GDPRコンプライアンス：抵抗は無意味、企業を守る方法

2018年5月25日、一般データ保護規則（GDPR）が正式に施行され、多くの組織がその厳格な要件を満たすべく奔走しました。4年間の猶予期間があったにもかかわらず、ITリーダーは依然として、堅牢なデータ保護対策をレジリエンス計画にどう組み込むかに苦慮しています。Syncsortの2018年レジリエンス状況レポートによれば、クラウド採用がデータ収集、保存、分析を加速する中、セキュリティとプライバシーはIT部門の最優先事項です。

法の長い腕

GDPRの設計者たちは「個人データの処理は人類に奉仕するよう設計されるべきだ」と述べました。この規則は指令95/46/ECに取って代わられ、EU全体でプライバシールールを標準化し、欧州域内外を問わずEU顧客と取引するすべての企業に、より高い基準を設定しました。

結論：所在地を問わず、すべての組織がデータ処理慣行を再評価しなければなりません。どの個人データを保持し、誰のもので、どう使用・共有され、適切に保護されているか、把握していますか？ 約6,000人のグローバル回答者を対象とした調査では、大半の企業がこれらの問いにまだ格闘中です。

個人を再び主役に

GDPRは個人に、どの組織が自分のデータを保持しているかを知る権利、アクセスと訂正の権利、そして最も重要な「削除を要求する権利（忘れられる権利）」を付与します。規則の同意フレームワークは、企業に個人データの収集・処理前に明示的な同意取得を義務付け、データを資産であると同時に負債にも変えます。

効果的なコンプライアンスは、個人データの明確な棚卸し、分散システム間の統一アイデンティティビュー、厳格な同意管理から始まります。検出、重複排除、データ整合性維持のツールは不可欠であり、個人情報へのすべてのアクセスを記録する監査証跡も必要です。これはビッグデータとリアルタイムストリーミング環境でさらに困難になります。

個人データとは何か、どう安全に利用できるか

デジタル時代のパーソナライズドデータ慣行はイノベーションを促進しますが、プライバシー懸念も高め、GDPRの厳格な保護措置を促しました。第4条第1項は、個人を特定、記述、一意に参照できるあらゆるデータを個人識別情報（PII）と定義します。氏名、年齢、社会保障番号、IPアドレス、デバイスID、さらには誰かを特定する役割を果たすならハッシュ化・暗号化済みフィールドも含まれます。

GDPRは、直接識別子を可能な限り除去することを奨励します。これは擬名化と呼ばれる技術で、セキュリティ侵害の影響を緩和します。レガシーソリューションを後付けするのではなく、ゼロからコンプライアンス対応システムを構築する方が効果的かつコスト効率に優れます。匿名化、マスキング、難読化ツールは、特に複数のデータベース間でリアルタイム分析のためにデータが共有される場合、新旧両方のデータアーキテクチャに不可欠です。

未来は思ったより速く来る

時間はしばしばITチームを不意打ちします。非準拠は最大2,000万ユーロまたは全世界売上の4%の罰金を招き、レピュテーション損害は回復不能になり得ます。5月の期限が過ぎた今、完全コンプライアンスに達していない企業は、差し迫った執行行動に直面します。

David Hodgson、Syncsortチーフプロダクトオフィサー