説明/参考資料: https://www.eui.eu/Documents/ServicesAdmin/DeanOfStudies/ResearchEthics/Guide-Data- Protection-Research.pdf

データ侵害によって生じるリスクのレベルを評価する際に、関与するデータ処理者の規模を考慮する必要はありません。GDPRによれば、データ侵害とは「送信、保管、またはその他の方法で処理された個人データの偶発的または違法な破壊、紛失、改ざん、不正開示、またはアクセスにつながるセキュリティ侵害」です1。GDPRは、データ管理者およびデータ処理者に対し、データ侵害が自然人の権利と自由にリスクをもたらす可能性が低い場合を除き、72時間以内に関連監督機関にデータ侵害を通知することを義務付けています2。また、GDPRは、データ侵害がデータ主体の権利と自由に高いリスクをもたらす可能性がある場合、データ管理者に対し、影響を受けるデータ主体にデータ侵害を遅滞なく通​​知することを義務付けています3。
GDPRはリスクレベルを判断するための具体的な基準を明示していませんが、前文85において「データ主体の権利と自由に対するリスクの可能性と重大性は、処理の性質、範囲、状況、目的を参照して判断されるべきである」という指針を示しています。また、前文では、個人の識別の容易さ、個人データの特殊なカテゴリ、処理の大規模さ、データ管理者の特殊な特性など、リスクを高める可能性のある要因についても言及しています。したがって、データ侵害によって生じるリスクレベルを評価する際には、これらの要因を考慮する必要があります。
ただし、関係するデータ処理者の規模は、データ侵害がデータ主体に与える影響に影響を与えないため、リスク評価には関係ありません。データ処理者は、データ管理者に代わって個人データを処理する責任のみを負い、データ主体とは直接の関係がありません。データ侵害が発生した場合のデータ処理者の義務は、データ管理者に遅滞なく通​​知し、データ管理者が GDPR に基づく義務を遵守できるよう支援することです。データ処理者の規模は、これらの義務を履行する能力に影響を与える可能性がありますが、データ侵害自体によって生じるリスクのレベルは変わりません。参考： 1：GDPR 第 4 条 (12) 2：GDPR 第 33 条 3：GDPR 第 34 条 : GDPR の 85 番目の説明 : GDPR 第 4 条 (8) : GDPR 第 28 条 これがお役に立てば幸いです。他にご質問がございましたら、お気軽にお問い合わせください。

参考：https://ec.europa.eu/info/sites/info/files/communication-european-strategy-data-19feb2020_en.pdf

GDPRは、データ管理者がデータ処理者に個人データ処理を委託する際に、いくつかの義務を課しています。これらの義務の一つは、管理者と処理者との間の契約またはその他の法的行為において、処理者がGDPRに基づく義務の遵守において管理者を支援することを確実にすることであり、これには個人データ侵害を管轄監督当局、および該当する場合は影響を受けるデータ主体に通知する義務が含まれます1。しかし、これは処理者が管理者の関与なしに監督当局に直接通知できることを意味するものではありません。GDPRは、管理者が監督当局に遅滞なく、そして可能であれば侵害を認識してから72時間以内に通知する責任があることを明確に規定しています2。処理者は、侵害を認識した後、遅滞なく管理者に通知する必要があります3。したがって、処理者に適切な監督当局への直接通知を要求することは、データ管理者がセキュリティ侵害発生時の責任を回避するために頼りにできる措置ではありません。なぜなら、それはGDPRおよび管理者自身の義務に反するからです。オプションA、B、Dは、データ管理者がデューデリジェンスを実施し、アウトソーシングの潜在的な影響を評価し、信頼性が高くコンプライアンスに準拠した処理者を選択したことを示すため、責任リスクを軽減するために実施できる措置です。参考文献：1：GDPR第28条(3)(f) 2：GDPR第33条(1) 3：GDPR第33条(2)