イベントテックのデータ処理契約：署名前に確認すべきポイント

次のカンファレンス向けの写真共有ツールは小さな購入に見えます。1イベント、数百名の参加者、ネームカードにあるQRコード、そして法務がDPAを要求すると、その小さな購入は調達案件になります。なぜなら、そのツールが識別可能な人物の写真を収集した瞬間、あなたに代わって個人データを処理していることになり、その処理を規定する契約がDPAだからです。

この記事が何を目的とし、何でないか。これはベンダー評価のための一般的なガイダンスであり、法的助言ではありません。あなたの状況では、社内DPOや法務顧問に確認してください。価格や機能は変動するため、依拠前に再確認が必要です。

まず、なぜイベントテックにDPAが必要なのか

DPAはテンプレート文書ではありません。GDPRは、ある組織が別の組織のために個人データを処理する場合に必須とする法的文書であり、規則上の責任分担を反映しています。企業イベントを主催し、参加者の写真と動画を収集する場合、組織がコントローラーであり、処理の目的と方法を決定します。あなたの指示で画像を保存・表示する写真プラットフォームがプロセッサーです。第28条はこの関係が「契約または他の法的行為」により処理者を拘束されると定め、処理の目的と期間、性質と目的、個人データの種類と対象者のカテゴリ、コントローラーの義務と権利を明記する。

イベント技術ベンダーが参加者の個人データを処理する場合、EU法上、DPAの締結が義務です。「たった1回のイベントだから」という例外はなく、この義務は事業者（コントローラー）とベンダーの双方に課されます。したがって、DPAがない、あるいは不十分なDPAは採用不可事項です。違法性を回避するための中核文書だからです。

範囲に関する注記：以下は通常の写真・動画ギャラリー（画像の保存と表示）を前提としています。ツールが来場者をグループ化または識別するために顔認識を使用する場合、データと義務は実質的に変わります（サブプロセッサーの項目を後述）。特定の個人を一意に識別できる顔テンプレートは生体データであり、はるかに厳格な枠組みが適用されます（GDPR Art. 9(1)、Recital 51）。

GDPR第28条の下請け処理契約（DPA）に含まれるべき内容

DPAが良いかどうかは長さや法律事務所のレターヘッドかどうかでは決まりません。第28条3項が求める内容を実際に含んでいるかどうかが基準です。各ベンダーの契約書をこれらの要素で確認してください。欠けた要素があれば、見た目が洗練されていても不十分です。

• 処理の説明 — 目的と期間、性質と目的、個人データの種類およびデータ主体のカテゴリ（Art. 28(3)）。イベントメディアでは、処理者が参加者の写真、動画、音声メッセージを収集して表示するために扱っていること、および保存期間が定義されていることが明確に読める必要があります。ここでの曖昧さ自体が警告サインです。

• 処理は文書化された指示に基づく場合のみ（第28条3項a）— 写真をどう扱うかはあなたの判断で、ベンダーは再利用できません。

• プロセッサーが許可したすべての人物を拘束する秘密保持義務（Art.28(3)(b)）。

• 第32条セキュリティー — リスクに見合う技術的・組織的対策（Art. 28(3)(c)）。

• サブプロセッサー条件—権限なく追加の処理者を追加しないこと、連鎖全体で同様の義務（Art. 28(3)(d)）。誰があなたのデータに触れるかを規定しており、個別のセクションは下記です。

• データ主体の権利への対応支援（イベントメディアでは特に重要な削除権（Art. 28(3)(e)）を含む）。

• Art.28〜36の義務（セキュリティ、違反時の通知、必要に応じたインパクトアセスメント）をサポートします（Art. 28(3)(f)）。

• エンゲージメント終了時の削除または返却（管理者の裁量）、および法令で保持が必要とされる場合を除きコピーも削除（Art. 28(3)(g)）。これはデータの寿命を終了させる条項です。販売メールではなく契約書に明記してください。

• 監査情報の提供および監査提出（Art. 28(3)(h)）。

これら9要素は、GDPR準拠DPAの骨格です。条項番号を全て覚える必要はありませんが、ベンダー契約を読む際に各論点を見つけられることが必要です。ここでの不足は表現上の誤りではなく、法的義務の欠落です。

署名前チェックリスト: 確認すべき項目

上記の条項はDPAに必須な要素を示しています。このセクションでは、契約前に特定ベンダーをどの観点で確認するか、つまり調達レビューで実際に重視される実務的な確認事項を扱います。順番にチェックしてください。最初の項目がゲートです。

1. DPAは存在するのか、購入前に読めるのか。ベンダーがGDPR第28条の合意書を提示できない場合、EU企業が法人イベントでそれを合法的に使うことはできません。処理を合法とするには契約が必要です（第28条3項）。多くの消費者向け写真ツールはエンタープライズ向け契約の経路がなく、単発購入のみです。これは個人向けパーティでは問題ない一方、企業イベントでは大きな障害です。契約前にDPAを必ず確認してください。

1. 上記の第28条(3)の要素を含んでいますか？ 9項目のチェックリストで確認してください。軽量な合意で最も不足しがちな点は、サブプロセッサー条件、削除・返却義務、監査条項です。

1. ベンダーはサブプロセッサー名と所在地を明記しますか？ サブプロセッサーを特定しないままサブプロセッシングを許可するDPAでは、データ移転やベンダーリスク分析が成立しません。見えない部分は評価できないためです。（以下のセクション）

1. データの保存先はどこですか、EU外に出ますか？EU内に留めれば移転分析を回避できます。EU外へ出す場合は、DPAの付属書に反映される法的メカニズムが必要です。「公開できないです」は不十分です。（下のセクション参照。）

1. 削除フローに期限は設定されていますか？DPAが、特定の人物の削除要求を含めて処理者に削除対応を行うことを法定期限内（Art.17(1); Art.12(3)）で義務付けているか確認してください（以下のセクション）。

1. DPAは各プランに含まれるのか、追加料金なのか、利用不可なのか。これはコンプライアンス上の重要項目です。Gathmoでは、イベント単位プランで申請によりDPAを利用でき、B2B Studio、Agency、Enterpriseプランには含まれます。つまり1回開催でもサブスクリプションでも契約ルートは確保されています。

項目1で失敗すればそれ以外は無意味です。一方、1を合格して3・4・5で引っ掛かれば、署名前に示せる具体的で引用可能な欠陥ができます。調達レビューで理想的な立場はまさにそれです。

サブプロセッサー：DPAに隠れた不意打ちのポイント

イベント技術ではサブプロセッサー条項が最も重要な点を隠しがちです。写真共有プラットフォームはほとんど自前で全部を行わず、クラウドストレージ、メディア処理プロバイダー、メール/SMSサービス、AIモデレーションなどを利用します。各社が参加者データにアクセスするサブプロセッサーであり、GDPR第28条(3)(d)により同等の義務連鎖が必要です。「条項があるか」だけでなく、次の2点も確認します：

その業者は誰で、どこにいるのでしょうか？　名称付きのサブプロセッサーリストが、分析を進める鍵になります。EU圏外の業者がチェーン内にいるからといって自動的に失格になるわけではありませんが、転送ルールが適用されるポイントです。サブプロセッサーを公開する事業者は地図を渡してくれます。公開しない事業者は、実質的に“見えないまま署名”を求めていることになります。

使用するスタックが、想定していない厳格な規制枠組みに引き込むことはないでしょうか。これが顔認識の罠です。顔の写真は自動的に機微情報になるわけではありません。考慮事項51は、画像が生体情報になるのは「特定の技術的手段で処理され、自然人の一意な識別や認証を可能にする場合」に限ると明示しています。

参加者をグループ化したり「自分の全写真を見つける」を実現するためテンプレートを作成する顔認識エンジンは、ある人物を一意に特定する目的で生体データを処理します。これはGDPR第9条1項で原則禁止され、特定の例外（通常は明示的で個別の同意）を除き許可されません（GDPR第9条1項、趣旨51）。この市場の複数ツールは顔認識による写真検索を前面に出していますが、従業員を対象にした企業イベントでは、そのサブプロセッサーが貴社の写真コレクションを第9条処理へ変えて、意図していなかった明示同意義務を生じさせます。

サブプロセッサーリストは、データのカテゴリが静かに上位へ移行していないかを確認する場所でもあります。

データがどこにあるか：DPAが前提とする「データ居住地」の問い

DPA（データ処理契約）だけではデータがどこにあるかは分かりません。DPAは関係性を規定するもので、処理場所という事実は別途確認する必要があります。そしてそれが、適用される移転制度の範囲を決めます。EU外への移転は、適切性決定（第45条）または標準契約条項（第46条）など適切な保証がある場合にのみ合法で、執行可能な権利と救済が必要です（GDPR第45条、第46条2項(c)）。EU-US DPF適合性決定（2023年7月採択）は2026年中頃も有効であり、DPF認証を受けた米国事業者への移転は可能です。ただしリスクがゼロではなく、SCCと移転影響評価は依然として安全側の選択肢です（CJEU C-311/18 Schrems II、欧州委員会DPF適合性決定2023）。

最も明確な回避策は、そもそもこの論点を発生させないことです。データをEU内に保てば、移転評価は不要になります。ここでイベントテック市場は明確に分岐します—2026-06-08時点で公開情報として確認できた各プロバイダー情報のみを比較します。

• 主要ツールの中には明確に米国拠点のものがあります。GuestCamはデータが米国クラウドにありEUオプションなしと明示し、Kululuは主要コンテンツを米国のGoogle Cloud（Firebase）サーバーに保存、Fotifyはデラウェア州の米国法人が運営しています。
• EU内でホスティングされている小規模なリストもあり、その点は明確です。EventPics（オーストリア企業、EU地域でのホスティング）とJoinMyMoment（ドイツ、フランス、AWSフランクフルトのEU/EEA下位処理業者）ではEU居住を明示しています。
• データの保存場所を明確に示さないツールもあります。これは自体が警告サインで、空欄のままではDPAの移転条項を埋めることができません。

Gathmoはまさにこのチェック向けに設計されています。主要データベースはフランクフルトに置かれ、EU内のオブジェクトストレージとコンピュートを使用し、独自の処理業者とのDPAを備えます。EU居住はバッジではなく、命名されたデータセンター所在地という検証可能な証拠で示されます。ただし注意点として、欧州サーバーを謳う業者は多いので、調達チームが確認すべきは「検証可能な証拠」と署名済みDPAであり、宣伝文句だけではありません。

削除条項：期限付きの権利

DPAの義務の中で最も現場でチェックされやすいのは削除です。権利主体には削除権があり、期限が明確だからです。第17条(1)では、必要性がなくなった場合や同意が撤回され他の法的根拠がない場合など、基準が当てはまれば無期限の遅延なく削除を求められます。第12条(3)では、受領後1か月以内（遅くとも1か月）に対応、複雑または多数のリクエストの場合は原則2か月延長可能で、延長は最初の1か月内に通知する必要があります（GDPR Art.17(1); Art.12(3)）。

DPA（データ処理契約）では2つ確認します。まず、契約で、一定の人物からの削除依頼を含めた削除要請に対し、法定期間内に削除支援・実施することを処理者が義務付けられているか。これが第28条3項(e)の具体化です。これを直接確認し、文書で入手してください。次に、委託終了時に全データの削除または返却が定められているか（第28条3項(g)）。GathmoではGDPR準拠の削除要請はモデルの一部であり、全プランで法定期限内に実施されます。さらに、データは1つの管理済みギャラリーに集約されるため、1か月以内の削除依頼も、電話や共有ドライブをまたいでバタつく対応ではなく、1回の操作で完了します。

既定の代替案、つまりWhatsAppグループ、共有ドライブ、または個人的なメールの連鎖でイベント写真を集める方法については最後に触れておきます。この方法は堅実なDPA（データ処理契約）を持ちません。そもそもDPA自体が存在せず、契約するプロセッサーも、サブプロセッサー一覧も、保存期間の定義も、削除ルートも、監査証跡もありません。（チャット内の参加者からも不評です：News.com.au がグループチャットの不安と通知疲れについて報告.com.au group-chat anxiety report](https://www.news.com.au/lifestyle/health/mental-health/why-your-group-chat-is-making-you-anxious/news-story/b9e9ce4805f6e48598646e665bac10da), 2024）。都度その場しのぎで集める方法ではDPAレビューを通れません。なぜなら、確認できるものが何もないからです。