隆顕Tweetはじめに前回はGDPRが適用になる場合とGDPR最新動向についてご紹介いたしました。前回の記事を読む今回はGDPR特有の権利とその対策についてご紹介いたします。GDPRではデータ主体に認められている権利が全部で8つあります。その中には日本の個人情報保護法でも認められているものと認められていないGDPR特有のものがあります。今回はGDPR特有の権利の中から「忘れられる権利」、「データポータビリティの権利」、「異議を述べる権利」の3つについてご紹介します。GDPR特有の権利についてご理解いただき、今後のお取り組みの参考にしていただければ幸いです。個人データを消去してもらう権利です。権利が認められる場合、企業は遅延なく個人データを消去する義務を負います。データポータビリティの権利データ主体が企業に対して提供した個人データを、構造化され、機械可読性のある形式(CSV、JSONなど)で受け取る権利です。その個人データの提供を受けた企業から妨げられることなく、別の企業に対し、個人データを移行することもこの権利によって保障されています。異議を述べる権利(異議権)次の3つの場合に、データ主体自身の個人データの処理に対し異議を述べることができる権利です。この処理には、プロファイリングが含まれます(第21条第1項第1文、同条第2項)。異議が認められた場合、企業は該当データを取り扱うことが出来なくなります。objected)iii.について、データ主体がダイレクトマーケティングの目的のための取扱いに対して異議を述べる場合、その個人データは、そのような目的のために取り扱われてはいけません(GDPR21条3項)。言い換えると、ダイレクトマーケティング目的の個人データの取扱いについて異議を述べられた場合、企業は無条件に当該データの取扱いを停止しなければならなりません。※国内法では目的外利用と不正な手段による取得の場合のみ、異議を述べることができます。GDPRではより広い範囲で異議を述べることが認められているため、今回はGDPR特有の権利として紹介させていただきました。企業は各権利にどう対応すべきか?データ主体から各権利に基づく申請を受けた場合、企業が最初に行うことは、権利が認められる要件を満たしているか確認することです。忘れられる権利は無条件に認められるわけではなく、第17条1項の要件のいずれかを満たす場合にのみ認められるため、6つのどの項目に該当するか確認します。いずれかに該当する場合は、該当する個人データを消去します。忘れられる権利と同様に無条件に認められるわけではなく、第20条1項(a)と(b)を満たす場合にのみ認められるため、それらの条件を満たすか確認します。個人データの取扱いに関して、データ主体が同意を与えた場合、またはデータ主体が契約当事者となっている契約に基づく場合で、なおかつ、その取扱いが紙媒体などではなく、コンピュータをシステムで行われる自動化された手段によって行われる場合であることがデータポータビリティの権利として認められる条件です。下記のいずれかの理由によって、やむを得ない正当な根拠があることを証明します。データ主体の利益、権利、自由よりも優先する取扱いである訴えの提起及び攻撃防御のために必要である企業はまずここに取り組むべき各権利の申請に対し、迅速かつ漏れなく対応するために、該当する個人データが社内のどこにあるのか把握する必要があります。そのために実施すべきなのは、データカタログの構築とデータリネージュの管理です。データカタログに関する記事を読むデータカタログの構築は、社内で管理している膨大なデータから該当する個人データを識別するために実施します。該当する個人データを迅速に把握するのに有効です。データリネージュの管理は、個人データが社内のどこで登録され、どこで利活用されているのかを把握するために行います。社内で最初に登録されたデータのみ消去しても、データの利用部門に個人データが残っていると、その対応は不十分です。データリネージュの管理は、データの取扱い停止、消去、移転などに漏れなく対応するために有効な施策です。おわりに2回にわたりGDPR未対応の企業に向けて、GDPRについてご紹介しました。施行から1年が経ちましたが、どのように解釈したらいいのか不透明な点も多く、GDPRへの対応を難しくしています。実際の運用がどのように行われるのか今後の動向にも注目しましょう。ここで述べた内容は日本企業が対応しなければならないGDPRのほんの一部にすぎませんが、これをきっかけにGDPR対策を進めていただければ幸いです。データ総研1985年創立。データ設計と標準化を専門とするITコンサルティングファーム。データ中心アプローチ(DOA)における先駆的企業であり、独自開発の設計技法と開発方法論をベースとしたコンサルティング事業を展開。業務要件定義、データ視点による業務プロセスの改善、データカタログに代表されるビジネス資源の整備に関するコンサルティングサービス、および、企業のデータマネジメント実践を目的とした教育サービスを提供。