2018年施行、EUの個人情報規則【後編】
EUの「一般データ保護規則」（GDPR）、施行日までに確認すべきポイントは
欧州連合（EU）が2018年の施行を目指す「一般データ保護規則（GDPR）」のプライバシー規制により、多くの企業が新たな規則や課題に直面することになる。前編に続き、後編ではGDPRに準拠する準備について解説する。
EUの個人情報保護に関するページ（画像は欧州委員会のWebサイトより）《クリックで拡大》
2018年5月に、EUに住む個人のデータを保護する制度である「一般データ保護規則」（General Data Protection Regulation、以下GDPR）の施行が予定されている。このときから、企業の所在地を問わず、EUに住む個人のデータを扱っている全ての企業にGDPRが適用される。この新たなGDPRのプライバシー規則は、1995年に制定された95/46/EC指令（通称「データ保護指令」）で強化されたデータ保護を刷新して拡充する制度だ。これにより、EUに住む個人のデータを扱っている企業は、その方法を問わず義務が課せられる。個人には自分に関するデータに対してより強い権利が与えられ、国境を越えるデータフローに制限が設けられる。
GDPRを適切に履行して順守しなかった場合、2000万ユーロ（日本円で約22.8億円）または違反した企業の年間総売上高の4％に上る罰金が課せられる恐れがある。前編「違反したら巨額の罰金、EUの『一般データ保護規則』（GDPR）とは」に続き、後編では企業がこの制度に準拠するために、どのような準備が必要かを解説する。
併せて読みたいお勧め記事
EUデータ保護規則についておさらい
パブリッククラウドにデータを預けるリスクとは
欧米間の個人データ移転に関する話題
GDPRに準拠する準備を整える
ソフトウェアベンダーのIntralinksでグローバルデータプライバシーオフィサーを務めるデーマ・フレイジ氏は、新たな規制に備えるための時間が約2年あるとしても、GDPRについては不明瞭な点が多いとして、「多くの人々が心配している。50％を超える人がGDPRによって罰金が課されると実際に信じている。これは、GDPRが非常に複雑な規制であることに起因する」と指摘する。
ESETでセキュリティ研究主任を務めるステファン・コッブ氏は次のように語る。「企業の所在地、ビジネスを行う場所や相手、ビジネスで扱う個人を特定可能な情報を入手する方法、個人を特定可能な情報を処理して保存する場所などの要因を踏まえれば、一般的な企業に対するGDPRの影響は企業によって大きく異なるだろう」
また、同氏は新しい規制への準備について、次のように主張する。「最初のステップは、前述の要因に関連するGDPRの要件を確認することだ。規制の影響が最小限になるのは、ヨーロッパの誰とも取引をせず、ヨーロッパに住む個人に関係する個人を特定可能な情報を全く扱わず、扱う個人を特定可能な情報が米国から決して出て行くことがない場合に限られる。このような規制の影響を評価する際には、GDPRによる個人を特定可能な情報の定義を用いる必要がある。この定義は、米国でなされる個人を特定可能な情報の定義の大半と異なる。また、個人を特定可能な情報の処理に現在使用しているクラウドサービスは、知らないところで個人を特定可能な情報をヨーロッパ内に持ち込んだり移動させたりしている可能性がある点も念頭に置かなければならない」
クラウドでこの新しいGDPRの規制に備える場合も注意が必要だ。クラウドアクセスセキュリティブローカーのNetskopeでマーケティング部門の主任を務めるジェイミー・バーネット氏によれば、クラウドアプリケーションで出し入れするデータに注意を払うことが重要だという。そして、次のように注意を促す。「社内環境にあるアプリケーションを理解することが規制に備える第一歩だ。ただし、その直後に、会社の最重要データの送受信先や保存場所を特定する必要がある。それから、その最重要データが、クラウド内に置くべきでない種類のデータなのかを確認し、そのようなデータがクラウドにある場合はGDPRの要件を満たして適切に保護されているのかを理解しなければならない」
GDPRの施行が迫る中、フレイジ氏は新たな規制に備えるために確認すべきものの多さについて警告する。例えば、新しいベンダーを検討したり新製品を製作したりする際には、プライバシー影響評価を作成する必要がある。ベンダーがGDPRの規制に準拠できるかどうかを厳しく吟味して、準拠する準備ができているかどうかを判断することも重要だ。
最後に、フレイジ氏は、次のように問いかける。「製品やベンダーは個人データを扱うのか。扱うとしたら、どのようなセキュリティを使用するのか。そのセキュリティを実装しなければならない個人データの量はどれくらいか。そのデータが送られる先はどこか。そのデータはどのように保存されるのか。これらの質問に全てに答えを出さなければならない。全体的な視点で見たプライバシー戦略は何か。適切なポリシーと統治体制は備えているのか。従業員はデータプライバシーに関して教育を受けているか。データプライバシーについて認定を受ける必要があるのか。その企業には個人データの処理に特化した従業員が存在する場合、その従業員は、データプライバシーに関して特別なトレーニングを受けているのか」
Copyright © ITmedia, Inc. All Rights Reserved.
この記事の著者
関連記事
新着ホワイトペーパー PR
-
製品資料
[株式会社MatrixFlow] 「物流リソース最適化」ガイド：人員・配車・傭車を出庫依頼の確定前に決めきる -
製品資料
[株式会社キーエンス] なぜRPA導入は頓挫する？ シナリオ作成の壁を乗り越える解決策とは -
製品資料
[株式会社セールスフォース・ジャパン] 「CRMは設計と無関係」は本当か？ PLMとの融合で実現する高速開発 -
事例
[日本ヒューレット・パッカード合同会社] AIエージェントの時代にどう備える？ 「新たな働き手」を支える3要素とは -
製品資料
[日本ヒューレット・パッカード合同会社] “横並びの自動化”から脱却、AI活用で生産性と競争力を高める秘訣
こんなメディアも見られています
TechTargetジャパンに関連する情報をお探しであれば、こちらのメディアもお役に立てるかもしれません。
ベンダーコンテンツ PR
From Informa TechTarget
SpecialPR
アクセスランキング
-
1
法務と開発者で「言葉が通じない」問題 トヨタやソニーが語るOSS管理の真実
-
2
ChatGPTは“検索しまくり”でGeminiは“淡泊”？ データが明かすAIの裏側
-
3
損保ジャパンはなぜ「COBOL」を捨てなかったのか？ 脱メインフレームの真相
-
4
なぜ「全社配布Copilot」は使われないのか？ 失敗に学ぶAI定着
-
5
肥大化した「SFA」の沼 4カ月でBigQuery×AppSheetの新システムを構築した方法
-
6
なぜ「Gemini 4 Argon」は出遅れたのか？ Googleが狙う“逆転のシナリオ”
-
7
「何から始めればいい？」 情報漏えい対策で悲鳴を上げる中小企業のリアル
-
8
ネットワールド、ICカード認証対応のシンクライアント構築アプライアンスを販売
-
9
ノベルティプレゼント「Windows 8 TシャツとOffice クリーニングクロスセット」
-
10
「Wi-Fi 7」経由でWindowsが乗っ取られる？ 最高権限奪取の恐怖
ホワイトペーパーランキング PR
-
1
不審メールの経路や見せ方に変化？ 2026年夏の3事例から見えた動向と対処方法
-
2
家庭用Wi-Fiルーターの業務利用は危険？ 避けるべき理由と具体的な対策
-
3
Microsoft 365を安全に運用 うっかりミスやサイバー攻撃に備えるデータ保護術
-
4
プログラミング不要で誰でも実現できる、ネットワーク運用管理の自動化とは
-
5
財務部門がAIを最大限に活用する方法 無駄のない戦略的リーダーシップへの道
-
6
LLMが兵器化？ 元FBI高官が鳴らす警鐘とセキュリティツール統合のポイント
-
7
なぜRPA導入は頓挫する？ シナリオ作成の壁を乗り越える解決策とは
-
8
HDDを使わない「SSDオンリー」が無謀なのはなぜ？
-
9
「オンプレミス回帰」せざるを得ない“合理的な理由”
-
10
“あのファイル転送”で暗躍するノーウェアランサム
TechTargetジャパン SNS
@techtarget_itmをフォロー
インフォメーション
注目情報をチェック
TechTargetジャパンをフォロー