APIとGDPR：適用範囲、義務、データ保護

HTTPSを使うだけでは、APIがGDPRに適合することにはなりません。適用範囲、処理目的、適法な根拠を確認し、データとアクセスを必要な範囲に限定する必要があります。

適用範囲と適法な根拠

第3条は、EU域内の拠点の活動に関連する処理のほか、一定の条件下で域内の人への商品・サービスの提供や行動監視を対象とします。国籍や欧州居住だけで適用を説明することはできません。同意は第6条の根拠の一つにすぎず、第9条は特別な種類の個人データに追加条件を定めています。

技術対策と説明責任を組み合わせる

利用者の認証は、すべての記録へのアクセス権を意味しません。オブジェクトと操作ごとに権限を確認し、返す項目を最小化して通信を保護します。ログに秘密情報や不要な個人データを残さないようにします。管理者・処理者の役割、保存期間、本人の権利、国際移転を整理します。高いリスクが生じる可能性が高い処理では、第35条に基づく影響評価が必要です。

最新動向：交渉方針と適用法を区別する

EU理事会は2026年10月21日、データ保護規則を含むDigital Omnibusに関する交渉方針を発表しました。交渉権限の承認は最終的な法案採択ではありません。この発表だけで現行の義務が提案中の変更に置き換わることはありません。

侵害への備え

• 処理の文書と対策の実施証拠を更新する。
• 管理者は侵害を認識後、不当な遅滞なく、可能なら72時間以内に監督機関へ通知します。ただし、権利・自由へのリスクが生じる可能性が低い場合を除きます（第33条）。
• 処理者は管理者に不当な遅滞なく通知します。ログも保護し、保存期間を限定します。

出典と適用範囲

• EUR-Lex · GDPR / RGPD · 2016/679 · Art. 3, 5, 6, 9, 25, 28, 32, 33, 35, 44–49
• CNIL · API · 2023
• OWASP · API1:2023 · Broken Object Level Authorization
• Council of the EU · Digital Omnibus · 21 October 2026
• CNIL · Art. 33

編集確認日：2026年10月31日。

{
    "compressed_mb": 2,
    "expanded_mb": 600,
    "aggregate_budget_mb": 100,
    "first_files_valid": true,
    "expected": "stop_on_actual_overrun_and_do_not_promote"
}