キャベラ氏は「Computer Weekly」のインタビューで次のように話している。「GDPRはGDPR以前のデータ保護制度の原則を全て含んでいる。当社には、GDPR以前の制度に対する確立したプログラムがある。だがGDPRでは以前と異なり、企業がプロセスを記録する仕組みや規制への準拠を文書化する方法、それら個々の取り組みをつなぎ合わせる枠組みに重点が移っている」

　「IBMは、データを扱う世界で最も大きな企業の1社だ。38万人の従業員を擁し、多数の独立した事業部門があり、約200カ国で事業を展開している。GDPRに対しても最大級のプログラムを用意している。システムとプロセスを変革し、世界全体でトレーニングと教育を実施してきた。GDPRに対応する体制の整備はできたと確信している。課題もあった。GDPR担当者としての最も大きな課題は、個々の取り組みをつなぎ合わせて、GDPRへの準拠を全従業員に義務付ける一貫した1つの枠組みを確立することだった」（キャベラ氏）

　GDPRがIBMにもたらしたプラスの変化がもう一つある。同社のセキュリティ担当チームとプライバシー担当チームが、データ保護とサイバー脅威に関して以前よりも密接な協力関係を結んだことだ。新たなデータ侵害の通知義務に対応するための、これまで以上に統合されたインシデント対応チームを編成している。

　データ侵害を発見してから通知するまでに与えられる時間は限られている。通知が必要な場合とそうでない場合を正確に判断するため、侵害の本質的な問題と範囲を迅速に理解することが非常に重要だとキャベラ氏は説明する。

　キャベラ氏はGDPRに準拠している根拠を集めるという点で、機械学習が極めて有用なテクノロジーだと考えている。必要な情報の調達を自動化、高速化するのに役立つという。

　「機械学習を用いることで、情報を迅速に探して結び付けることができる。静的な根拠を用意するだけでなく、規制に要求される形で動的に根拠を提示できるようになる」（キャベラ氏）

　IBMは、GDPRの要求に沿ってEU市民の個人データの収集と処理に携わる重要な職務を担当するDPOとして、キャベラ氏を任命した。

　「この役職での私の役割は、GDPRの準拠に必要な行動をチームに助言し、チームを確実にGDPRに準拠させることだと理解している。規制当局と当社の接点となり、規制当局に対して当社がどのように規制に準拠しているかを説明する役割もある。当社は情報を迅速に探して結び付けることができる。静的な根拠を用意するだけでなく、GDPRに必要な形式で動的な方法により根拠を提示できる」（キャベラ氏）

　キャベラ氏は自身の部門が策定したポリシーへの準拠を推進できる世界トップレベルの指導能力が自分にはあると確信している。

　「ビジネスポリシーに関する決定が下される社内の委員会には必ず出席し、当社にどのようなリスクがあるかを訴えている。私の独立した役割が必要となる全体の管理システムが社内にある。IBMの経営陣からの支援もあり、意思決定の独立性を確保するために必要な権限やリソースも提供されている」（キャベラ氏）

　キャベラ氏は、コンプライアンスや監査についての教育やトレーニングを行い、全従業員が規制に準拠して働けるようにすることに重点を置いて取り組んでいる。今では全てのプログラムが適切に立ち上がり、運用されている。一方でキャベラ氏はデータ保護当局との良好な関係構築に重点を移そうと考えている。イタリアのミランにある自身の本拠を出て、世界中のさまざまな国を飛び回るつもりだ。

　IBMが関係するデータ保護当局の中で、EUにおいて最上位に位置するのは英国のInformation Commissioner's Office（ICO）だが、IBMはEU全域に支社があるため、キャベラ氏はできるだけ多くEU加盟国のデータ保護当局と協力関係を築こうと計画している。

　「テクノロジーを扱う企業にとって重要なのは信用だ。信用を得るためにIBMの取り組み内容とその方法、コンプライアンスのプログラムの進展状況を説明することに時間を費やしている。何か問題が起きたときだけでなく、継続的な信頼関係の一環として連絡を取り合えるように努めている」（キャベラ氏）

　IBMのグローバルDPOであるキャベラ氏が、国内でデータ保護を主導するリーダーから支えられているように、こうした信頼関係構築の取り組みは、IBMが抱える世界中のプライバシー保護担当のネットワークと地域当局との既存の関係をさらに緊密にする助けになる。

　DPOはキャベラ氏が現在CPOと兼務する役職だ。この2つの役職は、特にヨーロッパのデータプライバシー保護担当者、係争やEUに関連する事件を担当する主席弁護士、ヨーロッパ、中東、アフリカのコンプライアンス担当者など、IBMにおける法律関連の上級職を監督する立場だ。

　キャベラ氏はDPOの役割についてCPOの役職を補完するものと捉えている。CPOではGDPRでは対象外になる、あらゆるプライバシーとデータポリシーに対して責任を持っている。これはキャベラ氏が世界中のデータ保護当局との関係を深めようとする理由の一つだ。

　「特にブラジルなどの中南米地域やアジア太平洋地域では新たなデータ保護法が増えており、さまざまな変化が見られる。そうした地域の事情に精通し、新たな法律が導入されるあらゆる地域で重要な役割を担っている組織と関わりを持たなければならない」（キャベラ氏）

　IBMにとってプライバシー保護はコンプライアンスに関わるものではなく、良好なビジネスに関わるものだ。すなわち、適切に顧客データを保護し、透明性のあるAI（人工知能）技術の使用を確かなものにするための原則を適切に定めなければならない。

　「テクノロジー企業は、社会のテクノロジーに対する信用に応えるために行動する必要がある、というのが当社の考えだ。GDPRは、企業が変革し差別化するチャンスだとも当社は捉えている」（キャベラ氏）

　GDPRがもたらすもう一つの成果は、企業が自社のビジネスモデルについて考えるようになることだ。確実にそのビジネスモデルに沿うことで、データを収集、保存、使用する効率を高められるようになる、とキャベラ氏は説明する。

　「特定の要件に準拠するだけにとどまってはいけない。データが必要な理由を再検討し、全ての枠組みを再編成する必要がある」（キャベラ氏）

　こうしたアプローチによって、企業は必要なデータだけを収集するようになる。企業の立場からみると、効率が高まるだけでなく、信用を築く後押しにもなるとキャベラ氏は説明する。

　「最終的に、データ管理の複雑さを緩和すれば、コスト削減が進む。AI技術や機械学習の技術は、使用目的に基づいてデータ管理を合理化するのに役立つ」とキャベラ氏は話す。

　企業が収集するデータの内容と目的を理解できれば、「よりクリーンなデータ」が集まるようになる。それはデータ分析や機械学習などのテクノロジーを最大限活用できることにつながる、とキャベラ氏は説明する。

　「調査によれば、データの使い道を考慮せず手に入るデータを全て収集しているため、データサイエンティストはデータの選別や整頓に業務時間の約60％を費やしていることが分かっている。このことからも、AI技術や機械学習の技術を利用できることはビジネス上のメリットになる。革新的な将来の環境で競争力を得ようとするなら、まず将来のテクノロジーを駆使できる立場にいなければならない。それはデータを完全な管理下に置くことを意味する。AI技術の話題がプライバシーを侵害する話になってはいけない。AI技術は透明性と管理に関する問題だ」（キャベラ氏）

課題を上回るビジネスチャンス

　特にIBMのようにリソースが豊富な大企業にとっては、GDPRはビジネス上の課題というよりむしろ、ビジネスチャンスと捉えるべきだ、というのがキャベラ氏の見解だ。

　「中小企業にとってはGDPRが困難な課題になる可能性があるのは事実だ。だがそれ以上に、GDPRはイノベーションを加速させる変革のチャンスであり、企業と個人との信頼関係を再構築するチャンスでもある」とキャベラ氏は話す。

　信頼と革新には直接的な関係があるとキャベラ氏は続ける。「信頼があればデータをより良く利用できるようになり、革新のためにはデータが必要だ。責任あるデータの使用と透明性によって構築された信頼関係は、プライバシー侵害の脅威として捉えられることなく、革新を続ける希望をもたらす。この原則は全てGDPRに含まれている」（キャベラ氏）

　キャベラ氏は以前、経営幹部としてIBM Italyで性別の多様性に向けた取り組みに携わった。現在もIBMの女性職員の意識向上とリーダーシップ開発を支援する育成活動を支援している。この経験が役立ち、IBMと業界のプライバシー保護の分野では、性別のバランスが良好に保たれているとキャベラ氏は考えている。

　「女性がDPOやCPOを務める企業は多い。私がIBMでCPOを務める3人目の女性であり、当社初の女性DPOであることを光栄に思っている」とキャベラ氏は語り、次のように続けた。「IBMでは性別の多様性は単なる願望ではなく、現実になっている」

　キャベラ氏は、女性がテクノロジー企業の役職に就く障壁を取り除くために、業界ができることはまだ残っていると指摘する。その上で、プライバシー保護の技術的な問題に対処できる能力が女性にあることは既に証明されているため、プライバシー保護の分野が女性活躍の場を主導するだろうと続ける。

　「性別や文化の多様性は重要だ。それによって企業はさまざまな角度から物事を理解する能力を持つことができる」（キャベラ氏）

　プライバシー保護は個人の権利に関係する問題を含んでいるため、プライバシー保護のテーマが、技術的な問題と感情および倫理とをつなぎ合わせるとキャベラ氏は信じている。キャベラ氏はこの事実こそが、女性が純粋に技術的な部門の役職よりもプライバシー保護に関連するキャリアに魅力を感じる大きな理由の一つだと考えている。

　女性の技術スキルを養い、実際の障壁や障壁と感じられるものを取り払うことを目的としたプログラムが重要だ。そのようなプログラムを確立しているIBMでは、女性が情報セキュリティ関連の役職で男性と平等に活躍しているのに対し、セキュリティ業界全体で見れば女性の活躍はほとんど実現していない。