「GDPR」「改正個人情報保護法」を乗り切る“これからの情報保護”の在り方とは：属人的な情報保護に決別し、自動化の世界へ

「GDPR」「改正個人情報保護法」などの新たな法制度に加え、クラウドやモバイル環境の普及で情報保護対策の見直しを迫られている企業は少なくない。何から着手すべきか。

[ITmedia]

　企業の情報保護体制を問う法規制は、一層厳しさを増している。一例が2017年5月に改正された個人情報保護法だ。この改正では、保有する個人情報の件数にかかわらず全ての事業者が対象になるとともに、これまで曖昧だった個人情報にまつわる定義が、より厳密に定義されることになった。

　グローバルにビジネスを展開する企業にとって無縁ではいられないのが、2018年5月に適用開始となる欧州連合（EU）の「一般データ保護規則」（General Data Protection Regulation：GDPR）だ。EU在住の個人に関するデータの保護を求める規定であり、特筆すべきは、万一GDPRに違反した場合の制裁金が高額なことだ。適切な安全対策を実施しなかったり、情報漏えい発生時に速やかに本人や監督機関に通知しなかったりした場合、2000万ユーロまたは前年度売上高の4％のうち、高い額の制裁金が科せられる可能性がある。

　企業はこれまでも、個人情報保護に関する体制を整えたり、個人情報取扱責任者を置いたりするなど、何らかの取り組みをしてきたはずだ。だがオンプレミスでの運用を前提とした従来の保護体制だけでは不十分な要因がある。クラウドサービスやモバイルデバイスの浸透がその一因だ。こうしたIT環境の変化に伴って、データはこれまで以上にさまざまな場所を流動的に動き回ることになり、コントロールが難しくなっている。

　こうした混沌（こんとん）とした状況の中、まず何から着手すべきだろうか。