知っておくべきGDPRのすべて：EU一般データ保護規則の基礎知識

Cambridge Analytica（ケンブリッジ・アナリティカ）によるFacebookユーザーデータの不正利用事件は、世界中の何百万人もの人々に衝撃を与えました。この事件を機に、データプライバシーとデータ保護の重要性が、かつてないほど高まっています。こうした中、EU（欧州連合）は、企業が顧客の個人データをどのように保存・処理・分析・利用しているかに着目し、顧客データ保護に関する厳格な新ルールを定めた強力な規制――GDPRを制定しました。

本記事では、この規則の内容について詳しく解説します。

GDPRとは？

GDPR（General Data Protection Regulation、一般データ保護規則）は、EU市民のデータを保有または処理するあらゆる企業に影響を及ぼしうるEUの法律です。EU加盟国内での取引において、企業がEU市民の個人データを保護するための規定として策定されました。

ここ数ヶ月、大手テック企業による不適切なデータ管理やセキュリティ対策が問題視され、データ関連のニュースが大きな話題となってきました。GDPRは、企業が市民の個人データを適切に取り扱うことを義務付けます。つまり、データの使用方法が公共の期待やプライバシーに沿ったものであることを保証するのです。また、この法律のもとでは、組織は絶対に必要なデータのみを保有・処理しなければなりません。

GDPRが保護対象とするデータプライバシーには、以下のようなものが含まれます：

• 氏名、住所、ID番号、連絡先などの基本情報
• 生体認証データ
• 人種・民族に関するデータ
• 位置情報、IPアドレス、CookieデータなどのWebデータ

GDPRは2018年5月25日に施行されましたが、その構想自体は2年前の2016年4月に誕生していました。

GDPRによれば、個人データは以下のように扱われる必要があります：

1. 公正かつ透明な方法で処理されること。顧客は、自分のデータがどのように使われているのか、あるいは使われる予定なのかを十分に把握できなければならない。
2. 特定かつ正当な目的のためだけに記録されること。
3. 正確に維持され、常に最新の状態に保たれ、必要な場合にのみ使用されること。
4. データ保護を確実にする方法で準備・管理されること。

なぜGDPRが必要なのか？

GDPRが策定された背景には、EUがデータプライバシーおよびデータ保護に関する法制を整備したいという意向があります。Amazon、Facebook、Google、Twitterといったプラットフォームが、ユーザーの情報を販売することで広告を配信し続けるなど、人々のデータがどのように利用されているかが問題となっています。このような広範な許可を与えることの危険性は、Cambridge Analytica事件で如実に示されました。同事件では、数百万件のプロフィールが収集され、2016年の米大統領選挙に影響を与えるために利用されたのです。

もう一つの理由は、インターネットやクラウド技術によって、これらのプラットフォームが公衆の個人データを使用・悪用できるようになっている現状を是正することです。

どのような企業がこの規制の対象となるのか？

• EU域内でEU市民のデータを保存または管理しているすべての企業
• 企業がEU域外に所在していても、ヨーロッパの顧客を持ち、そのデータを何らかの形で保存している場合は、GDPRの対象となる
• 従業員数が250名を超える企業
• 従業員が250名未満であっても、そのデータ処理システムがデータ主体に影響を与える場合、またはヨーロッパの住民に関する機密性の高い情報を含む場合

つまり、ほぼすべての企業がGDPRを企業目標および社内規定の最優先事項として考慮する必要があるということです。

GDPRは組織にとって何を意味するのか？

EU市民のデータを保有・利用するすべての組織は、所在地に関わらず、この法律の新ルールに従う義務があります。これまで企業はさまざまな手段でデータを収集・マイニングしてきましたが、それは今後禁止されます。ユーザーのオンライン行動を追跡してデータを活用しているすべての組織は、わかりやすい言葉で顧客から同意を取得しなければならず、そのデータセットも限られた期間のみ使用できます。

一般のユーザーにとってはどういう意味があるのか？

組織が個人情報にアクセスする前にユーザーの同意を得ることが義務化されたため、ユーザーは警告や同意リクエストに頻繁に出会うことになります。これは皆で取り組むべき課題であるため、ユーザー側も利用規約を少なくとも一度は目を通すことが推奨されます。

企業はどのような変更を実施すべきか？

一般データ保護規則の施行に伴い、企業は個人の同意を得た上で個人データを保存・処理するために、さまざまな対応を講じる必要があります。

1. 機密データを保管する安全な場所を確保すること。データが正確かつ機密性を保たれていること、必要なときにいつでもアクセス可能であること、適切に暗号化・バックアップされていることを確認しましょう。
2. サプライヤーもGDPRに準拠していることを確認すること。データ処理に使用するサービスプロバイダーは、すべてGDPR基準に準拠していなければなりません。
3. データ漏洩が発生した場合は、72時間以内に情報コミッショナー事務局（ICO）へ報告すること。データ侵害を迅速に検出・対応できるプロセスを整えておきましょう。
4. 常に最新の状態を保つこと。人々がデータプライバシーの権利についてより意識するようになるため、多くの問い合わせが発生します。どのようなデータを保有・使用しているのかを尋ねられる可能性が高いため、そうした要請に柔軟に対応できる体制が必要です。
5. 利益相反のない形でPII（個人識別情報）の保護を確実に行うDPO（データ保護責任者）を任命する必要があります。組織によっては、常勤のDPOを雇う必要はなく、必要なときにコンサルタントとして働く仮想DPOを採用することも可能です。
6. GDPR要件に沿った改訂版のデータ保護計画を作成することが求められます。
7. 中小企業は他の企業よりもGDPRの影響を大きく受ける可能性があります。GDPR要件を満たすための適切なリソースを持っていない場合もあるため、外部リソース、アドバイザー、技術専門家の支援を受けることで、社内への混乱を最小限に抑えながら対応を進められます。
8. GDPRは完全な透明性を求めます。ユーザーはいつでも自分のデータの削除（忘れられる権利）を要求したり、データの修正を求めたり、正式な手続きに従ってデータを管理したりできます。また、データ侵害が発生した場合は、速やかに通知されなければなりません。

テクノロジーは企業のGDPR準拠にどう役立つのか？

GDPRの登場により、企業はデータ漏洩からの保護、リスク管理、コンプライアンス遵守のためにリソースを投入する必要があります。自社がEU内に存在しなくても、EU市民のデータを扱う場合はこの規制に準拠しなければなりません。膨大な量のデータが処理されているため、この規制は史上最もコストのかかる規制の一つと報じられています。企業がGDPR法の下でポリシーと手順を明確に定め、それを満たすことは不可欠です。法律が発効する前に準備を整えなければ、全世界売上高の4%または2,000万ユーロ（いずれか高い方）という罰金を科される可能性があります。

以下に、企業がGDPRの要求を満たすのに役立つ優れたテクノロジーを紹介します。

データ管理とセキュリティ

企業のデータを保護するということは、不正アクセスを制限することを意味します。データは保存場所が公開されていても漏洩の危険にさらされるため、侵入者を防ぐ第一歩は、データが保存されている場所を保護することです。データを保護するためには、特定のアルゴリズムで暗号化し、データ漏洩に対する壁を構築する必要があります。クラウドコンピューティングの普及以降、組織はデータが適切に保護され、物理的な損害からも守られていると安心できるようになりました。暗号化されたデータは、読み取り・編集・管理に復号鍵が必要となるため、データ保護担当者が常時監視する必要性も軽減されます。さらに、セキュリティ手段に加えて、データの出所、データベースに保持された期間、共有方法などを監視する情報監査を実施することで、より良いデータ管理につながります。

ブロックチェーン

ブロックチェーンは、ここ数年で最も注目されている技術の一つであり、それ自体が大きな潜在力を持ち、時が経つにつれてその価値を証明してきました。ブロックチェーンは、分散型台帳へのデータ保存を可能にし、データは暗号技術によって保護されます。分散型台帳にデータを保存するということは、複数の地理的な場所や人々にデータを分散させることを意味し、サイバー攻撃の際の「証人」として機能します。これらの台帳に保存されたデータは不変であり、編集や削除ができません。すべての分散コピーを同時に攻撃しなければならないため、攻撃が成功する確率はほぼゼロにまで低減されます。

API対応プラットフォーム

すべての組織は、コンテンツ取得のための同意収集や、データアクセス規則のユーザーへの通知を行うためのルールを採用するために、API管理アーキテクチャに注力すべきです。APIは開発者が技術と組織をつなぐのに必要な時間を短縮できるため、より迅速かつ低コストのプラットフォームとなります。

GDPRはテクノロジー業界にどのような影響を与えるのか？

テクノロジー業界では、GDPRは「史上最も深刻なコンプライアンス上の課題」と見なされています。GDPRは、ユーザーデータの収集・利用の仕組みを根本から変えようとしています。多くのテック企業がGDPR準拠に向けた準備で課題に直面することになります。ユーザー情報を扱ってきたすべての企業にとって最大の課題は、ユーザーのすべての「個人データ」を文書化することです。「個人データ」に該当するものを分類するガイドラインが存在します。企業は要求に応じて、ダウンロード可能な形式でデータを引き渡すか、削除しなければなりません。この一連の手続きには追加の人員採用が必要となり、決して安上がりではありません。特にクラウドコンピューティング企業は最も打撃を受けると予想されます。ユーザーが全データの削除を求める可能性があり、他社に代わってデータをホスト・保存しているクラウドストレージプロバイダーにとっては大きな問題となるからです。

データプライバシーコンプライアンスへの準備が整っていると報告しているのはごく一部の企業だけであり、残りの企業は準備のために多額の費用を費やすことになります。

GDPRとソーシャルメディア

写真共有プラットフォーム「Instagram」を傘下に持つFacebookは、ユーザーが個人データ（写真、動画、メッセージを含む）をダウンロードできるツールを間もなく提供開始する予定です。EUのGDPRに向けた準備の一環として、このツールはユーザーがInstagramと共有している情報を確認するのに役立ちます。報道によると、Instagramの広報担当者は次のように述べています。「私たちは新しいデータポータビリティツールを開発しています。間もなく、Instagramで共有した内容（写真、動画、メッセージを含む）のコピーをダウンロードできるようになります。」

GDPRは、顧客がデータの削除を要求したり、将来のデータ収集をオプトアウトしたり、使用中のデータのコピーを別のプラットフォームへ転送するよう要求したりする権利を与えることを目的としています。ツールやその機能に関する詳細は近日中に発表される予定ですが、現時点では、Instagramで共有した内容をダウンロード・エクスポートできるようになります。

今後の展望

組織へのメッセージは、自分たちのデータベースを把握することです。機密情報やデータがどこに保存されているのか、誰がアクセス権を持っているのか、誰がアクセス権を持つべきなのか――これらは今後、極めて重要な課題となるでしょう。

すべての中規模・大規模組織は、2018年5月までにGDPR準拠の準備を整える必要があります。さらに、GDPRは組織がセキュリティ能力を向上させる絶好の機会でもあります。これまで企業はデータを資産として扱い、規制なしにマイニングしてきましたが、今後は蓄積したデータとデータフローについて、はるかに細やかな管理が求められることになります。