります。事業の変化と証券のメンテナンスを連動させることが要点です。

法人・事故類型・地域・契約の4軸照合
軸	確認する内容	見落としやすい点
法人	記名被保険者・対象子会社・共同事業	新設EU子会社が未追加のまま
事故類型	個人データ侵害・クラウド停止・委託先事故	可用性事故が対象外の設計
地域	補償地域・請求提起地	EUでの請求を地域外と誤認
契約	再編・買収・新サービス時の追加・通知条件	通知漏れによる争点化

海外展開に伴う保険の考え方を、子会社設立や新サービス公開の観点から整理したい場合は、次の記事が参考になります。

スタートアップの海外保険

更新・見積り前に揃える資料チェックリスト

証券の更新や新規見積りの前に、判断材料を揃えておくと、適用判定から証券照合までが一気に進みます。以下の資料を、確認目的と主管担当、そして会議で決めることまで紐づけて準備してください。書類が揃っていないと、引受側からの照会が往復して、見積りも点検も長引きます。

更新・見積り前の資料チェックリスト
資料	確認目的	主管担当	会議で決めること
データフロー図・処理活動の記録	適用判定と処理範囲の把握	情報セキュリティ・法務	対象処理と管理者・処理者の別
EU顧客との契約・利用規約・プライバシー通知・委託/再委託契約	提供・モニタリングの実態確認	法務・事業部門	通知条項と費用分担
委託先・クラウド一覧	連絡経路と委託先事故の範囲	調達・情報セキュリティ	再委託先通知の要否
インシデント対応手順・連絡網	72時間と保険通知の並行運用	情報セキュリティ・保険担当	初動の役割分担
過去事故・ヒヤリハット・改善記録	既知事由・申告の整合	法務・保険担当	申告書への記載範囲
現行証券・約款・補償一覧・申告書	費用区分ごとの証券照合	保険担当	限度額・免責・地域の見直し
事故シナリオ別の費用試算	限度額・サブリミットの妥当性	財務・保険担当	優先して手当てする損失

見積り取得に必要な書類を、記入例まで含めて具体的に確認したい場合は、次の記事が実務の起点になります。

サイバー保険の見積りに必要な書類

那由他保険テクノロジーズがGDPR対応を見据えたサイバー保険の補償点検と条件設計でご支援できること

ここまでで、どの欄を見ればよいかは表の形で整理できたはずです。ただ、それを自社の契約に当てはめようとすると、「対象事故」「指定業者」「待機期間」「サブリミット」といった定義語が自社の事故シナリオのどこまでを含むのかは、担当の方が単独で読み解いて確度を持つのが難しい部分です。加えて、本文が一律の断定を避けた制裁金や規制対応費用のように、読み込んでも社内だけでは確定しない論点が残ります。つまり、残っているのは「何を確認すべきか」ではなく、「自社の契約でそれを確認しきれるか」「確定しない論点をどう扱うか」という判断です。

那由他保険テクノロジーズは、この保険側に残った判断を、お客さまと一緒に進めます。具体的には次の三つです。

現契約とのずれ・補償ギャップの洗い出し：EU域内の個人に何を提供し、何を計測しているかという事業の実態を最初の会話で一緒に整理したうえで、本文の「費用区分×証券確認欄」と「法人・事故類型・地域・契約の4軸照合」をそのまま作業台として使い、補償の穴、定義が曖昧なまま残っている条項、被保険者範囲の漏れを特定します。
保険会社の確認が必要な論点の切り分け：制裁金・規制対応費用・防御費用の定義、委託先で起きた事故の扱い、請求提起地の考え方など、条文の読解だけでは確定しない論点を御社の事業実態に即して洗い出し、更改管理・保険調達支援の一環として、引受保険会社ごとの条件を比較・検討できる形に整えます。
更改・見積り時の条件設計：想定される事故シナリオごとに必要となる費用の考え方と突き合わせ、支払限度額・サブリミット・免責・被保険者範囲・補償地域の選択肢を、複数保険会社の条件で並べて比較できる形にします（補償条件の比較・保険プログラム設計）。

ご相談のあとには、次のような判断材料が手元に残ります。

本文の三区分（事故対応費用・損害賠償費用・利益損害）それぞれについて、「補償される／補償されない／保険会社の確認で確定させる」の三つに仕分けた自社版の照合結果。
制裁金や規制対応費用など、本文が断定を避けた論点について、自社の契約でどこが未確定なのか、更改・調達のどの場面でどの条件を確定させるのかが整理された状態。
現在の契約に定められた通知期限・事前承認の要件・指定業者の条件を、本文の72時間初動タイムラインに重ねたとき、矛盾や間に合わない箇所がどこにあるのか（あるいは無いのか）が見えた状態。
支払限度額・免責・補償地域・被保険者範囲について、「現状のままでよい項目」と「更改時に変更を検討する項目」が、根拠付きで分かれた比較材料。

本記事の分界表のとおり、GDPRの適用判定、監督機関や本人への通知要否、EU代理人の選任要否といった法的判断は外部法律事務所の領域であり、那由他が代わって行うことはありません。那由他が受け持つのは分界表の右列、すなわち保険側の点検・比較・条件設計です。また、制裁金を含む個別費用の補償可否は契約条件と個別事情によって決まるため、那由他の分析はあくまで見立てとしてお示しし、最終的な取り扱いは引受保険会社の確認をもって確定させる順序を崩しません。法務と保険を別々の専門家が並行して受け持つ——それが本記事の設計であり、那由他はその保険側に立ちます。

ご相談にあたって、社内で先に整理しておいていただくことはありません。「EU域内の個人に何を提供していて、何を計測しているか」「本文の費用区分のうち、どこが一番気がかりか」を話していただくところから始められますし、判断に必要な事項はその会話の中で那由他が一緒に整理していきます。GDPRの適用判定が法務側でまだ固まっていない段階でも、保険側の点検は並行して進められます。まずは今の状態のまま、お聞かせください。

ご相談はこちら

GDPR対応とサイバー保険の整理から相談する

無料で相談する

初回のご相談・現契約の診断は無料です。お電話（050-1725-4773／受付：平日9:00〜19:00）でも承ります。

よくある質問

EU拠点がなくてもGDPRは適用されますか

適用され得ます。EU域内に拠点がなくても、EU域内にいる個人へ商品・サービスを提供する場合や、その行動をモニタリングする場合は域外適用の対象になり得ます。この場合、第27条に基づくEU代理人の選任要否も検討します。例外があるため、自社の該当性は処理の実態をもとに法律事務所へ確認してください。

EU国籍者の個人データを扱えば必ず対象ですか

国籍だけで対象は決まりません。判定は、対象となる個人がEU域内にいるかどうかや、EU域内の個人への提供・モニタリングという処理の実態で行います。EU国籍者であっても状況によって判断が変わり得るため、「国籍者のデータだから常に対象」という単純化は避け、3条件に照らして確認してください。

72時間は攻撃が始まった時から数えますか

数えません。GDPR上の起算点は、侵害を「認識した時点」です。攻撃開始日から機械的に数えるものではありません。管理者は不当に遅滞なく、実行可能な場合は認識後72時間以内に監督機関へ通知し、超過時は遅延理由を付します。認識時刻を記録しておくことが、後の説明責任の前提になります。

処理者であるSaaS事業者は監督機関へ直接通知しますか

原則として直接ではありません。処理者は個人データ侵害を認識したら、不当に遅滞なく管理者へ通知するのが基本の役割です。監督機関や本人への通知の要否を評価・実施するのは管理者側です。委託契約で通知期限や提供情報、調査協力を定めておくと、認識から管理者への一報までが滞りにくくなります。

GDPR制裁金はサイバー保険で必ず補償されますか

必ず補償されるとは言えません。行政制裁金本体の付保可否は、準拠法、法域、公序に関する判断、約款の定義、個別事情によって分かれ、一律には断定できません。証券・約款の「制裁金」「罰金」「規制対応費用」「防御費用」の定義や免責、準拠法、補償地域を確認し、制裁金以外の費用も別々に点検してください。

日本の十分性認定があればGDPR対応は不要ですか

不要にはなりません。十分性認定は、EUから日本への越境データ移転を円滑化する仕組みに関する論点であり、個社の適用判定やGDPR上の個別義務を一括して免除するものではありません。適用の有無と移転の適法化手段は別の論点です。自社の処理は3条件に照らして判定し、義務は個別に確認してください。

参考一次情報・公的資料

情報確認日：2026年7月16日

執筆：中村祐太朗（那由他保険テクノロジーズ株式会社 Risk & Benefits事業執行役員／損害保険・生命保険募集人）｜編集：那由他保険テクノロジーズ株式会社編集部｜最終更新日：2026年7月16日

本記事は一般的な情報提供を目的としたものです。補償・引受・保険料・保険金の支払は商品・約款・契約条件・個別事情によって決まり、法務・税務・労務・会計の取扱いは専門家への確認が必要になり得ます。