データ主体の GDPR リクエスト：権利と要件

一般データ保護規則（GDPR）は、EU（欧州連合）加盟国の居住者の個人データを企業がどのように収集し、利用できるかを規定する欧州連合の法律です。これにより、このデータが個人をリスクにさらす形で保存、取り扱い、または共有されないようにするための基準が定められています。さらに法律では、データ侵害 の場合に組織がどのように対応しなければならないかも明記されています。

GDPRの重要な特徴は、GDPR 個人が組織に対して特定のデータ主体アクセス要求を行えるようにする一連の具体的なデータ主体の権利を、法文化している点にあります。この記事では、その要求が何であるか、そして貴社がそれらをどのように取り扱うことが求められているのかを詳しく説明します。また、GDPR のデータ要求に対して迅速かつ正確に回答するためのソリューションも紹介しています。これにより、1,000万ユーロ以上の罰金を回避できます。

GDPR の対象となるデータの種類は何ですか？

GDPR のもとでは、EU の居住者は、組織がそれらに関して保有している 個人データ について特定の権利を持ちます。個人データの主な例には、次のようなものがあります：

• 氏名や住所などの基本的な識別情報
• 銀行口座の詳細などの財務情報
• 国籍、生年月日、性別などの個人の特性
• 健康状態や障害に関する詳細を含む健康情報
• DNA 検査結果や遺伝的な構成に関するその他の情報などの遺伝データ
• 従業員番号や給与などの雇用情報
• ユーザー名のようなオンライン識別子
• 興味やオンライン活動に関する詳細を含む行動データ
• 顔認識データなどの生体認証データ
• 位置情報

データアクセス要求にはどのような段階がありますか？

個人がデータアクセス要求を行う場合、まず組織が確認すべきは、その個人に関する個人データを組織が保存または処理しているかどうかです。該当するデータがない場合は、その「未発見」の結果を個人に報告すればよく、これで対応は完了です。

一方で、組織が当該個人に関するデータを保存または処理している場合は、2段階目に進み、個人の具体的な要求を処理しなければなりません。次のセクションでは、要求の種類とそれらへの対応方法を説明します。

GDPR のもとで、個人は組織に対してどのような要求を行うことができますか？

GDPR に基づく権利を行使する個人が行うことのできる 6 種類の要求と、それが貴組織にとって何を意味するのかを示します。

1. あなたは私についてどのような情報を保持しており、その理由は何ですか？

本件の調査は、2つの権利に基づいています：

• 知らされる権利（第13条および第14条）。 EU居住者は、組織が自分について収集した個人情報が何であるかについて、明確で正確な情報を得る権利があります。たとえ、それによって自社が自分に関するデータを一切収集していないことを知ることになるとしても同様です。
• アクセス権（第15条）。 また、データが収集された種類（カテゴリ）、処理の目的、保存方法およびポリシー、データが開示される相手、保存期間、そして情報がどこから取得されたのかを含めて、自分の個人データが処理されているかどうか、またどのように処理されているかを知る権利もあります。

2. あなたは私について不正確な情報を持っています。修正してほしいです。

この種の要求は 訂正を求める権利（第16条） に基づいています。これにより、組織は自らが保管するすべての個人データが正確で最新であることを保証する必要があります。データ主体は、不正確な個人データの訂正、または不完全なデータの補完を求める権利を有します。

コンプライアンスを確実にするには、すべてのデータシステムとプロセス間で密接な統合が必要です。1つのシステムで更新されたデータが、他のすべての場所でも自動的に修正されるようにする必要があります。

1対1のデモを依頼：GDPR 準拠の達成と立証

3. もう私のデータを保有しないでください。削除してください！

この種の要求には、次の2つの権利が含まれます。

• 消去する権利（忘れられる権利）（第17条）。 個人は、組織に対して、自身の個人情報を同組織の記録およびリソースから削除し、データのさらなる拡散を直ちに停止するよう求めることができます。企業は、次のいずれかの基準を満たすすべてのデータを削除しなければなりません：
• 不法に収集された
• もはや必要ではない
• 本人の子どもの頃に収集された
• オンラインに表示されている

組織は、次のいずれかに違反する場合、消去の要求を拒否できます。

• 自由と表現の権利
• 公衆衛生、または科学もしくは歴史に関する研究分野における公益のための理由
• 法的請求または法的告発の確立、行使、または防御

たとえ会社がその人のデータを保管することを許可されている場合でも、さらなる処理を行うには本人の同意を得る必要があることに注意してください。

関連するブログ記事を読む： 忘れられる権利：EUの法律と米国の懸念

• 処理の制限に関する権利（第18条）。 個人のデータを削除する必要があるかどうかが不明確な場合、その人は、会社が問題を解決し、本人に通知し、同意を得るまで、その処理について一時的な制限を求めることができます。このGDPR上の権利を遵守するには、ケースごとの検討が必要です。

4. あなたが私に関して保持している情報を、別のサービス提供者に移したいです。

データポータビリティの権利（第20条） EUの居住者に対し、会社に対して個人データを別のサービス提供者へ移すことを求める権限を与えます。この権利は、データ管理者間でユーザーデータの移転を容易にすることで相互運用性を促進します。また、ユーザーが個人データを失うことなく提供者を切り替えられるため、デジタルサービス間の競争も後押しします。

この規定に従うには、データを構造化された機械可読形式で提供し、あなたがそれを直接相手方に送信できるようにする必要があります。

5. もう電話しないで！

個人には データ処理活動（Article 21）に対して異議を申し立てる権利があります。 たとえば、自身の個人データをマーケティングその他の目的に使用する場合などです。 この種の依頼を拒否するための有効な理由には、次のいずれかを示すことが含まれます。

• 処理のための正当な必要性がある。
• その依頼が過剰または根拠がない。
• 請求されたデータは、公共、歴史的または統計目的のために使用される。
• 請求されたデータは、法的請求を行使するために使用または提供された。

6. 自動化システムが、私の法的利益に影響を及ぼす決定を行うことをやめてください。

GDPRはまた 自動化された意思決定およびプロファイリング（第22条）に関する権利を付与します。 個人データについて自動化された意思決定およびプロファイリングが行われている場合、「関与するロジックに関する、ならびに当該処理がデータ主体にとって持つ重要性および想定される結果に関する、意味のある情報」を提供しなければなりません。

自動化された処理およびプロファイリングを行うための有効な理由は3つあります：

• 本人が同意を与えた。
• その処理は、契約の締結または履行のために必要である。
• 当該処理は、管理者に適用される連合または加盟国の法律により認められています。

高額な罰金につながり得る違反を避けるため、従業員が有効な理由があることを確認せずに、自動化機能によって情報を処理しないようにしてください。

関連ブログ記事を読む：GDPRとは何ですか：よくある質問10選

Netwrix は、GDPR の要請にどのように対応する際に役立ちますか？

Netwrix の GDPR 対応（コンプライアンス）ソフトウェア は、数回クリックするだけで、その個人に関して保存しているすべての情報を見つけられることで、あらゆる種類のデータ要求をスムーズに処理できる自信を与えます。

さらに広い観点では、Netwrix のソリューションは、組織が機密性の高い、規制対象となるすべてのデータを保護するのに役立ちます。強固な data governanceを確立し、不適切なアクセスを排除し、セキュリティポリシーを徹底し、セキュリティ侵害やコンプライアンス違反による高額なコストを回避するために、高度な脅威を適時に検知できます。

当社の専門家チームは、GDPRだけでなく California Consumer Privacy Act（CCPA）や、その他多数の data security regulationsについても、確かな理解を持っています。彼らは、組織のコンプライアンスニーズを満たすために、カスタマイズされた的を絞ったアドバイスを提供します。詳しくは、デモにお申し込みいただくか、 mapping of GDPR requirements and Netwrix functionality をダウンロードしてください。

よくある質問

GDPR の要求（リクエスト）とは何ですか？

データ主体のアクセス要求 GDPR の要件により、個人は組織に対して、自身に関して組織が保管している個人データの写しの提供、データの削除、データの別の提供者への移転などを求めることができます。指定された期間内にこれらの要求に対応できない組織は、厳しい罰金の対象となります。

GDPR におけるアクセス権（アクセスリクエスト）とは何ですか？

A right of access は「subject access」とも呼ばれます。これは、保護規則である GDPR のもとで、個人が自分自身の個人情報やデータの複製、および補足データにアクセスする権利のことです。この権利は、組織が自分のデータをどのように、そしてなぜ使用しているのかを個人が理解できるようにするために設計されています。

GDPR におけるアクセス権には何が含まれますか？

GDPR に基づきデータ主体がアクセスする権利を有する情報には、次のものが含まれます：

• 処理されている個人データの種類（カテゴリ）
• 組織が個人情報を保存する予定の期間
• 個人データの受領者または受領者のカテゴリ
• データがどこから来たのかに関する情報
• 自動化された意思決定プロセスの有無

十分な保護がないまま個人データが第三国に送られる場合、データ主体には、そのデータを保護するために使用される保護措置について知らせる必要があります。

GDPRのもとでデータ主体にはどのような権利がありますか？

GDPRでは データ主体 には、個人データに関連して行使できる一定の権利があります。これらの権利には以下が含まれます：

• 自分に関して収集されたすべての情報を受け取る権利
• 誤りのある、または不完全なデータの訂正を求める権利
• 自分のデータの処理を制限する権利
• データポータビリティの権利 で、提供者を簡単に切り替えられるようにするためです
• 自動化処理のみによって行われる決定の対象とならない権利
• 自分のデータが保管または処理される方法に対して異議を申し立てる権利
• データ消去の権利

企業は GDPR を遵守する必要がありますか？

EU居住者のデータを保存または処理するすべての組織は、GDPRを遵守しなければなりません。遵守しない場合、最大 企業の全世界の売上高の 2% または、直前の会計年度の 1,000 万ユーロのいずれか大きい方の金額の罰金が科される可能性があります。