企業向けGDPR準拠メッセンジャー（2026年）：各ベンダーが実際に文書化していること

「どのメッセンジャーがGDPRに準拠しているか」という問いに、ベンダーが「私たちは準拠しています」と正直に答えることはできません。GDPRが義務を課すのは、データ管理者であるあなた自身です。データ処理契約（第28条）が必要であり、データがどこに保存され、第三国に転送されるかどうかを把握する必要があり、削除やアクセス要求への対応ができなければなりません。メッセンジャーは、こうした義務を履行可能にすることはできますが、それ自体を果たすわけではありません。ホームページのバッジは、それ以上の意味を持ちません。

このガイドは、よくあるリストとは異なるアプローチを取ります。データ保護責任者（DPO）がいずれにせよ確認する6つのチェック項目を、12のサービスに適用します。対象は、企業が実際に使っているコンシューマー向けメッセンジャー（WhatsApp、Signal、Telegram）、スイスとドイツのビジネス向けメッセンジャー（Threema Work、Teamwire、Wire、Stackfield）、セルフホスト型のプラットフォーム（Element、Mattermost、Rocket.Chat）、そして2つのバンドル製品（Microsoft Teams、Slack）です。そして、私たちが開発しているInterMINDも、同じ基準・同じ出典ルールで検証します。すべての記述はベンダーの公開文書に基づき、2026年8月時点で確認済みで、末尾にリンクを掲載しています。

これに加えて、GDPRのリストには決して登場しないものの、国際的なチームでは日々問題になる7つ目のチェック項目が加わります。それは、各メンバーがどの言語でチャンネルを読んでいるかです。メッセージを原文のままでしか保存しないメッセンジャーは、翻訳を個人任せにし、さらにデータを再処理する別のサービスへと押し付けることになります。

6つのチェック項目

ドイツ連邦データ保護監督官（BfDI）は、メッセンジャーサービスの選定基準を公開しており、これが最も使いやすい公的な基準となっています。BfDIはエンドツーエンド暗号化を「送信者のデバイス上で暗号化され、受信者のデバイス上でのみ再び復号される」メッセージと定義し、アドレスブックへのアクセス、プロフィールの公開範囲、既読通知、利用状況の分析、エラーレポートといったプライバシー設定を列挙し、データが「即時に削除される」アカウント削除を求めています。企業利用の場合には、これに第28条の義務が加わります。まとめると次のようになります。

1. データ処理契約（DPA）。 ベンダーはDPAを提供しているか。それは文書化されているか。
2. 契約主体とサーバーの所在地。 契約相手となる企業はどこか。データはどこに保存されているか。第三国への転送はあるか。
3. 暗号化。 エンドツーエンドか、それともトランスポート層・サーバー側の暗号化か。どちらも正当な方式だが、明示されている必要がある。
4. メタデータとアドレスブック。 アドレスブックはアップロードされるか。どのような利用状況・デバイス情報が収集され、誰と共有されるか。
5. 削除と保持。 履歴はどこに保存され、誰が削除し、従業員が退職した場合どうなるか。
6. サブプロセッサー。 AI機能や翻訳に使われるサービスも含め、公開されているか。

これに加えて7つ目：メンバーごとの言語。

実務で使われるコンシューマー向けメッセンジャー

WhatsApp（およびWhatsApp Businessアプリ）

• 契約主体： EEA向けは「WhatsApp Ireland Limited」。
• 暗号化と保存： メッセージはエンドツーエンドで暗号化されている。「当社は、サービス提供の通常の過程においてお客様のメッセージを保持しません。メッセージが配信されると、当社のサーバーから削除されます。」したがって履歴は従業員のデバイスとそのバックアップの中に存在する。
• メタデータ： 収集される情報は「サービスの利用状況に関する情報」、デバイス情報（「ハードウェアモデル、OS情報、バッテリー残量、信号強度」）、そして任意で「デバイスのアドレスブックから定期的に」アップロードされる連絡先情報。データは「米国およびアイルランドのMeta関連会社」と共有され、「全世界」に転送される。
• DPA： アプリのプライバシーポリシーには、企業向けのデータ処理契約についての言及はない（2026年8月確認）。Business版アプリは「中小企業のオーナーを念頭に設計されている」。
• 言語： 2025年9月以降、長押しでメッセージを翻訳できるようになった——翻訳はデバイス上で行われる（「翻訳はデバイス上で行われ、WhatsApp側はその内容を確認できない」）。Androidではチャット全体を自動翻訳できる（提供開始時は6言語）。iPhoneではApple純正の翻訳機能を19以上の言語で使用する。ボイスメモや通話はこの発表の対象外。

Signal

• 契約主体： Signal Messenger LLC（米カリフォルニア州マウンテンビュー）——非営利団体。
• 暗号化： 「Signalはお客様のメッセージや通話の内容を復号することも、その他の方法でアクセスすることもできません。」
• メタデータ： 登録は電話番号で行う。技術データは「サービス運用に必要な最小限」に限定される。
• DPA： Signalの法的文書にはデータ処理契約についての記載はない（2026年8月確認）。
• 言語： 翻訳機能についての記載はない。

Telegram

• 契約主体と所在地： 「Telegram Messenger Inc.」、およびグループ企業として「ドバイに所在するTelegram FZ-LLC」。EU/EEAのユーザーについては「データはオランダのデータセンターに保存される」。GDPR代理人は、ブリュッセルの欧州データ保護オフィス（EDPO）。
• 暗号化： クラウドチャットはサーバー側で暗号化される——「すべてのデータは強力に暗号化されて保存され、暗号鍵はそれぞれ異なる法域にある複数の別のデータセンターに保存される」——エンドツーエンド暗号化されるのはシークレットチャットのみ：「シークレットチャットはエンドツーエンド暗号化を使用する。」
• DPA： プライバシーポリシーに記載はない（2026年8月確認）。
• 言語： 「すべてのユーザーが個々のメッセージを翻訳できる」。Premiumユーザーは「画面上部の翻訳バーをタップすることで、チャット全体、グループ、チャンネルをリアルタイムで翻訳できる」。

これら3つはいずれも、実際にチームが業務で使っているツールである。共通するのは、履歴がデバイスかベンダーのクラウドに帰属し、企業には帰属しないという点、そして第28条が求めるDPAが3社いずれの文書にも記載されていないという点である。

スイスとドイツのビジネス向けメッセンジャー

Threema Work

• 所在地： スイス。ベンダーによれば、EUからスイスへのデータ転送は、追加審査なしで法的に許容される。
• メタデータ： Threema Workは「（電話番号やメールアドレスなどの）個人データを必要としない」、また「アドレスブックへのアクセスなしで利用できる」。
• DPA： ベンダーによれば、Threema Workは「GDPRおよびスイスのデータ保護法（DSG）に基づく、データ管理者に代わるデータ保護準拠処理の要件を満たしている」。
• トライアル： 「30日間、30ユーザー。自動更新なし。」ユーザー単価はページに記載がない。
• 言語： 翻訳機能についての記載はない。

Teamwire

• 所在地： 「ドイツのパブリッククラウド（IONOS、C5認証済み）」、「専用プライベートクラウド」、または「完全オンプレミスホスティング」。「米国ではなくドイツでホスティング」、「EU域外での保存はない」。
• 認証： 「ISO 27001、BSI C5、TÜV認証取得済み」。EU一般データ保護規則、BDSG、BSI ITベースライン保護、NIS-2、DORA、CERが挙げられている。
• メタデータ： 「アドレスブックへのアクセスなし」、「通信内容の分析なし」。
• GDPR： ベンダーは自社を「100％GDPR準拠」と説明している——これは自己申告であり、実際に果たされているかはDPAでケースごとに確認する必要がある。ページに価格の記載はない。
• 言語： 翻訳機能についての記載はない。

Wire

• 所在地： 「クラウド、オンプレミス、またはハイブリッド」。
• 暗号化： MLSプロトコル。「メッセージ、ファイル、通話はデフォルトで完全にE2EE化されている」。ビデオ通話は「最大200人まで参加可能」で、いずれのセッションもエンドツーエンドで暗号化される。
• 認証： ISO 27001、ISO 27701、FedRAMP、FIPS 140-2。
• GDPR： 「GDPRを含む厳格なデータ保護規制に完全に準拠」（自己申告）。ページにユーザー単価の記載はない。
• 言語： 翻訳機能についての記載はない。

Stackfield

• 所在地： 「すべてのデータ処理はEU域内に限定され、データそのものはドイツのデータセンターにのみ存在する」。同社は「ドイツおよびEUの法域にのみ従う」。
• 暗号化： メッセージ、ファイル、タスクに対する「真のエンドツーエンド暗号化」。
• 認証： ISO 27001、BSI C5。
• ミーティング： 音声・ビデオ会議機能を含む。
• 言語： 翻訳機能についての記載はない。

この4社は、所在地と暗号化についてはベンダーとして可能な限り明確に回答している。しかし、いずれも文書化していないのは、ポーランド人、ポルトガル人、ドイツ人の同僚が同じチャンネルをそれぞれ自分の言語で読めるようにする翻訳機能である。

セルフホスト型プラットフォーム

Element (Matrix)

• 暗号化： 「プラットフォーム全体がデフォルトでエンドツーエンド暗号化されている」——音声・ビデオ用のElement Callも含む。
• 運用形態： Communityは無料でセルフホスト。Enterpriseはシート単位・月額課金でセルフホスト。Sovereignは導入単位で、エアギャップ環境。
• 言語： 翻訳機能についての記載はない——エンドツーエンド暗号化のもとでは、サーバー側で翻訳を行う余地がそもそもない。

Mattermost

• 運用形態： ProfessionalとEnterpriseはセルフホストの年間ライセンスで、価格は要問合せ。Mattermost Cloud Enterpriseはシングルテナント提供。
• 言語： Enterprise Advancedにおいてチャンネルの自動翻訳（v11.5以降、ベータ版）を提供。バックエンドは「LibreTranslate：セルフホスト型のオープンソース機械翻訳エンジン」または「Agents：設定済みのLLMバックエンドを用いるMattermost Agentsプラグインを使用」。ユーザーの翻訳先言語は「そのユーザーのMattermost表示言語によって決まる」。翻訳は自社サーバー上で実行される。

Rocket.Chat

• 運用形態： Starterプランは無料で、「セルフマネージド、セルフホスト」、「技術評価用途、または最大50ユーザーの小規模チーム向け」。有料プランはCommercial、Government、Defenseで、オンプレミス、プライベートクラウド、またはエアギャップ環境。価格は要問合せ。
• 言語： ルームごとの自動翻訳——「各ユーザーは自分が選択した言語に基づいて翻訳を受け取る」——DeepL、Google Translate、Microsoft Translator、LibreTranslateのいずれかを利用し、管理者がAPIキーを提供する。したがってメッセージ本文は、選択したプロバイダーへ送信される——自社ホストのLibreTranslateを使う場合を除いて。

Nextcloud Talkも同じグループに位置づけられる。「完全にセルフホストされたオンプレミスの音声・ビデオ・チャット通信サービス」で、ライブ文字起こしと翻訳も自社ハードウェア上で実行される（詳細はチームコミュニケーションツールの比較を参照）。

バンドル製品：Microsoft TeamsとSlack

Microsoft Teams

• DPA： 「Product Termsサイトの条件のもとで製品にサブスクライブする場合、データ処理およびセキュリティの条件はMicrosoft Online Services Data Protection Addendum（DPA）で定義される。」
• 所在地： Teamsのデータは「Microsoft 365またはOffice 365組織に関連付けられた地理的リージョン」に保存される。国単位のレジデンシー（ドイツ、フランス、イタリア、ノルウェー、ポーランド、スウェーデン、スイスなど）は「新規テナントのみ」対象で、既存のEUテナントはEMEAリージョンに留まる。EU Data Boundaryにより、MicrosoftはEU/EFTAに拠点を置く顧客のMicrosoft 365向け顧客データをEU/EFTA域内に保存・処理することを約束している——「限定的な状況」において文書化された例外があり、Multi-Geoを利用する顧客は対象外。
• 言語： チャットおよびチャンネルのメッセージは、リクエストに応じて、または自動的に翻訳される（「Teamsは受信したメッセージを自動翻訳できる」）。対応言語は100以上で、ライセンスの指定はない。ミーティングでは、翻訳字幕の利用には主催者のTeams PremiumまたはCopilotライセンスが必要であり、Interpreterエージェント（10言語対応）には視聴者一人ひとりにCopilotライセンスが必要で、月20時間まで利用できる。詳細：Teamsのライブ翻訳

Slack

• DPA： 「Slackは、Customer Terms of Serviceを補完するData Processing Addendumを提供している」——フォームを通じて締結する形式であり、自動的に適用されるものではない。
• 所在地： **Business+**プラン以上でデータレジデンシーを選択可能：フランクフルト、パリ、ストックホルム、チューリッヒ、ロンドン。対象となるのはメッセージ、キャンバス、ファイル、検索インデックス。対象外はメンバープロフィールと利用状況分析。Freeプランはメッセージ履歴を90日間保持する。
• 言語： **Business+およびEnterprise+**で、メッセージ単位のリクエストに応じて「メッセージを翻訳」機能を利用できる。「翻訳結果は自分にのみ表示され、他の人には常に原文のメッセージが表示される。」

InterMIND

私たちは、すべてのメンバーがミーティング、チャット、ドキュメント、そしてその履歴を自分の言語で読めるコミュニケーション空間を構築しています——そして、これも同じ7つのチェック項目に当てはめて検証します。

1. DPA： 顧客ごとに締結——第28条に基づく処理者条件で、新しいサブプロセッサーの追加は30日前に通知し、侵害発生時は72時間以内に通知する。調達担当者向けに署名済みのコピーを提供している（/legal/dpa）。
2. 契約主体と所在地： 運営主体はエストニアのOÜ（有限責任会社）。ランタイムはすべての経路においてEU域内——音声・チャットの翻訳は自社エンジンによりフランスの専用サーバー上で実行し、ミーティングのオーケストレーションはパリ、データベースはフランクフルト、ストレージと分析もEU域内に保持される。ベンダーごとの詳細な図：InterMINDのミーティングは実際どこで動いているか
3. 暗号化： トランスポート層での暗号化——音声・ビデオはDTLS/SRTP、チャットとファイルはHTTPS/WSSで、自社サーバー上で保管時も暗号化される。エンドツーエンド暗号化は行っていない：翻訳は処理そのものであり、それは第三者ではなく自社エンジン上で行われる。E2EEを何よりも優先するのであれば、Element、Wire、Threemaのほうが適している——私たちは率直にそう伝えている。
4. メタデータとアドレスブック： アドレスブックのアップロードは行わない。参加者はリンクから参加でき、アカウントも電話番号も不要。
5. 削除と保持： 保持基準はプライバシーポリシーに明記されている——データは、お客様またはチームの所有者が削除するまで保持される。アカウントを削除すれば、そのデータも削除される。私たちは自社コードをGDPRの義務に照らして監査し、対応した項目を文書化している：GDPR監査
6. サブプロセッサー： 公開済みで、ベンダーごとの機能と所在地を記載している。外部の言語モデルプロバイダーとして利用しているのは（要約機能のためのみ）ゼロデータ保持条件下のEUプロバイダー1社のみ。ドキュメント翻訳は、名前を明示したEUのサブプロセッサーであるDeepLを経由して行われる。ミーティングの内容が米国拠点のモデルに渡ることはない。
7. メンバーごとの言語： チャットとノートは23言語、ドキュメントは30言語に対応し、すべての参加者がライブの会話をそれぞれ自分の言語で聞くことができる——これはアドオンやリスナー単位のライセンスを必要とせず、ルームの標準動作として提供される。翻訳品質は言語ペアごとに毎月公開している：/benchmark

私たちが主張していないこと：まだ取得していないISO認証。このチェックリストへの私たちの回答は、アーキテクチャに基づくものであり、コード上で検証可能なものです。認証取得はロードマップ上にあります。

全体比較

どのケースにどのメッセンジャーが向くか

• エンドツーエンド暗号化を第一基準とし、翻訳は問わない場合： Threema Work（スイス、電話番号不要）、Wire（MLS、通話含む）、Stackfield（ドイツのデータセンター）、またはElement（セルフホスト、Community版は無料）。
• すべてを自社サーバー上で稼働させる必要があり、対応できる人員がいる場合： Rocket.Chat（50ユーザーまで無料、自社のプロバイダーキーによる翻訳）、Mattermost Enterprise Advanced（自社のLibreTranslateまたはLLMによるベータ版のチャンネル翻訳）、Nextcloud Talk。
• すでにMicrosoftまたはSlackの顧客である場合： 両社ともDPAとEUレジデンシーを文書化している——TeamsはテナントのリージョンとEU Data Boundaryを通じて、SlackはBusiness+以上で。翻訳は読者単位でリクエストに応じて行われ、Teamsのミーティング言語はCopilotライセンスに依存する。
• チームがWhatsApp、Signal、Telegramで業務を行っている場合： これらはプライベートなコミュニケーション用として文書化されたサービスであり、一部はエンドツーエンド暗号化されている——しかしDPAは文書化されておらず、履歴はデバイスまたはベンダーのクラウドに存在し、WhatsAppでは利用状況・デバイス情報が米国のMeta関連会社へ渡る。DPOは、文書が答えていない問いを投げかけてくるはずだ。
• チャンネル自体が多言語である場合——同僚や顧客が3つの言語で互いにやり取りし、自社のライセンスを持たないゲストが参加し、コンプライアンス部門が所在地を明示したいと望んでいるような状況。それこそ、私たちがInterMINDを構築している目的です——すべての経路でEU域内、顧客ごとのDPA、公開されたサブプロセッサー、そしてすべてのメンバーが自分の言語で空間を読める環境。

読むより、実際に見てみる

• ライブデモを試す——登録不要。話しかければ、23言語のいずれかで、リスナーごとに翻訳された室内の音声を聞くことができます。
• ベンチマークを見る——言語ペアごとに、実際のトラフィックに基づく翻訳品質を毎月公開し、手法も公開しています。
• サブプロセッサー一覧を見る——ベンダーごとの機能と所在地を、リクエスト不要で確認できます。

よくある質問

GDPRに準拠しているメッセンジャーはどれですか？

単体でGDPRに準拠しているメッセンジャーは存在しません——義務を負うのは企業側です。確認できるのは、ベンダーがその義務を履行可能にしているかどうかです。DPAが文書化されているのは、Microsoft Teams（Product Terms経由）、Slack（フォーム経由）、Threema Work（ベンダー自己申告：GDPR/DSG準拠処理）、InterMIND（顧客ごと、第28条に基づく）です。TeamwireとWireは自社をGDPR準拠と説明しています。WhatsApp、Signal、Telegramについては、文書にDPAの記載がありません（2026年8月確認）。Element、Mattermost、Rocket.Chat、Nextcloudといったセルフホスト型サービスでは、この問いは自社の運用に持ち込まれることになります。

SignalはGDPRに準拠していますか？

Signalは、エンドツーエンド暗号化（「Signalはお客様のメッセージや通話の内容を復号することも、その他の方法でアクセスすることもできません」）と、必要最小限に限定された技術データについて文書化しています。契約主体はカリフォルニア州のSignal Messenger LLCで、登録は電話番号によって行われます。法的文書には企業向けのデータ処理契約の記載がありません。個人利用と、第28条を満たす必要のある企業利用とでは、状況が異なります。

WhatsAppは業務利用においてGDPRに準拠していますか？

WhatsApp Irelandは、エンドツーエンド暗号化と、配信済みメッセージがサーバーから削除されることを文書化しています——同時に、利用状況・デバイス情報、任意のアドレスブックアップロード、「米国およびアイルランドのMeta関連会社」との共有についても記載しています。プライバシーポリシーには、このアプリについてのDPAの記載はありません。Business版アプリは、ベンダーによれば中小企業のオーナー向けに設計されています。企業でWhatsAppを利用する場合、これらの点について自らDPOに説明できる必要があります。

TelegramはGDPRに準拠していますか？

Telegramは、EUデータがオランダに保存されることを明示し、EU代理人（ブリュッセルのEDPO）を指定しています。クラウドチャットはサーバー側で暗号化され、鍵は「異なる法域にある複数の別のデータセンター」に保存されており、エンドツーエンド暗号化されるのはシークレットチャットのみです。DPAの記載はありません。これは文書化されたデータの状況であって、第28条の意味でのGDPR準拠ではありません。

Microsoft TeamsはGDPRに準拠していますか？

Microsoftは、Product Termsの一部としてDPAを文書化しており、Teamsのデータがテナントのリージョンに保存されること（国単位のレジデンシーは新規テナントのみ対象）、そしてEU/EFTAに拠点を置くMicrosoft 365顧客向けのEU Data Boundary（文書化された例外を含む）についても記載しています。すでにTeamsを利用している企業にとっては十分な基盤となりますが、ミーティングの翻訳機能は、主催者と視聴者それぞれのCopilotライセンスに依存します。

企業向けGDPR準拠メッセンジャーが備えるべき条件とは？

バッジではなく、6つの文書化された回答が必要です：第28条に基づくDPA、契約主体と説明されない第三国転送のないサーバー所在地の明示、暗号化方式の明示、アドレスブックとメタデータに対する管理、従業員の退職に対応した削除方針、そしてAIや翻訳サービスも含む公開されたサブプロセッサーリストです。国際的なチームにとっては、7つ目の観点も加わります：チャンネルを原文のままでしか保存しないメッセンジャーは、翻訳を各メンバー個人に押し付けることになります。

企業向けの無料のGDPR準拠メッセンジャーはありますか？

無料かつセルフホストの選択肢としては、Rocket.Chat Starter（最大50ユーザー）とElement Communityがあります——その場合、GDPRの義務はすべて自社の運用の範囲に入ります。Threema Workは、支払い情報の入力なしで30日間・30ユーザーまで利用できます。InterMINDでは、すべての参加者にとって参加は無料です——アカウントなしでリンクから参加できます——またライブデモは登録不要で、ルームの費用はホストが負担します。

出典：BfDI — メッセンジャーサービスの選定基準（ドイツ語）, WhatsApp — プライバシーポリシー（EEA）, WhatsApp — プライバシーポリシー, WhatsAppブログ — メッセージ翻訳機能の紹介, WhatsApp Businessアプリ, Signal — 利用規約とプライバシーポリシー, Telegram — プライバシーポリシー, Telegramブログ — リアルタイム翻訳, Threema — GDPR準拠メッセンジャー（ドイツ語）, Teamwire — GDPR準拠メッセンジャー（ドイツ語）, Wire — Wire対MS Teams（ドイツ語）, Stackfield — Microsoft Teams代替（ドイツ語）, Element — 価格, Mattermost — 価格, Mattermost — 自動翻訳の設定（ベータ）, Rocket.Chat — 各プラン, Rocket.Chat — メッセージの自動翻訳, Nextcloud Talk, Microsoft — Products and Services Data Protection Addendum, Microsoft Learn — Microsoft Teamsにおけるデータの所在地, Microsoft Learn — EU Data Boundaryとは, Microsoft — Microsoft Teamsでメッセージを翻訳する, Microsoft — Teamsのミーティングと通話におけるInterpreter機能, Slack — Data Processing Addendum, Slack — Slackのデータレジデンシー, Slack — 価格, Slack — SlackのAI機能ガイド。ベンダーは、プラン、所在地、機能、自己説明を随時変更します。最新情報は各社のページをご確認ください。すべての事実は2026年8月に確認済みです。