コンプライアンス要件を検証

GDPR対象企業の命運を握る「データ保護責任者」というポジション、その任務は？

EUのGDPRは、企業がデータ保護責任者を任命することを求めている。だが、セキュリティのためにデータ保護責任者は本当に必要だろうか。この分野の専門家がコンプライアンス要件を検証する。

公開 2017年12月18日 09時03分

著者

Francoise Gilbert

Greenberg Traurig

[TechTarget]

印刷する Googleで優先するソースとして追加

データ保護責任者は任命すべきか《クリックで拡大》

　欧州連合（EU）の「一般データ保護規則」（GDPR）では、その管轄内でビジネスを営む企業に対し、幾つかの措置を義務付けている。その1つがデータ保護責任者の任命だ。

　GDPRの第37条では、EU市民の個人データを扱う管理業者と処理業者は、2つの条件のいずれかに該当する場合、データ保護責任者を指名しなければならないとなっている。条件の1つは、管理業者または処理業者の中核業務が、その性質、対象範囲、目的から、「大規模なデータ主体を定期的かつ体系的に監視する必要がある」場合。もう1つは、主体が特殊なカテゴリーのデータ、または有罪判決や犯罪に関するデータを大規模に扱う場合である。EU加盟国がこの条件を独自に補完する可能性はあるが、ここではGDPRの要件のみに注目する。

　データ保護責任者（DPO）に関する第29条作業部会のガイドラインは、この第37条を明確に説明している。それによれば、多くの企業はDPOの任命を求められる可能性が高いようだ。では、要件を分析してみよう。

併せて読みたいお薦め記事

GDPRとどう向き合うべきか

GDPRの基礎知識

大規模

　大規模に行われる業務は、特にGDPR第37条の対象になる。このガイドラインによると、業務が大規模に行われているかどうかは、関係するデータ主体の数などによって決まる。関係する人口の数や割合、データの量や範囲、処理の実施期間、永続性、地理的範囲などがその例だ。

　ショッピングカートの管理などの業務を目的としてデータ収集を大量に行うオンラインビジネス、データ分析、アプリケーションは対象になる可能性が高い。ガイドラインに示されている例によれば、個人1人で運営する企業の場合、その唯一の主体が対象になる可能性が高い。

定期的かつ体系的な監視

　もう1つの重要な要素は定期的かつ体系的なデータ収集だ。ガイドラインによると、定期的とは、特定の期間内に特定の間隔で進行または行われること、一定の回数再実行または反復されること、常時または定期的に行われることを意味する。体系的とは、システムに従って行われること、事前に決まった方法、組織化された方法、または整然とした方法で行われること、データ収集の基本計画の一部として行われること、戦略の一部として実施されることを意味する。

　ガイドラインには、インターネット上でのあらゆる形式の追跡やプロファイリング（操作に連動する広告や、接続型デバイスによって生成される情報の収集など）はデータ保護責任者の指名を義務付けることが明記されている。

　大半のオンラインビジネスは、アプリケーションのユーザーを定期的かつ体系的に監視している可能性が高い。ユーザーがサイトを利用し、サービスプロバイダーがそのユーザーのニーズに対応するために必要な相互作用を生み出すには、さまざまなデータの収集が不可欠になる。こうした活動は、購入見込みのユーザーのニーズを理解し、利用者との交流の質を高めるために必要な操作の典型だといえる。

中核業務

　第29条のガイドラインでは、中核業務が「主体の目的を実現するために重要な業務」と定義されている。また、「データの処理が、管理業者または処理業者の業務に不可欠な部分を形成する全ての業務」という定義もある。ガイドラインでは、病院でのデータ処理を中核業務の例に挙げている。病院の業務を運営する上で、データ処理は不可欠だとされている。一方、多くの企業が行う給与処理は中核業務と見なされていない。

　製品設計の向上やサービス強化のためにオンラインユーザーの動向を監視する場合、この監視行動が中核業務に当たるかどうかは、データの目的によって異なる場合がある。例えば、ユーザーの言語を特定するためにユーザーの出身地の識別に限定したデータ収集は恐らく中核業務に当たらない。だが、ショッピングカート情報の収集は、サービス操作に不可欠なので中核業務に当たるだろう。

データ保護責任者は任命すべきか

　実際の定義や例が示されるまでは、データ収集の少なくともある程度の側面が第37条の条件を満たし、データ保護責任者の任命が必要かどうかという問題が浮かび上がるだろう。

　ガイドラインによれば、データ保護責任者は指名でも自主的でも、いったん任命されると、第37条の定義を満たす業務だけでなく、管理業者や処理業者が行う全ての業務の責任者として任命されることになる。従って、その決定には重大な影響がある。

　さらに、不確定要素があり、企業がデータ保護責任者を任命する必要はないと判断する場合、その結論と、そう決めた理由を文書にすることを求められる。これは、説明責任の一部だ。クライアントまたは規制機関の精査に関連する分析を提示する必要がある。

　従って、いかなる場合でも、データ保護責任者の任命は、重要な結果を伴う重大な決定になる。

印刷する

この記事の著者

Francoise Gilbert

Greenberg Traurig

GDPR対象企業の命運を握る「データ保護責任者」というポジション、その任務は？

併せて読みたいお薦め記事

GDPRとどう向き合うべきか

GDPRの基礎知識

大規模

定期的かつ体系的な監視

中核業務

データ保護責任者は任命すべきか

この記事の著者

関連記事

新着ホワイトペーパー PR

瞬時にM365が乗っ取られる――全社員に周知すべき“新フィッシング”の教訓

GDPR対象企業の命運を握る「データ保護責任者」というポジション、その任務は？

併せて読みたいお薦め記事

GDPRとどう向き合うべきか

GDPRの基礎知識

大規模

定期的かつ体系的な監視

中核業務

データ保護責任者は任命すべきか

この記事の著者

関連記事

「GDPR」条文解説、“罰金2000万ユーロ”を科されないためにやるべきことは？

施行迫るGDPR “72時間ルール”に企業が警戒すべき理由

違反したら巨額の罰金、EUの「一般データ保護規則」（GDPR）とは

EUの「一般データ保護規則」（GDPR）、施行日までに確認すべきポイントは

新着ホワイトペーパー PR

瞬時にM365が乗っ取られる――全社員に周知すべき“新フィッシング”の教訓

施行迫るGDPR　“72時間ルール”に企業が警戒すべき理由