GDPR の主要な原則について
学習の目的
この単元を完了すると、次のことができるようになります。
- GDPR の基礎となる主要なプライバシー原則について説明する。
- 個人データを保護するために組織が実行できる手順について説明する。
- GDPR が個人データに関してその個人に与える選択肢について説明する。
主要な原則
GDPR の要件の多くに、その根拠となる複数の主要な原則があります。では、確認してみましょう。
公正さと透明性
組織は常に個人データを合法的かつ公正に透明性のある方法で処理する必要があります。
Grande Banque du Nord が Marie Dubois に Web サイトで顧客として登録することを求めるとき、Grande Banque は Marie に、この銀行とその Web サイトが彼女から収集する具体的な情報と、銀行が予定するその情報の使用方法を通知する必要があります。たとえば、Grande Banque が Marie による Web サイトの使用を追跡する場合、プライバシー通知でその追跡について説明する必要があります。
目的の制限
組織は、指定された明示的で正当な目的にのみ、個人データを収集できます。これらの目的に適合しない方法で個人データをさらに処理することはできません。
Grande Banque が Marie に顧客として登録することを求めるとき、個人データを使用して行う予定の処理について Marie に通知する必要があります。Grande Banque は Marie の個人データをその通知で説明した目的にのみ使用する必要があります。たとえば、プライバシー通知に Grande Banque が新規顧客を開拓中の引っ越し業者と個人データを共有すると記載していなければ、Grande Banque がこの目的で Marie の情報を引っ越し業者に販売することは禁じられます。
データの最小化
組織が収集できるのは、意図する目的に必要な情報として十分で、関連性があり、限定される個人データのみです。
Marie が Grande Banque モバイルアプリケーションをダウンロードしてアカウントを設定するとき、Grande Banque が収集できるのは Marie へのサービスに関連する情報のみです。このアプリケーションが、Marie の正確な位置情報の記録、携帯電話の連絡先へのアクセス、携帯電話上の他のアプリケーションに関する情報の収集をすることは禁じられます。Grande Banque が Marie に、宗教や人種など、住宅ローンプロセスに関連性のない情報の提供を求めることは禁じられます。
正確さ
個人データは正確で、必要に応じて常に最新に保たれる必要があります。
住宅に関する提案に向けた Grande Banque の詳細なフォームに Marie が入力するときには現在の給与を入力します。Marie が昇進して昇給したら、Grande Banque に連絡して新しい情報を伝えます。Grande Banque は、新しい給与を反映して記録を更新する必要があります。
データの削除
個人データが保持される期間は、当初の収集目的を達成するために必要な期間のみにする必要があります。
Marie は、別の銀行 Petit Crédit du Sud の方が低利率であることを発見しました。Marie は、Grande Banque から Petit Crédit に変更することを決め、Grande Banque に関係を終了することを伝えました。Grande Banque は、保持するための正当な必要性のない Marie の個人データをすべて削除する必要があります。たとえば、Marie の収入、預金口座、負債などです。
セキュリティ
組織は、適切な技術的および組織的セキュリティ対策を使用して個人データを不正な処理や予期しない公開、アクセス、紛失、破壊、変更に対して保護する必要があります。具体的な使用事例と処理される個人データに応じて、データの保護に役立てるため、データの分離、暗号化、仮名化、匿名化を使用することが推奨されます (場合によっては義務付けられます)。
住宅ローン申し込みプロセスの一部として、Petit Crédit は Marie に Web サイトでフォームに入力することを求めます。このフォームには詳細な機微個人情報を入力する必要があります。Petit Crédit は、フォームがセキュアな Web ページ上にあり、そのデータが送信中は暗号化されるようにする必要があります。Petit Crédit は、そのデータを Salesforce インスタンスに保存するとき、そのデータにアクセスするための正当な必要性がある Petit Crédit 従業員のみがそのデータへの限定アクセス権を持つようにする必要があります。
ここで小休止して、個人データを保護するために整備可能な対策について考えましょう。
| 基準 | 説明 |
|---|---|
| 暗号化 | 一部のレポートとは異なり、GDPR は組織に個人データの暗号化を義務付けていません。ただし、状況に応じて、個人データのセキュリティと機密性を確保するための有効な方法として暗号化を奨励しています。特に、機微個人データと、厳格な規制下にある企業によって管理される特定の種類のデータについては、暗号化が適切である可能性があると提言しています。 |
| 仮名化 | GDPR では、組織がデータセキュリティと個人の権利を守るためのリスクベースの対策として仮名化を使用することを奨励しています。特定のシナリオでは、組織は当初の目的以外のデータの使用を可能にするための対策として仮名化を利用できます。たとえば、仮名化でプロファイリングのリスクに対する十分な防御が構成される場合があります。ただし、GDPR 下では仮名化データは引き続き個人データとみなされます。 |
| 匿名化 | データが完全に匿名化されている場合、そのデータは GDPR 下では個人データに該当しません。ただし、匿名とみなされるには高いハードルがあり、追加の処理をしたり、他の情報と組み合わせたりしても、データから個人を識別することが不可能でなければなりません。 |
説明責任
データ管理者には、管理する個人データが GDPR の原則に従って処理されるようにする対策を実装する責任があります。これには、データ保護最高責任者の任命、処理者に対する契約義務の強制、「プライバシーバイデザイン」および「プライバシーバイデフォルト」原則の使用が含まれます。さらに、データ管理者は、処理活動の記録の保持やプライバシー影響評価の実施などによって、コンプライアンスを実証できなければなりません。
Marie の個人データを Petit Crédit の Salesforce インスタンスに入れるためには、銀行と Salesforce が、個人データの処理に関して書面による合意をする必要があります (データ処理に関する補遺など)。Petit Crédit は、銀行が Marie の情報を収集した方法と理由、収集した情報の種類、データを共有した相手、データを保護するために実施されているセキュリティについて記録を保持する必要もあります。
次に、組織がプライバシー原則を文化として運用可能にするために使用できる 3 つの方法を紹介します。
| 方法 | 説明 |
|---|---|
| プライバシーバイデザイン | これは、組織が新しい処理活動を計画したり、新しい製品、サービス、機能を開発または実装したりするときに、GDPR の原則を念頭に置いてそうした活動や製品を設計することでプライバシーを保護するための適切な防御手段を整備する必要があるという考え方です。 |
| プライバシーバイデフォルト | これは、データの収集、処理、または保管時に、組織は常に最も「プライバシーに配慮した」デフォルト設定を使用する必要があるという考え方です。たとえば、個人が自分のデータの処理量を選択できるようにする場合、デフォルト設定の選択肢は常に最小の処理量にする必要があります。保管期間を選択する場合、デフォルトは最短の保管期間にする必要があります。 |
| データ保護と影響評価 | プライバシーリスクを識別して対処するための新しい処理活動の分析。 |
個人の権利
GDPR では、管理者による個人データの処理方法に関してデータ主体に複数の権利が付与されます。これらの権利では、管理者に、データ主体の要求に応じ、有効に対処するためのシステムを用意することが要求されます。
データアクセス: データ主体には、組織が自分の個人データを処理しているかどうかデータ管理者に確認する権利があります。処理している場合、管理者はデータ主体にその処理に関する情報を提供する必要があります。たとえば、処理された具体的なデータ、処理の目的、そのデータが共有されている他の団体などです。
異議を申し立てる権利: データ主体は、特定の場合、特に処理がダイレクトマーケティング目的の場合、いつでも自分の個人データの処理に意義を申し立てることができます。
データの訂正: データ主体は、個人データが不正確または不完全である場合、管理者にデータの修正または完成を要求できます。
処理の制限: データ主体は、自分の個人データへのアクセスまたは変更を停止することを管理者に要求できます。たとえば、管理者は標識を付けるか、技術的手段を使用して、そうしたデータがいかなる団体によってもそれ以上処理されないようにすることができます。
データの可搬性: 特定の場合、データ主体には、別の企業に送信できるように、自分の個人データを構造化された一般的に使用される機械可読形式 (.csv ファイルなど) で提供することを管理者に要求する権利があります。
削除する権利: 「忘れられる権利」とも呼ばれるこの権利では、データ主体の個人データが当初の目的では必要なくなったとき、データ主体が同意を取り消したとき、またはデータ主体が処理に異議を申し立て、管理者にそれを覆す正当な処理への利害関係がない場合などに、データ主体がデータ管理者に自分の個人データを削除または消去することを要求できます。
では、組織は実際にはどのようにこの原則に従い、データ主体の要求に応えているのでしょうか? 次の単元では、GDPR コンプライアンスプログラムの主要な要素に対する考え方を共有します。