GDPRはビジネスにとって本当に大きな課題なのか?――企業が直面する主要な挑戦を徹底解説

GDPR(EU一般データ保護規則)の施行期限が目前に迫り、企業による慌ただしい準備もようやく終わりを迎えようとしています。数多くの情報漏えい事故を目の当たりにしてきたEUは、ユーザーのプライバシーを組織にとって最優先事項と位置づけるべく、一歩前へ踏み出したのです。

この新しいデータセキュリティ・保護のフレームワークは、企業にさまざまな義務を課すことになりました。すでにGDPRへの対応を済ませた企業もある一方で、今なお規制への準拠に苦慮している企業も少なくありません。

GDPRへの対応は一日や一か月で完了するものではありません。要件を満たすためには、社内のポリシー、手順、プロセス全体を抜本的に見直すことが求められます。

過去記事では、GDPRの全体像やその影響、そして企業がコンプライアンス対応のために行っている取り組みについて詳しく解説しています。ぜひあわせてご覧ください。

ここでは、GDPRがもたらす主要な課題をすべてご紹介します。

1. 変化への適応の難しさ

5月25日はあくまでスタート地点にすぎません。GDPRの条文には曖昧な表現が多く、企業がプロセスを理解するうえで支障となっています。報告によれば、この規制を本格的に理解している企業はわずか25%にとどまるといいます。さらに懸念されるのは対応コストです。社内ポリシーの度重なる変更・更新には、莫大な投資と労力が必要となります。

また、これらの基準や規制は新しいものであるため、企業が変化に適応するまでには時間がかかるでしょう。しかし、計画的にソリューションを整備すれば、対応を先送りする企業よりもはるかにスムーズに適応できるはずです。

2. 中小企業にとっての大きな壁

大企業から中堅・中小企業まで、すべての組織が守るべき機密データを保有しています。GDPRに準拠するにあたり、小規模企業が直面する主な課題は以下の通りです。

• 高度なセキュリティシステム導入のための高額な投資
• DPO(データ保護責任者)の任命
• 情報漏えい発生時に72時間以内に報告できるよう従業員を訓練すること
• サプライチェーンにおける品質管理――取引先のサプライヤーや請負業者がすべてGDPRに準拠していることの確認
• データポータビリティへの備え――顧客からデータのコピーを請求された場合への対応
• データ主体からの要求(DSR)対応を専任で担う担当者の配置

小規模企業はこれらの課題に対処するリソースが限られており、ミスが発生した場合(これは決して珍しいことではありません)の許容余力も小さいのが実情です。

3. 頻発するデータ主体からの要求

これは企業にとって最大の変化であり、最大の課題でもあります。企業はデータ主体からのあらゆる要求に迅速に対応しなければなりません。GDPRは個人およびユーザーに対し、以下の権利を保障しています。

– 企業がどのようなデータを保存しているのかを問い合わせる権利
– 自分のデータがどのように使用されているのかを知る権利
– どのような種類の個人情報が対象になっているのかを確認する権利
– 機密性の高い情報が処理される目的を知る権利
– いつでも自分のデータの削除を求める権利
– 監督当局に苦情を申し立てる権利

こうした問い合わせが日常的に発生することは明白です。企業はユーザーのこの権利を侵害できません。そのため、DSRが届くたびに関係チームのメンバーへ自動的に通知される仕組みを構築しなければなりません。提供される情報は、透明性があり、公正かつ簡潔であるべきです。消費者を迷わせたり混乱させたりするような複雑な文言の使用は、もはや許されません。

4. DPO(データ保護責任者)の任命は必須

EU各国間でデータ保護の水準を調和させるという目的のもと、DPOの任命は企業に対するGDPRの大きな影響の一つといえます。GDPR第37条により、継続的なデータ監視や大規模なデータ処理を行う公的機関などには、DPOの設置が義務付けられています。

GDPRは新たな職種の誕生ももたらしました。DPOはデータ保護法に関する専門知識を有していなければなりません。GDPRは求められる専門性のレベルを明確には定めていませんが、基本的にはデータ処理が複雑になるほど、DPOには高度な習熟度が求められると考えるべきです。

DPOに期待される主な職務・責任は以下の通りです。

• 社内のデータ保護業務の統括
• 個人の権利および同意の管理
• コンプライアンスおよび各種保護法制の監視
• コンプライアンス要件の重要性に関する社員研修の実施
• 管理者(コントローラー)および処理者(プロセッサー)との緊密な連携

5. データハッキングの増加

企業が新しいデータ保護規制への準拠を進めるなか、サイバー犯罪者が、未準拠企業へのGDPRの制裁金をわずかに下回る金額を身代金として要求する事例が報告されています。オンラインの世界に関わる人が増えるほど、ランサムウェア、BEC(ビジネスメール乗っ取り詐欺)による恐喝攻撃、不正な暗号資産マイニングに感染するリスクも高まります。

この規制によって私たち全員のデータはより安全になりますが、それでもハッカーはハッキングをやめません。だからこそ、時代の変化に耐えうる多層的なセキュリティ手法を採用し、データ漏えいのリスクを軽減することが不可欠なのです。

6. コントローラーとプロセッサーへの負担

ここで鍵となるのは「コントローラー」と「プロセッサー」の存在です。

コントローラーとは、個人の個人データが「何を」「なぜ」「どのように」処理されているのかという問いに答える責任を負う主体です。公的機関、個人、企業、団体など、いかなる主体でもなり得ます。コントローラーの主な役割は、個人のデータ利用状況を常に明確に把握しておくことであり、万一ユーザーからの同意が適切に扱われていなかった場合、GDPRに基づき企業は罰金を科される可能性があります。

プロセッサーとは、ユーザーの個人情報を実際に処理する主体です。GDPRの定義では、プロセッサーとはコントローラーに代わってデータを処理する法人または機関を指します。簡単に言えば、処理活動の方針を決めるのがコントローラーであり、その操作を実行するのがプロセッサーです。

コントローラーはさらなる処理を担うプロセッサーを選定する立場にあるため、データを正確かつ適切に扱う責任は両者に等しく課されます。また、処理完了後にデータを消去するのもプロセッサーの責任です。

7. マーケターへの深刻な影響

マーケティングは消費者データに大きく、あるいは全面的に依存しています。調査によると、このデータ保護規制の施行後も企業が自社のデータを厳格に利用・管理・保護できると信じているユーザーはわずか20%にとどまるといいます。

データ利用の許諾取得からアクセス管理まで、マーケターは「ユーザーが、自分のデータが利益創出のために第三者へ利用・販売されていることを容易に確認できる」という現実に向き合う責任があります。そのためには、収集しているデータの量と種類を理解し、そもそもユーザーがページとの接続に同意する前に、配偶者の有無や好みの料理といった情報が本当に必要なのかを自問することが不可欠です。

GDPRがマーケティング活動に影響を及ぼす主な領域は以下の通りです。

• WebサイトのCookie: 訪問者の検索パターンを自社の利益のために収集することはもはや許容されません。マーケターはCookieの利用について、透明性があり明確な同意を取得する必要があります。さらに、ユーザーが希望すれば同意を撤回できる別途の手段を設けなければなりません。
• 顧客データ管理への大きな影響: マーケターは、どのようなデータを、どのように保存し、どのように処理し、誰と共有・移送し、最終的に誰がアクセスするのかを根本から見直す必要があります。
• メールマーケティングへの影響: メール受信に同意したユーザーについて、どのようにマーケティングに活用するのかという情報とともに、明確な記録を保持しなければなりません。第三者からユーザーリストを入手する場合は、相手側も同様の同意記録を保有していることを確認する必要があります。

GDPR違反時の罰則

この規制は所在地を問わずすべての組織に影響を及ぼします。まだ何の対策も講じていない企業は要注意です。GDPRがビジネスに与えるインパクトは非常に大きく、罰則体系は違反の性質に応じて2段階に分けられています。

1. 上限の罰金基準: 組織が以下を侵害した場合に適用されます。
   – 個人の権利
   – ユーザーの同意
   – データ移転
   – データ処理(一定期間に限定されていた場合)
   これらの条項に違反した場合、全世界売上高の4%または最高2,000万ユーロのうち、いずれか高い方の制裁金が科されます。
2. 下限の罰金基準: コントローラー、プロセッサー、その他の監督機関に科されます。
   – 子供の個人データを同意なく取得・処理した場合
   – 情報漏えい発生から72時間以内に監督当局へ通知しなかった場合
   – データが漏えいしたユーザーや顧客へ所定期間内に通知しなかった場合
   – その他、監督機関、DPO(データ保護責任者)、認証機関などに対する義務違反
   これらの条項に違反した場合、全世界売上高の2%または最高1,000万ユーロのうち、いずれか高い方の制裁金が科されます。

GDPRは数多くの重要な変化をもたらしますが、既存の原則や制度からの完全な決別ではありません。この規制は課題や弱点を抱えながらも今後も存続していくでしょう。企業には、不満を並べるのではなく、そこに潜むビジネスチャンスにも目を向ける姿勢が求められます。この革新的なデータ保護規則がその潜在力を発揮するのか、それとも煩雑な手続きの重荷につまずくのかは、2018年5月25日の施行によって明らかになります。