2018年施行、EUの個人情報規則【後編】
EUの「一般データ保護規則」（GDPR）、施行日までに確認すべきポイントは
欧州連合（EU）が2018年の施行を目指す「一般データ保護規則（GDPR）」のプライバシー規制により、多くの企業が新たな規則や課題に直面することになる。前編に続き、後編ではGDPRに準拠する準備について解説する。
EUの個人情報保護に関するページ（画像は欧州委員会のWebサイトより）《クリックで拡大》
2018年5月に、EUに住む個人のデータを保護する制度である「一般データ保護規則」（General Data Protection Regulation、以下GDPR）の施行が予定されている。このときから、企業の所在地を問わず、EUに住む個人のデータを扱っている全ての企業にGDPRが適用される。この新たなGDPRのプライバシー規則は、1995年に制定された95/46/EC指令（通称「データ保護指令」）で強化されたデータ保護を刷新して拡充する制度だ。これにより、EUに住む個人のデータを扱っている企業は、その方法を問わず義務が課せられる。個人には自分に関するデータに対してより強い権利が与えられ、国境を越えるデータフローに制限が設けられる。
GDPRを適切に履行して順守しなかった場合、2000万ユーロ（日本円で約22.8億円）または違反した企業の年間総売上高の4％に上る罰金が課せられる恐れがある。前編「違反したら巨額の罰金、EUの『一般データ保護規則』（GDPR）とは」に続き、後編では企業がこの制度に準拠するために、どのような準備が必要かを解説する。
併せて読みたいお勧め記事
EUデータ保護規則についておさらい
パブリッククラウドにデータを預けるリスクとは
欧米間の個人データ移転に関する話題
GDPRに準拠する準備を整える
ソフトウェアベンダーのIntralinksでグローバルデータプライバシーオフィサーを務めるデーマ・フレイジ氏は、新たな規制に備えるための時間が約2年あるとしても、GDPRについては不明瞭な点が多いとして、「多くの人々が心配している。50％を超える人がGDPRによって罰金が課されると実際に信じている。これは、GDPRが非常に複雑な規制であることに起因する」と指摘する。
ESETでセキュリティ研究主任を務めるステファン・コッブ氏は次のように語る。「企業の所在地、ビジネスを行う場所や相手、ビジネスで扱う個人を特定可能な情報を入手する方法、個人を特定可能な情報を処理して保存する場所などの要因を踏まえれば、一般的な企業に対するGDPRの影響は企業によって大きく異なるだろう」
また、同氏は新しい規制への準備について、次のように主張する。「最初のステップは、前述の要因に関連するGDPRの要件を確認することだ。規制の影響が最小限になるのは、ヨーロッパの誰とも取引をせず、ヨーロッパに住む個人に関係する個人を特定可能な情報を全く扱わず、扱う個人を特定可能な情報が米国から決して出て行くことがない場合に限られる。このような規制の影響を評価する際には、GDPRによる個人を特定可能な情報の定義を用いる必要がある。この定義は、米国でなされる個人を特定可能な情報の定義の大半と異なる。また、個人を特定可能な情報の処理に現在使用しているクラウドサービスは、知らないところで個人を特定可能な情報をヨーロッパ内に持ち込んだり移動させたりしている可能性がある点も念頭に置かなければならない」
クラウドでこの新しいGDPRの規制に備える場合も注意が必要だ。クラウドアクセスセキュリティブローカーのNetskopeでマーケティング部門の主任を務めるジェイミー・バーネット氏によれば、クラウドアプリケーションで出し入れするデータに注意を払うことが重要だという。そして、次のように注意を促す。「社内環境にあるアプリケーションを理解することが規制に備える第一歩だ。ただし、その直後に、会社の最重要データの送受信先や保存場所を特定する必要がある。それから、その最重要データが、クラウド内に置くべきでない種類のデータなのかを確認し、そのようなデータがクラウドにある場合はGDPRの要件を満たして適切に保護されているのかを理解しなければならない」
GDPRの施行が迫る中、フレイジ氏は新たな規制に備えるために確認すべきものの多さについて警告する。例えば、新しいベンダーを検討したり新製品を製作したりする際には、プライバシー影響評価を作成する必要がある。ベンダーがGDPRの規制に準拠できるかどうかを厳しく吟味して、準拠する準備ができているかどうかを判断することも重要だ。
最後に、フレイジ氏は、次のように問いかける。「製品やベンダーは個人データを扱うのか。扱うとしたら、どのようなセキュリティを使用するのか。そのセキュリティを実装しなければならない個人データの量はどれくらいか。そのデータが送られる先はどこか。そのデータはどのように保存されるのか。これらの質問に全てに答えを出さなければならない。全体的な視点で見たプライバシー戦略は何か。適切なポリシーと統治体制は備えているのか。従業員はデータプライバシーに関して教育を受けているか。データプライバシーについて認定を受ける必要があるのか。その企業には個人データの処理に特化した従業員が存在する場合、その従業員は、データプライバシーに関して特別なトレーニングを受けているのか」
Copyright © ITmedia, Inc. All Rights Reserved.
この記事の著者
関連記事
新着ホワイトペーパー PR
-
製品資料
[株式会社クレオ] IT部門を“価値創造組織”へ転換 IT管理プロセスの改革で戦略的リソースを確保 -
製品資料
[株式会社クレオ] Excel管理が限界に――ITサービス管理の脱・属人化と運用高度化を実現する方法 -
製品資料
[株式会社クレオ] 西武グループやイオングループも実践 事例に学ぶ「ITサービスデスク業務」改善 -
製品レビュー
[株式会社クレオ] 「使われないITシステム」から脱却 現場が求める業務改善を実現する方法 -
事例
[TXOne Networks Japan合同会社] 工場を止めずにOTの潜在リスクを可視化 事例に学ぶOTセキュリティの第一歩
こんなメディアも見られています
TechTargetジャパンに関連する情報をお探しであれば、こちらのメディアもお役に立てるかもしれません。
ベンダーコンテンツ PR
From Informa TechTarget
SpecialPR
アクセスランキング
-
1
生成AIが普及しても「技術書」を手放せないエンジニアの本音
-
2
「Windows」の不要なファイルを安全に消して容量を空ける方法
-
3
IT業界の女性は9割が10年で消える 人材枯渇を招く“見えない壁”の正体
-
4
世界PC出荷数が20％急減 情シスを直撃するPC先行調達の反動と価格高騰
-
5
脱VMwareか、継続か？ 仮想化ソフト主要6製品の運用管理と統制機能を徹底比較
-
6
なぜ「全社配布Copilot」は使われないのか？ 失敗に学ぶAI定着
-
7
326のIPアドレスで1200超のアクセス AIエージェント関与が疑われる攻撃の中身
-
8
情シスの約8割が転職や退職を意識 調査で分かった“辞めたくなる最大の理由”
-
9
「業務改善とツール活用」に関するアンケート
-
10
損保ジャパンはなぜ「COBOL」を捨てなかったのか？ 脱メインフレームの真相
ホワイトペーパーランキング PR
-
1
不審メールの経路や見せ方に変化？ 2026年夏の3事例から見えた動向と対処方法
-
2
家庭用Wi-Fiルーターの業務利用は危険？ 避けるべき理由と具体的な対策
-
3
システムの保守がモダン化を阻む？ 「変えない判断」から脱却する方法とは
-
4
AI駆動攻撃にどう対抗する？ 超速の攻撃からエンドポイントを保護する方法
-
5
プログラミング不要で誰でも実現できる、ネットワーク運用管理の自動化とは
-
6
なぜRPA導入は頓挫する？ シナリオ作成の壁を乗り越える解決策とは
-
7
東大教授と考える、AI時代の「データ主権」「信頼性」「ガバナンス」の在り方
-
8
Linux初心者でも知らないとまずい「RHEL」「SLES」の違いとは？
-
9
「オンプレミス回帰」せざるを得ない“合理的な理由”
-
10
ランサムウェア攻撃“究極の対策”はこれだ
TechTargetジャパン SNS
@techtarget_itmをフォロー
インフォメーション
注目情報をチェック
TechTargetジャパンをフォロー