ステップ3：同意の確保

　GDPRでは、個人データを処理するための幾つかの法的根拠が定義されている。その1つはエンドユーザーの同意だ。同意を法的根拠として個人データを処理する場合、企業は情報管理において、さまざまな自由を享受するとともに、責任を負う。ここで重要なことは、同意を得ることは、エンドユーザーから信頼されていることを意味することだ。

　「管理者に与えられた公的権限の行使」のような根拠に基づいて個人データを処理する場合、基本的に、企業は制限を課されることになる。だが「管理者または第三者によって追求される正当な利益のために必要な場合」のような根拠に基づく個人データ処理は、信頼を損なう行為の一環として捉えられる可能性がある。

ステップ4：信頼を築くためにIAMを利用する

　IoTの世界は、WebやAPIの世界が長い時間をかけて学んだ教訓を、いち早く取り入れているようだ。それは「ユーザー認証や、認証済みのエンドユーザーにアクセスを認可する方法がなければ、セキュリティとプライバシー機能を追加するのは非常に難しい」という教訓だ。

　アイデンティティーおよびアクセス管理（IAM）のインフラは、複数のレイヤーによるアイデンティティー保護の支援を通じて、信頼関係の構築に大きく貢献する。

　データ保護レイヤーは、セキュリティ侵害に対する企業の安全性の土台となる。このレイヤーはアイデンティティーデータのガバナンスを含み、さまざまな小型デバイスやアプリケーションを使用する可能性がある個々のエンドユーザーについて、アイデンティティーデータに関する単一のビューを作成する。

　データ透明性レイヤーは、こうした全てのデバイスやアプリケーションに対して、適切なサービス規約やプライバシー通知の保持、利用に伴う同意内容の証明などができるように保証する。こうした機能を通じて、エンドユーザーが自分の同意した内容を一覧できるようにする。

　データコントロールレイヤーは、エンドユーザーが積極的かつきめ細かく、個人データの共有を開始、監視、停止できるようにする。例えばエンドユーザーは、インスリンポンプ（インスリンを患者の体内に注入する小型機器）のデータや、このポンプの制御機能に医師や介護士がアクセスできるようにすることが可能だ。

エンドユーザーとの信頼関係が肝心

　GDPRは、最も現代的な規制の1つとして長期にわたって存続するよう意図されている。これは、IoTの活用を進める企業にとって幸いなことだといえる。IoTの関連技術やビジネス活用もまた、長期にわたって急速に変化し続けるからだ。

　企業はGDPRに備えるために、データの保護にとどまらず、データの透明性やデータのコントロールも射程に入れる必要がある。顧客データに関する企業の選択は、データ保護責任者の判断だけでなく、ビジネスモデル全体を反映することが重要になっている。今後は、エンドユーザーの信頼リスクへの対処が重要になるのは確実だ。むしろ不可欠だと考える方が適切だろう。