GDPRのコンプライアンス・チェックリスト

一般データ保護規則（GDPR）は、組織が個人データを収集および使用する方法を規定した欧州連合（EU）の法律です。EU圏内で事業を行う企業、またEU居住者のデータを取り扱う企業は、GDPRの要件に従う必要があります。

しかし、GDPRへの準拠は必ずしも簡単ではありません。この法律では、ユーザーのデータ・プライバシー権と個人データの処理に関する一連の原則が示されています。組織はこれらの権利と原則を守る必要がありますが、各組織がその方法を決定する余地が残されています。

リスクは大きく、GDPRの規則に違反すると、重大な罰則を課されます。最も重大な違反の場合は、最大で 2,000万EUR、または組織の前年度の全世界売上高の4%に相当する罰金が科される可能性があります。GDPRの規制当局は、違法なデータ処理活動を停止し、組織に変更を強制することもできます。

以下のチェックリストは、主要なGDPR規制をカバーしたものです。組織がこれらの規制をどのように満たすかは、収集するデータの種類やそのデータの使用方法など、組織固有の状況によって異なります。

GDPRは、欧州経済領域（EEA）に拠点を置くすべての組織に適用されます。EEAには、27か国のEU加盟国すべてに加えて、アイスランド、リヒテンシュタイン、ノルウェーが含まれます。

GDPRは、次の場合にEEA外の組織にも適用されます。

• 組織が、金銭のやり取りがない場合でも、EEA居住者に商品やサービスを定期的に提供している場合
• 組織が、トラッキング・クッキーを使用するなどして、EEA居住者の活動を定期的に監視している場合
• 組織がEEAに拠点を置く企業に代わってデータを処理している場合

GDPRは、顧客のデータを商業目的で使用する企業のみに適用されるわけではありません。目的を問わず、EEA居住者のデータを処理するほぼすべての組織に適用されます。学校、病院、政府機関もすべてGDPRの規制対象です。

GDPRから免除されるデータ処理活動は、国家安全保障や法執行活動、ならびにデータの純粋に個人的な使用のみです。

役立つ用語集

GDPRでは、特定の用語が使用されています。コンプライアンス要件を理解するには、これらの用語がこの文脈において、何を意味するのかを理解しておく必要があります。

GDPRでは、個人データを特定の個人に関連するあらゆる情報と定義しています。メールアドレスから政治に関する意見まで、すべてが個人データとみなされます。

データ主体とは、データを所有する個人です。言い換えると、そのデータに関連付けられている個人です。ある企業が、SMSでマーケティング・メッセージを送信するために、電話番号を収集しているとします。これらの電話番号の所有者は、データ主体になります。

GDPRでデータ主体を指す場合は、EEAに居住しているデータ主体を指します。GDPRに基づくデータ・プライバシー権を持つには、データ主体がEU市民である必要はありません。EEAの居住者である必要があるだけです。

データ管理者は、個人データを取得し、その使用方法を決定するあらゆる組織、団体または個人を指します。前の例に戻ると、マーケティング目的で電話番号を収集している企業がデータ管理者に該当します。

データ処理は、データの収集、保存、分析など、データに対して行われるあらゆる行為を指します。データ処理者は、そのような行為を行うあらゆる組織または行為者を指す。

電話番号を収集して、それを使用してマーケティング・メッセージを送信する企業のように、企業は管理者であると同時に処理者でもあります。処理者には、別の企業の電話番号のデータベースをホストするクラウド・ストレージ・サービスなど、管理者に代わってデータを処理する第三者も含まれます。

監督機関は、GDPRの要件の遵守を監視する機関です。EEA加盟国には、それぞれ独自の監督当局があります。

大きくは、組織は次の場合にGDPRに準拠していると言えます。

• データ処理の原則を遵守している
• データ主体の権利を擁護している
• 適切なデータセキュリティ対策を実施している
• データ転送とデータ共有のルールに従っている

次のチェックリストでは、これらの要件についてさらに詳しく説明します。これらの要件を満たすために組織が実施する実際の手順は、場所、リソース、データ処理活動などの要因によって異なります。

データ処理の原則

GDPRは、個人データを取り扱う際に、管理者と処理者が従わなければならない一連の原則を定めています。原則は次のとおりです。

組織にデータを処理するための法的根拠があること

GDPRは、企業が合法的に個人データを処理するための状況を定義しています。組織はデータ収集の前に、その根拠を確立して文書化しなければなりません。組織は、データを収集する時点で、その根拠をユーザーに伝える必要があります。ユーザーの同意がない限り、事後に根拠を変更することはできません。

考えられる法的根拠には次のようなものがあります。

• 組織がデータ主体のデータを処理することに対する同意を得ている。ユーザーの同意は、十分な情報提供を受けた上で、積極的かつ自由意志に基づいて行われた場合にのみ有効です。
  • 十分な情報提供を受けた上での同意（インフォームド・コンセント）とは、企業がどのようなデータを収集し、そのデータをどのように使用するかを明確に説明することを意味します。
  • 積極的な同意とは、ユーザーが声明に署名したり、ボックスにチェックを入れるなど、同意を示す意図的な行動をとる必要があることを意味します。同意をデフォルトのオプションにすることはできません。
  • 自由意志に基づく同意とは、企業がデータ主体に影響を与えたり、強要したりしようとしないことを意味します。データ主体がいつでも同意を撤回できる必要があります。

• 組織に、データを処理する法的義務がある。

• 組織に、データ主体または他の人の生命を守るためにデータを処理する必要がある。

• 組織がジャーナリズムや公衆衛生などの公益上の理由でデータを処理している。

• 組織が公的機能を実行するためにデータを処理する公的機関である。

• 組織が正当な利益を追求するためにデータを処理している。
  • 正当な利益とは、データ管理者または他の当事者がデータを処理することによって得ることができる利益を指します。従業員の身元調査を行うことや、サイバーセキュリティーの目的で企業ネットワーク上のIPアドレスを追跡することなどが例として挙げられます。組織が正当な利益の根拠を主張するには、そのデータの処理が必要であり、データ主体の権利を侵害していないことを証明する必要があります。

組織が特定の目的のためにデータを収集し、その目的にのみ使用していること

GDPRの目的の限定の原則に従って、データ管理者はデータを収集する目的を特定し、文書化する必要があります。データ管理者は、データを収集する時点で、その目的をユーザーに伝える必要があり、その特定の目的のためにのみデータを使用することができます。

組織が必要最小限のデータのみを収集すること

データ管理者は、定めた目的を達成するために必要最小限のデータのみを収集できます。

組織がデータを正確かつ最新の状態に保つこと

データ管理者は、保持する個人データが正確かつ最新であることを保証するために、合理的な措置を講じる必要があります。

組織がデータが不要になった場合に削除すること

GDPRは、厳格なデータ保持および削除ポリシーの適用を求めています。組織は、指定したデータの収集目的が達成されるまでのみデータを保持でき、不要になったデータは削除する必要があります。

組織が子供のデータや特別なカテゴリーのデータを処理するにあたって、特別な予防措置を講じること

データ管理者とデータ処理者は、特定の種類の個人データに、追加の保護を適用する必要があります。

特別カテゴリーのデータには、個人の人種やバイオメトリクスなどの機密性の高いデータが含まれます。組織は、深刻な公衆衛生上の脅威を防ぐためなど、極めて限定的な状況においてのみ、特別カテゴリーのデータを処理できます。組織は、データ主体の明示的な同意を得て、特別カテゴリーのデータを処理することもできます。

前科等に関するデータは、公的機関のみが管理できます。データ処理者は、公的機関の指示があった場合にのみ、このデータを処理できます。

データ管理者は、子供のデータを処理する前に、保護者の同意を得る必要があります。データ主体の年齢と両親の身元を確認するために、合理的な措置を講じる必要があります。子供からデータを収集する場合、データ管理者はプライバシー通知を子供にわかりやすい言葉で提示する必要があります。

EEAの各国は、GDPRに基づいて独自の「子供」の定義を設定しています。「13歳未満の人」から「16歳未満の人」まで、国によってさまざまです。

組織がすべてのデータ処理活動を文書化していること

従業員数が250人を超える組織は、データ処理の記録を保持する必要があります。従業員数が250人未満の組織は、機密性の高いデータを処理する場合、定期的にデータを処理する場合、またはデータ主体に重大なリスクをもたらす方法でデータを処理する場合には、記録を保持する必要があります。

データ管理者は、収集したデータ、そのデータの使用方法、データ・フロー・マップ、データ・セーフガードなどを文書化する必要があります。データ処理者は、対象となるデータ管理者、各データ管理者に対して行う処理の種類、使用するセキュリティー・コントロールを文書化する必要があります。

データ管理者は、コンプライアンスを遵守する最終的な責任を負う

GDPRでは、コンプライアンス遵守に対する最終的な責任は、データ管理者にあります。これは、データ管理者が第三者のデータ処理者が関連するすべてのGDPR要件を満たしていることを保証し、証明できる必要があることを意味します。

データ主体の権利

GDPRは、データ主体に、自身のデータに対する特定の権利を付与します。データ管理者とデータ処理者はこれらの権利を尊重する必要があります。

組織が、データ主体が権利を行使するための簡単な方法を提供していること

組織は、データ主体に、データ主体のデータに対する権利を主張する簡単な手段を提供する必要があります。これらの権利には次が含まれます。

• アクセス権：データ主体は、自身のデータのコピーや、組織によるデータの使用方法に関する関連情報を要求し、受け取ることができる必要があります。

• 修正する権利：データ主体は、自身のデータを修正または更新できる必要があります。

• 消去する権利：データ主体は、自身のデータの消去を要求できる必要できる必要があります。

• 処理を制限する権利：データ主体は、自身のデータが不正確である、もはや不要である、または悪用されていると思われる場合に、データの使用方法を制限できる必要があります。

• 異議を申し立てる権利：データ主体は、データの処理に対して異議を申し立てることができる必要があります。データ主体は、以前に行った同意をいつでも簡単に撤回できる必要があります。

• データ・ポータビリティーの権利：データ主体は、データを移転する権利を有し、データ管理者およびデータ処理者はその移転を促進する必要があります。

基本として、組織はすべてのデータ主体のアクセス要求に対して、30日以内に対応する必要があります。組織は通常、要求に従う必要がない正当な決定的な理由があることを証明できない限り、データ主体の要求に従う必要があります。

組織が要求を拒否する場合は、その理由について説明する必要があります。組織はまた、決定事項を組織のデータ保護責任者または関連する監督当局に申し立てる方法をデータ主体に伝える必要があります。

組織がデータ主体に自動化された決定に異議を申し立てる手段を提供していること

GDPRでは、データ主体には、データ主体に重大な影響を与える可能性のある自動化された意思決定プロセスに拘束されない権利があります。これには、プロファイリングが含まれます。GDPRでは、プロファイリングは、自動化を用いて、仕事のパフォーマンスの予測など、個人の特定の側面を評価することと定義されています。

組織が自動化された決定を使用する場合、データ主体がそれらの決定に異議を唱える方法を提供する必要があります。データ主体は、自身に影響を与える自動化された決定を人間の従業員に確認するように要求することもできます。

組織が個人データの使用方法において透明であること

データ管理者とデータ処理者は、データ主体に対して、収集するデータ、データの使用方法、主体がデータに対する権利を行使する方法などのデータ処理活動について、プロアクティブかつ明確に通知する必要があります。

この情報は通常、データの収集中にデータ主体に提示されるプライバシー通知にて伝える必要があります。組織がデータ主体から個人データを直接収集しない場合は、1か月以内にプライバシー通知をデータ主体に送信する必要があります。組織は、Webサイトで一般にアクセスできるプライバシー・ポリシーにこれらの詳細情報を含めることもできます。

データ・プライバシーと保護対策

GDPRは、データ管理者とデータ処理者に対して、個人データの悪用を防止し、データ主体を危害から保護するための措置を講じることを義務付けています。

組織が適切なサイバーセキュリティー・コントロールを実装していること

データ管理者とデータ処理者は、個人データの機密性と完全性を保護するために、セキュリティー対策を実施する必要があります。GDPRは、具体的なコントロールを要求しているわけではありませんが、組織に技術的および組織的な対策の両方を採用するように規定しています。

技術的な対策には、IDおよびアクセス管理（IAM）プラットフォーム、自動バックアップ、データ・セキュリティー・ツールなどのテクノロジー・ソリューションが含まれます。GDPRはデータの暗号化を明示的に義務付けていませんが、組織が可能な限り仮名化と匿名化を行うことを推奨しています。

組織的な対策には、従業員のトレーニング、継続的なリスク評価、その他のセキュリティー・ポリシーとプロセスが含まれます。また、組織は、新しいシステムや製品を開発または実装する際に、データ保護バイデザインおよびデータ保護バイデフォルトの原則に従う必要があります。

組織が必要に応じてデータ保護影響評価（DPIA）を実施していること

組織がデータ主体の権利に対して、高いリスクをもたらす方法でデータを処理することを計画している場合は、まずデータ保護影響評価（DPIA）を実施する必要があります。DPIAを実施しなければならない可能性のある処理には、自動プロファイリングや特別カテゴリーの個人データの大規模な処理などがあります。

DPIAでは、使用するデータ、意図する処理、および処理の目的について説明する必要があります。データを処理するリスクとそのリスクを軽減する方法を特定する必要があります。軽減されていない重大なリスクが存在する場合、組織はデータ処理を進める前に、監督当局に相談する必要があります。

組織が必要に応じてデータ保護監督者（DPO）を任命していること

組織が大規模にデータ主体を監視する場合、または特別カテゴリーのデータを中核的な活動として処理する場合、組織はデータ保護監督者（DPO）を任命する必要があります。すべての公的機関もDPOを任命する必要があります。

DPOは、組織がGDPRに準拠し続けていることを保証する責任があります。主な職務には、データ保護当局との調整、GDPR要件に関する組織へのアドバイス、DPIAの監督などがあります。

DPOは、最高レベルの管理職に直接報告する独立した役員である必要があります。DPOが職務を遂行したことに対して、組織が報復することは許されません。

データ侵害が発生した場合に、組織が監督当局とデータ主体に通知すること

組織は、ほとんどの個人データ侵害を72時間以内に関連する監督機関に報告する必要があります。侵害がデータ主体にリスクをもたらす場合は、データ主体にも通知する必要があります。組織は、直接の連絡が不合理でない限り、データ主体に直接通知する必要があり、その場合は、公告が許されます。

侵害を受けた処理者は、不当な遅延なく、関連するデータ管理者に通知する必要があります。

EEA域外に拠点がある場合は、組織がEEA域内の代表者を任命していること

EEA居住者のデータを定期的に処理する、または特に機密性の高いデータを処理するEEA域外の組織は、EEA域内の代表者を任命する必要があります。代表者は組織を代表して政府当局と調整を行い、GDPRへの準拠に関する問題の連絡窓口の役割を果たします。

データ転送とデータ共有

GDPRは、組織がEEA域内外の他の組織と個人データを共有する方法に関するルールを定めています。

組織が正式なデータ処理契約に基づいてデータ、データ処理者との関係を管理していること

管理者は個人データをデータ処理者やその他の第三者と共有できますが、これらの関係は正式なデータ処理契約によって管理されている必要があります。これらの契約には、GDPRに関するすべての当事者の権利と責任について明記されている必要があります。

第三者のデータ処理者は、管理者の指示に従ってのみデータを処理できます。データ管理者のデータは、独自の目的で使用することはできません。データ処理者は、副処理者（サブ・プロセッサー）とデータを共有する前に、データ管理者の承認を得る必要があります。

組織がEEA域外で承認されたデータ転送のみを行っていること

データ管理者は、データ転送が次の基準を少なくとも1つ以上満たしている場合にのみ、EEA域外の第三者とデータを共有できます。

• 欧州委員会が、第三者が所在する国のデータ・プライバシー法が適切であると判断している場合
• 欧州委員会が、第三者が適切なデータ保護ポリシーと管理を行っているとみなしている場合
• データ管理者が、転送するデータのセキュリティーとプライバシーを確保するために必要なすべての措置を講じている場合

GDPRへの準拠は継続的なプロセスであり、組織の要件は、新しいデータを収集し、新たな処理活動を行うにつれて変化する可能性があります。

IBM Security® Guardium®のようなデータ・セキュリティーおよびコンプライアンス・ソリューションは、GDPRへの準拠の達成および維持のプロセスを合理化するのに役立ちます。Guardiumは、GDPRで規制されているデータを自動的に検出し、そのデータに対するコンプライアンス・ルールを適用し、データの使用状況を監視して、組織がデータ・セキュリティーに対する脅威に対応できるようにサポートします。