GDPR の誤解：よくある7つの神話を検証

GDPR のコンプライアンスは、よく誤解されがちで、「すべては同意の話だ」から「どんなミスも大きな罰金につながる」といった神話までさまざまです。実際の GDPR は、設計によるデータ保護、明確な同意、不必要なデータ収集の最小化に重点があります。コンプライアンスはマーケティングを壊したり、手痛いコストを確実に招いたりするものではなく、監査では罰するのではなく備えができているかを確認することが目的です。リスクベースのセキュリティ、透明性、協力を取り入れる組織は、リスクへの露出を減らし、信頼を築き、さらに データガバナンス。

GDPR のコンプライアンス期限の前日、8 つの異なる会社から、私に関するデータを収集するための同意を求めるメールが届きました。しかし、私がどうやってそれらのベンダーのメーリングリストに載ったのかすら思い出せませんし、最近は他の連絡も何もありません。明らかに、彼らはしばらく前から目的もなく私の個人情報を集めていたのに、最後の最後になって「自分たちも GDPR のコンプライアンス対象になった」と気づき、「何かしよう」と決めたのでしょう。

皮肉なことに、ある個人データのガバナンス会社のCEOによると、これらの「オプトイン（opt-in）」メールを送信すること自体が、データ保護ルール違反だそうです。さらに、それはGDPR違反の中でも最も深刻なタイプで、最高額の罰金の対象になります。

多くの企業が、これらのメールを送るといった性急な対応をしてしまうのは、部分的には、インターネットを「最終直前のGDPR対応（last minute GDPR compliance）」という見出しがあふれさせ、GDPRについての誤った情報（神話）を流布してパニックを引き起こしているからです。私の提案は、一度立ち止まって、すべてのコンプライアンス活動を俯瞰し、これらのGDPR神話のどれかが貴社の「本当のGDPR対応準備」を妨げていないか確認することです。

神話 1：GDPR は同意（consent）のことだけだ。

ざっくり言うと、同意（consent）がGDPRの90%を占めるのかもしれませんが、同意の要件を満たすことに時間をすべて費やすべきではありません。

GDPRの基盤は、設計段階から、そして初期設定として実施されるデータ保護です。したがって、法律を遵守するには、組織がセキュリティの基本に取り組む必要があります。まず、最も重要なリスクを特定し、それらを軽減する計画を立てます。次に、技術面および組織面での取り組みを、個人データの処理を最小限に抑えることに向けてください。必要な分だけデータを収集し、必要な範囲でのみ処理し、必要な期間だけ保存するようにしてください。たとえばソーシャルプラットフォームを利用している場合は、ユーザーが最もプライバシーに配慮した方法で自分のプロフィール設定を自ら決められるようにし、必要最低限の情報のみを収集できるようにします。

どこから始めればよいか分からない場合は、次の2つのほかのコンプライアンス基準も確認してください。これらは幅広いガイダンスを提供します。ISO 27001 は、技術面および組織面の両方の観点から個人データを保護する方法を説明しており、BS 10012 は GDPR の要件に最も近い形で個人データ保護を確立するための指針を提供します。

誤解2：顧客に同意を求めるメールを送れば、それで十分である。

個人データの収集および処理に関して顧客の同意を得るため、多くの企業は自社ウェブサイトに特別なチェックボックスを設置するか、メールを送ります。そのメールでは、末尾に小さな文字でオプトアウト（同意の撤回・拒否）の方法を説明しています。

しかし、GDPRは同意の本質を変えており、これらのアプローチだけではもう十分ではありません。同意はもはや一般的なものではなく、個人のデータをどのように利用するのか、そのすべての方法を明確に説明する必要があります。たとえば、対象者のデータに対して6つの異なる行為を行う予定がある場合は、なぜそれが必要なのかを説明し、対象者がそれぞれに同意していることを確認してください。特に、ダイレクトメールとカスタマイズされたオンライン広告の両方を通じて、製品およびマーケティングの最新情報を人々に提供したい場合は、2つの方法それぞれについて同意を得ていることを確認してください。

さらに、組織が各対象者のデータを、あなたが説明したとおりに正確に処理することを確認する必要があります。データの扱い方を変更しなければならないため、これは業務プロセスに大きな影響を与える可能性があります。これらの変更は、マーケティング、営業、HR（人事）、サポート、法務部門など、顧客に関する機微なデータを収集し保存するすべての従業員に影響します。

神話3. 取り組み範囲が不可能に見える。

取り組み範囲は圧倒されるように感じるかもしれません。コツは、課題をより小さなタスクに分割することです。ここでは、特に重要な手順をいくつか紹介します：

1. 保有している機密性の高いデータが何で、それに触れる（関わる）プロセスがどれかを確認します。まず、IT チームは他部門の責任者と連携し、データの所有者を特定するとともに、どのような種類の個人データを扱っているかを把握してください。
2. どのデータが最も重要かを決めます。理想的にはすべてのリスクをカバーしたいところですが、実務では優先順位を定め、まずは最も重要、または機密性の高いデータから保護する必要があります。データの所有者は自分のデータを最もよく理解しているため、所有者と個別に協力し、「最も機密性が高いものから最も低いものまで」の順にデータをカテゴリ分けしてください。
3. 過剰なデータは削除します。ビジネスプロセスに必要な最小限の情報だけを収集・保管することが重要です。たとえば、ある個人が別の都市に引っ越してしまい、もはや顧客になる可能性が低い場合は、その人に関する情報をすべて削除してください。そうすることでリスクが減り、ストレージも空きます。
4. 規制対象のデータは、その価値と機密性に応じて、安全な場所に保管されていることを確認してください。
5. アクセス権を更新して、保護された情報が許可された担当者のみに、かつ必要最小限の「知る必要がある」場合に限って利用できるようにしてください。
6. 実施した変更内容に基づいて、セキュリティポリシーを更新してください。これらのポリシーは、貴社が顧客の個人データを処理するための安全な計画を持っていることの根拠です。

神話4：GDPR はマーケティング戦略にとって破壊的である。

ほとんどの企業は長年にわたり、マーケティングファネルのモデルを用いてきました。売上を増やすために、できるだけ幅広くリーチを広げようとしているのです。ところが今、個人が自分の個人情報をすべて消去するよう求めるかもしれないため、顧客データベースを失ってしまうのではないかと恐れています。

しかし、自分のデータを消去してほしいと言う人は、ほとんどの場合あなたの忠実な顧客ではありません。では、なぜ時間とお金をかけてそのデータを保存し、処理する必要があるのでしょうか？そうした人たちは、そもそもあなたの話を聞きたいとも思っていません。今日では、ブランドに関心を持つ、明確に定義されたターゲット層の具体的なニーズに合わせてマーケティング施策を行うほうが、より効果的です。結果の80%は原因の20%によって生まれるという 80/20 の法則がここでも当てはまります。つまり、売上の大部分は常に、忠実なクライアントと強い関連性のあるリードから生まれます。

こう考えてみてください。GDPR は、関連性の高い見込み客と顧客を中心に、無駄のないデータベースを構築することで、マーケティング戦略を強化できる絶好の機会です。

神話 5：GDPR 関連のコストは、私のビジネスを台無しにしてしまう。

多くの組織が、メディアで紹介されている GDPR 準拠にかかる巨額の数字に驚き、警戒しています。たとえば ある調査では、GDPR 準拠を達成するために、企業が技術だけで約 100 万ドルもの費用を支払う必要があると予測しています。ほかにも、さまざまな費用が発生します。たとえば、市場での人材不足と高い需要が重なることで、データ保護責任者の採用には大きなコストがかかる可能性があります。

幸いなことに、多くのベンダーが GDPR の遵守を支援できるソフトウェア を、はるかに低い費用で提供しています。すぐに効果が得られるため、資格のあるセキュリティ専門家を雇うよりもソフトウェアに投資することをおすすめします。ただし、IT リスクを評価するまでは、いかなるソリューションも購入しないでください。現在のツールやプロセスで満たせるコンプライアンス要件と、追加の投資が必要な要件を見極めましょう。リスクを評価し、予算の大部分を最も重要なものに振り向けてください。

神話 6. GDPRは、あらゆるミスに対して巨額の罰金を科す。

GDPRの罰金 は確かに非常に大きいです。会社の年間の全世界売上高の2%〜4%、または1,000万〜2,000万ユーロ。とはいえ、慌てる必要はありません。

考えてみてください。現行のデータ保護法のもとでは、Information Commissioner’s Office は企業に対して最大 50万ポンドまでの罰金を科すことができますが、これまでその最高額を課したことはありません。GDPRによって方針が変わると考える根拠はありません。

規制当局は、信頼できるコンプライアンス計画を持っているかどうか、そして当局に協力しているかどうかを考慮します。したがって、効果的なセキュリティポリシーと手順を整備していることを証明できるようにしておきましょう。コンプライアンス計画をどのように実行してきたか、これまでに何を行ったか、そしてこれから何をするのかを示してください。そうすれば、当局はあなたが セキュリティインシデントを経験した り、監査の一部に不備があったとしても、巨額の罰金を科す可能性は高くありません。

神話 7. 監査人は企業を罰することを目的としている。

EUのほとんどの中小企業（SMB）は、個人データに関する規制基準がこれまで必須ではなかったため、これまで監査人と仕事をしたことがありません。そのため、サイバーセキュリティ上の課題について見知らぬ人に報告しなければならないという新しい義務に対して、不安を感じています。

この不安を軽減するために、監査人が何を求めているのかを理解し、事前に準備しましょう。監査人は、あなたがセキュリティ戦略の目的を説明でき、かつ自社のリスクを把握していることを確認したいのです。特権ユーザーの活動をコントロールできることの根拠（証拠）を示してください。質問には迅速に答えられるようにし、監査人が仕事を進めるためのサポートも行いましょう。監査人が指摘する、または自分で見つけたあらゆるセキュリティ上のギャップに取り組めるよう準備しておいてください。

監査人を恐れる必要はありません。むしろ、あなたと監査人は同じ目標を持っているので、協力すべきです。協力できれば、GDPRのコンプライアンス監査によりスムーズに合格できるでしょう。また、追加のメリットも得られます。第一に、監査人はより広い視点を持ち、価値ある提言をしてくれるため、組織内のセキュリティ課題について新しい見方が得られます。第二に、コンプライアンス手順を管理するスキルが向上します。

GDPRを、組織が負担しなければならない“重荷”として考えるのではなく、情報セキュリティをまったく新しいレベルへ引き上げるチャンスだと捉えてください。私の伝えたいことは次のとおりです。特定のGDPR要件に関するニュースを追いかけるのはやめてください。その代わり、顧客のデータを尊重して取り扱うことで、会社をより安全にし、顧客との信頼を築くにはどうすればよいかを考えましょう。そうすれば、GDPR（そして将来続いていく他のあらゆる基準）を怖がる必要はなくなります。