GDPRはEUが立案した規則の集合体で、個人データを保護する方法と、データの健全性に責任を持つ担当者を定義する。EUの法令なので、EU28カ国の加盟国のデータに対処する規則だと思い込みがちだ。そのこと自体は事実だが、この規則はデータの取得元に限定されない。GDPRは、データの所有者と管理者、管理にまつわる責任が重要になる。企業がEU域外に拠点を置き、そこに深く根ざしていたとしても無関係な話ではない。企業にEU域内の顧客や会員などの関係者がいて、その個人データを集めているなら、GDPRの短期集中講座を受けたほうがよい。

　例えば、企業が米国ネブラスカ州ブロークンボウを拠点としても、オーストリアのバートアウスゼーの方が事実上の距離は近いかもしれないという意味で、多くの企業にとって“距離感”という認識は弱まりつつある。いまや、世界経済の結び付きは強くなり、その商圏は重なり合って、1つの巨大なグローバル経済を形成している。そのため、地域の境界や国境も古くさい考え方になっている。こうした混沌（こんとん）とする現状の商業界に自社が少しでも関わっているなら、GDPRを理解しなければならない。

実際には素晴らしいGDPR

　あらゆる経験が人を強くする。GDPRもその一例かもしれない。GDPRは、最終的にはストレージ担当者にとって希望の光になる可能性がある。とはいえ、新しい規則と規制の条項は恐れを抱かせるものが多く、良い面に目を向けることは難しい。

　この規則の幅広さと細かい定義を考えると、EUはWorld Wide Webを支配しようとしているように思える。そこまでではないとしても、この乱れたWebの世界に少なくとも何らかの秩序と責任をもたらそうとしている印象を受ける。ストレージ担当者には多くの課題が突きつけられている。しかし、これを克服すれば、非常に優れたストレージ管理とデータ管理のシステムが生み出される可能性がある。

規則、規則、規則

　この新しい規則に準拠することは、大半の企業には難しいが、回避策はない。ストレージやデータの管理方法が根本的に変わる可能性がある。企業の組織自体が変わることになるかもしれない。ストレージ、セキュリティ、ネットワークなどのITチームがこれまで以上に密接に連携することを求められる。

　インフラやプロセスに起こり得る結果や影響について理解を深めることはできる。GDPRの重要な規定の幾つかに詳しく目を通せばよい。そのうちの幾つかが、恐らくストレージシステムや管理に加えて、保護、収集、保持に関する重要な概念に影響することになる。

データ保護については防衛的になる

　GDPRではデータの保護に関する具体的な要件を詳しく定めている。同時に、データ保護に関連するプロセスの文書化に関する基準も定めている。データ保護の規定では、「by design and default」（仕様として、かつデフォルトで）という表現を使用している。これは、顧客データの保護は任意ではなく、デフォルトで必ず実施しなければならないことを意味する。

　データを保管するときに暗号化していないストレージ管理者は、GDPRの施行によってデータの暗号化に着手することになる。個人データの場所とその使用方法を絶えず通知する、という非常に高度なデータ管理も必要になる。その結果として、個人データを保護していることを保証できる。セキュリティ担当者やネットワーク担当者と真剣な議論をする準備も必要だ。こうした議論を通じて保護の取り組みを調整し、さまざまな手法を用いて相互補完することになる。

　個人データを保護する手段が何らかの形で失敗し、データ侵害によって個人データが漏えいする結果になった場合についても、データ漏えいから72時間以内に通知を実施することがGDPRで規定されている。

許可されたデータの収集

　近年ではビッグデータという考え方が浸透している。手に入るデータは1ビットたりとも残さずストレージシステムに保管する傾向がある。GDPRは、これをベストプラクティスとしない可能性を示唆している。GDPRでは個人データを保持する企業に対し、そのデータを保持する具体的な理由とデータのユースケースを提示することを要求している。この考え方は、保持するデータ量を実質的に制限する。データを追跡できなくなる可能性もある。ありとあらゆる情報を保存する現状では、相当な規律が必要になるだろう。さらに、保持すべきデータとそうでないデータを把握でき、個人データに関する洞察が得られるツールも必要になる。

　EUは、保存するデータを適切に管理するために、データ分類アプリケーションを使うことを強く推奨している。

　GDPRの他の条項に従うためにもデータの分類は不可欠だ。例えば、顧客、会員、ユーザーは、いつでも自身のデータの消去を要求できる。顧客やユーザーが数千人、さらには数百万人もいる場合に、効率的でインテリジェントなデータ管理を導入していなかったらどうなるだろう。消去すべき特定のデータの場所と構成要素を全て見つけ出すのは大変な作業になる恐れがある。

　データポータビリティーに関する条項もある。この条項では、別の組織や企業に提供できる形式でユーザーが自身のデータを企業から取得することを許可している。データ管理ツールはこうしたことも実現可能にする。

出口の先に見える光

　企業がGDPRの影響を受けるとしても――それどころか驚くほど多くの企業が影響を受けることになるが――GDPRの要件を満たせば最後には報われる可能性がある。GDPRに準拠することは、自社のデータの管理と整備を改善する良い機会になる。データを分類し、タグ付けできるようになる。特定のデータを素早く見つけられる検索ツールも導入することになるだろう。適切に定義されたアーカイブと、データ消去ポリシーも整備することになる。そしてやがては、GDPRを乗り切ることになるだろう。