GDPR準拠のビデオ会議（2026年）：実際に必要なこと（および翻訳機能を備えたZoomの代替）

ビデオプラットフォームのホームページに「GDPR準拠」と書かれていても、ほぼ意味がないに等しいと言えます。GDPRは合格すべき認証ではありません。あなた（データ管理者）が負うべき一連の義務であり、ベンダーがそれを支援してくれるか、黙ってあなたの机の上に残すかのどちらかです。役立つ問いは「このツールはGDPR準拠ですか？」ではありません。「このツールは私に何を責任として負わせ、私の会議データは実際どこに行くのか？」です。

🔒 更新 — これは私たち自身の課題でした。 本記事公開後、InterMIND自社のコードベースを以下の全項目チェックリストに適用し、各項目をクローズしました — 削除、保持、EUランタイム、サブプロセッサ — すべてページ上の宣言ではなく、コードに対して検証済みです。 → 監査の完了報告書を1行ずつ確認する

本記事は、その問いを平易な言葉で解説したものです。DPOが実際に取り組むチェックリスト、Zoomの立ち位置（公平に見れば、インターネットの噂ほどではないにせよ、GDPR対応能力はある程度備わっています）、そしてEUランタイムの代替がどのように答えを変えるかを扱います。「リアルタイムの会議はどうあるべきか」というより広い視点をお探しの方は、ピラーガイドを参照してください。本記事は特にデータ保護レイヤーに関するものです。

平易な言葉でのチェックリスト

マーケティングを取り除けば、「GDPR準拠のビデオ会議」とは実際に検証可能な7つの要素に集約されます。

1. 署名済みDPA。 ベンダーを処理受託者として明記したデータ処理付属書（DPA）で、目的と指示が文書化されたもの。DPAがなければ、適法な処理は成立しません — 例外はありません。
2. 実態のあるサブプロセッサリスト。 会議データに触れるすべての第三者 — 文字起こし、ストレージ、メール、分析、AI機能 — が名称、役割、そして法人所在地とともに記載されていること。
3. データがランタイム時に処理される場所。 音声、トランスクリプト、録画、メタデータが物理的にどの地域で処理されるか。データレジデンシーに関する条項の多くは、実はこれが実質的な内容です。
4. 国際移転メカニズム。 いずれかのデータがEEAを離れる場合、その法的根拠は何か？ 標準契約条項（SCC）、十分性認定、あるいは移転そのものを回避するレジデンシー設定。これがSchrems IIの問いであり、ホームページに「準拠」と書いてあっても消えるものではありません。
5. 監査可能なセキュリティ態勢。 ISO 27001、ISO 27701、SOC 2 — 独立した第三者機関による認証であり、自己申告ではないこと。
6. データ主体の権利を支えるツール。 会議データに対するアクセス、削除、ポータビリティのリクエストに実際に対応できるか、それとも理論上だけか？
7. 自分でコントロールする保持と削除。 録画、トランスクリプト、AI要約がベンダーのデフォルトではなく、あなたのスケジュールで削除されること。

これら7つすべてに具体的な答えがある場合にのみ、そのツールはあなたの目的において「GDPR準拠」と言えます。ほとんどのホームページはゼロ個しか答えていません。

Zoomの実際の立ち位置（公平に）

Zoomは、その評判が示唆する以上にGDPRに対応できる能力を備えていますし、安易な批判をするより正確に評価する価値があります：

• 2021年EU標準契約条項（SCC）を組み込んだグローバルDPAを公開しています。
• EnterpriseおよびEducationのお客様向けにEUデータレジデンシー（「Zoom EU Infrastructure」）を提供しており、Meetings、Webinar、Chat、Phone、Contact Centerをカバーしています。
• ISO 27001と、2026年2月時点でISO 27701（プライバシー管理の拡張規格）を取得しており、EU公共部門向けの主権コントロールも公開しています。

したがって、適切なティアで適切に設定されたZoom環境は、チェックリストの大半を満たすことができます。正直な注意点は、能力そのものではなく、デフォルトと法人所在地に関するものです：

• EUレジデンシーはティアと設定の追加オプションであり、デフォルトではありません。 Enterprise/Educationで提供され、有効化が必要です。無料ティアや下位の有料ティアには含まれません。「Zoomを使っている」と「EUレジデンシー用に設定したZoomを使っている」は、調達上の異なる事実です。
• Zoomはアメリカに法人登録がある企業です。 SCCとEUレジデンシーがあっても、ベンダーの法人所在地はCLOUD法および主権グレードの評価の対象になります。標準的なGDPRにおいてはSCCで対応可能ですが、フランスのsouveraineté numérique（デジタル主権）やSecNumCloudグレードの調達では、法人所在地自体が基準となり、より難しい議論になります。
• 会議は依然として1つの言語で行われます。 Zoomの翻訳キャプションやAI Companionは役立ちますが、会議全体が真に多言語化されるわけではありません — 参加者全員が自分の言語で会議をライブで聞く状態にはなりません。コンプライアンスの課題が同時に言語の課題でもある場合（越境監査、複数拠点のCAPAレビューなど）、データがどこにあってもそのギャップは解決されません。

要約すると：Zoomは適切に設定すればGDPR準拠になり得ます。それが十分かどうかは、買い手の主権への感度 — そして会議が多言語かどうか — に依存します。

EUランタイムの代替

私たちはInterMINDを、データレジデンシーの答えが設定プロジェクトではなくデフォルトになるように — そして会議が真に多言語になれるように構築しました。上記のチェックリストのうち、約束事ではなく構造的に実現されている部分は会議がどこで実行されるかです。実際のデプロイメントに対して検証した結果は以下の通りです：

• ランタイムのすべてのホップがEU内にあります。 アプリとサーバーAPIはVercelのフランクフルト（fra1）、会議WebSocketサーバーはFlyのパリ（cdg）、アプリケーションデータはNeon PostgresのAWSフランクフルト（eu-central-1）、録画はTigris（EU指定可能）、エラー/分析はSentry EUとPostHog EU、トランザクショナルメールはResendのアイルランド経由です。
• 翻訳エンジンはフランス（OVH）にある自社コードです — アメリカの汎用モデルを再販しているわけではありません。会議コンテンツの最大フローはEU内に留まり、第三者のLLMに触れることはありません。ドキュメント翻訳はケルンのDeepLに委ねています — これもEU企業です。
• 法人所在地の詳細を含むサブプロセッサリストはDPAに標準で同梱されています。 リクエストベースではありません。

会議コンテンツはアメリカに法人登録があるモデルに到達しません。 会議から派生する言語モデルを必要とするものはすべてEUのプロセッサ上で処理されます。会議後のAIダイジェスト（トピック、決定事項、アクションアイテム）はEUホストのMistral上でデータ保持ゼロで実行され、会議後の要約とAIノートエディタは当社のEUエンジンで翻訳され、エディタの生成アクション（修正、拡張、簡略化）も同じEU Mistral上で動作します。アメリカのモデルが依然として関与する唯一の場所は、会議データには一切触れません。当社の公開翻訳品質ベンチマークがFLORES-200の参照文の機械翻訳を評価する場面です — 固定された公開データセットであり、誰かの通話ではありません。ベンダーごとの完全なマッピングは1つのInterMIND会議が実際にどこで実行されるかに、ビルド vs. 購入の視点は1つのInterMIND会議が何で構築されているかにあります。

私たちが主張しないことが1つあります。まだ取得していないISO認証を振りかざるつもりはありません。当社のチェックリストに対する答えはアーキテクチャベースです — EUランタイム、自社エンジン、透明なサブプロセッサ、実のあるDPA — そしてバッジを信じるより、それを検証してほしいと考えています。認証の取得はロードマップにありますが、ランタイムは今日すでに現実のものです。当社は自社のコードベースをこのチェックリストに適用し、各項目をコードに対してクローズしました — 完了報告書を1行ずつ。

そして、Zoomのレジデンシー設定では追加できない部分について：会議は設計段階から多言語です — 24言語にわたり、参加者全員が自分の言語でライブ参加でき、音声、チャット、ノートが連携し、翻訳品質は主張するのではなく公開しています。その仕組みについてはピラーガイドで、規制対象会議のユースケースは多言語コンプライアンス会議で解説しています。

チェックリストをテーブルで

本記事で詳しく取り上げる2つのツールに対する7項目の比較です。各セルには各ベンダーが文書化している内容のみを記載しています（Zoomのリンクは下記の情報源を参照。InterMINDの記載内容は監査完了報告書とランタイムマップで1行ずつ検証済みです）— その他のベンダーについては、左欄の項目について文面での回答を求めてください。

FAQ

ZoomはGDPR準拠ですか？ 適切なティアと設定であれば準拠になり得ます。Zoomは2021年EU SCCを組み込んだグローバルDPAを公開し、EnterpriseおよびEducationのお客様向けにEUデータレジデンシーを提供し、ISO 27001および（2026年2月以降）ISO 27701を取得しています。正直な注意点は、EUレジデンシーはデフォルトではなくティアと設定の追加オプションであること、そしてZoomはアメリカに法人登録がある企業であることです — 標準的なGDPRではSCCで対応可能ですが、主権グレードの調達では実際の基準となります。

ビデオ会議ツールがGDPR準拠であるために必要なことは？ 7つの検証可能な要素であり、ホームページのバッジではありません。署名済みDPA、実態のあるサブプロセッサリスト、文書化されたランタイム地域、適法な国際移転メカニズム、独立した監査済みのセキュリティ、機能するデータ主体の権利ツール、そして自分でコントロールするデータ保持です。ベンダーがあなたの目的において準拠と呼べるのは、これら7つすべてに文面で具体的な答えがある場合のみです。

GDPRはビデオ会議をEU内に留めることを要求していますか？ いいえ。GDPRはデータがEEAを離れる際に適法な移転メカニズム（SCC、十分性認定）を要求するものであり、レジデンシーそのものを求めているわけではありません。レジデンシーが重要なのは、移転という問いそのものを完全に排除できるからです — データが決して外部に出ない場合、Schrems II以降の分析は簡潔になります。「書類上の準拠」と「補うべき書類がない状態」の違いはそこにあります。

完全にEU内で動作するビデオ会議ツールはどれですか？ 任意のベンダーにランタイムマップを求めてください：ホップごとの地域 — アプリ、API、会議メディア、データベース、録画、分析、メール、AI機能。InterMINDはまさにそれを公開しています（すべてのホップをベンダーごとに）。Vercelのフランクフルト、Flyのパリ、Neonのフランクフルト、OVHフランスの翻訳エンジン、EUホストのMistral上のダイジェスト（データ保持ゼロ）。どのツールを評価するにしても、マーケティングページではなく、マップが答えです。

この記事はどのような買い手向けか

• ドイツの中堅企業（Mittelstand）および規制対象のEUチームが標準的なGDPR DPAを運用している場合：全ホップEU内のランタイムは、ティアのアップグレードやレジデンシー計画プロジェクトなしで、レジデンシーの問いに直接答えます。データが外部に出ない場合、移転メカニズムの議論はずっと短くなります。
• フランスの公共部門およびsouveraineté（主権）グレードの調達では、ベンダーの法人所在地自体が要件の一部になります：これはデプロイメントトポロジーに関するより深い議論であり、過剰に売り込むより正直に取り組みます。
• アメリカ国内およびアジア太平洋地域の買い手：レジデンシーは通常制約ではなく — あなたの地域からのレイテンシーが課題です。異なる問題ですので、お知らせいただければ計画します。

試してから、データマップを読む

• ライブデモを試す — 自分の音声でライブの多言語パイプラインを動かし、「EUランタイムかつ多言語」が実際にどう感じられるかを体験してください。
• InterMIND vs. Zoom — 機能ごとの正直な比較。
• 1つのInterMIND会議が実際にどこで実行されるか — ギャップを含む完全なベンダーマップ。

「GDPR準拠のビデオ会議」とはバッジではなく、チェックリストです。どのツールを選ぶにせよ — 当社であれ他社であれ — ベンダーに7つの問いすべてに文面で答えさせてください。答えられるベンダーはあなたの時間に値します。答えられないベンダーはホームページを売っているだけです。

— Mind.com Team

Zoomに関する情報源：Zoom — GDPR、Zoom — EU Data Residency / privacy in Europe、Zoom — ISO 27701、2026年8月確認。ベンダーの提供内容とティアは変更される場合があります。Zoomのトラストページで現在の設定を確認してください。InterMINDのランタイムに関する事実は、リンク先のデータマップ記事に記載の通り、実際のデプロイメントに対して検証済みです。