dpia-automated-decisions

自動意思決定システムのDPIA

目的

GDPR第35条第3項（a）で義務付けられているとおり、個人に法的効果または同様に重大な影響をもたらす自動意思決定（ADM）およびプロファイリングシステムに特化したDPIAを実施します。

前提条件

• ADM／プロファイリングシステムのシステム文書（アルゴリズムの設計、トレーニングデータ、意思決定ロジック）
• 第35条第3項（a）の基準を満たすことを確認済みであること：プロファイリングを含む自動処理に基づいて個人の側面を体系的かつ広範に評価し、その評価に基づく決定が自然人に法的効果をもたらす、または同様に重大な影響を及ぼす
• 第9条の特別カテゴリーを含め、処理されるデータカテゴリーが特定されていること
• 可能な場合、第22条の既存の保護措置に関する文書

ワークフロー

ステップ1：システムの説明と範囲

評価対象のADMシステムについて記録します。

1. システムの目的：ビジネス上の目標と処理の目的
2. 決定の種類：システムが行う、または支援する決定（信用スコアリング、保険料設定、採用選考、不正検知、コンテンツモデレーション）
3. 処理の範囲：入力として使用するデータカテゴリー、影響を受けるデータ主体の数、地理的範囲
4. 自動化のレベル：完全自動（人間が介在しない）、半自動（人間が介在する）、または人間による上書き機能を備えた自動化
5. 法的根拠：処理に関する第6条第1項の根拠、および第22条が適用される場合は、依拠する第22条第2項の例外（契約、EUまたは加盟国の法律、明示的な同意）

ステップ2：必要性と比例性の評価

自動処理が必要かつ比例的であるかを評価します。

1. 目的の限定：第5条第1項（b）に従い、処理の目的が具体的、明示的かつ正当であることを確認します
2. データの最小化：第5条第1項（c）に従い、決定に厳密に必要なデータのみが処理されていることを確認します
3. 正確性：第5条第1項（d）に従い、入力データの品質と、それが決定の正確性に与える影響を評価します
4. 侵襲性の低い代替手段：より自動化の度合いが低い方法で決定できるかどうかを記録します
5. 比例性：組織が得る利益と、個人の権利および自由への影響を比較衡量します

ステップ3：リスクの特定

ADMシステムに固有のリスクを特定します。

1. 差別リスク：第9条の特性（人種、民族、政治的意見、宗教、健康、性的指向）に基づいて、システムが差別的な結果を生む可能性を評価します
2. 不透明性リスク：第13条第2項（f）および第14条第2項（g）に従い、影響を受ける個人に意思決定ロジックを説明できるかを評価します
3. 正確性リスク：偽陽性率と偽陰性率、およびその結果を評価します
4. データ品質リスク：トレーニングデータが偏りなく実社会の集団を反映しているかを評価します
5. フィードバックループのリスク：システムが自己強化的なバイアスを生み出すかどうかを評価します
6. 適用範囲の拡大リスク：システムが意図された目的を超えて適用される可能性を評価します
7. セキュリティリスク：敵対的な操作の手法（データポイズニング、モデル抽出）を評価します

ステップ4：第22条の遵守状況の評価

システムが、法的効果または同様に重大な影響をもたらす決定を完全に自動化して行う場合：

1. 第22条第1項の禁止事項の確認：原則的な禁止が適用されるかを確認します
2. 第22条第2項の例外：処理を認める例外を記録します：
   • （a）契約の締結または履行に必要である
   • （b）適切な保護措置を定めたEUまたは加盟国の法律により認められている
   • （c）明示的な同意に基づいている
3. 第22条第3項の保護措置：必須の保護措置が実施されていることを確認します：
   • 管理者による人間の介入を得る権利
   • データ主体の見解を表明する権利
   • 決定に異議を申し立てる権利
4. 第22条第4項の特別カテゴリー：第9条のデータを処理する場合、第9条第2項（a）に基づく明示的な同意、または第9条第2項（g）に基づく適切な保護措置を伴う重大な公共の利益を確認します

ステップ 5：透明性と説明可能性

透明性に関する義務を評価します。

1. 意思決定前の透明性：第13条（2）（f）／第14条（2）（g）では、関与するロジック、その重要性および想定される結果について、意味のある情報を提供することが求められます
2. ロジックの説明の詳細度：どの程度の説明を提供するかを文書化します。
   • システムの一般的な機能の説明
   • 意思決定に影響を与える主要な要因／特徴
   • 意思決定のしきい値とその根拠
   • 特定の意思決定に関する個人別の説明
3. 前文71の指針：前文71に従って説明を受ける権利（評価後に下された決定について説明を受ける権利）が実施されていることを確認します

ステップ 6：リスク軽減措置

特定されたリスクを軽減するための措置を実施します。

1. バイアス検査：保護対象の特性に基づく差別的影響について、定期的に検査します
2. 人による監督：人間のレビュアーが介入するタイミングと方法を定めます
3. 精度の監視：許容可能なしきい値を定めたうえで、継続的にパフォーマンスを監視します
4. 監査証跡：各意思決定について、入力、モデルのバージョン、出力をすべて記録します
5. データ主体の権利：個人が第22条（3）の権利を行使するための明確な手続きを整備します
6. 定期的な見直し：定期的な再評価のスケジュールを設定します（少なくとも年1回）

ステップ 7：関係者との協議

第35条（9）に従い、必要な関係者と協議します。

1. DPOの意見：第35条（2）に従ってDPOの評価を取得します
2. データ主体：適切な場合は、第35条（9）に従ってデータ主体またはその代理人の意見を求めます
3. 技術専門家：アルゴリズム開発者、データサイエンティスト、分野の専門家
4. 法務顧問：GDPR以外の適用法令（EU AI Act、分野固有の規制）について評価します

ステップ 8：文書化と結果

DPIAの結果を文書化します。

1. リスクマトリックス：軽減措置を講じた後の残存リスクの評価
2. DPOの推奨事項：処理を進められるかどうかに関するDPOの意見を文書化します
3. 事前協議：残存リスクが高いままの場合は、第36条に従って監督機関に協議する決定を文書化します
4. 見直しスケジュール：次回の必須見直し日と、早期見直しの契機となる事象

検証

• ADMシステムについて、意思決定の種類、自動化のレベル、データのカテゴリを含めて詳しく説明している
• 第22条（2）の例外を文書化し、第22条（3）の保護措置を実施している
• 第9条の保護対象の特性に基づき、差別のリスクを評価している
• 第13条（2）（f）／第14条（2）（g）に従って透明性に関する義務を果たしている
• 人による介入の仕組みが運用可能な状態にあり、テスト済みである
• 異議申し立ての手続きを文書化し、データ主体が利用できるようにしている
• DPOの意見を取得し、文書化している
• 明確な契機となる事象を定めた見直しスケジュールを設定している