GDPRが実装されてしばらく経っていますが、この連載ではGDPRとITガバナンスに関して説明をしてきました。今回はその4回目となります。までは1から3までをご説明差し上げました。(DPIAs)を行うに関して解説します。(DPIAs)とは何か?DPIAというのはプロジェクトやサービス運用においてデータ保護のリスクを洗い出し、分析を行うことでリスクを最小限にする手助けになる手法のことです。この活動はGDPRにおいて企業の説明責任の中心となるもので、きちんと行わればGDPRのデータ保護義務に十分に対応することが可能です。この評価を行ってもリスクを完全に除去できるわけではありません。リスクを最小化するだけであって、リスクのレベルを知ることが必要です。企業の担当者がしておかなければいけないことは、DPIAが適用されるケースと適用されないケースがあることです。第35条で定義されています。第35条は適用されるケースを以下のように定義します。処理対象者の権利と自由に対して高い確率で影響を及ぼす可能性があるこれは大まかにいってリスクが高い場合です。その詳細は、EUのガイドラインで定義されています。Partyまたリスクの評価は「単一のビジネスプロセス」において行われる点に注意が必要です。以下はDPIAが適用される例です。・プロセスの例:病院が病院内の情報システムを用いて患者の遺伝情報や健康情報を処理する。データ処理が大規模である・プロセスの例:高速道路に置いてカメラを使用して運転者の行動を監視する。監視者はインテリジェントビデオ分析を使用して自動車は1台1台を監視することが可能であり、ナンバープレートは自動的に認識される。画期的な技術を組織のソリューションとして使用する・プロセスの例:企業が従業員の行動を組織的に監視する。監視行動には従業員のPCや企業内での活動を含む。データは価値があると判断されるカテゴリーである以下は適用されない場合の例です・プロセスの例:医師個人や医療従事者、もしくは弁護士が、患者や顧客の個人情報を処理する。データには重要性の高い個人情報が含まれている・プロセスの例:雑誌がメーリングリストを使用して購読者にデイリーダイジェストを送信する。大規模データが処理されるこのように適用される例と適用されない例を見ると分かりますが、重要性の高いデータを取り扱っていても処理数が少なかったり、また組織的に大規模なデータ処理を行うのでない場合は、リスクが低いと判断されDPIAは適用されません。公的機関における納税者やサービス利用者のデータ処理や公的な場の冠水といった活動の場合は適用される可能性が高くなりますが、例えば中小企業がごく少数の顧客のデータを取り扱う場合は適用されない可能性が高くなります。次回はDPIAについての追加説明です。Tweetおすすめ記事と編集部のお知らせをお送りします。ウイスキーと酒場の寓話(15)「お寺」と「旅人」の新たな出会い。真由美(たにもと・まゆみ)NTTデータ経営研究所にてコンサルティング業務に従事後、イタリアに渡る。ローマの国連食糧農業機関(FAO)にて情報通信官として勤務後、英国にて情報通信コンサルティングに従事。