2018年施行、EUの個人情報規則【後編】

EUの「一般データ保護規則」（GDPR）、施行日までに確認すべきポイントは

欧州連合（EU）が2018年の施行を目指す「一般データ保護規則（GDPR）」のプライバシー規制により、多くの企業が新たな規則や課題に直面することになる。前編に続き、後編ではGDPRに準拠する準備について解説する。

公開 2016年08月18日 15時00分

著者

Peter Loshin

[TechTarget]

印刷する

EUの個人情報保護に関するページ（画像は欧州委員会のWebサイトより）《クリックで拡大》

　2018年5月に、EUに住む個人のデータを保護する制度である「一般データ保護規則」（General Data Protection Regulation、以下GDPR）の施行が予定されている。このときから、企業の所在地を問わず、EUに住む個人のデータを扱っている全ての企業にGDPRが適用される。この新たなGDPRのプライバシー規則は、1995年に制定された95/46/EC指令（通称「データ保護指令」）で強化されたデータ保護を刷新して拡充する制度だ。これにより、EUに住む個人のデータを扱っている企業は、その方法を問わず義務が課せられる。個人には自分に関するデータに対してより強い権利が与えられ、国境を越えるデータフローに制限が設けられる。

　GDPRを適切に履行して順守しなかった場合、2000万ユーロ（日本円で約22.8億円）または違反した企業の年間総売上高の4％に上る罰金が課せられる恐れがある。前編「違反したら巨額の罰金、EUの『一般データ保護規則』（GDPR）とは」に続き、後編では企業がこの制度に準拠するために、どのような準備が必要かを解説する。

併せて読みたいお勧め記事

EUデータ保護規則についておさらい

パブリッククラウドにデータを預けるリスクとは

パブリッククラウド利用前に押さえておきたい4つのセキュリティリスク

欧米間の個人データ移転に関する話題

GDPRに準拠する準備を整える

　ソフトウェアベンダーのIntralinksでグローバルデータプライバシーオフィサーを務めるデーマ・フレイジ氏は、新たな規制に備えるための時間が約2年あるとしても、GDPRについては不明瞭な点が多いとして、「多くの人々が心配している。50％を超える人がGDPRによって罰金が課されると実際に信じている。これは、GDPRが非常に複雑な規制であることに起因する」と指摘する。

　ESETでセキュリティ研究主任を務めるステファン・コッブ氏は次のように語る。「企業の所在地、ビジネスを行う場所や相手、ビジネスで扱う個人を特定可能な情報を入手する方法、個人を特定可能な情報を処理して保存する場所などの要因を踏まえれば、一般的な企業に対するGDPRの影響は企業によって大きく異なるだろう」

　また、同氏は新しい規制への準備について、次のように主張する。「最初のステップは、前述の要因に関連するGDPRの要件を確認することだ。規制の影響が最小限になるのは、ヨーロッパの誰とも取引をせず、ヨーロッパに住む個人に関係する個人を特定可能な情報を全く扱わず、扱う個人を特定可能な情報が米国から決して出て行くことがない場合に限られる。このような規制の影響を評価する際には、GDPRによる個人を特定可能な情報の定義を用いる必要がある。この定義は、米国でなされる個人を特定可能な情報の定義の大半と異なる。また、個人を特定可能な情報の処理に現在使用しているクラウドサービスは、知らないところで個人を特定可能な情報をヨーロッパ内に持ち込んだり移動させたりしている可能性がある点も念頭に置かなければならない」

　クラウドでこの新しいGDPRの規制に備える場合も注意が必要だ。クラウドアクセスセキュリティブローカーのNetskopeでマーケティング部門の主任を務めるジェイミー・バーネット氏によれば、クラウドアプリケーションで出し入れするデータに注意を払うことが重要だという。そして、次のように注意を促す。「社内環境にあるアプリケーションを理解することが規制に備える第一歩だ。ただし、その直後に、会社の最重要データの送受信先や保存場所を特定する必要がある。それから、その最重要データが、クラウド内に置くべきでない種類のデータなのかを確認し、そのようなデータがクラウドにある場合はGDPRの要件を満たして適切に保護されているのかを理解しなければならない」

　 GDPRの施行が迫る中、フレイジ氏は新たな規制に備えるために確認すべきものの多さについて警告する。例えば、新しいベンダーを検討したり新製品を製作したりする際には、プライバシー影響評価を作成する必要がある。ベンダーがGDPRの規制に準拠できるかどうかを厳しく吟味して、準拠する準備ができているかどうかを判断することも重要だ。

　最後に、フレイジ氏は、次のように問いかける。「製品やベンダーは個人データを扱うのか。扱うとしたら、どのようなセキュリティを使用するのか。そのセキュリティを実装しなければならない個人データの量はどれくらいか。そのデータが送られる先はどこか。そのデータはどのように保存されるのか。これらの質問に全てに答えを出さなければならない。全体的な視点で見たプライバシー戦略は何か。適切なポリシーと統治体制は備えているのか。従業員はデータプライバシーに関して教育を受けているか。データプライバシーについて認定を受ける必要があるのか。その企業には個人データの処理に特化した従業員が存在する場合、その従業員は、データプライバシーに関して特別なトレーニングを受けているのか」

印刷する