2018年5月25日に欧州連合（EU）の「一般データ保護規則（GDPR）」が施行となる。EU諸国でビジネスを行う企業のほとんどが、GDPRのデータプライバシーとセキュリティの要件を不足なく適切に満たす方法について頭を悩ませている。
GDPRは、その所在地にかかわらず、EU諸国に居住している人々の個人データを処理、保持する全ての企業に適用される。
GDPRの要件に順守しないと重い罰金が科せられることもある。違反した場合の罰金は最高で、全世界における年間売上高の4％、または2000万ユーロのいずれか高額な方になる。
そのため企業は、GDPRの主な要件の幾つかと、それらを順守する実際的な方法について理解を深める必要がある。
まず、GDPRが自社にどう適用されるかを見極めることだ。GDPRの対象となる企業は「データ管理業者」と「データ処理業者」の2種類に分かれる。
データ管理業者とは、個人データを処理する目的や方法を決定する企業を指す。EUデータ主体に製品を販売しながら個人データを収集する小売業者などがこれに当たる。データ処理業者とは、データ管理業者の代理で個人データを処理する企業を指す。小売業者の代理でEUデータ主体に電子メールを送信するマーケティング企業などがこれに該当する。
GDPRは、EU市民、EU市民以外でEU諸国内に居住する人々、さらにはEU諸国を訪れている観光客など、EUのあらゆるデータ主体に適用されると想定される。
GDPRの要件は、EUデータ主体の個人データを処理または監視する企業であれば、拠点がEU諸国外であっても適用される。例えばEUデータ主体によって使用され、その個人データを収集するアプリケーションの開発会社は、米国を拠点にしていてもGDPRの適用を受ける。
自社がデータ管理業者とデータ処理業者のいずれかに該当するかを見極める。それが、自社のGDPR履行義務を理解することと、適切な統制を実装してGDPRを順守することにおいて不可欠な第一歩になる。
GDPRの要件を満たそうとする企業の大半にとって非常に厄介なのが、GDPRによる個人データの定義だ。GDPRが定義する個人データは幅広く、「個人を直接的または間接的に特定するために使用できる、個人に関連するあらゆる情報」としている。そのようなデータの一例には次のものがある。ただし、これには限定されない。
適切な統制とプロセスを実装して個人データを保護するには、これらの情報を収集、管理、保存する方法を完全に特定して計画する必要がある。また、企業が情報を入手し、社内で扱い、社外に出す一連の方法についても同様だ。保持している個人データや、関連データを扱うプロセスを保護することが定められているため、それらを特定も理解もしないままGDPRに順守することは難しい。
個人データマップは、個人データを仮名化して非人格化できる部分を見つけるのにも役立つ。仮名化と非人格化はGDPRによって推奨されている。
中小規模の企業なら個人データを手動でマッピングできるかもしれない。だが大企業は恐らくIntegrisやOneTrustなどのベンダーが提供するデータマッピングツールを使用する必要があるだろう。
「エシカル」に積極的な企業は「良い印象」が9割以上――トレンダーズ調査
今後ますます注目が集まると考えられる「エシカル消費」。年代や性別ごとの意識の違いや...
国内コネクテッドテレビ広告市場、2020年は102億円規模に――SMNとデジタルインファクト調査
テレビ同様の視聴体験を提供しつつインターネット広告同様に計測可能な国内コネクテッド...
GAFAの序列変動やSpotify、Zoomなどの動向に注目 「Best Global Brands 2020」
世界のブランド価値評価ランキング。Appleは8年連続1位で前年2位のGoogleは4位に後退しま...
ITmediaはアイティメディア株式会社の登録商標です。
