スタッフ向けのGDPR研修:英国法とICOが期待していること

データ保護の研修は、多くの企業が「GDPRの要件」と考えているものです。法律はそれほど直接的ではありませんが、ICOの期待は具体的です。これは英国のGDPRとICOが 2026年10月19日に引用した内容であり、legislation.gov.uk と ico.org.uk から引用されています。ICOはこれらのページがデータ(使用およびアクセス)法の施行後に見直し中であると指摘しています。これは要約であり、法的助言ではありません。

主なポイント

• 単独で「全スタッフを訓練する」という記事はありませんが、英国のGDPRのセキュリティ義務により、それが予想されるルートとなっています。
• アクセス前の導入: ICOはスタッフが個人情報を扱う前に研修を期待します。
• 適切な間隔でリフレッシュ;固定番号はない。
• ICOは最低合格点が必要な知識チェックだと述べています。
• 上級管理職、臨時職員、契約社員を含め、全員がそうです。

英国GDPRの規定

第32条第4項は 、コントローラーおよび処理者が「コントローラーまたは処理者の権限の下で行動し、管理者の指示なしに個人データを処理しないよう措置を講じなければならない」と定めています。データ保護担当者がいる場合、 第39条 はコンプライアンスの監視業務として「責任の割り当て、意識向上、処理業務に関わるスタッフの研修を含む」と記載しています。ICOのデータ セキュリティに関するガイド には「適切な初期およびリフレッシュトレーニングを提供すべきである」と記されています。

ICOが入会時に期待していること

ICOの入 社訓練 に関する監査ツールキットは、「従業員が導入研修を受ける前に個人情報の扱いを始めることは、個人データ漏洩のリスクを大幅に高める」と警告しています。これは英国GDPR第5条第1項(f)および第32条に違反する可能性があります。同委員会の期待事項は以下の通りです:

• 「スタッフが個人情報の処理を許可される前に、入社訓練を完了していることを確認してください。」
• 「すべての階級、上級管理職を含む全員に入社訓練の修了を義務付ける。」
• 「ボランティア、臨時、契約スタッフを含む全スタッフに入社研修を実施すること。」
• 「リクエストの処理、データ共有、情報セキュリティ、個人データ漏洩、記録管理」をカバーします。

再訓練と証明

リフレッシャートレーニングについては、「適切な間隔でスタッフにリフレッシャートレーニングを完了させること」と「スタッフが最後にリフレッシャートレーニングを受けた時期を、完全かつ最新の記録を保持して記録する」と記載されています。両ページとも「最低合格点の知識チェックを用いてスタッフの研修理解度を評価する」とも書かれています。

監査人が求める証拠はシンプルで、誰がどのモジュールをいつ修了し、合格したかどうかです。

データ保護スライドをコースに変えましょう

Reigniter既存のデータ保護デッキを短いインタラクティブモジュールに変えます。ナレーション、スライド、そして各ステップに「顧客がデータを求めるメールを送る:あなたはどうしますか?」といった質問があり、間違った回答には分岐があります。最初のモジュールは無料でリンクで共有されます。有料プランでは、学習者がサインインし、合格点を設定し、各人の成績と証明書(ICOが説明する記録)を確認できます。LMSなしのトレーニングを参照してください。

火災安全、ディスプレイスクリーン、手動取り扱い、COSHH、誘導については、 英国の法律で求められる訓練を確認してください。