概要\n\nGDPR Art 32(General Data Protection Regulation Article 32、Security of Processing)はEU 2018年5月25日施行のGDPR(規則 2016/679)の第32条で、データ管理者(Controller)・処理者(Processor)に対し処理セキュリティ確保のための技術的・組織的措置(Technical and Organisational Measures、TOM)を義務付ける実装的中核条項。Article 25「Data Protection by Design and by Default」(プライバシーバイデザイン)と並ぶGDPR セキュリティ実装の柱で、違反は罰金最大€2000万 または 全世界売上4% (Article 83 Tier 2)対象。具体的義務(Article 32(1)(a)-(d)): (a) the pseudonymisation and encryption of personal data(仮名化・暗号化、AES-256/RSA-4096/Argon2 等の現代暗号必須)、(b) the ability to ensure the ongoing confidentiality, integrity, availability and resilience of processing systems(機密性・完全性・可用性・回復性の継続確保、CIA Triad)、(c) the ability to restore the availability and access to personal data in a timely manner in the event of a physical or technical incident(障害時の迅速な復旧能力、Backup + DR)、(d) a process for regularly testing, assessing and evaluating the effectiveness of technical and organisational measures(定期的セキュリティ評価、Penetration Test/Vulnerability Assessment)。Article 32(2)で「処理リスクに応じた措置」要求、 Risk-based Approach を採用、低リスクは簡易措置・高リスクは厳格措置のスケーラブル設計。実務上は ISO/IEC 27001(情報セキュリティマネジメントシステム ISMS) + ISO/IEC 27701(プライバシー情報マネジメントシステム PIMS) + SOC 2 Type II + NIST Cybersecurity Framework 適合がベストプラクティス、Microsoft/Google/AWS/Cloudflare 等のクラウドプロバイダ全て GDPR Art 32 適合実装。違反罰金事例: Meta 2023-05 €12億(Article 32含む違反)・Amazon 2021-07 €7.46億・Google 2019-01 €5,000万・British Airways 2020-10 £2,000万 等、年間100件以上の処分が継続中。\n\n## 主な特徴・仕組み\n\n- 施行: 2018-05-25 GDPR EU 2016/679 第32条\n- 対象: Controller(管理者)・Processor(処理者)両方\n- 義務4項目: (a)仮名化/暗号化・(b)CIA Triad・(c)復旧能力・(d)定期評価\n- Risk-based Approach: リスクに応じた措置スケーラブル\n- 罰金: 最大€2000万 または 全世界売上4% (Tier 2)\n- 適合フレームワーク: ISO 27001 + 27701 + SOC 2 + NIST CSF\n- 実例: Meta€12億・Amazon€7.46億・Google€5,000万 等の罰金\n- 対象データ: Personal Data 全般、EU市民データ域外処理含む\n\n## スペック比較表\n\n| 措置 | Art 32 該当 | 推奨実装 | コスト感 |\n|------|-------------|----------|----------|\n| 仮名化 (Pseudonymization) | (a) | Tokenization/Hash + Salt | 低 |\n| 暗号化(保存時) | (a) | AES-256-GCM、Database TDE | 中 |\n| 暗号化(通信時) | (a) | TLS 1.3、Certificate Pinning | 低 |\n| アクセス制御 | (b) | RBAC + ABAC、MFA、Zero Trust | 中 |\n| 監査ログ | (b) | SIEM(Splunk/Elastic)、3年保管 | 中-高 |\n| バックアップ | (c) | 3-2-1 Rule、暗号化、地理分散 | 中 |\n| DR(Disaster Recovery) | (c) | RTO 4h/RPO 1h目標 | 高 |\n| 定期評価 | (d) | Pen Test年2回、ISO監査年1回 | 中 |\n| 認証システム | (b) | Passkey/FIDO2、TOTP併用 | 中 |\n\n## 具体例・対応製品\n\n- GDPR Article 32 (2018-05-25): Regulation EU 2016/679、CIA Triad 義務化\n- Meta €12億罰金 (2023-05): EU-米国データ移転 Article 32含む違反\n- British Airways £2000万 (2020-10): 顧客データ漏洩、Web Skimming攻撃\n- ISO/IEC 27001:2022: ISMS国際規格、Art 32適合の事実上の標準\n- AWS/Azure/GCP GDPR Compliance Pages: クラウド側の Art 32 適合実装文書\n\n## 自作PCでの選び方・注意点\n\nGDPR Art 32 適合 個人開発環境例: (A)個人ブロガー¥150,000構成: M3 Mac mini + Cloudflare Pages + Cloudflare R2(暗号化済) + 1Password、EU市民データ最小限、Pseudonymization + TLS 1.3 で簡易適合、(B)EU向けSaaS¥600,000構成: AWS Frankfurt(eu-central-1) + AES-256 KMS + IAM RBAC + CloudTrail監査 + AWS Backup、Art 32 全項目対応、(C)エンタープライズ¥10,000,000+構成: ISO 27001取得 + SOC 2 Type II監査 + Penetration Test年2回 + DR sites 地理分散、グローバル企業適合。日本企業がEU市民データを処理する場合(SaaS提供等)はGDPR Art 32 完全対象、AWS/Azure/GCP の EU リージョン採用 + Sub-processor契約 + Standard Contractual Clauses(SCC)で実装。dotenvx暗号化(jisaku.com 採用) は Art 32(a) Pseudonymization/Encryption 適合の好例、Personal Data 直接保存しないアプローチも有効戦略。\n\n## 関連用語との違い\n\nGDPR Article 25 (Privacy by Design): システム設計段階から個人情報保護を組み込む原則。Art 32 は実装後の継続セキュリティ、両者併用がベストプラクティス。\n\nArticle 33 (Personal Data Breach Notification): 個人情報漏洩から72時間以内に DPA(Data Protection Authority) 通知義務。Art 32違反で漏洩発生→ Art 33通知義務、連動。\n\n## よくある質問(FAQ)\n\nQ1: 日本企業 対象?\nA: EU市民の個人情報を処理する全企業が対象、日本国内サーバ運営でもEU市民から登録があれば対象。「対象外」と思い込みがちだが、グローバルWebサイト・SaaSは概ね対象範囲、要適合確認。\n\nQ2: 仮名化と匿名化違い?\nA: 仮名化(Pseudonymization)は復元可能(暗号化キーで復元)、匿名化(Anonymization)は完全に個人特定不可。GDPR Art 32 は仮名化推奨、匿名化はGDPR適用外で更に強力。\n\nQ3: AES-256で十分?\nA: 2026年現在十分、量子コンピュータ脅威化で2030年以降は耐量子暗号(NIST PQC ML-KEM/ML-DSA 2024-08標準化) 移行推奨。AES-128 はGrover algorithm で実効2^64 でリスクあり、AES-256 推奨。\n\n## まとめ\n\n- GDPR第32条 Security of Processing\n- 仮名化/暗号化/CIA Triad/復旧/定期評価義務\n- 罰金最大€2000万/全世界売上4%\n- ISO 27001+27701+SOC 2が事実上の標準\n- Meta€12億/Amazon€7.46億等の処分実例