GDPRへの準拠

プライバシー バイ デザインとDPIA

GDPRには個人データを扱う事業体向けに、新たにいくつかの原則が付け加えられています。たとえば、新しいシステムを開発するときに、設計段階からデータプライバシーを考慮することを求める「プライバシー バイ デザイン」の原則があるほか、「新しいテクノロジー」や危険性の高い方法でデータ処理を行う場合に、データ保護影響評価（DPIA）の実施が義務付けられています。DPIAとは、プロジェクトまたは計画が個人のプライバシーにどのような影響を及ぼす可能性があるのかを体系的に検討するプロセスです。プライバシー関連の問題が発生する可能性をあらかじめ特定できれば、実際のプロジェクトに取り掛かる前に問題の軽減策を考えておくことができます。

データ保護責任者

セキュリティー面に関して言えば、GDPRは多くの企業に対し、データ保護責任者（DPO）を配置して準拠への取り組みを管理するよう求めています。DPOを必要とする組織には、公的機関や、多数のデータ主体を定期的かつ体系的にモニタリングする活動を行う組織のほか、センシティブ（機微）情報と呼ばれているデータを大量に処理する組織が含まれます。GDPRには既に、第三国へと個人データを移転する場合の「妥当性」を確保する方法として、DPDの承認済みの手法（プライバシーシールドとEUモデル条項を含む）が流用されていますが、DPOを配置することで、個人データを処理および保管するベンダーとの関係性の管理が容易になり、ベンダーのセキュリティー施策の点検や、ベンダーに対するデータ主体からの要求の伝達が促進されます。

契約とプライバシーに関するドキュメント

GDPRでは透明性と公正性が何よりも重視されます。そのため、管理者および処理者は自社のプライバシー通知やプライバシーステートメントなど、社内のあらゆるデータポリシーを見直して、GDPRの要件を必ず満たさなくてはなりません。管理者が外部ベンダーと契約し、自社の管理下で個人データの処理を任せる場合には、そうした処理者との契約書を更新し、GDPRの第28条で新たに定められた処理者の義務に関する条項を契約に加える必要があります。同様に、処理者は顧客との契約内容で変更すべき点を洗い出し、GDPRへの対応を済ませておく必要があります。

ワン ストップ ショップ

GDPRには、別途説明したDPOの負担軽減につながる、ある条項が含まれています。それは「ワン ストップ ショップ」規定です。GDPRに新たに加えられたこの規定では、EU内の複数の国にオフィスを構える組織に関し、主要拠点の監督機関を「管轄機関」とし、すべての国で行う個人データの処理をまとめて監督することを認めています。そのため、複数の監督機関による指示の食い違いに苦慮する必要はありません。

報告義務違反

GDPRに含まれる新たな要件の1つに、個人データの侵害が起こった場合、そのデータが匿名化または暗号化されていない限り、管理者はその事実を知ってから72時間以内に自国の監督機関に通知しなければならないというものがあります。この規定に従うと、ほとんどのデータ侵害をDPCに報告しなければならないことになります。個人情報の盗難や守秘義務違反など、データ侵害によって個人に悪影響が及ぶ可能性がある場合は、関係する個人への報告も必要です。

範囲

従来の法令（1995年のEUデータ保護指令）がEU内の事業体を統制するものであるのに対して、GDPRでは対象地域がはるかに広がり、EUの居住者に製品を販売する、またはEUの居住者の行動をモニタリングする、EU以外の企業も対象となります。言い換えれば、EU外に拠点を構えていても、EU市民のデータの管理や処理を行う企業はGDPRの適用対象です。

説明責任

この新たに取り入れられた概念により、管理者および処理者は自国の監督機関に対して、GDPRへの適合性を立証する責任を負うようになりました。管理者および処理者には、データを処理して処理内容を記録することに加え、処理方法の定期的な見直しが求められます。また、スタッフをトレーニングし、適切な技術的および組織的な対策を講じることによってGDPRの要件を満たすと同時に、そのことを証明できなくてはなりません。

厳格な罰則

GDPRの新しい規定の重要性をいっそう高めているのが、違反に対して新たに設けられた罰則規定の存在です。管理者および処理者が個人データの取り扱いを誤るなど、データ主体の権利を侵害した場合は、問題となっている違反の種類に応じて、最高2,000万ユーロまたは全世界の合計年間売上高の4％（いずれか高い方）を罰金として科される可能性があります。