office-terakawa各国の最新データプライバシー動向は、会員制データプライバシー情報サイトにて公開しています。GDPRの施行まであと50日というなかで、こういう話題がどの程度必要とされているかわかりませんが、念のため書いておきます。以下は私の個人的な見解というよりは、CNILというフランスの監督機関(DPA)が提示しているものをIAPPの資料に基づいてまとめたものです。GDPRへの対応方法は、実は誰も正解を持っていません。条文に示された内容やガイドラインを見ながら一つずつ丁寧に対応するしかありません。2018年5月25日にすべて完了していることはおそらく難しいでしょうが、これは監督機関も理解しています。大切なのは今すぐ対応を始めることです。Leader)を任命するステップ2:データマッピングを実施するステップ3:コンプライアンスに向けた行動について優先付けを行うステップ4:リスクを管理するステップ5:内部規定(プロセス)を整備するステップ6:コンプライアンスの方法について文書化を行う<ステップ1>データ保護責任者(DPO)とは、GDPRで新たに導入された役割で、会社内のデータ保護についての取組みを監督する立場の人です。欧州のデータ主体を大規模に、定期的、システマチックに監視する場合等一定の要件を満たす場合、設置が必要となります。ステップ1の意図するところは、事務局となり、GDPRに準拠するための社内の活動を取りまとめる人が必要である、ということです。<ステップ2>データマッピングとは、自社の保有するデータを把握することです。この作業は大きく4つのステップから成ります。システムやアプリケーション軸ではなく、(主たる)目的ごとにデータ処理活動をリスト化する。定める上からもわかるように、この活動は社内の業務を目的やシステムについてすべて再確認する作業となります。経験上、この部分を外注することは困難なので、自社で取り組む必要のが長期的に見てよいでしょう。データが電子的に保管されているため、システムやアプリケーションに目がいってしまうかもしれませんが、最も重要なのはオペレーション(業務)を適法化させることになります。GDPRの原則に違反した場合と比べて低く設定されています)データマッピングは一度行ったら終わりではなく、継続的にモニタするものです。大規模なビジネスではエクセルではなく、専用のソフトを使用するとよいでしょう。小さな組織、データ処理が複雑でない組織ではエクセルでもかまいません。<ステップ3>データ・マッピングの結果、自社内の保有する(欧州)個人データにはどのようなものがあるかを知ることができます。inventory”、これをデータ・インベントリといいます。)GDPR対応のための土台が整っているので、次は、現在、未来にわたり何をすべきか定めるというステップに進みます。指針となるのが、データ主体の権利と自由を保護するため何から取り組まなければならないかです。一度にすべてを行うことはできないため、優先順位をつけて対応を進めます。CNILは、ここで以下に示す6つのステップを必ず経るよう推奨しています。データ保護策が実装されていることを検証する具体的には、データ主体の自由と権利を侵害する度合いが高いもの(データ数、データの種類で判断します)から取り組みます。<ステップ4>たとえば病歴データを収集している場合、そのデータが外部に漏れるとデータ主体の就業に悪影響を与えたり、享受可能なサービスが不当に受けられなくなるようなことが考えられます。Assessment)を実施しなければなりません。リスクを特定し、リスクを低減するための手段を講じること。これがステップ4で行うことです。<ステップ5>リスク管理の後は、社内プロセスの整備を行います。社内の個人データの取り扱いが常に安全であるような仕組みを組織内に根付かせます。データ処理活動のライフサイクルを通じて生じうるあらゆる出来事を想定しながらプロセス化します。社内プロセス化についてのCNILのガイドラインは以下の通りです。従業員の認知を高めるための社内トレーニング、コミュニケーション計画を建てる。監督機関や影響を受けたデータ主体との組織的コミュニケーションを確実なものとすることにより、データ侵害に備えること(これは72時間以内に対応が必要となるケースもある)<ステップ6>GDPRの要求に適合していることを示すためには、データ保護とデータの安全策を継続的に確実なものとするためレビュー、更新できるように、書類としてまとめておく必要があります。具体的には以下の書類を用意します。欧州プライバシー法認証(CIPP/E)、プライバシー・マネジメント認証(CIPM)保有。DPO、コンサルティングのご依頼DPO代行、各国のデータ保護法についてのコンサルティングのご依頼を受け付けております。ご希望の方はこちらからお問い合わせください。お問い合わせ講演・セミナー・交流会情報セミナー・講演情報はテクニカ・ゼン株式会社のウェブサイトをご参照ください。セミナー、講演のご依頼、ご質問は当社のコンタクトフォームからお願いします。2018年5月25日に施行さたGDPRをはじめ、デジタル・エコノミー化する社会で急速にデータ・プライバシー法の動向と対応方法について情報提供を行います。