データ保護影響評価（DPIA）の実施方法

データ保護影響評価（DPIA）の実施は、データがセキュリティ上の不備や脆弱性によって危険にさらされないようにするために、複雑ではありますが重要な作業です。さらに、DPIA は多くの規制で求められています。特に、定期的にデータ保護影響評価を実施することは、一般データ保護規則（GDPR）という包括的な data privacy law であり、欧州連合（EU）居住者のデータを保存または処理するすべての組織に適用されます。DPIA は英国 GDPR によっても求められます。

続けてお読みください。DPIA とは何か、重要な GDPR の要件、DPIA が必要となるケース、およびデータ保護影響評価の実施方法を解説します。

データ保護影響評価とは何ですか？

データ保護影響評価（Data protection impact assessments）は、プライバシー影響評価（privacy impact assessments（PIAs））とも呼ばれ、個人を識別できる情報（PII）を含むプロジェクトまたは計画、またはGDPRが「personal data（個人データ）」と呼ぶものに関連するデータ保護リスクを特定・分析し、最小化するために実施されます。

個人情報に対するリスクには、社内または社外の関係者による無断アクセスから、データ主体の意思に反して personal data（個人データ）を取り扱うことまで、さまざまなものが含まれます。DPIA は、常に、特定されたリスクに対処するために組織が講じる措置の一覧を作成する必要があります。

DPIA のメリットは何ですか？

DPIA を実施するメリットは、GDPR のコンプライアンスをはるかに超えています。主な内容は次のとおりです:

• システム、Cookie、アプリ、ウェブサイト でのデータ侵害の発生確率を低減します
• 法的義務を満たせないリスクの低減
• データ侵害 の復旧費用、罰金、訴訟、そして事業機会の喪失に伴う巨額の出費リスクを低減します
• その他のデータ保護規制へのコンプライアンスをより容易に

自社はいつ DPIA を実施すべきですか？

GDPR（一般データ保護規則）は、プライバシーに関連するすべての処理作業について、組織が DPIA を実施することを求めているわけではありません。むしろ、データ処理によって個人の権利および自由に対して高いリスクにつながる可能性がある場合には、その都度 DPIA を実施する必要があります（GDPR の用語では「natural persons（自然人）」）。

公式ガイドラインで DPIA の実施が求められているにもかかわらず実施しない場合、法的な強制措置につながる可能性があり、欧州データ保護委員会（European Data Protection Board）からの高額な罰金が含まれることもあります。

DPIA はいつ必要ですか？

次の基準を使用し、The Guidelines on Data Protection Impact Assessment から、DPIA が必須かどうかを判断してください:

• 評価またはスコアリング — 人のプロファイリング（特に仕事のパフォーマンス、経済状況、健康、個人的な好みや関心、行動、場所、または移動）を行う場合は、DPIAを実施する必要があります。GDPRは、信用スコアの判定、健康リスクを評価するための遺伝子検査、および行動ベースのマーケティングのプロファイリングについても、DPIAを求めています。
• 自動化された意思決定 — 法的な意思決定を自動化するプロセスを導入する場合は、DPIAが必要です。その処理によって個人が排除されたり差別されたりしないようにする必要があります。
• 体系的な監視 — 公共の場所にいる場合を含め、データ主体を観察、監視、または管理する場合はDPIAを実施する必要があります。例としては、ドアベルのカメラアプリのような遠隔のセキュリティ監視が挙げられます。
• 機微データの取り扱い — 患者の健康データのように、非常に個人的なデータを扱う場合は、その都度DPIAが必要です。
• 大規模なデータ処理 — 大規模なデータ処理を行う場合、DPIAが必要です。データ処理が大規模に該当するかどうかを判断する基準には、データ主体の数、活動の期間、ならびに活動の地理的範囲が含まれます。
• データセットの照合または結合 — 異なる目的のために収集された2つ以上のデータセットを統合または比較する場合、DPIAを実施する必要があります。
• 脆弱なデータ主体 — データ主体とデータ管理者（データ・コントローラー）の間に権力の不均衡があり、その結果としてデータ主体に危害が及ぶ可能性がある場合、DPIAが必要です。子ども、従業員、精神疾患や認知上の問題を抱える人など、自身のデータ処理に対して反対できないデータ主体については、DPIAが必要です。
• 革新的な活用 — IoTデバイス、指紋スキャナー、顔認識システムなどの新しい技術については、DPIAが必要です。
• EUまたは英国の外へのデータ移転 — EUまたは英国の外へデータを移転する場合、DPIAを実施する必要があります。これにより、適切な保護措置が講じられていることを確認できます。
• 申請者データの取り扱い — データ主体が権利を行使したり、サービスや契約を利用したりすることを妨げるプロセスを実施する場合は、DPIAを実施する必要があります。例として、銀行がローン申請のために信用調査を行うケースがあります。

DPIA はいつ不要ですか？

次の状況では、DPIAを実施する必要はありません：

• 法的義務を履行している場合 — 法的義務に基づいて、または公共の利益のために代わってデータを処理している場合は、DPIAを実施する必要はありません。ただし、この例外が適用されるのは、データ処理が次の状況のうち少なくとも1つを満たす場合に限られます：
  • データを処理するための法的根拠があります。
  • 法的規定または成文法のコードが、処理業務を規制しています。
  • 適用される法律で定められた DPIA の義務の対象ではありません。
  • 2018年5月に GDPR を採用した際、影響評価の一環としてデータ保護リスク評価が実施されました。
• すでに類似の DPIA を実施しています — DPIA を完了しており、現在の状況の性質、設計、範囲、文脈、目的がすべて類似していることを証明できる場合は、新たな DPIA を実施することが免除される可能性があります。

DPIA はいつ実施すべきですか？

個人データを含む新規プロジェクトには、最初から DPIA を組み込み、計画から開発までの全期間にわたって活用する必要があります。たとえば、IoT アプリを作りたい場合は、計画プロセスの最初の段階から完了まで、DPIA の義務を検討してください。

GDPR が施行される前から実施されていたプロセスはどうなるのでしょうか？

DPIA の要件は、2018 年 5 月 25 日以降（同日を含む）に開始したプロセスに適用されます。また、その日より前に開始したプロセスであっても、コンプライアンス要件に影響を与える形で変更が加えられた場合にも適用されます。

技術的には DPIA の実施が免除される可能性があるとしても、ほとんどのコンプライアンス専門家は、GDPR が施行される前からすでに進行していたリスク処理の業務に対して DPIA を実施することを推奨しています。

DPIA には何を含めるべきですか？

DPIAのメリットを最大限に引き出し、GDPRに確実に準拠するには、包括的なアプローチが必要です。以下のチェックリストは、重要な情報や文脈を見落とさないために役立ちます。

DPIA 意識チェックリスト

意識チェックリストにより、会社の現行 DPIA プロセスを理解し、すべての従業員が DPIA の必要性に注意を払う文化を醸成することで、人為的なミスの可能性を下げることができます。意識チェックリストには次が含まれます：

• 従業員トレーニング — DPIA が個人データをどのように保護し、どのような場合に必要になるのかを従業員に指導します。
• 手順およびポリシー管理 — 会社のポリシーが DPIA の要件とどの程度一致しているかを確認します。
• 実装 ガイドライン — DPIA が必要となる状況を文書化してください。

DPIA スクリーニング チェックリスト

スクリーニング チェックリストは、特定のプロジェクトにおいて DPIA が必要となる場合の基準を示す、より徹底した分析を提供します。スクリーニング チェックリストには以下が含まれます：

• 対象となるデータの理解 — 関係するデータの量、データ主体の脆弱性、そしてデータがどの程度個人的かつ私的なものかについて質問する文書を作成してください。あわせて、高リスクと低リスクのデータを区別するためのガイドラインも示します。
• データ処理に関する詳細 — データをどのくらいの期間処理するのか、保管場所と監督体制、誰がアクセスできるのか、どのようなセキュリティ対策が講じられているのか、そして処理内容をデータ主体にどのように通知するのかを明確にしてください。さらに、プライバシーの専門家や規制当局に相談する予定についても文書化してください。
• DPIAが必要である、または必要でないと判断した理由に関する明確な説明 — DPIAを承認することにした場合は、目的について明確で書面による説明を用意しておく必要があります。 あるプロジェクトについてDPIAを行わないと判断した場合は、DPIAを見送ることに決めた理由について必ず文書化してください。

DPIA 処理チェックリスト

処理チェックリストは、DPIAが開始された後、処理者（processors）がどのように正確に行動すべきかを指示し、GDPR 要件を最初から最後まで確実に遵守できるよう支援します。プロセスチェックリストを使用しない場合、処理段階での人為的ミスやその他の問題が発生する可能性が大幅に高まります。処理チェックリストには次が含まれます：

• リスクの特定 — 処理を開始する前に、リスクを理解するために processors とどのように協議する計画かを定義します。処理の範囲が全体の目的と一致していることを確認してください。リスクを評価したら、リスクをどのように測定し、どのように軽減する予定かについての書面による対策を含めます。
• 関係者リスト — すべての主要な関係者を特定し、さまざまな段階でコミュニケーションを行い更新する計画を整理します。
• 意思決定の記録 — 処理の前および処理中に誰に相談したか、ならびにデータへのアクセス権が付与されたすべての人に関する詳細な文書を含めてください。さらに、すべての処理方法、使用した技術、そして方法論の変更内容を文書化します。
• 見直しのプロセス — DPIA を実施する際は、プロジェクトの状況や変更点を常に確認できるようにスケジュールを作成してください。評価の性質、状況（文脈）、範囲、または設計に変更が生じた場合は、プロセスを最初からやり直す必要がある場合があることを覚えておいてください。

DPIA を実施するために、どのような手順を踏むべきですか？

一般データ保護規則（General Data Protection Regulation）に準拠するために、影響評価 DPIA プロセスで実施する必要がある手順を紹介します。

1. DPIA が必要かどうかを特定します。

上記の情報を使用して、DPIAが必要かどうかを判断してください。処理について、次の側面を必ず文書化してください：

• 性質 — データに対して何を行う予定か
• 範囲 — 処理されるデータは何か
• 文脈 — 期待や影響に影響し得る、内部および外部の要因
• 目的 — あなたの組織がデータを処理したい理由

2. 処理の操作内容と目的を説明してください。

プロジェクト全体を通じてデータがどのように処理されるのか、またデータの範囲を文書化してください。以下の質問に答えてください。

• データはどのように収集され、どのように利用されていますか？
• データはどこに、どのように保存されていますか？
• データはどこから収集されていますか？
• データは第三者と共有（保存）されていますか？
• 高リスクなデータのカテゴリは関与していますか？
• どのくらいの量のデータが収集され、何人のデータ主体に影響がありますか？
• データ処理はどこで実施されていますか？
• データの保管（保持）要件は何ですか？

次に、データ処理活動の目的がプロジェクトの目標にどのように関連するかを説明してください。各データ処理活動、その活動が利用者に与える影響、そしてプロジェクトのためにどのように活用されるかを説明してください。

3. 必要性と相当性（比例性）を評価します。

DPIAにおける重要な点は、プロジェクトの目標と成果のために実際に必要とされるものを説明することで、実施されるデータ処理活動を正当化することです。まず、次の質問に答えてください：

• このデータを収集するための法的根拠はありますか？
• 適切な同意（consent）に関する措置は講じられていますか？
• 脆弱なデータ主体が関与していますか？
• 同様の性質をもつ過去のプロジェクトで、同様の処理が行われたことはありますか？ ある場合、セキュリティ上の欠陥は特定され、是正されましたか？
• プロジェクトの目的を達成するために、データ処理が必要ですか？
• 消費者の権利はどのように保護されていますか？
• 消費者データの使用量を最小限にする方法はありますか？

4. 関係者に相談してください。

DPIA の実施期間を通じて、いくつかの重要な関係者に相談する必要があります。これには以下が含まれます。

• Data Protection Officer (DPO) — 組織の DPO は、GDPR およびその他のデータ保護法の遵守状況を監視し、データ処理に関与する職員を教育し、データ主体の窓口として機能する責任を負います。DPO に相談することで、遵守を示し、説明責任を高め、プロジェクト上のリスクについてのフィードバックを得ることができます。
• プロジェクトの利害関係者 — すべての利害関係者を関与させることで、データ処理活動の範囲と必要性を十分に理解できるとともに、リスクに対処するための適切な戦略を立案できます。
• データ主体およびその代理人 — データ主体およびその代理人は、データがどのように処理されているかについてフィードバックを提供し、処理活動の適法性を確保することができます。
• 外部の専門家 — データのプライバシー の専門知識については、情報セキュリティの専門家、弁護士、技術者、セキュリティアナリスト、社会学者などの外部専門家を活用することを検討してください。

5. 個人データに対するリスクを特定し、評価します。

資産の優先順位付きリストを作成し、潜在的な脆弱性を特定してください。たとえば、資産の1つが顧客データを保存しているサーバーである場合、そのデータに対するリスクには、自然災害、ハードウェア障害、悪意のある攻撃などが含まれ得ます。

リスク分析 において、次の点を検討してください：

• 喪失または漏えいすると業務に影響するデータ
• それらのデータ資産を使用する主要なビジネスプロセス
• データが匿名化されているかどうか
• データ保持ポリシーが適用されるかどうか
• データが安全でない場所に保存されているか、またはそのような場所に移動される可能性があるかどうか
• プロジェクトの進行中にデータ処理の範囲が変わるかどうか
• 適切なアクセス制御が適用されているかどうか
• 組織の運営能力を損なう可能性のある脅威と、各脅威の深刻度および発生可能性

6. リスクに対処するための対策を特定します。

プロジェクトに関わる潜在的なリスクを把握できたら、戦略的に適切なリスク低減策を立案し、実行します。 データセキュリティ ソリューションは、次のことを確実にするのに役立ちます：

• 内部または外部の関係者による個人データへの不正アクセスを防ぐために、必要なセキュリティ対策が講じられています。
• データ保持ポリシーにより、不要になったデータを削除する仕組みが用意されています。
• ディスカバリーおよび監視技術により、個人データがどこに存在するか、誰がアクセスしているか、それがどのように使用されているか、そして組織内でどのように移動しているかが可視化されます。
• 是正措置（不要なデータの削除やアクセス権の整理など）は、自動化して大規模に実行できます。

特定の緩和措置が、どの情報保護リスクにどのように対処するのに役立つのかを文書化する必要があります。以下に2つの例を示します：

例 1

リスク: 組織が必要以上の期間PII（個人を特定できる情報）を保持している。

解決策: データが必要に応じて削除されるよう、自動化されたデータ保持ツールを使用します。

例 2

リスク: 未承認のユーザーがサーバーにアクセスし、規制対象のデータに到達する可能性があります。

解決策: 不審な活動を防止し、検知できるように、サーバーのセキュリティテストと監視を強化します。

7. 承認を取得する。

すべてのリスクを特定し、適切なセキュリティ戦略を策定したら、関連する関係者から実施の承認を取得してください。承認対象のリストは組織や具体的なプロジェクトによって異なりますが、一般的にはデータ保護責任者（Data Protection Officer）や経営チームのメンバーが含まれます。

8. リスクに対処するための対策を実施する。

次に、リスクを低減するために特定したソリューションおよびその他の対策を展開します。

9. 最終 DPIA レポートを作成する。

最後に、最終的な DPIA レポートを作成する必要があります。レポートには次の情報を含めなければなりません：

• プロジェクトおよびその目的についての詳細な説明
• データ処理の必要性および範囲に関する評価
• データ保護および消費者のプライバシーに関するリスクの評価
• 組織がリスクを軽減し、GDPR の要件を遵守する方法についての説明

GDPRで必須でない場合でも、DPIAを全部または一部公開することはベストプラクティスです。これにより、処理業務に対する信頼を育み、すべての利害関係者に対して説明責任と透明性を示すことができます。

Netwrix はデータ保護の影響評価（DPIA）でどのように支援できますか？

DPIA の実施は時間がかかることが多く、特に IT スタッフが限られている組織ではなおさらです。幸いなことに、Netwrix が支援します。私たちは compliance audit solutions を提供し、セキュリティを強化し、監査対応を満たし、あらゆる規模の組織を守ります。サービスを通じて、次のことが可能です:

• 規制対象データを特定し、そのアクセスを厳格に制限する — 組織が保有している規制対象のコンテンツを正確に把握し、安全な場所にのみ保存されるようにします。
• データへのアクセスを管理する — least privilege principle を、アクセス要求と承認のワークフローを自動化し、データ所有者による定期的なレビューと承認（attestation）を行い、Group Policy の管理、セキュアなシステム設定、強力な password policies を通じて厳格に徹底します。さらに、脅威を早期段階で検知し、素早く対応して無力化できます。
• 監査準備にかかる時間を数週間または数日から数分へ短縮 — システム構成、データアクセス、ユーザーアカウントなどの事前定義レポートで、規制順守に関する確かな証拠をすばやく作成できます。

よくある質問（FAQ）

1. DPIA（データ保護影響評価）は必須ですか？

GDPR 第35条 は、個人の権利または自由に対するリスクを増大させる可能性がある処理を行う場合、いつでも DPIA（データ保護影響評価）を求めています。DPIA の要件は、2018年5月25日以降（またはその日）に開始された処理と、同日より前に開始された処理であっても、合規要件に影響を与える形で変更が加えられている場合に適用されます。

2. 例外はありますか？

法的義務に基づいて、または公衆に代わってデータを処理している場合、もしくは同様の DPIA をすでに実施している場合は、DPIA が必須ではないことがあります。

3. DPIA を実施する責任は誰にありますか？

DPIA には、（設置している場合）データ保護責任者（Data Protection Officer）だけでなく、DPIA を引き起こしたプロジェクトのリーダー、ならびに関連するデータ処理者も参加させるべきです。

4. DPIA はいつ実施すべきですか？

組織は、新しいプロジェクトを開始する時点から DPIA を組み込み、計画および開発のプロセス全体を通して DPIA を実施するべきです。

5. DPIA には何を含めるべきですか？

Information Commissioner’s Office（ICO） は、DPIA 評価に含めるべき内容を説明しています。特に、データ処理に関して次の要因を必ず文書化してください：

• 性質 — データに対して行う予定のこと
• 範囲 — 処理がカバーする範囲
• 状況 — 期待や影響に影響し得る内部要因および外部要因
• 目的 — 組織がデータを処理したい理由