企業向けGDPRコンプライアンス対応メッセンジャー（2026）：ベンダーが実際に文書化していること
「どのメッセンジャーがGDPRに対応していますか？」という問いに対し、どのベンダーも「当社です」と正直に答えることはできません。GDPRは管理者であるあなたに義務を負わせます：データ処理契約（第28条）が必要であり、データがどこに保存され、第三国にまたがるかどうかを把握し、削除やアクセス要求に対応できる必要があります。メッセンジャーはこれらの義務を満た可能にするか、あるいはそうしないかのいずれかです。ホームページ上のバッジは、それ以上の何ものでもありません。
そこでこのガイドでは、よくあるリストとは異なるアプローチをとります。データ保護責任者（DPO）がいずれにせよ尋ねる6つのチェック項目を取り上げ、12のサービスに適用します。すなわち、企業が実際に業務で使用しているコンシューマー向けメッセンジャー（WhatsApp、Signal、Telegram）、スイスとドイツのビジネス向けメッセンジャー（Threema Work、Teamwire、Wire、Stackfield）、セルフホスト型プラットフォーム（Element、Mattermost、Rocket.Chat）、そして2つの統合ツール（Microsoft Teams、Slack）です。次に、私たちが開発しているInterMINDを、同じ基準と同じ情報収集ルールに基づいて評価します。記述はすべてベンダーの公開ドキュメントに基づいており、2026年8月に確認し、末尾にリンクを記載しています。
これらに加えて、GDPRのリストには決して載らないものの、国際チームにおいて毎日重要となる7つ目のチェック項目があります。それは、各メンバーがチャンネルをどの言語で読むかです。メッセージを元の言語でのみ保存するメッセンジャーは、翻訳の負担を個人に押し付け、さらにはデータを再処理するサービスにも押し付けることになります。
6つのチェック項目
ドイツの連邦データ保護担当官（BfDI）は、メッセンジャーサービスの選択基準を公表しており、これは最も実用的な公的基準です。彼らはエンドツーエンド暗号化を「送信者のデバイスで暗号化され、受信者のデバイスでのみ再度復号される」メッセージと定義し、アドレス帳へのアクセス、プロフィールの公開設定、既読表示、利用状況分析、エラーレポートなどのプライバシー設定をリストアップし、データが「直ちに削除される」場合のアカウント削除を要求しています。企業利用においては、第28条の義務がさらに加わります。これらを合わせると以下のようになります。
- データ処理契約（DPA）。 ベンダーはこれを提供しているか。そして、それがドキュメントに記載されているか。
- 事業主体とサーバーの場所。 契約相手はどの会社か、データはどこに保存されているか、第三国への移転はあるか。
- 暗号化。 エンドツーエンドか、それともトランスポート層およびサーバー側か。どちらも正当ですが、明示されている必要があります。
- メタデータとアドレス帳。 アドレス帳はアップロードされるか。どのような利用状況およびデバイスデータが収集され、誰と共有されるか。
- 削除と保持。 履歴はどこに存在し、誰が削除し、従業員が退職した場合はどうなるか。
- サブプロセッサー。 それらは公開されているか（AI機能や翻訳に使用されるサービスを含む）。
さらに7つ目：メンバーごとの言語。
