comparing-pia-methodologies

PIA 手法の比較

概要

プライバシー影響評価を実施するための、確立された手法が複数存在します。CNIL PIA ツール、ICO DPIA テンプレート、NIST Privacy Framework、ISO/IEC 29134:2017 などです。それぞれの手法には、策定元の規制環境、組織に関する前提、プライバシーに対する考え方が反映されています。適切な手法を選択する、または複数の手法の要素を組み合わせることは、規制当局の期待に応え、組織の成熟度に適合し、処理活動の実際のリスクに対処する評価を作成するうえで重要です。このスキルでは、手法選択のための体系的な比較フレームワークを提供します。

手法の概要

1. CNIL PIA ツール（フランス）

策定元：Commission Nationale de l'Informatique et des Libertes（CNIL）。2015 年に初版を公開し、GDPR との整合のため 2018 年に更新。

構成：

• ステップ 1：コンテキスト — 処理、その目的、処理対象データ、関与する関係者を記述します。
• ステップ 2：基本原則 — 必要性、比例性、データ主体の権利、義務（Art. 5, 6, 9, 12-22, 28, 44）への準拠を評価します。
• ステップ 3：リスク — 懸念される事象（不正アクセス、望ましくない変更、データの消失）を特定し、深刻度と発生可能性を評価します。
• ステップ 4：検証 — リスクと管理策を照合します。残存リスクを受容するか、追加措置を実施するか、監督機関に相談するかを判断します。

主な特徴：

• プライバシー向けに調整した CIA トライアドを基盤とする、3 つの懸念事象モデル（アクセス、変更、消失）。
• 深刻度の尺度：無視できる、限定的、重大、最大。
• 発生可能性の尺度：無視できる、限定的、重大、最大。
• リスクマトリクス：深刻度と発生可能性を対応させる 4×4 のグリッド。
• Art. 35 および Art. 36 の事前相談の基準との明確な関連付け。
• ダウンロード可能なオープンソースの PIA ソフトウェアツール。

規制上の受容状況：

• フランスの監督機関への提出に必要な形式です。
• ベルギーの DPA（APD/GBA）に、準拠した手法として受け入れられています。
• WP248rev.01 で、優良事例の一例として EDPB が参照しています。
• フランス語圏の管轄区域（ベルギー、ルクセンブルク、スイス）で広く使用されています。

2. ICO DPIA テンプレート（英国）

策定元：英国の Information Commissioner's Office（ICO）。ICO の GDPR ガイダンスの一環として公開され、Brexit 後の UK GDPR に合わせて更新。

構成：

• ステップ 1：DPIA の必要性を特定 — Art. 35(3) のトリガーおよび DPIA が必要となる処理に関する ICO 公表リストに基づくスクリーニング用チェックリスト。
• ステップ 2：処理を記述 — 処理の性質、範囲、コンテキスト、目的。受領者や移転を含むデータフロー。
• ステップ 3：協議プロセス — データ主体、DPO、その他の関係者との協議の記録。
• ステップ 4：必要性と比例性を評価 — 法的根拠、目的の限定、データ最小化、正確性、保存期間の制限、セキュリティ、国際移転。
• ステップ 5：リスクを特定して評価 — リスクの発生源、損害の性質、深刻度、発生可能性ごとに整理した個人へのリスク。
• ステップ 6：リスク軽減策を特定 — 各リスクについて、許容できるレベルまで低減する措置を特定します。
• ステップ 7：承認し、結果を記録 — DPO の助言、管理者の判断、処理記録との統合。

主な特徴：

• 実務での記入を想定した 7 段階の直線的なプロセス。
• データ主体との協議を重視（ステップ 3） — 他の手法ではあまり目立たない特徴です。
• CIA トライアドではなく、個人への危害に焦点を当てたリスク評価。
• DPO の助言と、それに従ったかどうかを記録する明確な要件。
• ダウンロード可能な Word 文書としてテンプレートを提供。
• ステップ 1 にスクリーニング用チェックリストを統合。

規制上の受容状況：

• 英国の ICO への提出および事前相談に必要な形式です。
• 英国とアイルランド間の処理に関する準拠した手法として、アイルランドの DPC に受け入れられています。
• 複数の加盟国の DPA テンプレート（デンマーク、オランダ）の基礎として使用されています。
• 公共部門の処理に関して、英国政府が推奨しています。

3. NIST Privacy Framework（米国）

起源：National Institute of Standards and Technology（NIST）。バージョン 1.0 は 2020 年 1 月に公開されました。任意のフレームワークです。

構成：

• 中核：5 つの機能 — IDENTIFY、GOVERN、CONTROL、COMMUNICATE、PROTECT。
• プロファイル：各サブカテゴリについて、現状と目標状態を評価します。
• 実装ティア：ティア 1（部分的）からティア 4（適応的）までの成熟度レベルです。

主な特徴：

• それ自体が PIA 手法というわけではありませんが、PIA を実施する際の組織的な背景を提供します。
• IDENTIFY 機能（ID.RA）は、PIA におけるリスク評価活動に直接対応します。
• NIST Cybersecurity Framework（CSF）を補完するもので、共同での導入を想定して設計されています。
• 業種を問いません。特定の規制環境に限定されず、あらゆる業界に適用できます。
• プライバシーエンジニアリングの目標：予測可能性、管理可能性、関連付け不能性。
• 規定されたリスク尺度やマトリクスはなく、各組織が独自に定義します。

規制当局による受容：

• 規制上の要件ではありませんが、米国の連邦機関（FTC、HHS、DOE）から広く参照されています。
• 米国の州規制当局（CCPA/CPRA、VCDPA、CPA）から、プライバシープログラムの成熟度を示す証拠として受け入れられています。
• 国境を越えるデータ移転について、APEC CBPR システムから参照されています。
• GDPR DPIA を補完するものとして、EU の組織からの参照が増えています。

4. ISO/IEC 29134:2017 — プライバシー影響評価のガイドライン

起源：International Organization for Standardization が 2017 年に公開した国際規格です。

構成：

• 第 6 条：PIA の準備 — 必要性の判断、PIA チームの設置、PIA 計画の策定、ステークホルダーの関与。
• 第 7 条：PIA の実施 — 情報収集、データフロー分析、プライバシーリスク分析（特定、推定、評価）、プライバシーリスクへの対応。
• 第 8 条：PIA のフォローアップ — PIA レポート、要約の公開、対応計画の実施、監査／レビュー。

主な特徴：

• 最も包括的で体系化された手法であり、監査可能な規格として設計されています。
• ISO 31000 リスクマネジメントフレームワークに基づいてリスクを評価します。
• プライバシーリスク ＝ 発生可能性 × 結果（組織ではなくデータ主体への結果）。
• 評価の開始前に、正式な PIA 計画を作成する必要があります。
• データ主体を含むステークホルダーの関与が義務付けられています。
• PIA レポートには規定の構成（第 8.2 条）があり、必須項目が 13 セクションあります。
• ISO/IEC 27701（プライバシー情報マネジメント）および ISO/IEC 27001（情報セキュリティ）と統合されています。

規制当局による受容：

• 体系的なアプローチを示す証拠として、世界各地の監督機関に受け入れられています。
• PIA 手法の例として、WP248rev.01 において EDPB から参照されています。
• アジア太平洋地域の複数のデータ保護当局（シンガポール PDPC、韓国 PIPC、日本 PPC）から、必須または推奨とされています。
• 認証機関は、GDPR 第 42 条の認証制度における評価フレームワークとして ISO 29134 を使用しています。

方法論比較マトリックス

項目	CNIL PIA	ICO DPIA	NIST PF	ISO 29134
規制上の起源	フランスのデータ保護機関（CNIL）	英国のデータ保護機関（ICO）	米国のNIST	国際（ISO/IEC）
法的枠組み	GDPR	UK GDPR	業界を問わない	国際
リスクモデル	3つの懸念される事象（CIAに適合）	個人への危害	組織が定義	ISO 31000ベース
リスク尺度	4×4（無視できる程度から最大まで）	定性的（低／中／高）	組織が定義する段階	発生可能性 × 影響
手順／フェーズ	4ステップ	7ステップ	5つの機能	3つの条項（準備／実施／フォローアップ）
データ主体への相談	推奨	明示的に必須（ステップ3）	COMMUNICATE機能	必須（条項6.4）
DPOの関与	必須	助言の記録を含めて必須	該当なし（DPOの概念なし）	推奨
ツールの提供状況	オープンソースソフトウェア	Wordテンプレート	Excelによる自己評価	公式ツールなし
費用	無料	無料	無料	規格の購入が必要（約166 CHF）
認証との整合性	なし	なし	NIST CSFとの整合	ISO 27701、ISO 27001
一般的な完了期間	2～4週間	1～3週間	継続的（フレームワーク）	4～8週間
最適な対象	EU／GDPRに基づく処理、フランスの規制対象組織	英国での処理、実用的ですぐに始められる方法	米国の組織、フレームワークに基づくプログラム	多国籍組織、監査可能性や認証取得を重視する組織

方法論の選定基準

判断要素

要素	重要度	検討事項
規制管轄	高	評価を審査する監督機関はどこですか？その機関が推奨する方法論を使用してください。
組織の成熟度	中	成熟度が低い場合 → ICO（最も簡単）。中程度の場合 → CNIL。高い場合 → ISO 29134。
処理の複雑さ	中	単純な処理 → ICO。複雑または高リスクな処理 → CNILまたはISO 29134。
国際的な適用範囲	高	単一の管轄区域 → 現地のデータ保護機関の方法論。複数の管轄区域 → ISO 29134。
認証の目標	中	ISO 27701または第42条の認証を目指す場合 → ISO 29134。
利用可能なリソース	中	リソースが限られている場合 → ICO。専任のプライバシーチームがある場合 → ISO 29134。
既存のフレームワーク	低	すでにNIST CSFを使用している場合 → NIST PFを追加。すでにISO 27001を導入している場合 → ISO 29134。

選定の判断ツリー

1. 処理は、特定の監督機関の管轄下にあり、その機関が方法論を義務付ける、または推奨していますか？
   • はい → その機関の方法論を使用してください（フランスはCNIL、英国はICO）。
   • いいえ → ステップ2に進みます。
2. 組織は複数の管轄区域で事業を展開していますか？
   • はい → ISO 29134（国際的に認められています）。
   • いいえ → ステップ3に進みます。
3. 組織のプライバシー成熟度はどの程度ですか？
   • 低い（正式なプライバシープログラムがない） → ICO DPIAテンプレート（最もすばやく導入できます）。
   • 中程度（プライバシープログラムがある） → CNIL PIAツール（体系的でありながら利用しやすい方法です）。
   • 高い（成熟したプライバシープログラムがあり、認証を目指している） → ISO 29134。
4. 組織は米国を拠点とし、すでにNIST CSFを導入していますか？
   • はい → 組織のフレームワークとしてNIST PFを使用し、個別のDPIAにはCNILまたはICOを補完的に使用します。
   • いいえ → ステップ1～3の選定結果を使用してください。

手法間の対応関係

CNIL のステップ	ICO のステップ	NIST PF の機能	ISO 29134 の条項
ステップ 1：コンテキスト	ステップ 2：処理の説明	ID.IM（インベントリとマッピング）	条項 6：準備
—	ステップ 1：必要性の特定	—	条項 6.1：必要性の判断
—	ステップ 3：協議	CT.PO（コミュニケーションポリシー）	条項 6.4：ステークホルダーの関与
ステップ 2：基本原則	ステップ 4：必要性と比例性	GV.PO（ガバナンスポリシー）	条項 7.3：プライバシー保護措置の分析
ステップ 3：リスク	ステップ 5：リスクの特定と評価	ID.RA（リスク評価）	条項 7.4：リスク分析
ステップ 4：検証	ステップ 6：リスク軽減策	CT.DM（データ処理管理）	条項 7.5：リスク対応
—	ステップ 7：承認と記録	GV.AT（意識向上とトレーニング）	条項 8：フォローアップ

執行および規制ガイダンス

• EDPB WP248rev.01：CNIL と ISO 29134 の両方を、許容される DPIA 手法として参照しています。特定の手法を義務付けてはいませんが、選択したアプローチが第 35 条第 7 項（a）～（d）の最低限の内容を満たすことを求めています。
• 第 35 条第 7 項の最低限の内容：どの手法にも、（a）処理と目的の体系的な説明、（b）必要性と比例性の評価、（c）リスク評価、（d）リスクに対処するための措置を含める必要があります。4 つの手法はいずれも、これらの要件を満たしています。
• CJEU C-175/20（SS SIA 'Valsts ieņēmumu dienests'）：裁判所は、DPIA では管理者ではなくデータ主体の視点からリスクを評価しなければならないと確認しました。これは、危害に基づく ICO および ISO 29134 のアプローチと一致します。
• CNIL Deliberation 2018-327：許容される DPIA 手法の基準を公表しました。使用するツールにかかわらず、どの手法も満たすべき 10 項目の基準です。