implementing-data-minimization-architecture

データ最小化アーキテクチャの実装

概要

データ最小化は、GDPR 第 5 条第 1 項（c）に基づく中核原則であり、個人データが「処理目的との関係において、十分で、関連性があり、必要な範囲に限定されている」ことを求めています。第 25 条第 1 項では、管理者に対し、仮名化など、データ保護の原則を効果的に実施し、処理に必要な保護措置を組み込むために設計された、適切な技術的・組織的措置の実施を義務付けています。

欧州データ保護会議（EDPB）の「第 25 条 データ保護・バイ・デザインおよびデフォルトに関するガイドライン 4/2019」では、データ最小化は次の 4 つの側面に適用されると明確にしています。収集するデータの量、処理の範囲、保存期間、データへのアクセス可能性です。ENISA の 2019 年の仮名化技術に関するレポートは、これらの要件を大規模に実装するための技術的基盤を提供しています。

データ最小化アーキテクチャのレイヤー

レイヤー 1：収集の最小化

データがバックエンドシステムに入る前に、取り込み時点でデータを削減します。

手法：

手法	説明	GDPR の根拠	実装の複雑さ
スキーマの適用	宣言された目的に明示的に必要とされていないフィールドを拒否します	第 5 条第 1 項（c）、第 25 条第 1 項	低
クライアント側フィルタリング	送信前にクライアント SDK で不要なフィールドを除去します	第 5 条第 1 項（c）	中
段階的な収集	特定の機能が有効になった場合にのみ、追加のフィールドを要求します	第 5 条第 1 項（c）、前文 39	中
目的に応じたフォーム	選択されたサービスプランに関連するフォームフィールドのみを表示します	第 5 条第 1 項（b）、第 25 条第 2 項	低

Prism Data Systems AG の実装： Prism Data Systems AG は、エンドポイントごとの厳格な許可リストを適用する API ゲートウェイ検証レイヤーを導入しています。顧客オンボーディング用エンドポイント /api/v2/customers が受け付けるのは、email、display_name、country_code、consent_references[] のみです。date_of_birth、phone_number、billing_address などのフィールドは、顧客が請求モジュールを有効にした場合にのみ収集され、目的の有効化に応じた段階的な収集を実現しています。

レイヤー 2：処理の最小化

計算処理中のデータの識別可能性を低減します。

仮名化（第 4 条第 5 項）

第 4 条第 5 項では、仮名化を「追加情報を使用しない限り、個人データが特定のデータ主体に帰属できないような方法で個人データを処理すること。ただし、その追加情報は別途保管され、技術的および組織的措置の対象となること」と定義しています。

ENISA の仮名化技術（2019 年レポート）：

手法	可逆性	衝突リスク	適した用途
カウンターベースのマッピング	ルックアップテーブルで可逆	なし	顧客 ID、取引参照
秘密鍵を使用した HMAC-SHA256	鍵で可逆	ごくわずか（256 ビット）	再識別が必要なシステム間の連携
書式保持暗号化（FF1/FF3-1）	鍵で可逆	なし	書式制約を維持する構造化データ（クレジットカード番号、SSN）
ボールトを使用したトークン化	ボールトへのアクセスで可逆	なし	決済カードデータ（PCI DSS への準拠）
ソルトをローテーションする鍵付きハッシュ	ローテーション後は計算上不可逆	低	長期的な追跡が不要なセッション単位の分析

Prism Data Systems AG の実装： Prism Data Systems AG は、すべての分析パイプラインで HMAC-SHA256 による仮名化を使用しています。顧客識別子は、トランザクションデータベースと分析データウェアハウスの境界で仮名化されます。ENISA が推奨する管理策に従い、HMAC 鍵はセキュリティ運用チームが管理するハードウェアセキュリティモジュール（HSM）に保存され、分析インフラストラクチャから物理的および論理的に分離されています。

匿名化（前文第26項）

前文第26項では、データ保護の原則は匿名情報には適用されないと定めています。匿名情報とは、「特定または識別可能な自然人に関係しない情報、またはデータ主体が特定されない、もしくは特定できなくなるような方法で匿名化された個人データ」です。匿名化技術に関する第29条作業部会の意見書05/2014（WP216）では、次の3つのリスク基準が定められています。

1. 特定 — 個人を識別するレコードを分離できる能力
2. 連結可能性 — 同一人物に関する2つのレコードを連結できる能力
3. 推論 — 他の属性から属性の値を推定できる能力

匿名化技術：

技術	特定	連結可能性	推論	データの有用性
k-匿名性（k=5）	軽減	一部軽減	軽減されない	高
l-多様性（l=3）	軽減	軽減	一部軽減	中～高
t-近接性（t=0.15）	軽減	軽減	軽減	中
差分プライバシー（epsilon=1.0）	軽減	軽減	軽減	設定可能
データ集約（最小グループ数=11）	軽減	軽減	一部軽減	低～中

レイヤー3：保存データの最小化

保存時に識別可能なデータが残る量を制限します。

フィールドレベル暗号化アーキテクチャ：

                    ┌────────────────────────┐
                    │   Application Layer    │
                    │  (plaintext in memory) │
                    └──────────┬─────────────┘
                               │
                    ┌──────────▼─────────────┐
                    │  Encryption Service    │
                    │  AES-256-GCM per field │
                    │  Key: KMS / HSM        │
                    └──────────┬─────────────┘
                               │
          ┌────────────────────┼────────────────────┐
          │                    │                    │
 ┌────────▼───────┐  ┌────────▼───────┐  ┌────────▼───────┐
 │  email (enc)   │  │  name (enc)    │  │  country (clr) │
 │  DEK-email-v3  │  │  DEK-name-v3   │  │  (not PII)     │
 └────────────────┘  └────────────────┘  └────────────────┘

個人を特定できる各フィールドは、AWS KMSまたはAzure Key Vaultのキー暗号化キー（KEK）でラップされた専用のデータ暗号化キー（DEK）を使用して暗号化されます。これにより、選択的な復号が可能になります。たとえば、countryに対する分析クエリでemailやnameを復号する必要はありません。

Prism Data Systems AGの実装： Prism Data Systems AGでは、データベースのすべての列を、次の4つの機密性レベルに分類しています。

レベル	分類	暗号化	アクセス制御	フィールドの例
T1	直接識別子	AES-256-GCM、フィールドレベル	業務上の正当な理由がある特定の個人	email、full_name、national_id
T2	準識別子	AES-256-GCM、フィールドレベル	役割ベース、ログ記録あり	date_of_birth、postal_code、job_title
T3	機微属性	AES-256-GCM、フィールドレベル	目的を限定、二者承認	health_data、financial_score
T4	個人を特定しない情報	通信時の暗号化（TLS 1.3）	標準的なRBAC	country_code、language_preference

レイヤー4：アクセスの最小化

識別可能なデータにアクセスできる利用者とシステムを制限します。

データマスキングのパターン：

パターン	説明	ユースケース
静的マスキング	非本番データベース内のPIIを不可逆的に置き換える	開発環境およびQA環境
動的マスキング	リクエスト元の役割に基づき、クエリ実行時にマスキングルールを適用する	カスタマーサポートのダッシュボード
オンザフライマスキング	マイクロサービス間の転送中にデータをマスキングする	完全なPIIが不要なサービス間API呼び出し
トークン化ビュー	生の値の代わりにトークンを返すデータベースビュー	レポートレイヤー、サードパーティとの連携

Prism Data Systems AGの実装： Prism Data Systems AGのカスタマーサポート担当者には、デフォルトで動的にマスキングされたデータが表示されます。メールアドレスはm***[email protected]、電話番号は***-***-4892のように表示されます。マスキングを解除したアクセスをリクエストできるのは、エスカレーション対応レベルの担当者のみです。リクエストにはチケット参照番号が必要で、監査証跡に記録され、30分後に自動的に期限切れになります。

データ最小化評価マトリックス

新しい処理活動やシステム設計を承認する前に、このマトリックスを使用して、各データ項目が最小化要件を満たしているか評価してください。

評価基準	質問	スコア
必要性	明示された目的を達成するために、この項目は必要ですか？	0 = いいえ、1 = 一部、2 = はい
比例性	より個人を特定しにくい代替手段で同じ結果を達成できますか？	0 = はい（代替手段を使用）、1 = 一部、2 = 代替手段なし
集約の可能性	必要な有用性を損なわずに、この項目を集約または一般化できますか？	0 = 完全に集約可能、1 = 一部集約可能、2 = 詳細な状態を維持する必要あり
仮名化の実現可能性	この処理目的において、この項目を仮名化できますか？	0 = 容易に仮名化可能、1 = 労力をかければ可能、2 = 実現不可能
保持期間の範囲	直近の取引を超えて、この項目が必要ですか？	0 = いいえ（使用後に削除）、1 = 短期保持、2 = 長期保持が必要
アクセス範囲	生の値にアクセスする必要がある役割はいくつありますか？	0 = なし（マスキング／暗号化）、1 = 限られた役割、2 = 広範なアクセスが必要

スコアの解釈：

• 0-4：削除、集約、または仮名化の有力な候補です
• 5-8：マスキング、項目レベルの暗号化、およびアクセス制御を適用してください
• 9-12：技術的な保護措置と文書化をすべて行ったうえで、保持が正当化されます

Prism Data Systems AG の実装： 新しいマイクロサービスをデプロイする前に、Prism Data Systems AG のデータアーキテクチャ審査委員会は、すべての個人データ項目について最小化評価を完了するよう求めています。スコアが5未満の項目は、サービスが CI/CD パイプラインのプライバシーゲートを通過する前に、削除または仮名化する必要があります。

主な規制上の参考資料

• GDPR 第4条(5) — 仮名化の定義
• GDPR 第5条(1)(c) — データ最小化の原則
• GDPR 第25条(1) — 設計によるデータ保護
• GDPR 第25条(2) — デフォルトによるデータ保護
• GDPR 第32条(1)(a) — セキュリティ対策としての仮名化と暗号化
• GDPR 前文26 — 匿名情報の範囲
• GDPR 前文78 — 適切な技術的および組織的措置
• 第25条「設計およびデフォルトによるデータ保護」に関する EDPB ガイドライン 4/2019
• ENISA レポート：仮名化の手法とベストプラクティス（2019年11月）
• 匿名化技術に関する第29条作業部会意見書 05/2014（WP216）