プライバシーシールドの問題点：プライバシーとクラウド

　プライバシーシールドのフレームワークに関する発表は、業界関係者の多くに、慎重ながらも楽観的な見方で受け入れられている。エンタープライズソフトウェアベンダーのIntralinksでフィールド最高技術責任者（CTO）を務めるダレン・グレニスター氏は次のように語る。「私たちはフレームワークと監視の詳細が発表されるのを待つ間、人権とプライバシーに関する団体から懐疑的な説が出ていることも認識している。そして、その方向性は正しい」

　「グローバルビジネスリーダーを対象に実施した当社の調査では、データのプライバシーという点について、米国は中国やロシアよりも信頼できない国家だという結果が出ている。それから、まだ解決すべき問題点はある。何よりもまず、2015年10月にセーフハーバー協定を無効とした欧州裁判所は、プライバシーシールドが十分なものかどうかを判断しなければならない。十分であると判断された場合は、米国へのデータの移転は欧州の法律の下、合法となる。ただし、米国企業は依然としてコンプライアンス要件を満たすための対応をしなければならない。簡単に言えば、現在のプライバシーシールド協定は米国企業に対して自由に動くための空間は提供しているが、動くための動力は供給していない」

　AccellionのCEOであるヨーゲン・エドホルム氏は、プライバシーシールド協定について、あまり楽観的な見方をしていない。「欧州と米国間のデータ移転に関してセーフハーバー協定に代わる新しい協定の策定は、両者ともに完全に納得するものではないかもしれない。だが、プライバシーシールド協定によって米国企業は厳しいペナルティが課されることもなく欧州の顧客と取引を継続でき、欧州におけるデータのプライバシーに対しても重要な譲歩項目がある。データのプライバシーに対する欧州の態度は変わっていない。「セーフハーバー2.0」と呼ぶ関係者も多いプライバシーシールド協定の異議申し立てが裁判所に対してなされるのは時間の問題だろう。結局、米国と欧州で国家の安全とデータプライバシーのどちらを重視するかについての意見に根本的な違いがある限り、大西洋を渡るデータ移転の実行についての議論は避けられない」

　プライバシーシールド協定は、クラウド管理にも引き続き影響する。Intralinksでグローバルデータプライバシーの責任者を務めるディーマ・フレイジ氏は次のように話す。「企業と企業が利用するクラウドプロバイダーがデータの制御に対して担う責任は、かつてないほど大きくなっている。新しい欧州のデータプライバシールールが採用されれば、この責任は増加の一途をたどる一方で、 企業には新しいルールに従うまで2年間の猶予が設けられている。犯罪に対する罰則は、新しいデータプライバシーに順応できない企業にとって広く公表されるという厳しいものだ」

　「クラウドアプリでデータを作成、アクセス、共有する従業員の数は右肩上がりだ。IT部門から許可を得ている場合もあるが、多くが無許可であるのが実情だ。企業は従業員が使用している具体的なアプリやアプリのデータがどこに保存されているかを知らないことが多い。そのため、企業は規定に適合しない状態となり、多額の罰金の対象となる可能性がある」とNetskopeで市場データ担当バイスプレジデントを務めるジェイミー・バーネット氏は言う。

　バックアップソフトウェアベンダーのCode42で最高セキュリティ責任者（CSO）を務めるリック・オルロフ氏は次のように指摘する。「顧客データを保護するための責任は企業自身が負わなければならない。このような状況が、大規模なポリシーによって包括的な方法で実現されることはめったにない。結局、情報セキュリティという点について言えば、サーバの場所を重視するのは的外れだ」

　「企業の機密情報の大部分は従業員のノートPC、スマートフォン、ワークステーションにある。データセンターから離れてネットワークの末端にデータを保存するというこの動きは、最高情報責任者（CIO）や最高情報セキュリティ責任者（CISO）にとって最大の脅威をもたらしている。データを保護するには、まず企業はネットワークの末端とそこに保存されているデータを保護しなければならない」（オルロフ氏）

　プライバシーシールド協定の進展は、企業、IT企業、クラウドプロバイダーにとって前向きな動きである。だが、プライバシーとデータの保存場所に関する法律および倫理の問題は、今後も議論の対象となり、大きな課題が待ち受けている。そして、これらの企業は、そのことを十分に理解している。「『セーフハーバー1.0』の消滅は、1つの正規のルートが停止した場合に備えて、バックアッププランやオプションを用意しておくのが得策であることを企業に示した。今のところ、企業は代替手段の細部がまとめられている間に、セーフハーバー1.0の無効化に伴う問題を回避するため、欧州から米国への個人データの移転を実現する他の法的な解決方法への転換を既に図っているか、今まさに転換しているところだ」とフリージ氏は語る。