組織を GDPR 対応にする方法：すぐに役立つ 6 つの実践的ヒント

2018 年 5 月 25 日―― GDPR が正式に施行される日――が着実に近づいています。これまでで最も厳格な規制の一つである GDPR は、EU 市民の個人データについて、安全かつ適法に収集・処理・保存することを目指しています。だからこそ、FUD（fear、uncertainty and doubt：恐れ、不確実性、疑念）が急速に広がっているのも不思議ではありません。

GDPRに向けた準備をお手伝いし、GDPRのコンプライアンス監査の最中に慌てないようにするため、私たちはいくつかの企業に連絡し、次の質問をしました。 貴社（または貴組織）はGDPRに準拠するためにどのような手順を取ってきましたか。また、これから始める方にどんなアドバイスができますか？ 多くの役立つ、そして驚くような回答をいただいたので、上位6件の回答をぜひ共有したいと思います。

ホセ・ロメロ（シニア・デジタル・ストラテジスト）

Overit（フルサービスのデジタルマーケティング代理店）（米国・ニューヨーク州アルバニー）

GDPRは、私たちの会社だけでなく、私たちのクライアントにも大きな影響を及ぼします。多くのクライアントは 国際的な事業 を行っており、EU内の見込み顧客、既存顧客、その他の主要な関係者と頻繁に連絡を取り合う必要があります。同意は重要であるため、私たちはクライアントと話し始め、現在記録を保有しているユーザー、または近い将来に連絡する予定のユーザーから適切な同意を得る方法について教育を行っています。

社内では、チームが連絡先リストを精査して準備を始めています。これまで関係を維持していない個人に関する記録は削除し、新しいポジションに移ったものの、引き続き当社からの連絡を受け取りたいと関心を持っている方の記録は更新します。これには、コールドリード、ロストリード、バウンスした連絡先、未対応のアドレス、メディアリストなどが含まれますが、これらに限定されません。

また、当社はウェブサイト上のプライバシーポリシーを作り直すプロセスを開始し、住所の収集方法についても改めて見直しています。国内外の連絡先に対して、関係者とのコミュニケーション全体を改善していくことに向けて、引き続き取り組んでいます。

私たちが国際的なコンプライアンス施策を強化する必要に迫られたのは、今回が初めてではありません。過去には CASL（Canadian Anti-Spam Law）への対応や予防措置を講じる必要がありましたし、これが最後ではないことも確かです。一般的な目安として、海外での法改正は業界の流れを決めがちです。したがって、私たちの意図は単に CASL や GDPR を遵守することだけではなく、マーケティングおよびプライバシー関連の法令における国際的な潜在的な変更を、責任あるかつ積極的に把握していくことにあります。

Karolina Rut（コミュニケーション・スペシャリスト）

Sparkbitは、ソフトウェア開発のアウトソーシングおよびITコンサルティングサービスを提供する会社です（ポーランド・ワルシャワ）。

施行される GDRP は、私たちのような中小企業（SME）にとって大きな変化をもたらします。まず、GDPR 法が何を意味し、当社はコンプライアンスのためにどのように進めるべきかをより正確に理解するために、個人データ保護を専門とする弁護士に相談しました。その後、私たちが扱っているデータは何か、誰がそれにアクセスできるのか、それがどのように保護されているのか、そしてデータ漏えい（侵害）の潜在的なリスクは何かを分析し始めました。

私たちは、機密性の高いデータを含む各書類について、非常に詳細なリストを作成し、それぞれがどのように保管されているか（印刷物、コンピューターのディスク、クラウド上など）を明記しました。現在の焦点は、機密データの各種類を取り扱うためのルールを作ることです。たとえば、誰がどの種類のデータにアクセスできるのか、どこにどれくらいの期間保管すべきか、どの書類は印刷して施錠しなければならないのか、どの書類はデジタル版を持つことができるのか等です。さらに、従業員向けの具体的な機密保持契約も準備しています。

今のところ、GDPR の施行に向けて準備がある程度できていると感じています。残っている最後の作業は、私たちの組織とデータに対する潜在的なリスクの一覧を作成し、それらの影響と管理（対策）に関する推奨事項をあわせて整理することです。そうすることでリスクを回避できます。

Ruth Carter、オーナー/弁護士

Carter Law Firmは、アリゾナ州の有資格弁護士であり、知的財産、ビジネス契約、インターネット法に関する権威である Ruth Carter の専門的な講演および執筆活動を包括する“傘”となる会社です（米国アリゾナ州フェニックス）

私はインターネット分野の弁護士で、GDPR complianceについてクライアントに助言しています。さらに、自社についても GDPR の準備を進めています。会社のプライバシーポリシーを更新するだけでなく、メールリストにダブルオプトインを追加し、現在のメールリストに登録している方へ再オプトイン（re-opt-in）をお願いしています。私が把握しておらず、かつ居住地を確認できない方で、オプトインしない方は、メールリストから削除します。

コンプライアンス対応に取り組む企業向けの、私の主なアドバイスは次のとおりです：

• 自分で法律を注意深く読み込むか、弁護士や信頼できる提供者に相談してください。
• メールリストにはダブルオプトイン（double opt-in）の同意を使用してください。
• 本人の明確な同意なしに、誰かをメールリストに追加しないでください。
• 収集するデータの内容と、それがどのように使用されるかを明確に開示してください。
• 必要なデータだけを収集してください。
• 従業員および請負業者には、必要な知識（need-to-know）の範囲でのみアクセスを許可してください。
• 用心深く、慎重に判断してください。この法律に違反した場合の罰金は数百万ドルにのぼります。

Hannah Whitehouse、コンテンツ・マーケティング・マネージャー

Bouncezap、コンバージョン率を高めるために企業が使用するリードジェネレーション・マーケティングツールの作成者（ロンドン、イギリス）

さまざまな企業と連携する SaaS 提供者として、顧客の情報を保護することが重要であることを私たちは理解しています。最近、プライバシーポリシーを書き直し、ユーザー、特にお客様が、自分の情報がどのように使用されるのか、そして自分のデータが安全であることを理解できるようにしました。私たちは、ユーザーのキャンペーンに関する分析を提供するリードジェネレーションツールを運営しています。そのため、GDPR は私たちにとってさらに重要です。ユーザーは、自分の情報が安全に保護されており、明確な許可がない限り当社の販促資料に使用されないことを知ることができます。

今後2か月の間、当社の方針をお知らせするためにユーザーへ個別にご連絡します。あわせて、Webサイト上に新しいデータポリシーを明確に掲載し、訪問者がどのページにアクセスしても、当社が保護されるようにします。

GDPR 対応を心配している企業には、今すぐ始めることをおすすめします。自問してみてください。プライバシーポリシーはありますか？サイト上で目立つ場所に掲載されていますか？それとも内容があいまいですか？プライバシーポリシーと利用規約は、ユーザーを守るのと同じくらい、あなた自身を守るためにもあることを忘れないでください。最後に、オンライン上の膨大な GDPR 関連情報を活用して、見落としていることがないか確認しましょう。ビジネスにとって最悪なのは、期限直前に慌ただしく動いているのに、まだ保護されていない状態にあることです。

Ian McClarty（社長）

PhoenixNAP は、世界各地の拠点（米国アリゾナ州フェニックス）から提供する先進的な Infrastructure-as-a-Service（IaaS）ソリューションを提供するグローバル IT サービスプロバイダーです。

影響を受ける方々に対して、私が一つだけ伝えられるアドバイスがあるとすれば、「パニックにならないでください（Don’t panic）」です。私たちはこの規制を、実装するために慌ただしく取り組まなければならない差し迫った脅威だと見ていました。ですが、GDPR は EU 市民の個人データを保護することを目的としており、価値ある取り組みです。個人データ保護のための施策を導入するために最大限の努力をしていることを示せる組織なら、規制が日常業務や収益に影響することを心配する必要はありません。

多くの要件は依然として明確ではなく、組織は実装計画を決める際に最善の判断を用いる必要があります。したがって、GDPR にできる限り適合するよう努めるとともに、それに向けた準備が十分だという過度な自信は持たないでください。

準備を整えたいと考える組織は、最低限次の手順を実施する必要があります：

• ステップ 1: リーダーシップが参画し、変革を推進していることを確認してください。コンプライアンスに必要な方針や手順を導入するための取り組みには、すべての C レベルの経営幹部の賛同（buy-in）と、これらの変更があらゆるレベルのすべてのチームに影響するという前提（期待）が必要です。
• ステップ 2: 徹底的なデータ分析を行います。あらゆる場所のあらゆるシステムに保存されているすべての個人データを調べてください。これは小さな作業ではなく、数か月かかる可能性があります。
• ステップ 3: すべてのデータについて同意の根拠を特定します。自社がどのようなデータを保有しているかが分かったら、そもそもなぜそのデータを保存しているのかを明確にしてください。これは、「データを保存したい」という“希望”を正当化するための単なる作業ではありません。その代わり、このステップによって、そのデータを保持するための法的かつ妥当な理由があることを確認します。
• ステップ 4：保管（保持）ポリシーを決めます。データをどのくらいの期間保持するか、そして、もはや必要がなくなった、または法的に保持できなくなった時点でどうするか（削除、アーカイブ、または匿名化）を判断する必要があります。
• ステップ 5：従業員をトレーニングします。チーム全体を対象に教育することは有益ですが、まずは、顧客からの要請を受け付ける最前線のスタッフに重点的に行うとよいでしょう。次に、個人データが保存されるシステムやソフトウェアを管理・保守するバックエンドスタッフ、そしてデータポリシーに従う必要がある新しいシステムやソフトウェアを設計・アーキテクチャ設計・構築することを担当する技術スタッフを教育してください。

Sophie Miles（CEO 兼共同創業者）

QuotesAdvisor.com（イタリア・トリノ）—個人ローン、住宅ローン（モーゲージ）クレジット、担保ローン（質入れ）クレジット、クレジットカード、デビットカード、自動車保険を無料で比較できる会社です

私たちは、ユーザーに個人情報を求めないことを決めました。この選択は、顧客ロイヤルティや CRM などのマーケティング手段に関して後れを取ることを意味しますが、計算を行った結果、Webサイトを更新して今後は個人データを収集しないという対応だけをするよりも、データ保存ユニットと Web サイトを GDPR の要件に合わせるためには、資金が 26% 追加で必要になると結論づけました。

具体的には、氏名、住所、ID番号などの基本的な身元情報の入力フォームを削除することにしました。したがって、規模ははるかに小さいものの事業にとって極めて重要な、顧客のデータベースに取り組みを集中できます。

これから始める方へのおすすめは、最も重要なデータベースに集中することです。以前はあらゆる情報を持っていましたが、実際にはそのほんの一部しか使っていないことが分かりました。

まとめ

GDPR 準拠を達成するための万能な公式はありません。とはいえ、準備として「自分たちが持っているデータは何か」「実際に必要なのは何か」を把握し、適切なポリシーを整えておけば、慌てる必要はありません。GDPR の時代にただ生き残るだけでなく、実際にその恩恵を受けられます。