ポーランドではなくアルメニアかジョージアの開発パートナー：EU のフィンテックにとって GDPR、DORA、契約で何が変わるのか

EU のフィンテックにとって、アルメニアやジョージアの開発会社は、ポーランドの会社より契約の作業が多くなる。エンジニアが個人データを見られるなら、契約には標準契約条項などの移転の手段が必要になり、紛争解決条項は現地で執行できる判断につながるものにすべきである。DORA の対象で、そのサービスが重要または不可欠な機能を支えるなら、リスク評価では、その国のデータ保護と法の執行についても問わなければならない。技術面の確認、制裁のスクリーニング、コードの所有権、契約条件の大半は、ポーランドと同じように扱える。

ポーランドの会社と比べて何が変わり、何が変わらないのか

ポーランドは EU に加盟しているが、アルメニアとジョージアは加盟していない。違いの大半はそこから生じる。

• データ：エレバンやトビリシの会社のエンジニアが顧客の個人データを見られるなら、そのアクセスは EU 域外への移転にあたる。ワルシャワからのアクセスはあたらない
• DORA：クリティカルまたは重要な機能を支えるサービスでは、EU 域外の提供者によって、リスク評価に二つの問いが加わる。データ保護についての問いと、その国で法がどれだけ実効的に執行されるかについての問いである
• 紛争：ほかの EU 加盟国の裁判所の判決は、EU のルールによってポーランドで承認される。アルメニアとジョージアでは、裁判所の判決より仲裁判断のほうが執行しやすい
• 登記簿：欧州 e-Justice ポータルは、ポーランドをはじめ EU 各国の商業登記簿を一か所で検索できる。アルメニアとジョージアの会社は、それぞれの国の登記簿に記載されており、一部はアルメニア語やジョージア語で書かれている

それ以外は国によって変わらない。実際に作業するエンジニアに会うこと、コードを書面で自社に譲渡させること、リポジトリとクラウドのアカウントを自社名義にすること、会社とその所有者を制裁リストで確認すること、そして DORA が挙げる契約条件の大半である。

エレバンやトビリシのチームとは、何時間の勤務時間を共有できるのか

IANA のタイムゾーンデータベースによれば、アルメニアとジョージアは一年を通じて UTC+4 のままだ。EU 加盟国は、3月の最終日曜日に時計を進め、10月の最終日曜日に戻す。そのため、エレバンとトビリシは、フランクフルト、パリ、ワルシャワより冬は3時間、夏は2時間進んでいる。

双方が9時から18時まで働くとすると、エレバンのチームがフランクフルトと共有できる勤務時間は、冬は6時間、夏は7時間になる。ロンドンとは冬が5時間、夏が6時間だ。毎日のミーティング、コードレビュー、リリースはこの時間帯に組み、共有する時間帯を契約に書き込む。

契約の前に、エンジニアと日々の作業を率いる人が、自社チームの業務言語を使う様子をビデオ通話で聞いておく。

エンジニアがエレバンからログインするだけでも、データの移転になるのか

個人データを見られるなら、なる。EU 各国のデータ保護当局で構成される欧州データ保護会議（European Data Protection Board）は、ガイドライン 05/2021 で、「第三国からのリモートアクセス（たとえサポート、トラブルシューティング、管理目的などの場面で、個人データを画面に表示するだけであっても）」も、ガイドラインが定める移転の三つの基準を満たせば移転にあたると書いている。エンジニアが開発パートナーのような別の会社で働いていれば、その基準は満たされる。

移転をいちばん簡単に減らすには、個人データをエンジニアの手の届かないところに置くことだ。テストデータやマスキングしたコピーを使い、本番環境へのアクセスは必要なときだけ、記録を残して許可する。データを外に出さずに AI 開発を外部委託する方法についての記事で、その仕組みを説明している。

十分性認定があれば、追加の保護措置なしに個人データをその国へ移せる。2026年10月26日時点で、欧州委員会の十分性認定の一覧には、アルメニアもジョージアも入っていない。両国について通常使われる手段は標準契約条項（SCC）で、欧州委員会が2021年6月4日に採択した、そのまま使える契約条項である。

あなたの指示に従ってデータを扱う開発会社の場合、条項のうち適用されるのはモジュール2、つまり管理者から処理者への移転のためのモジュールである。自社のフィンテック自体が法人顧客のためにデータを処理しているなら、代わりにモジュール3、つまり処理者から処理者への移転のためのモジュールが適用される。この条項に関する欧州委員会の Q&A は、モジュール2を使えば「別途データ処理契約を締結する必要はない」と述べている。GDPR 第28条が求める条件が、すでにその中に含まれているからだ。条項の本文は変更できず、できるのはモジュールと選択肢を選ぶこと、附属書を埋めること、保護措置を追加することに限られる。

契約の前に、双方は「移転先の第三国の法令と慣行」が、その会社による条項の順守を妨げるおそれがないかを評価しなければならない。この Q&A には、データの種類と形式、処理の連鎖の長さなど、検討すべき点も挙げられている。

英国のフィンテックは、代わりに英国 GDPR の下にある。英国の十分性規則は、欧州経済領域の一部としてポーランドを対象に含めているが、アルメニアとジョージアは含めていない。これらの国への移転について、英国の情報コミッショナー事務局（ICO）は、国際データ移転契約（IDTA）と、EU の条項に追加して使う国際データ移転補遺を挙げ、さらに移転リスク評価も求めている。

提供者が EU 域外にあるとき、DORA は何を求めるのか

DORA、すなわち EU のデジタル・オペレーショナル・レジリエンス法は、2025年1月17日から適用されている。対象は、銀行、決済機関、電子マネー機関、投資サービス業者、暗号資産サービスプロバイダー、取引施設、その他の金融機関である。その規則は ICT サービス、つまりこの規則の言い方でのテクノロジーサービスに適用される。開発契約がそれにあたるかどうかは、ローンチ後のサポート、保守、ホスティングなど、契約に何が含まれるかによるので、まずコンプライアンス担当に確認する。

あたる場合、あなたは第28条の言葉どおり、DORA 上の義務について「全面的に責任を負う」ままであり、その契約を情報登録簿、つまり DORA が求める ICT 契約の記録に記載する。第30条は、こうした契約すべてに必要な条件を挙げている。その中には、サービスが提供されデータが処理される国、その場所を変える前の事前通知、そして提供者が破綻した場合や契約が終了した場合のデータの返還が含まれる。ポーランドの会社も、これらの条件を受け入れなければならない。

違いは、クリティカルまたは重要な機能を支えるサービスについてのリスク評価の一部にある。こうした機能とは、障害が起きれば事業やコンプライアンスに深刻な害が及ぶ機能のことだ。そうした提供者であれば、第29条は、適用される倒産法の規定と、「金融機関のデータの緊急の回復」に対するあらゆる制約を考慮するよう求めている。アルメニアやジョージアの会社であれば、それはアルメニアやジョージアの規定になる。さらに「第三国に設立された」提供者については、「EU のデータ保護規則の順守と、その第三国における法の実効的な執行」を考慮することが加わる。

その会社の人員とサーバーがどこであなたのシステムの作業をするのか、そして会社があなたのために働かなくなったら、コードとデータをどうやって取り戻すのかを会社に尋ねる。あなたに有利な判断をそこで執行できるかどうかは、弁護士に尋ねる。提供者がどこにあっても、こうしたサービスの契約には、監査とアクセスの権利、そして移行期間を伴う出口戦略も必要である。

アルメニアやジョージアの会社との契約は、執行できるのか

できる。ただし、契約の前に道筋を決めておく必要がある。その会社に対する判断は、その会社の口座と財産がある場所、通常はその会社の自国で執行しなければならない。

仲裁判断のほうが執行しやすい。アルメニア、ジョージア、ポーランドはいずれも1958年のニューヨーク条約の締約国であり、この条約の下で、締約国はほかの締約国で下された仲裁判断を承認し、執行する。UNCITRAL の締約状況の表によれば、この条約はジョージアでは1994年から、アルメニアでは1998年から発効している。アルメニアは、ほかの締約国で下された仲裁判断と、自国の法が商事とみなす紛争にのみ、この条約を適用する。

裁判所の判決はもっと難しい。EU の中では、ブリュッセル Ia 規則によって、ドイツやフランスの裁判所の判決は、特別な手続きなしにポーランドで承認される。ポーランドは EU を通じて2019年のハーグ判決条約の対象にもなっており、この条約は英国には2025年7月1日から適用されている。ハーグ国際私法会議の締約状況の表によれば、2026年10月26日時点で、アルメニアもジョージアも、この条約にも、2005年のハーグ管轄合意条約にも加わっていない。

したがって、アルメニアかジョージアの会社であれば、仲裁地、つまり仲裁の法的な所在地をニューヨーク条約の締約国に置く仲裁条項について、弁護士に相談する。自国の裁判所の判決がそこでどう扱われるのかも尋ねておく。クリティカルまたは重要な機能については、その答えは DORA が考慮を求めている事項の一部である。

アルメニアやジョージアの会社は、ロシアやベラルーシの会社と比べて制裁のリスクがあるのか

国としてはリスクではない。2026年10月26日時点で、EU 制裁マップ（EU Sanctions Map）には、ロシアとベラルーシに対する EU の制裁体制が示されており、アルメニアとジョージアに対するものは一つもない。英国の制裁体制の一覧と、米国財務省の制裁プログラムの一覧にも、アルメニアやジョージアに対するものはない。

国に制裁体制がないからといって、その国のどの会社も問題がないとは言えない。会社、登記簿に載っている各所有者、代表者、受取銀行を、EU の金融制裁の統合リストで検索し、英国の会社であれば UK Sanctions List でも検索する。2024年7月3日に更新された「制限措置の効果的な実施のためのベストプラクティス」で、EU 理事会は、「所有権の50％以上」を持つ場合に、その事業体はリストに載った者に所有されているとみなしている。そうした事業体への支払いは、原則として、リストに載った者に間接的に資金を提供したものとみなされる。

プロジェクトの各エンジニアがどこから働くのかも尋ね、ロシアやベラルーシから働く人がいる場合は、契約前に制裁に詳しい弁護士の意見を聞く。東欧やコーカサスで会社を選ぶ方法についての記事で、この点についての米国のルールを説明している。

グループに米国の会社が含まれているなら、その会社の所有者とエンジニアがどこに住んでいるかも確認する。2025年4月8日に施行された米司法省のデータセキュリティプログラム（Data Security Program）は、六つの「懸念国」（countries of concern）を挙げており、そこにはロシアが含まれるが、ベラルーシ、アルメニア、ジョージアは含まれない。このプログラムの下では、米国の会社がロシアで設立された提供者に、直前の12か月間で数えて1万人を超える米国人（US persons）の個人金融データへのアクセスを与えられるのは、プログラムのセキュリティとコンプライアンスの要件を満たす場合に限られる。このルールは、こうした会社、あるいは主にロシアに住む人々が50％以上を所有する米国外の提供者にも及ぶ。主にロシアに住むエンジニアも、雇用主が誰であれ、対象者（covered person）にあたる。

どの会社と契約し、その会社が実在することをどう確かめるのか

プロジェクトのエンジニアを雇用している会社と契約する。エンジニアはアルメニアやジョージアの会社に雇われているのに、EU や米国の会社との契約を提案された場合は、コードと権利がどのように一方の会社からもう一方へ、そしてあなたへと移るのかを見せてもらう。

次に、自分で公式の登記簿からその会社を探す。アルメニアでは、司法省の法人登記簿（e-register.moj.am）である。ジョージアでは、国家公共登記庁の登記簿である。ポーランドの会社であれば、欧州 e-Justice ポータルで各国の商業登記簿を検索できる。東欧やコーカサスで会社を選ぶ方法についての記事で、それぞれの登記簿に何が表示され、何と照らし合わせればよいかを説明している。

実在する会社でも、途中で作業をやめてしまうことはある。途中で消えない専任チームについての記事で、そのリスクに備えた確認を扱っている。上で触れた DORA の条件も、この場合にあなたを守る。コードは自社のリポジトリに置き、データは使える形式で返してもらい、乗り換えのあいだは移行期間を設けるということだ。

amBrain はどこに位置づけられるか

このブログを発行している amBrain は、アルメニア・エレバンのソフトウェアエンジニアリング企業なので、この記事のアルメニア側の話は amBrain にも当てはまる。そのサービスには「トレーディングターミナルの開発、注文管理システム、FIX プロトコルによる取引所連携」が含まれる。amBrain は2019年からソフトウェアを作っており、働き方には三つの形態がある：フルデリバリー、専任チーム、あるいはあなたのチームに入るエンジニア。

所有権についての一文はこうだ：「顧客は、プロダクトとコードの完全な所有権を保持する。ただし、私たちの再利用可能なコンポーネントは除く。」amBrain が候補リストに入っているなら、ほかのどの会社とも同じように、上の質問をすること。標準契約条項に署名するかどうか、各エンジニアがどこで働くのか、第30条の条件を受け入れるかどうか、そこでいう再利用可能なコンポーネントがどれを指すのか。

この記事は法的助言ではない。署名する前に、弁護士に契約書を読んでもらう。