GDPRに準拠する方法：重要な10ステップ

一般データ保護規則（General Data Protection Regulation (GDPR)) は、情報の収集、保管、処理、破棄の方法を規制することで、EU居住者の個人データを保護することを目的に設計されています。 データセキュリティ とプライバシーに関する法律は、所在にかかわらず、欧州連合（EU）の市民の個人データを収集するすべての組織に適用されます。 GDPR の要件を満たさない場合の罰則は厳格です。

多くの組織が GDPR への準拠方法に苦戦しています。この記事では、GDPR の要件への準拠を達成し、維持し、そしてその遵守を証明するために役立つ 10 ステップを紹介します。

GDPRに準拠する方法

1. 法律が貴社にどのように適用されるか、適用されるかどうかを判断します。

貴社は GDPR の対象ですか？

まず、GDPRへの準拠が必要かどうかを判断します。簡単な目安としては、EUに居住しているユーザーまたは顧客がいるかどうかを考えてください。答えが「はい」の場合、コンプライアンス対応を実装する必要があります。

より具体的に言うと、よくある状況の例として、貴社が GDPR に準拠する必要が生じるケースは次のとおりです。

• EUの居住者のデータを収集または処理しています。
• EUに発送している、WebサイトでEUについて言及している、またはEU通貨で支払いを受け取っている。
• ゲームやアプリなど、登録プロセスの一部として個人データを収集するソフトウェアを提供しており、そのソフトウェアがEUで利用可能です

あなたはデータ処理者ですか、それともデータ管理者ですか？

GDPRがあなたに適用される場合、データ処理者とデータ管理者では遵守義務が異なるため、次のステップは自分がデータ処理者なのかデータ管理者なのかを判断することです。

• データ管理者 はデータを保護する責任を負っており、その義務には次が含まれます：
  • 同意を取得する
  • アクセスを管理する
  • データ処理の適法性を確保する
  • 情報の透明性
  • 正確性を保護する
  • 機密性を確保する

• データ処理者 はデータを収集し、操作します。場合によってはデータ管理者であることもありますが、データを分析する第三者や別のサービスであることもあります。処理者は、処理するデータに関してより自律的な判断を行えるわけではありませんが、それでもなお、次を含む義務があります。
  • データ管理者の指示に従ってのみデータを処理すること
  • 処理者（プロセッサ）と拘束力のある契約を締結すること
  • データ管理者の同意なしにサブプロセッサーを利用しないこと
  • データのセキュリティを確保すること
  • データ管理者に対して データ侵害の発生を通知すること
  • 説明責任に関するガイドラインに従うこと
  • 国際的な転送プロトコルに従う
  • 当局との連携

どのデータを保護する必要がありますか？

最後に、GDPRが保護を求めているデータが何かを確認します。GDPRでは、個人データは「存命する、識別された、または識別可能な自然人に関するあらゆる情報」と定義されています。これには、たとえば次のように、その人を特定するために使用し得るすべての情報が含まれます。

• 氏名
• 位置情報
• オンライン識別子
• 人種または民族的出自
• 宗教的信念
• 政治的意見
• 健康情報
• 性生活
• 遺伝データ
• 指紋や顔認識などの生体データ

2. 役割と責任を割り当てます。

コンプライアンスのために必要になる可能性のある新しい役割には、次のようなものがあります：

• コンプライアンス担当者
• プロジェクトマネージャー
• データ保護責任者（DPO）— 第37条 に基づき、公開会社である場合、会社の主要な活動がデータの取扱いを含む場合、または会社がEU市民に属する大量の個人データを処理・保存している場合は、DPOを指名（指定）する必要があります。

役割と責任を整理し、現在のスタッフで対応できるものと、新たに採用が必要なものを確認しましょう。

ヒント：経営チームや取締役会からの支援を得るために時間を投資してください。彼らはリソースを割り当てる必要があります。メンバーが、データ保護対策が不十分な場合のリスクと、GDPR 遵守のメリットを理解していることを確認しましょう。

3. 1つ以上のフレームワークを選択します。

GDPR への準拠は、システムやサービスにおけるデータ セキュリティとプライバシーのリスクを低減するための中核となるベスト プラクティスを実装できるよう支援するフレームワークに従うことで、より簡単になる場合があります。完璧なフレームワークは 1 つだけではありませんが、GDPR のさまざまな側面に対応して準拠を支援してくれる複数のフレームワークがあります。これらには次が含まれます：

• ISO 27001 — 侵害（ブリーチ）のリスクを低減するのに役立つ情報セキュリティ管理システム（ISMS）フレームワーク
• ISO/IEC 27701:2019 — ISO/IEC 27001 の拡張で、データ プライバシー
• NIST Privacy Framework — 個人情報（プライバシー）のリスクを特定し、管理するのに役立つフレームワーク
• NIST 800-30 Risk Assessment Framework — リスク評価を実施するためのガイド（後ほど説明します）
• NIST 800-53 Security and Privacy Controls for Information Systems and Organizations — 情報システムおよび組織を、さまざまな種類のリスクから保護するためのセキュリティ／プライバシー対策（コントロール）のカタログ
• BS 10012 Personal Information Management — 個人情報を管理するためのフレームワーク
• PCI DSS Framework— 消費者の支払いカードデータを保護するために使用されるフレームワーク
• NIST サイバーセキュリティフレームワーク — 組織がサイバーセキュリティおよびリスク管理システムの成熟度を測定し、それらを強化するための手順を特定するのに役立つフレームワーク

4. リスクアセスメントを実施します。

リスクアセスメントを実施することは GDPR 第32条および第35条の遵守に不可欠な要素です。

これは Data Protection Impact Assessment (DPIA) によって実施します。これは、プロジェクトにおけるデータ保護リスクを分析し、特定し、最小化するための手法です。個人データに対して高リスクをもたらす可能性があるデータ処理を開始する前に、必ず DPIA を実施しなければなりません。高リスクの処理の例には次のようなものがあります：

• 新しい技術を使用する、または既存の技術を新しい方法で使用すること
• サービス拒否につながり得る自動化された判断
• 公共の場の大規模な監視、またはその他の大規模なプロファイリング
• 個人を識別するために使用される生体データの処理
• 遺伝データの処理（ただし、データ主体の医療のために個々の医療提供者が行う場合を除く）
• 複数のソースからの個人データを照合または結合すること
• データ主体から取得されていないデータを処理すること
• オンラインおよびオフラインで個人の位置情報または行動を追跡すること
• マーケティング、プロファイリング、 automated decision making、またはサービス提供のために子どものデータを処理すること
• 漏えいした場合に個人に身体的な危害を及ぼし得るデータを処理すること

このリストは網羅的ではありません。第35条で具体的に言及されていないプロセスについて DPIA を実施するかどうかは、あなたが判断してください。不安がある場合は、実施したほうがよいです。理想的には、DPIA はプロジェクトの計画段階で実施され、リスクがあるかどうか、またそれをどう軽減するかを判断するのに役立ちます。

DPIA では、次のすべてを行う必要があります：

• プロジェクトの目的と、関与する処理の種類を説明することで、DPIA が必要かどうかを特定します
• 処理について、その性質、範囲、文脈、目的を含めて説明します
• 関係するステークホルダーに相談を行う、またはそれが不要である理由を説明します
• 合法性とデータ最小化を含め、必要性と比例性を評価します
• リスクを特定し、評価します
• リスクを低減するための対策を特定します
• 承認（サインオフ）を含め、結果を記録します

DPIA を完了したら、特定した対策をプロジェクトに実装し、プロジェクトの進行中を通じて引き続き見直してください。DPIA を実施する方法について詳しくは この記事 を参照してください。

5. データ・ガバナンスを確立する。

データ・ガバナンス は、個人データが組織内外へ流入・流出する際に、個人データを適切に使用することに関する方針およびプロセスを指します。データ・ガバナンスの手順によって、データのライフサイクル全体を通じて高い基準が維持されます。さらに、データ・ガバナンスのプロセスは、処理活動の記録に関する第30条の要件を満たす必要があります。

貴社の データ・ガバナンス戦略 には、以下を含める必要があります：

• 会社が保有するすべてのデータの出所、どのようなデータをどのように収集するのか、そして収集したデータがどう扱われるのかを記録するデータ・インベントリ
• データ分類 は、データを種類ごとにグループ化し、その価値と機微性に応じて保護できるようにすることです
• データ収集プロセスが合法的、公平かつ透明であることを確実にするための戦略
• 個人データの処理に関する記録を最新の状態に保つための方法
• 上で概説したとおり、データ処理が高リスクにつながる可能性がある場合に DPIA を実施するための手順
• 電子形式を含む、書面で作成された記録
• 求められた場合に監督当局が利用できる記録

6. 適切な管理策を実施します。

GDPR では、準拠に必要な管理策を具体的に定めているわけではありませんが、「処理のセキュリティ（security of processing）」に対処するための措置を実施する必要があると示しています：

• 顧客データを保護するために、最新のソフトウェアツールを使用してください。
• データ処理の性質、目的、範囲を文書化します。
• データを分離し、リスクに応じた適切なセキュリティ対策を適用します。
• 可能な場合は、データを暗号化し、仮名化してください。
• データ主体がデータにアクセスできるようにしてください。
• 不正なユーザーによる個人データの読み取りや改ざんから保護してください。
• 管理策（コントロール）の有効性を定期的にテストし、評価してください。
• データを取り扱う、または処理する際は、あらゆるリスクを考慮してください。

セキュリティ制御（security controls）の管理は、GDPR 準拠（compliance）のほかの多くの側面と同様に、継続的なプロセスです。制御を導入したら、データ処理の活動とセキュリティ制御を定期的に監査（audit）する必要があります。できるだけ多くのセキュリティ制御の管理を自動化してくれる ソフトウェア ソリューション を探してください。

7. データ主体の権利を尊重し、遵守する。

また、データ主体（data subject）—つまり、あなたが収集するデータの対象者—の権利を守るためのポリシーも必要です。とりわけ、次の事項をどのように取り扱うかについての計画が必要になります。

• データ主体によるアクセス要求（DSARs）を収集し、確認する
• 高額な罰金を避けるために、DSARs には1か月以内に対応する
• データの収集、保管、削除を含む同意管理ポリシー
• 同意フォームおよび Cookie の嗜好（設定）を変更する方法を含むクッキーポリシー
• 個人データの侵害に関する義務を取り扱うためのポリシーおよび手順（侵害の検知、報告、調査を含む）

8. 必要な文書を作成し、維持管理します。

GDPR の複数の条文では、データをどのように保存し、処理するかを説明する文書を作成することが求められています。GDPR では、文書の題名の付け方は義務づけられていないため、下に示すものとは異なるタイトルを選択することも可能です。さらに、適切であれば一部の文書を統合することもできます。必要となる文書の一覧は以下のとおりです：

• 個人データ保護ポリシー（第24条）— 貴社におけるプライバシーの管理方法を概説します
• プライバシー通知（第12条、第13条、第14条）— 個人データがどのように処理されるかを概説します
• 従業員向けプライバシー通知（第12条、第13条、および第14条）— 従業員の個人データがどのように処理されるかを説明します
• データ保管ポリシー（第5条、第13条、第17条、および第30条）— データをどれくらい保管し、どのように破棄するかを決定するプロセスを説明します
• データ保管スケジュール（第30条）— 規制対象のデータを列挙し、各データの種類ごとにどれくらい保管するかを説明します
• データフローのマッピング（第30条、25条、6条、28条、35条）— 情報の流れをマッピングします
• データ主体の同意書 （第6条、第7条、および第9条）— 個人データを処理するための同意を取得するために使用されます
• サプライヤーのデータ処理契約 （第28条、第32条、および第82条）— 処理者およびその他のサプライヤーに求められるデータ保護措置を定めています
• DPIA 登録台帳 （第35条）— DPIA の結果を記録します
• データ侵害の対応および通知手順 （第4条、第33条、および第34条）— データ侵害の前、最中、最後に実施する手順を定めています
• データ侵害記録台帳 （第33条）— すべてのデータ侵害を記録します
• 監督当局へのデータ侵害通知様式（第33条）— データ侵害について監督当局に通知するために使用する様式
• データ主体へのデータ侵害通知様式 （第34条）— データ主体のプライベート情報が関わる侵害について通知するために使用する様式
• 処理活動のインベントリ （第30条）— 管理者が維持しなければならないインベントリ
• データ保護責任者（DPO）の職務内容（第37条、第38条、第39条）— あなたのDPOの責任を詳述（DPOの設置が必要な場合にのみ必要）

公開ドキュメントを作成し、公開してください。

GDPRでは、組織が以下の情報を明確でわかりやすい言葉で一般公開することを求めています:

• プライバシーポリシー
• データ保管ポリシー
• 他国へのデータ転送の条件
• データ保護ポリシー
• 連絡先情報（該当する場合は、DPO への連絡方法を含む）
• 利用規約
• 支払いポリシーおよびクッキーポリシー

9. 従業員を教育してください。

従業員のトレーニングは、GDPR 準拠における重要なルールです。規則の遵守は単なる IT の問題ではありません。会社のあらゆる階層の全員を対象にした、包括的なコミュニケーションとトレーニングの戦略が必要になります。

さらに、トレーニングは「一度きり」で終わるものとして捉えるべきではありません。コンプライアンスの文化をつくることに重点を置き、まずは会社のトップから始める必要があります。オンライン トレーニングは、各部門の責任とリスク領域を対象とした、具体的で役割に基づく教育によって補完してください。

10. 定期的にギャップ分析と是正措置を実施する。

ギャップ分析では、現在の取り組みをコンプライアンス基準と比較して評価します。これにより、準拠を確実にするために必要なプロセス、管理策、およびその他の対策を実装するために取るべき手順をより深く理解できるようになります。

GDPR compliance checklist は、取り組みの出発点として役立ちます。組織内でコンプライアンスから外れている可能性のある領域について理解を深める別の方法として、他社が不遵守により罰金を科される理由を監視することも挙げられます。

GDPR違反に対する罰金

GDPRに違反すると、非常に高額な罰金が科される可能性があります。最大2,410万ドル、または企業の年間の全世界売上高の4％のいずれか高い方です。

罰金の額には、軽減要素と加重要素の両方が影響します。故意の違反は、過失による違反よりも厳しく罰せられます。違反をできるだけ早く報告し、当局に協力することは軽減要素です。データ主体の権利や同意が関わるなど、より重大な違反にはより高い罰金が科されます。

これまでに科された中でも特に高額な罰金の例をいくつか紹介します：

• H&M Clothing— このスウェーデンの企業は、従業員の会議を録音し、その録音を50人超のマネージャーに提供したとして、4,100万ドルの罰金が科されました。これらの録音から得られた機微なデータは、従業員のパフォーマンス評価やその他の雇用判断に使用されました。
• Google— Googleは、プライバシー通知の提示方法や、パーソナライズ広告およびその他のデータ処理のために個人データを使用することに同意を求める方法に関する違反で、5,660万ドル（$56.6M）の罰金を科されました。この罰金は、Googleがより多くの情報を提供し、データ主体が自分の情報がどのように使われるかをよりコントロールできるようにしていれば回避できた可能性があります。Googleの上訴は認められませんでした。
• Amazon — Amazonの8億7,700万ドル（$877 million dollar）の罰金は、これまでに記録された中で最大で、なんと15倍の規模です。今回の違反はクッキー同意に関するもので、Amazonがこれにより罰金を科されたのは今回が初めてではありません。そのため、罰金が非常に重かった可能性があります。クッキーに関連する罰金を避ける最善の方法は、ユーザーの端末にクッキーをインストールする前に、自由意思に基づく、十分に説明された、かつ明確な同意を得ることです。

Netwrixはどのようにお手伝いできますか？

Netwrixのソリューションを使えば、今日より少ない労力とコストで GDPR compliance を達成し、維持し、そして証明できます。Netwrix 製品：

• 自動化 の変更、アクセス、設定監査。
• 規制対象データについて 正確な検出と分類を 行えるようにします。
• データとインフラのセキュリティに関する、実行可能なインサイトを提供します。
• データ収集プロセスを自動化して データ主体からの請求を効率化します — 極めて重要で、リソースを多く要するステップです。

よくある質問

1. GDPR の準拠に必要なものは何ですか？

GDPRは、企業に対して、EU居住者の個人データのプライバシーを保護するための措置を実施することを求めています。

2. GDPRに準拠していることをどのように証明しますか？

データ保護の原則を遵守していること、必要に応じて DPIA を実施していること、必要な業務ロールが割り当てられていること、セキュリティ侵害を速やかに報告できる準備ができていることなどを示す、具体的な書類を提出する必要があります。