GDPR準拠のビデオ会議(2026年):実際に必要なこと(そして翻訳する Zoom の代替)

ビデオプラットフォームのホームページにある「GDPR準拠」という言葉は、ほとんど中身がありません。GDPR は合格すれば取得できる認証ではなく、データ管理者であるあなたに課される義務の集合です。ベンダーはその履行を助けることもあれば、黙ってあなたの机の上に残すこともあります。本当に必要な問いは「このツールは GDPR に準拠しているか?」ではありません。「このツールを使うと、私は何に責任を負うことになり、ミーティングのデータは実際にどこへ行くのか?」です。

🔒 更新 — 私たち自身にも同じ検証を行いました。 この記事の公開後、InterMIND 自身のコードベースを下記のチェックリスト全体に照らして確認し、消去、保持、EU での実行、サブプロセッサーのすべての項目を解消しました。ページ上の主張ではなく、コードに照らして検証しています。→ 監査完了レポートを一行ずつ読む

この記事は、その問いを平易な言葉で整理したものです。DPO(データ保護責任者)が実際に確認するチェックリスト、その中での Zoom の位置づけ(世間のイメージより準拠対応力は高いので、公平に扱います)、そして EU 内で実行される代替サービスが答えをどう変えるかを取り上げます。「リアルタイムのミーティングはどうあるべきか」という全体像は総合ガイドをご覧ください。この記事が扱うのは、データ保護の層に限った話です。

平易な言葉でのチェックリスト

マーケティングの言葉を取り除くと、「GDPR準拠のビデオ会議」は実際に検証できる7つの項目に集約されます。

署名済みの DPA。 ベンダーをあなたの処理者と定め、目的と指示を文書化したデータ処理契約(Data Processing Addendum)です。DPA がなければ適法な処理は成り立ちません。それがすべてです。
実態のあるサブプロセッサー一覧。 ミーティングのデータに触れるすべての第三者(文字起こし、ストレージ、メール、分析、AI 機能など)について、役割と所在を明記したものです。
実行時にデータが処理される場所。 音声、文字起こし、録画、メタデータが扱われる物理的なリージョンです。データレジデンシーに関する条項の多くが実際に問題にしているのはここです。
国際移転の仕組み。 データが EEA の外に出る場合、法的根拠は何か。標準契約条項(SCC)、十分性認定、あるいは移転そのものを避けるレジデンシー構成のいずれかです。これは Schrems II の問題であり、ホームページに「準拠」と書いてあっても消えません。
監査可能なセキュリティ体制。 ISO 27001、ISO 27701、SOC 2 など、自己申告ではない第三者の証明です。
データ主体の権利への対応ツール。 ミーティングデータについて、開示、削除、ポータビリティの請求に実際に応じられるのか、それとも理論上だけなのか。
自分で管理できる保持と削除。 録画、文字起こし、AI 要約を、ベンダーの既定ではなくあなたのスケジュールで削除できること。

7項目すべてに具体的な答えがあって初めて、そのツールはあなたにとって「GDPR準拠」だといえます。ほとんどのホームページは、そのうち1つにも答えていません。

Zoom の実際の立ち位置(公平に)

Zoom は評判よりも GDPR への対応力が高く、安易に得点を稼ぐより、その点を正確に押さえておく価値があります。

2021年版の EU 標準契約条項を組み込んだグローバル DPAを公開しています。
Enterprise と Education のお客様向けに、Meetings、Webinar、Chat、Phone、Contact Center を対象としたEU データレジデンシー(「Zoom EU Infrastructure」)を提供しています。
ISO 27001 に加え、2026年2月時点で ISO 27701(プライバシー管理の拡張規格)を取得しており、EU の公共部門向けソブリンティ統制も公開しています。

したがって、適切なプランで正しく設定された Zoom の導入であれば、チェックリストの大半を満たせます。率直な留意点は、機能ではなく既定値と拠点に関するものです。

EU レジデンシーはプランと設定によるアドオンであり、既定ではありません。 Enterprise と Education で提供され、有効化が必要です。無料プランや下位の有料プランでは利用できません。「Zoom を使っている」ことと「EU レジデンシー設定の Zoom を使っている」ことは、調達上は別の事実です。
Zoom は米国に拠点を置く企業です。 SCC と EU レジデンシーがあっても、ベンダーの本社所在地は、CLOUD Act やソブリンティ水準の評価では対象になります。通常の GDPR であれば SCC で対応できますが、フランスの souveraineté numérique や SecNumCloud 水準の調達では、本社所在地そのものが基準の一つになり、話は難しくなります。
ミーティングは依然として1つの言語で行われます。 Zoom の翻訳字幕や AI Companion は役に立ちますが、参加者全員がライブで自分の言語で聞くという意味では、ミーティングの場そのものは多言語になりません。コンプライアンス上の課題が言語の課題でもある場合(国境を越える監査、複数拠点にまたがる CAPA レビューなど)、データがどこにあっても、その隔たりは解消されません。

要点はこうです。Zoom は設定すれば GDPR に準拠できます。それで十分かどうかは、買い手がソブリンティにどこまで敏感か、そしてミーティングが多言語かどうかで決まります。

チェックリストにおける InterMIND の位置

InterMIND は、ホストがチームやクライアントのために用意する、それぞれが自分の言語で過ごせるスペースです。ミーティング、チャット、ファイル、リキャップが含まれます。上記のチェックリストには設定作業ではなく既定の状態で答えています。約束ではなく構造として担保しているのはミーティングがどこで動くかという点で、DPO 向けに一行にまとめると、本番環境に照らして検証済みの次のとおりです。

実行時のすべての経路が EU 内にあります。 アプリとサーバー API はフランクフルトの Vercel(fra1)、ミーティングの WebSocket サーバーはパリの Fly(cdg)、アプリケーションデータは AWS フランクフルト(eu-central-1)の Neon Postgres、録画は EU に固定できる Tigris、エラーとアナリティクスは Sentry EU と PostHog EU、トランザクションメールはアイルランドの Resend です。
翻訳エンジンは、フランス(OVH)にある自社開発のコードです。 再販している米国の汎用モデルではありません。ミーティング内容の最大の流れは EU 内にとどまり、第三者の LLM には一切触れません。ドキュメント翻訳は、同じく EU 企業のケルンの DeepL に送られます。
企業の所在地まで記載したサブプロセッサー一覧は、DPA に標準で付属します。 依頼があって初めて出すのではありません。

ミーティングの内容が渡る AI ゲートウェイは1つで、EU 内にあり、選ぶのは組織です。 言語モデルを必要とする、ミーティングから派生するすべての処理(ミーティング後の AI ダイジェスト(トピック、決定事項、action items)、ドキュメント要約、AI ノートエディターの生成アクション(修正、拡張、簡略化)、Ask AI)は、組織が選択した AI ゲートウェイ上で動きます。既定は EU Data Zone の Azure OpenAI で、選択により EU マルチリージョンエンドポイントの Vertex AI、またはフランクフルトの Amazon Bedrock も使えます。いずれも自社のテナント内で、データ保持ゼロ、お客様のコンテンツでの学習なしです。独自の OpenAI 互換エンドポイントも使えます。ミーティング後の要約とエディターの翻訳アクションは、言語モデルではなく翻訳系統を通ります。ホスト型ゲートウェイの背後にいるベンダーは、EU リージョンを運用する米国企業です。これは隠さずトラストページに明記しています。企業の所在地は、GDPR に加えてソブリンティ水準の調達が追加する基準であり、上の Zoom の場合とまったく同じようにこの経路にも当てはまります。ベンダーごとの全体マップはInterMIND のミーティング1回が実際に動く場所に、自社開発と外部調達の観点はInterMIND のミーティング1回は何でできているかにあります。

主張しないこともあります。まだ取得していない ISO 認証を掲げることはしません。チェックリストへの私たちの答えはアーキテクチャです。EU での実行、自社エンジン、透明なサブプロセッサー、実効性のある DPA。バッジを信じていただくより、ご自身で検証していただくほうを望みます。認証はロードマップにあり、実行環境は今日すでに実在します。私たちは自社のコードベースをまさにこのチェックリストに通し、各項目をコードに照らして解消しました。完了レポートを一行ずつご覧いただけます。

そして、Zoom のレジデンシー設定では加えられない部分があります。ミーティングが設計から多言語であることです。全参加者が、23言語にわたって音声、チャット、ノートをライブで自分の言語で利用でき、翻訳品質は主張ではなく公開データで示しています。仕組みは総合ガイドに、規制対象ミーティングでの活用は多言語コンプライアンスミーティングにあります。

表で見るチェックリスト

この記事で詳しく取り上げる2つのツールに対する、7つの項目です。各セルには、各ベンダーが文書で公表している内容だけを記載しています(Zoom は下記の出典にリンク、InterMIND の記述は監査完了レポートとランタイムマップで一行ずつ検証済み)。他のベンダーについては、左の列の項目に書面で答えさせてください。

チェック項目	Zoom(公表内容)	InterMIND(公表内容)
署名済み DPA	2021年版 EU SCC を含むグローバル DPA	DPA。サブプロセッサー一覧が付属
サブプロセッサー一覧	公開あり	DPA に付属。ベンダーごとの企業所在地を含む
実行時のリージョン	Enterprise/Education で EU データレジデンシー。有効化が必要	既定ですべての経路が EU:フランクフルト(アプリ/API/DB)、パリ(ミーティングサーバー)、フランスの自社翻訳エンジン
国際移転の仕組み	SCC	ミーティングデータは EEA 内にとどまる — 取り繕うべき移転がない
監査可能なセキュリティ体制	ISO 27001、2026年2月時点で ISO 27701	ISO 認証は未取得 — 答えはアーキテクチャであり検証可能、認証はロードマップ上
AI 機能とミーティング内容	翻訳字幕 / AI Companion(Zoom の詳細解説を参照)	組織が選択したゲートウェイ上の AI 機能(既定は Azure OpenAI EU Data Zone、Vertex AI EU または Bedrock フランクフルト、独自エンドポイントも可)。データ保持ゼロ、学習なし。組織単位で AI をオフにできる
多言語ミーティング	字幕はテキストを翻訳するが、ライブでは場は1言語のまま	参加者ごとに23言語をライブで:音声、チャット、ノート

FAQ

Zoom は GDPR に準拠していますか? 適切なプランと設定であれば準拠できます。Zoom は2021年版 EU SCC を含むグローバル DPA を公開し、Enterprise と Education のお客様向けに EU データレジデンシーを提供しており、ISO 27001 と(2026年2月から)ISO 27701 を取得しています。率直な留意点は次のとおりです。EU レジデンシーは既定ではなくプランと設定によるアドオンであること、そして Zoom は米国に拠点を置く企業のままであることです。通常の GDPR では SCC で対応できますが、ソブリンティ水準の調達では現実の基準になります。

ビデオ会議ツールが GDPR に準拠しているといえる条件は何ですか? ホームページのバッジではなく、検証可能な7つの項目です。署名済みの DPA、実態のあるサブプロセッサー一覧、文書化された実行時リージョン、適法な国際移転の仕組み、第三者による監査を受けたセキュリティ、機能するデータ主体の権利への対応ツール、そして自分で管理できる保持期間です。7項目すべてに書面で具体的な答えがあれば、そのベンダーはあなたにとって準拠しているといえます。

GDPR は、ビデオ会議を EU 内にとどめることを求めていますか? いいえ。GDPR が求めるのは、データが EEA の外に出る場合の適法な移転の仕組み(SCC、十分性認定)であり、レジデンシーそのものではありません。レジデンシーが意味を持つのは、移転の問題自体をなくせるからです。データが外に出なければ、Schrems II 後の分析は短く済みます。「書類で整えた準拠」と「取り繕うものが何もない状態」の違いはそこにあります。

EU 内だけで動作するビデオ会議ツールはどれですか? どのベンダーにも、ランタイムマップを求めてください。アプリ、API、ミーティングのメディア、データベース、録画、アナリティクス、メール、AI 機能まで、経路ごとのリージョンです。InterMIND はまさにそれを公開しています(すべての経路をベンダーごとに)。Vercel はフランクフルト、Fly はパリ、Neon はフランクフルト、翻訳エンジンはフランスの OVH、AI 機能は組織が選択した EU リージョンのゲートウェイ(既定は Azure OpenAI EU Data Zone)です。どのツールを評価する場合も、答えになるのはマーケティングページではなくマップです。

このガイドが想定するホスト

10〜200人規模の組織のオーナーまたはマネージャーで、チームやクライアントが別の言語を話し、すでに Teams または Workspace を使っており、IT 部門なしでスペースを立ち上げる方を想定しています。そのホストにとっては、チェックリストが既定の状態で満たされ、DPO との話し合いも短く済みます。残る判断は、ミーティングそのものが各メンバーの言語で進むかどうかです。ベンダーの所在地そのものが仕様の一部になる、ソブリンティ水準の公共調達は別の話であり、誇張せずにそう申し上げます。

試して、データマップを読む

ライブデモを試す — 実際のミーティングでライブの多言語パイプラインを体験し、「EU 内での実行かつ多言語」が実際にどう感じられるかを確かめてください。登録は不要です。
InterMIND と Zoom の比較 — 機能ごとに、正直に比較しています。
InterMIND のミーティング1回が実際に動く場所 — ギャップも含めた、ベンダーごとの全体マップです。

「GDPR準拠のビデオ会議」はバッジではなく、チェックリストです。弊社のものでも他社のものでも、どのツールを選ぶ場合でも、7つの質問すべてにベンダーから書面で答えてもらってください。答えられるベンダーは時間をかける価値があり、答えられないベンダーが売っているのはホームページです。

— Mind.com チーム

Zoom に関する出典:Zoom — GDPR、Zoom — EU Data Residency / privacy in Europe、Zoom — ISO 27701、2026年8月確認。ベンダーの提供内容やプランは変更されるため、現在の構成は Zoom のトラストページで確認してください。InterMIND の実行環境に関する事実は、リンク先のデータマップ記事に記載のとおり、本番環境に照らして検証しています。