一般データ保護規則（GDPR）ガイド
この1年、技術環境がますます複雑化する中、プライバシーとデータ保護が再び注目を集めています。クラウドやAIの普及に伴い、共同責任モデルから生体データの処理、顔認識技術の利用に至るまで、独自のプライバシー上の課題が生じていることから、EUでは”GDPR 2.0″の必要性について議論が進められています。
では、GDPR(一般データ保護規則)とは一体何なのか、その適用範囲はどの程度なのか、そして草案が初めて作成されてから12年が経過した今、この規則は現代の課題に対する答えを提供できるのだろうか。本稿では、この法律の目的と要件、そしてデータ保護戦略を通じてコンプライアンスを確保する方法について考察する。
GDPRとは？
一般データ保護規則( 一般データ保護規則(GDPR) )は、組織がEU市民の個人データを収集、保存、処理、共有する方法を規制するデータ保護法です。 GDPRは2018年5月25日に施行されました。これは、個人データの保護に関する”EU基本権憲章”第8条に基づいており、個人データの取り扱いにおける法的根拠として”自発的に与えられた同意”を重視しています。
この規則は、欧州連合全域におけるデータプライバシー規制の調和を図り、個人データを扱う組織の地理的な所在地にかかわらず、EU市民のプライバシー権を保護することを目的としています。
GDPRの主要な原則
一般データ保護規則(GDPR)は、個人データの適法な取り扱いを規定する7つの主要な原則に基づいて構築されています。これらの原則は単なるガイドラインではなく、法的拘束力があり、GDPRへの準拠において極めて重要です。これらは、組織に対し、データの初期収集から最終的な削除または破棄に至るまで、データ処理のあらゆる段階でプライバシーを考慮することを求めています。
- 適法性、公正性、および透明性。 個人データの処理には法的根拠が必要であり、当該個人を誤解させたり不利益を与えたりしてはならず、また、データの使用および処理方法について個人に対して明確かつ開かれた形で説明されなければなりません。
- 利用目的の限定 。データは、具体的、明確、明示的かつ適法な理由に基づいて収集されなければならず、その使用は当初の目的と矛盾してはなりません。
- データの最小化 。収集および処理されるデータは、意図された目的に不可欠な範囲に限定されなければならない。
- 正確性 。個人データは正確でなければならず、必要に応じて最新の状態に保たれなければならない。不正確なデータは、遅滞なく訂正または削除されるべきである。
- 保存期間の制限 。個人データは、意図された目的を達成するために必要な期間に限り、データ主体を特定できる形式で保持されなければならない。
- 完全性および機密性(セキュリティ)。個人データの処理においては、不正または違法な処理および損害から保護するための適切なセキュリティ対策を講じなければならない。
- 説明責任 。組織は、GDPRを遵守するために必要な方針および手順を適用でき、求められた際には、それらを効果的に実施したことを証明できなければならない。
GDPRの定義および用語
以下は、主要な用語とGDPRの定義をまとめた簡単な用語集である: 個人データ とは、個人、すなわち データ主体 に関連するあらゆる情報を指し、氏名、識別番号、所在地、または身体的、生理的、遺伝的、精神的、経済的、文化的、あるいは社会的アイデンティティに関連するその他の識別子などによって、直接的または間接的に特定可能な者をいう。
同意 とは、データ主体 が、明示された目的のために自身の個人データが処理されることに同意することを示す、”自発的、具体的、情報に基づく、かつ明確な”意思表示を指します。
データ管理者 とは、GDPRの原則の遵守に責任を負い、個人データの処理の目的および手段を決定する個人または組織を指します。これは、自身の権利を行使したいと望むデータ主体 が連絡を取るべき当事者です。 ただし、実際のデータ処理は、別の個人または組織、すなわち データ処理者 に委託される場合があります。
データ処理者 とは、 データ管理者 に代わって個人データを処理する個人または組織を指します。この当事者は、 データ管理者 の指示に従うものとします。
データ主体 とは、自身の個人データが、データ管理者 ( )またはデータ処理者 ( )によって処理されることに同意する個人を指します。
処理 とは、個人データに対して行われるあらゆる操作を指し、これには収集、記録、構造化、保存、変更、開示、頒布、消去、破棄などが含まれ、その他GDPRで規定される操作も含まれます。
アクセス権 とは、 データ主体 が、 データ管理者 に対し、自身の個人データ、その処理方法、処理の目的などに関する情報を、当該請求を受領してから1ヶ月以内に無料で取得する権利を指します。
GDPRの遵守要件と課題
GDPRは、強固なデータ保護基準の基盤を築きました。しかし、技術の急速な進化は複雑さを生み出し、EUのプライバシー規制を支える基本原則への試練をますます強めています。
誰がGDPRを遵守しなければならないのか？
EU域内。 EU域内の個人の個人データを処理するあらゆる組織は、GDPRの適用対象となります。これには、公的・民間企業、政府、慈善団体、その他の非営利組織が含まれます。
EU域外。 GDPRの適用範囲はEUの域外にも及び、EU市民に商品やサービスを提供する組織、あるいはEU域内でEU市民の行動を観察する組織にはすべて適用されます。つまり、EU居住者のデータを処理する企業であれば、その拠点が世界のどこにあってもGDPRを遵守しなければなりません。
EU内にユーザーを抱えるソーシャルメディアプラットフォームを含む、グローバルなインターネット・テクノロジー企業 は、GDPRを遵守することが義務付けられています。
テクノロジーベンダーと共同責任
SaaS、IaaS、PaaS、およびインターネットを介してITリソースやサービスを提供するその他のプラットフォームの普及に伴い、個人データを扱うテクノロジーベンダーや下請け業者の役割が、GDPRコンプライアンスにおいて重要になってきています。組織が個人データの処理や保存にサードパーティのサービスやプラットフォームを利用する場合、それらのベンダーもGDPRを遵守する必要があります。
なお、これらのサービスの多くは”責任分担モデル”に基づいており、その内容は以下の通りです:
- 組織はデータ所有者として自身のデータに責任を負い、サービスの種類によってはアプリケーションやオペレーティングシステムについても責任を負う場合があります
- ベンダーはサーバー、ストレージ、ネットワーク、物理的な設置場所などについて責任を負います
GDPRの下では、組織は同意を取得し、データが意図された目的のために使用されることを確保する責任を負います。 また、個人データの取り扱いを委託するベンダーが、規制に準拠して処理を行っていることを確認する必要があります。
クラウドコンピューティングが個人データにもたらす課題には、以下のようなものがあります:
- 機密情報の漏洩リスク
- 管轄区域間のデータフローの管理
- サードパーティベンダーがデータ主体に対して行ったのと同じプライバシーに関する約束を確実に適用させること
- 保存ポリシーの効果的な実施
- 個人データの漏洩への対応
- リスク管理全般
GDPRとAI
EUの人工知能法(世界初のAIを規制する法律)は、EU市民のプライバシー権に関する新たな課題のいくつかに対処するため、2025年に施行される予定です。 しかし、個人データの処理にAIを活用している組織が直面している課題のいくつかを、今から理解しておくことが重要です:
- データの最小化と利用目的の限定。 AIは、データ管理者がデータ収集を厳密に必要な範囲に限定し、特定の目的のためにのみ行うことを困難にしています。
- 国境を越えたデータ転送。 AIやデータ駆動型技術は、しばしば国境を越えて運用されます。そのため、GDPRへの準拠を確保するには、より厳格な管理体制の整備が必要となる場合があります。
- 自動化された意思決定とプロファイリング。 AIの導入により、プロファイリングを含む個人データの処理に基づき、人間の介入なしに意思決定が行われるリスクが生じます。GDPRの下では、このような個人データの利用は厳しく制限されています。
GDPR準拠の主な要件
GDPRへの準拠が必要な組織が考慮すべき一般的な要件は以下の通りです:
- データ保護対策 。 組織は、データの暗号化、安全なデータ保存、定期的なセキュリティ監査など、堅牢なデータ保護ソリューションと対策を講じなければなりません。これには、AI、クラウドコンピューティング、ビッグデータ分析などの新技術を導入する際に、GDPRが及ぼす影響を考慮することも含まれます。
- 同意の管理 。組織は、個人データを処理する前に、明確かつ十分な情報に基づいた、自発的な同意を得るための明確な方針を策定しなければなりません。これには、個人データのライフサイクル管理のための明確な仕組みを整備することも含まれます。
- データ処理記録 。データ処理活動に関する詳細な記録を保持することは義務付けられており、どのようなデータが、どのような目的で収集され、どのように処理・保護されているかを示す必要があります。
- データ保護責任者 。組織の種類によっては、特に機密性の高いデータを大規模に処理する場合、GDPRの遵守を監督するためにデータ保護責任者を任命する必要がある場合があります。
GDPR要件を満たす方法
GDPR要件を満たすことは、一度きりの取り組みではなく、評価と監視を継続的に行うプロセスです。 組織は、個人データの取り扱い、データの保護と復旧、およびセキュリティを網羅する包括的な一連の措置を実施しなければなりません:
- データの把握とマッピング 。どのような個人データが収集されているか、なぜ収集されているか、どのように処理されているか、データがどこに保存されているか、そしてどのように共有されているかを把握するために、徹底的な監査を実施してください。 組織内における個人データの移動経路を追跡するためのデータフローマップを作成します。これにより、リスクのある領域を特定しやすくなります。
- 処理の法的根拠を確保する 。同意、契約、法的義務、生命の利益、公的任務、または正当な利益など、個人データを処理するための法的根拠を特定します。 同意に依拠する場合は、その同意が”自発的、具体的、情報に基づく、かつ明確な”ものであることを確保してください。同意の仕組みは理解しやすく、同意を容易に撤回できる選択肢を含める必要があります。
- データ保護方針の実施 。GDPRへの準拠を確保するため、社内のデータ保護方針および手順を策定または更新してください。個人データが関与するすべての業務プロセス、システム、およびサービスに、”デフォルトおよび設計段階からのデータ保護”を組み込んでください。
- データ処理の最小化。 各特定の目的に必要なデータのみが処理され、個人データへのアクセスが必要な者に限定されるようにします。
- データの保存期間。 GDPRでは、組織に対し、個人データの保存期間を厳格に評価・管理し、データが必要以上に長く保持されないようにすることが求められています。これには、明確なポリシー、定期的な見直し、およびデータの削除や匿名化のための効果的なプロセスを備えた、データ管理への積極的なアプローチが必要であり、その際、GDPRへの準拠とその他の法的保存要件とのバランスをとることが求められます。
- データ主体の権利の履行 。データへのアクセス、訂正、消去、データポータビリティ、および処理への異議申し立てなどの要求を含め、データ主体の権利に対応するための手順を確立する。
- データ侵害への対応および報告措置の策定 。データ侵害対応計画を含む、堅牢なインシデント対応計画を作成し、実施する。 データ侵害を認識してから72時間以内に、関連する監督当局に通知する準備を整え、場合によっては影響を受けた個人にも通知する。
- ベンダー管理およびデータ処理業者のコンプライアンスを確認する 。組織の個人データを扱うサードパーティベンダーやデータ処理業者が、GDPRに準拠していることを確認する。
- 継続的な評価を実施する 。 データ処理に関する活動を定期的に監査し、ポリシーを見直すことで、GDPRへの継続的な準拠を確保してください。
- 国際的なデータ転送に注意を払う 。EEA域外にデータを転送する場合は、標準契約条項(SCC)の採用や、欧州委員会による十分性認定の遵守など、適切な保護措置が講じられていることを確認してください。
- 記録および文書を保管する 。 データ処理活動の包括的な記録(処理の目的、データの種類、データの受領者など)を維持してください。
GDPRとデータ保護
データのバックアップおよび災害復旧に関しては、組織は個人データを保護し、 GDPRへの準拠を確保するために、安全なバックアッププロセスを実施しなければなりません。これには、 データ保護 および以下の機能を含む災害復旧ソリューションの導入が含まれます:
- ストレージリポジトリ内(保存時)および転送中(転送時)におけるバックアップデータの暗号化 。 セキュリティ侵害が発生した場合でも、権限のない第三者がバックアップデータを読み取れないように、強力な暗号化基準を実装できるソリューションを選択してください。
- アクセス制御と認証 。個人データへのアクセスを制限するためにロールベースのアクセス制御(RBAC)を構成し、アクセスを許可する前にセキュリティを強化するために多要素認証(MFA)を設定してください。
- データの最小化と保存期間の制限 。 一般データ保護規則(GDPR)の中核となる原則の一つは保存期間の制限であり、これはバックアップの保存ポリシーに直接影響を与えます。バックアップソリューションが、データの階層ごとに異なるスケジュールや保存ポリシーを作成できる十分な柔軟性を備えていることを確認してください。
- クラウドストレージにおけるバックアップデータの保存場所。 バックアップデータがどこに保存されているかを把握し、処理される個人データの種類に基づいてリージョンを選択してください。
- 定期的なバックアップデータの整合性チェック 。個人データの整合性を確保するために定期的なバックアップを維持し、復旧テストを実施するための措置を講じてください。
- ベンダーおよびサードパーティの管理／コンプライアンス 。バックアップソリューションと統合されているサードパーティのストレージやその他のプラットフォームが、データの保存方法や保存場所を確実に制御できる適切な機能範囲を提供していることを確認してください。
NAKIVO Backup & Replicationは、個人データを処理する組織が導入できる、バックアップ、災害復旧、およびセキュリティ機能を適切に組み合わせたデータ保護ソリューションです。 仮想環境、物理環境、クラウド環境、SaaS環境におけるアプリケーションやシステムを保護し、保存時および転送中のデータ暗号化、バックアップのスケジュール設定と自動化、柔軟な保存期間設定、バックアップ検証などの機能を活用することで、GDPRの要件への準拠を維持することができます。
