コンプライアンス要件を検証
GDPR対象企業の命運を握る「データ保護責任者」というポジション、その任務は？
EUのGDPRは、企業がデータ保護責任者を任命することを求めている。だが、セキュリティのためにデータ保護責任者は本当に必要だろうか。この分野の専門家がコンプライアンス要件を検証する。
データ保護責任者は任命すべきか《クリックで拡大》
欧州連合（EU）の「一般データ保護規則」（GDPR）では、その管轄内でビジネスを営む企業に対し、幾つかの措置を義務付けている。その1つがデータ保護責任者の任命だ。
GDPRの第37条では、EU市民の個人データを扱う管理業者と処理業者は、2つの条件のいずれかに該当する場合、データ保護責任者を指名しなければならないとなっている。条件の1つは、管理業者または処理業者の中核業務が、その性質、対象範囲、目的から、「大規模なデータ主体を定期的かつ体系的に監視する必要がある」場合。もう1つは、主体が特殊なカテゴリーのデータ、または有罪判決や犯罪に関するデータを大規模に扱う場合である。EU加盟国がこの条件を独自に補完する可能性はあるが、ここではGDPRの要件のみに注目する。
データ保護責任者（DPO）に関する第29条作業部会のガイドラインは、この第37条を明確に説明している。それによれば、多くの企業はDPOの任命を求められる可能性が高いようだ。では、要件を分析してみよう。
大規模
大規模に行われる業務は、特にGDPR第37条の対象になる。このガイドラインによると、業務が大規模に行われているかどうかは、関係するデータ主体の数などによって決まる。関係する人口の数や割合、データの量や範囲、処理の実施期間、永続性、地理的範囲などがその例だ。
ショッピングカートの管理などの業務を目的としてデータ収集を大量に行うオンラインビジネス、データ分析、アプリケーションは対象になる可能性が高い。ガイドラインに示されている例によれば、個人1人で運営する企業の場合、その唯一の主体が対象になる可能性が高い。
定期的かつ体系的な監視
もう1つの重要な要素は定期的かつ体系的なデータ収集だ。ガイドラインによると、定期的とは、特定の期間内に特定の間隔で進行または行われること、一定の回数再実行または反復されること、常時または定期的に行われることを意味する。体系的とは、システムに従って行われること、事前に決まった方法、組織化された方法、または整然とした方法で行われること、データ収集の基本計画の一部として行われること、戦略の一部として実施されることを意味する。
ガイドラインには、インターネット上でのあらゆる形式の追跡やプロファイリング（操作に連動する広告や、接続型デバイスによって生成される情報の収集など）はデータ保護責任者の指名を義務付けることが明記されている。
大半のオンラインビジネスは、アプリケーションのユーザーを定期的かつ体系的に監視している可能性が高い。ユーザーがサイトを利用し、サービスプロバイダーがそのユーザーのニーズに対応するために必要な相互作用を生み出すには、さまざまなデータの収集が不可欠になる。こうした活動は、購入見込みのユーザーのニーズを理解し、利用者との交流の質を高めるために必要な操作の典型だといえる。
中核業務
第29条のガイドラインでは、中核業務が「主体の目的を実現するために重要な業務」と定義されている。また、「データの処理が、管理業者または処理業者の業務に不可欠な部分を形成する全ての業務」という定義もある。ガイドラインでは、病院でのデータ処理を中核業務の例に挙げている。病院の業務を運営する上で、データ処理は不可欠だとされている。一方、多くの企業が行う給与処理は中核業務と見なされていない。
製品設計の向上やサービス強化のためにオンラインユーザーの動向を監視する場合、この監視行動が中核業務に当たるかどうかは、データの目的によって異なる場合がある。例えば、ユーザーの言語を特定するためにユーザーの出身地の識別に限定したデータ収集は恐らく中核業務に当たらない。だが、ショッピングカート情報の収集は、サービス操作に不可欠なので中核業務に当たるだろう。
データ保護責任者は任命すべきか
実際の定義や例が示されるまでは、データ収集の少なくともある程度の側面が第37条の条件を満たし、データ保護責任者の任命が必要かどうかという問題が浮かび上がるだろう。
ガイドラインによれば、データ保護責任者は指名でも自主的でも、いったん任命されると、第37条の定義を満たす業務だけでなく、管理業者や処理業者が行う全ての業務の責任者として任命されることになる。従って、その決定には重大な影響がある。
さらに、不確定要素があり、企業がデータ保護責任者を任命する必要はないと判断する場合、その結論と、そう決めた理由を文書にすることを求められる。これは、説明責任の一部だ。クライアントまたは規制機関の精査に関連する分析を提示する必要がある。
従って、いかなる場合でも、データ保護責任者の任命は、重要な結果を伴う重大な決定になる。
Copyright © ITmedia, Inc. All Rights Reserved.
この記事の著者
関連記事
新着ホワイトペーパー PR
-
製品資料
[NTTPCコミュニケーションズ株式会社] 「回線速度不足」だけが原因ではない？ Web会議の遅延を解決する方法とは -
製品資料
[東京エレクトロン デバイス株式会社] 工場の可用性向上に重要な「7つの領域」と対策 OTセキュリティ強化の基礎知識 -
製品資料
[リコージャパン株式会社] 問い合わせ対応で本来の業務が進まない、総務や情シスの負担をどう減らす？ -
製品資料
[リコージャパン株式会社] 自社データから高精度な回答を生成、簡単に生成AIチャットボットを構築する方法 -
技術文書・技術解説
[アトラシアン株式会社] IT運用や従業員サポートは生成AIでどう変わる？ 使い方や導入の流れは？
こんなメディアも見られています
TechTargetジャパンに関連する情報をお探しであれば、こちらのメディアもお役に立てるかもしれません。
ベンダーコンテンツ PR
From Informa TechTarget
SpecialPR
アクセスランキング
-
1
全社標準Copilotに絶望？ MS Copilotで問い合わせ6割減できた企業は何が違った
-
2
「Copilot」はなぜ放置される？ “議事録要約止まり”を脱する処方箋
-
3
「AI活用を前提とした業務PCへの移行」に関するアンケート
-
4
「データストレージの活用方法」に関するアンケート
-
5
身代金支払いは逆効果 情シスのためのランサムウェア対策ガイド2026
-
6
多要素認証導入済みでもランサムウェア被害に 復旧費用は平均2億7000万円
-
7
DXを阻む「動くだけ」のレガシーシステムに決別するための生成AI活用術
-
8
脱VMwareの前提が崩れる BroadcomのVDDK公開停止で確認すべき点
-
9
「ITインフラとデータ保護・バックアップ対策」に関するアンケート
-
10
自社を守る「SCS評価制度」活用法 7割の企業が取引先起点の情報漏えいに直面
ホワイトペーパーランキング PR
-
1
5回聞くだけじゃ足りない？ トヨタ式「なぜなぜ分析」の正しい実践方法
-
2
JR西日本ITソリューションズが「監視業務の属人化」を解消した方法とは？
-
3
生成AIで文書活用を進めるには？ 効率化と安全性をどう両立する
-
4
Windows PCとMacの選択制で生産性向上 LINEヤフーが実践する運用管理方法とは
-
5
インシデント対応工数を約3割削減、東京ガスの事例に学ぶ監視体制刷新のコツ
-
6
国税庁の次世代基幹システム「KSK2」稼働開始に向けて、対応すべき変更点とは？
-
7
「スクラム」と「カンバン」の違いとは？ アジャイル型開発手法を徹底比較
-
8
AI時代に成功するための「ナレッジマネジメント」ベストプラクティス
-
9
「オンプレミス回帰」せざるを得ない“合理的な理由”
-
10
Microsoft 365を安全に運用 うっかりミスやサイバー攻撃に備えるデータ保護術
TechTargetジャパン SNS
@techtarget_itmをフォロー
インフォメーション
注目情報をチェック
TechTargetジャパンをフォロー