プライバシーとデータ保護に関する仕事をしています。この数十年で最も重要な変化をデータプライバシー規則にもたらしました。各企業は、自社のシステムおよび契約の全面的な見直しに取り組んでいます。コンプライアンスおよびプライバシー重視のプラットフォームを利用している企業は、有利なスタートを切ることができます。準拠を達成し維持する方法をユーザのみなさまに理解していただくことを目的としています。ガイドは、情報提供のみを目的としており、法律上の助言をするものではありません。お客様のビジネスに与える影響に関する助言については、お客様の法律顧問にご相談ください。全域に適用される、プライバシーとデータの保護に関する法律です。この規則では、組織のシステム内におけるプライバシー保護の強化、データ保護に関するよりきめ細やかな同意、プライバシーとデータの保護に関する組織の取り組みの詳細をユーザにわかりやすく開示することが求められます。内の各国のデータ保護法に差異が生じる結果となりました。加盟国の国内法令に置き換える必要はありません。内での調和の取れた一貫性のある法適用が強化されます。内である企業だけでなく、グローバルに事業を展開する企業にも関係します。域内にいる個人の行動のモニタリングに関するデータ処理活動を行っている場合、その組織は対象となる可能性があります。域内にいる個人の個人データが組織でどのように処理されるかを管理します。定めるところの具体的な意味を理解すると、この法律の正確な適用範囲を理解することができます。識別された個人または識別できる個人に関連する情報です。個人データは、個人を識別するために、単独で、または他の情報と組み合わせて使用される可能性のある情報を含むため、非常に幅広い概念です。個人データは、個人の名前やメールアドレスだけではありません。アドレスなどの情報も含まれる場合があります。特定のカテゴリーの個人データについては、その機密性の高さから、より高いレベルのデータ保護が適用されます。組合員であること、遺伝的データ、バイオメトリックデータ、健康データ、個人の性生活または性的指向に関する情報、犯罪歴情報などが挙げられます。定める義務が生じる主要な活動です。実際には個人データの保管または照会に関わるあらゆるプロセスが「処理」とみなされることを意味します。単独でまたは他と連携して個人データの処理の目的および方法を決定する事業体です。管理者に代わって個人データを処理する事業体です。データ処理操作ごとに、個人データを処理する事業体が管理者か処理者かを判別することが重要です。このマッピングにより、組織は個々のデータ処理操作に伴う権利や義務を理解できます。データ処理者として行うものがあります。よるクレジットカード取引の処理が挙げられます。取引を進めるには、カード保有者の名前、クレジットカード番号、カード有効期限、セキュリティコードなどの個人データの処理が必要です。そのデータを使用して、クレジットカードネットワークのシステム内で取引を完了します。これらの機能をデータ処理者として実行します。準拠する目的でもそのデータを使用します。データ管理者となります。準拠しているかどうかを判断することです。基づき、管理者または処理者により実行されるすべてのデータ処理活動は、法的根拠に基づいて行われる必要があります。「データ主体」と呼ばれます)。以上の特定の目的のために自身の個人データを処理することに同意している。当該の処理は、データ主体が当事者である契約の遂行のために必要である、または契約を締結する前にデータ主体の要求に応じて措置を講じるために必要である。処理は、管理者に課される法的義務への準拠に必要である。処理は、データ主体の重大な利益の保護に必要である。データ処理は、公益または職権の行使のために実施される作業の遂行に必要である。処理は、事業体が追求する正当な利益のために必要である。した利益よりも個人データ保護を求めるデータ主体の利益または基本的権利と自由が優先する場合を除きます。許可される処理のリストとデータ保護指令に含まれているリストは似ていますが、大きく異なる点もあります。データ主体は同意を取り消す自らの権利について通知されていること、などの要素が含まれます。課されるという点に留意することも重要です。組織が「正当な利益」を根拠として個人データの処理を行う場合、この法的根拠に関連付けられているバランステスト要件を認識しておく必要があります。基づき説明責任の原則に従うために、組織はバランステストに準拠している旨を文書化する必要があります。これには、準拠の方法とバランステストが満たされたと判断を下す前に検討した論拠が含まれます。定める個人の権利データ保護指令の下では、個人は自身の個人データに関して一定の基本的権利が保障されていました。下で引き続き適用されます。下での個人の権利の比較を示します。個人には、自身の個人データについて、その処理状況、処理の対象となる個人データ、処理方法、データ処理作業の内容を知る権利があります。この権利の範囲が拡大されています。アクセス要求を行うとき、個人は追加情報を受け取る必要があります。ついての情報が含まれます。個人は、説得力のある正当な理由があれば、特定のデータ処理操作を禁止できます。個人はまた、直接販売を目的とする個人データの処理に異議を唱えることもできます。この権利の範囲が拡大されています。個人は、適用されるデータ保護の原則に従って個人データの処理が行われるように、不完全なデータを完全にすることや、不正確なデータを修正することを要求できます。下で部分的に強化されています。(たとえばデータが完全でない場合や不正確である場合)、個人データのブロックを要求する権利を個人に与えています。おいて個人データの処理の制限を要求する権利を個人に与えています。個人には、処理操作がデータ保護の原則に従って行われなかった場合に、自身の個人データの消去を求める権利があります。したがって、この権利は非常に限定的です。この権利が大幅に拡張されました。消去する権利は、個人データが収集された目的に関して不要になった場合、または個人が処理に対する同意を取り消して、処理の継続を裏付ける法的根拠が他にない場合に行使できます。データ保護指令は、“データポータビリティ”をデータ主体の権利として明示的に言及していません。加盟国各国の法律には、データポータビリティ権に類似する権利が追加され、国レベルでの法整備が進んでいる可能性があります。個人は、特定のデータ管理者が保持する個人データを本人または他の管理者に提供することを要求できます。多国間データフローは近年注目のテーマであり、この分野においてかなりの議論と法改正が行われました。多国間データフロー関連の法律はこの先何年か継続して整備されることもほぼ確実です。外に移転可能となる前に特定の要件を満たす必要があります。(ホワイトリストに記載された管轄区域についてはこちらをご覧ください)。下で、法整備が進む一方で、利用できるデータ移転の仕組みがごくわずかしかないため、多国間のデータ移転は難しいテーマとなっています。難しくはありますが、コンプライアンスに準拠した個人データのフローはすべてのテクノロジー企業の根幹となるため、組織は最新の動向に遅れずについていく必要があります。プライバシーシールドのフレームワークです。EU-米国間およびスイス-米国間のプライバシーシールドは、プライバシーシールドのフレームワークの要件に従って保証および登録を行うことを組織に要求することにより、組織が十分なレベルのデータ保護を提供できるようにする方式です。EU-米国間およびスイス-米国間のプライバシーシールド認証を取得しました。プライバシーシールド認証はこちら、プライバシーシールドポリシーはこちらにあります。データ移転のサポートページをこちらでご覧ください。域内にいる個人の個人データの処理をすべて管理しています。標準契約条項に基づくものです。上記のとおり、多国間データフローの分野では、今後も引き続き法改正が見込まれます。域内のデータ主体の個人データの多国間移転をコンプライアンスに沿って行えるようあらゆる手段を講じます。使用できるツールを使用してこれらの冗長性を拡張する予定です。違反した場合の結果としてよく話題となるのは、違反した組織に課される制裁金の最高額です。うち、いずれか高い方です。うち、いずれか高い方が課せられます。権限には、データ処理の完全な禁止を含む、データ処理活動の一時的または限定的な制限などの是正措置を課す能力や、第三国の受取人へのデータフローの差し止めを命じる能力が含まれます。プライバシー、データ保護、データセキュリティに常に配慮してあらゆることに取り組みます。この点について業界全体が協力し、改善する好機であるととらえています。準拠できるよう努めています。準拠は多くの要素から成ります。要件に沿って更新するようにしています。基準に従って改訂しています。ために実行している手順の一部です。要件のギャップ分析を行う。必要に応じて、内部ツール、手続きおよびポリシーを見直し更新する。定められる記録保持義務を満たすために、データマッピング業務とデータ目録作成業務を見直し、必要に応じて更新する。データ保護影響評価の要件を満たすために、プライバシーとデータ保護のレビューツールに特化したギャップ分析を行う。多国間データ移転に対する取り組みを更新する。条に定められる義務は、企業の契約当事者に関連するため、契約を更新してそれらの義務を反映する。要件を満たすように関係を修正し、それらの第三者が個人データを合法的に受け取って処理できるよう徹底する。対応のために実施される変更内容を反映する。基づいて自らに課されるコンプライアンス義務の全ての範囲を理解する必要があります。原則は、説明責任の原則です。規定されているデータ保護の原則に準拠していることを実証できる必要があると定められています。準拠への取り組みを文書化して周知させることです。ユーザオペレーション、営業、開発、セキュリティ、法務などの社内組織をまたいで社員が協力し、コンプライアンスを実現しています。準拠のプロセス全体を進めるのに大いに役立ちます。対応を進める小規模および中規模の組織に固有の課題が生じる可能性があります。コンプライアンスプログラムの主な要素の一部をユーザ向けのチェックリストにまとめました。内容と組織への影響についての理解を促進する。データマッピングを実施することで、個人データがシステムによってどのように保存および処理されているかが明らかとなります。実施にあたり、以下のような質問をします。つの法的根拠に照らし合わせます。データマップで特定された個々の処理操作を、法的根拠に関連付けます。その関連付けにより法的根拠のマップが得られます。権利を行使する個人への対応方法を把握:データマッピングの情報を使用して、データ主体のアクセス要求に応えられるようにします。システムで使用するデータ形式を把握し、データポータビリティ要求に応答する方法を理解します。セキュリティ面について同僚と話をする際には、インシデント対応計画を確実に理解しているようにします。机上訓練を数回実施し、セキュリティインシデント発生時になすべきことをインシデント対応担当者全員が把握できているようにします。インシデント対応チームを細部にわたって調整し、問題発生時にインシデント対応計画を実行するための準備が整っている状態が理想的です。このチェックリストに追加できる要素は他にもたくさんあり、内部の専門家や外部のアドバイザーと協力して、必要に応じてカスタマイズしたリストを作成する必要があります。データ保護影響評価の実施、データ保護最高責任者の指名、マーケティング業務およびその他の企業通信業務の管理とレビュー、ベンダー管理および契約プロセスの再検討などが必要となる場合があります。準拠に関してどのような問題に直面しても、その基盤が大いに役立ちます。以下は、弊社が参照していて、役立つその他のリソースです。みなさまのお役に立ちましたら幸いです。さまざまな場所で取り上げられていて、オンライン上で利用できる良質なリソースを把握することは困難です。最新情報を把握するために弊社が参照しているリソースです。完全な法律文はこちらにあり、データ保護指令はこちらにリンクされています。実施に関して有用なガイドラインを公開しています。リストはこちらにあります。DPA、欧州データ保護監督者、および欧州委員会からの代表者で構成される諮問機関です。