GDPRコンプライアンス

一般データ保護規則（GDPR）は、2018年5月に発効した欧州連合の包括的なデータ保護規則であり、組織がEU圏内に居住する個人の個人データをどのように収集、処理、保存、保護しなければならないかについて厳格なルールを定めています。これは欧州に拠点を置く企業だけでなく、EU居住者に商品やサービスを提供する、またはEU圏内の個人の行動を監視する世界中のあらゆる組織に適用され、コンプライアンスは事実上すべての多国籍企業および国際的に事業を展開する多くのスタートアップにとって必須のものとなっています。コンプライアンス違反は厳しい金銭的制裁（全世界年間売上高の4パーセントまたは2,000万ユーロのいずれか高い方まで——FacebookやGoogle、Amazonにはすでに数十億ドル規模の制裁金が科されています）に加え、重大な評判の毀損や、欧州市場での事業継続を不可能にしかねない欧州データの処理禁止につながります。GDPRはデータ保護の中核原則に基づいています：適法性、公正性、透明性（処理には法的根拠が必要であり、個人は自らのデータの利用について明確に通知されなければならない）、目的の限定（特定の目的のために収集されたデータは、新たな同意なしに両立しない目的のために再利用してはならない）、データの最小化（明示した目的に対して適切、関連性があり、必要なものに限定されたデータのみを収集する）、正確性（データを正確かつ最新に保つ）、保存の制限（目的に必要な期間のみデータを保持し、その後は削除または匿名化する）、完全性および機密性（暗号化、アクセス制御、仮名化を通じて適切なセキュリティを実装する）、そして説明責任（accountability）（文書化、ポリシー、監査、データ保護影響評価を通じてコンプライアンスを証明する）です。この規則は、データ主体に対して広範な権利を定めており、アクセス権（処理されている個人データの写しを取得する）、訂正権（不正確なデータを訂正する）、消去権／「忘れられる権利」（一定の状況下でデータを削除する）、処理の制限権、データポータビリティ権（別の管理者へ移転するために、構造化され、一般的に利用され、機械可読な形式でデータを受け取る）、および正当な利益またはダイレクトマーケティングに基づく処理に対する異議申立権が含まれます。

処理の法的根拠と同意

GDPRは、すべての個人データの処理に有効な法的根拠を要求します。組織は各処理活動にどの法的根拠が適用されるかを特定し、文書化しなければなりません。許容される6つの根拠は次のとおりです：同意——データ主体による、自由に与えられ、特定され、情報を与えられた上での、明確な合意の意思表示（声明、またはオプトインのチェックボックスにチェックを入れるなどの明確な積極的行為による）であり、いつでも容易に撤回できなければならず、抱き合わせにしてはならず（異なる目的のための同意は粒度を細かくし、一部を受け入れて他を拒否できるようにしなければならない）、有効な同意の立証責任は組織が負います——マーケティングのオプトイン、必須でないCookie、任意のデータ共有に適しています。契約——データ主体との契約の履行のため、または契約締結前に措置を講じるために必要な処理——サービスのサインアップ時に収集されるデータ、購入製品の配送、契約上の義務の履行に適用されます。法的義務——法的要件（税務申告、労働法、マネーロンダリング防止規制）の遵守——組織は処理を要求する具体的な法的規定を特定しなければなりません。重大な利益——データ主体または他者の生命の保護（緊急の医療処置）——範囲は限定的で、絶対に必要な場合にのみ使用されます。公共の任務——公共の利益のための任務の遂行または公的権限の行使——政府機関および公的機関に関連します。正当な利益——データ管理者または第三者によって追求されるもの。ただし、保護を要するデータ主体の利益または基本的権利が優越する場合（特に子どもの場合）を除く——バランステストと正当な利益評価（LIA）を必要とし、何が正当な利益であるか、利益を達成するための処理の必要性、個人の権利および利益との均衡を文書化します——例として、不正防止、ネットワークセキュリティ、内部管理が挙げられます。法的根拠の選択は、影響を伴う戦略的な決定です。同意はオプトイン／オプトアウトとその証拠の継続的な管理を必要とし、契約に基づく根拠はより安定していますが契約上の必要性に限定され、正当な利益は柔軟性を提供しますが慎重な均衡評価を必要とし、データ主体は異議を申し立てる権利を有します。

データ保護責任者（DPO）と説明責任

GDPRは、次の3つのシナリオでデータ保護責任者の選任を義務付けています：公的機関による処理、中核的活動がデータ主体の大規模かつ定期的・体系的な監視から成る場合、または中核的活動が特別な種類のデータ（健康、生体情報、遺伝情報）もしくは犯罪歴の大規模な処理から成る場合です。DPOはデータ保護法および実務に関する専門的知識を有し、独立していなければならず（最高経営層に直接報告し、職務の遂行に関して指示を受けない）、十分なリソースが与えられなければなりません。DPOの責務には、GDPR上の義務について組織に情報提供し助言すること、GDPRおよび内部ポリシーの遵守を監視すること、DPIAについて助言すること、監督機関と協力すること、監督機関およびデータ主体の窓口として行動することが含まれます。DPOは従業員でも外部のサービス提供者でもよいですが、利益相反を避けなければなりません（自らのコンプライアンスを監視することになるため、CEO、CFO、CTOを兼任することはできません）。DPOの選任が義務付けられていない組織であっても、プライバシーに関する責任を負う者を指名することには依然として利点があります。説明責任の原則は、組織が文書化を通じてコンプライアンスを証明することを要求します：すべての処理業務（目的、データの種類、受領者、保存期間、セキュリティ対策）を詳述した処理活動の記録（ROPA）を維持すること、データ保護バイデザインおよびバイデフォルト（Privacy by Design and by Default）を実装すること（設計当初からデータ保護をシステム設計に組み込み、デフォルトで必要なデータのみを処理するようにシステムを構成する）、高リスクの処理についてデータ保護影響評価（DPIA）を実施すること、適切な技術的・組織的措置（暗号化、アクセス制御、仮名化、バックアップ）を実装すること、そしてコンプライアンスに関する決定およびリスク評価を証明する文書を維持することです。監督機関は監査の際に文書を要求することができ、コンプライアンスを証明できない組織は、実際の侵害が発生していなくても制裁に直面します。

データ保護影響評価（DPIA）

DPIAは、個人の権利および自由に対して高いリスクをもたらす可能性が高い処理活動のプライバシーリスクを評価し、軽減するための体系的なプロセスです。処理が次のいずれかを伴う場合に必須となります：重大な影響を伴う体系的かつ広範なプロファイリング、特別な種類のデータの大規模な処理、または公衆がアクセス可能な区域の大規模かつ体系的な監視（公共空間における顔認識）です。DPIAは処理の開始前に実施しなければならず、これによりプロジェクトのライフサイクルの早い段階でリスクを特定し対処できます。構造化されたDPIAプロセス：処理を記述する——処理の性質、範囲、背景、目的、データフロー、保存期間、関与する利害関係者を文書化します。必要性と比例性を評価する——処理が明示された目的に必要かつ比例的である（過度でない）ことを証明し、より少ないプライバシーへの影響で目的を達成する代替案を検討し、該当する場合は正当な利益評価を文書化します。リスクを特定する個人に対する——何が問題になりうるか（不正アクセス、データ侵害、目的Aのために収集されたデータが目的Bに使用される機能のなし崩し的拡大（function creep）、自動化された決定による差別的な結果、監視による影響）を検討し、各リスクの発生可能性と重大性を評価します。軽減措置を特定する——リスクを許容可能なレベルまで低減するための技術的管理策（暗号化、匿名化、アクセス制御、セキュリティ監視）および組織的措置（ポリシー、研修、ベンダー契約、透明性に関する通知）。結果を文書化する——評価、特定されたリスク、実装された軽減策、残存リスクの受容を詳述したDPIA報告書を作成し、上級管理職およびDPOが承認します。監督機関に相談する——軽減策にもかかわらず残存リスクが高いままである場合——監督機関は、処理を進めてよいか、および必要な追加の保護措置について指針を提供します。DPIAは、処理が大きく変更されたとき、定期的に（2〜3年ごと）、または新たなリスクが生じたときに見直しを要する、生きた文書です。適切に実施されたDPIAは説明責任を示し、規制リスクを低減し、コンプライアンスを超えた業務改善を見いだすことも少なくありません。

データ侵害の通知と対応

GDPRは厳格な侵害通知要件を定めており、迅速な通知により個人が保護措置（パスワードの変更、クレジットの監視、不正アラートの有効化）を講じることができ、監督機関が対応を調整できることを認識しています。個人データ侵害は、「送信、保存、その他の方法で処理された個人データの、偶発的または不法な破壊、喪失、改ざん、無許可の開示、またはそれらへのアクセスにつながるセキュリティの侵害」と広く定義されています——これにはランサムウェアによる暗号化、データを露出させる誤設定のS3バケット、暗号化されていないデータを含む紛失したノートパソコン、従業員による無許可のアクセス、ハッキング事案が含まれます。侵害を認識した時点で、組織は次のことを行わなければなりません：侵害を封じ込める——直ちに（影響を受けたシステムを隔離し、侵害された認証情報を失効させ、露出経路を閉じる）、影響を評価する（影響を受けた個人の数、関係するデータの種類、データの機微性、損害の発生可能性と重大性）、監督機関に通知する——認識してから72時間以内に（遅延には正当化が必要）、侵害の性質の説明、影響を受けるデータ主体の種類と概数、起こりうる結果、侵害に対処しその影響を軽減するために講じたまたは講じる予定の措置を提供します——72時間以内に完全な評価が不可能な場合、最初の通知は不完全であってもよく、情報が入手可能になり次第、その後の更新が提供されます。影響を受けた個人に通知する——侵害がその権利および自由に対して高いリスクをもたらす可能性が高い場合は、不当に遅延することなく——通知は侵害を明確かつ平易な言葉で説明し、詳細情報のための連絡先を提供し、起こりうる結果および組織が軽減のために講じた措置を説明しなければなりません——組織がデータを判読不能にする技術的保護を実装していた場合（鍵が侵害されていない暗号化）、高リスクが現実化する可能性を低くする事後措置を講じた場合、または通知が不均衡な労力を要する場合（その場合は公的な周知が許容されます）には、通知を省略できます。侵害を文書化する——通知が不要であった場合でも、内部の侵害登録簿に——監督機関は、評価および通知の義務の遵守を証明する文書を要求することができます。72時間以内の通知の不履行、個人への通知における不当な遅延、または不十分な文書化は、根本にある侵害とは別に制裁を招く可能性があります。