implementing-gdpr-data-protection-controls

GDPR データ保護管理策の実装

概要

一般データ保護規則（EU）2016/679（GDPR）は、個人データの収集、処理、保管、移転を規律する、EU の包括的なデータ保護法です。このスキルでは、設計段階およびデフォルトでのデータ保護、データ保護影響評価（DPIA）、データ主体の権利管理、侵害通知手順、国境を越えるデータ移転の仕組みなど、GDPR で求められる技術的および組織的措置の実装について説明します。

使用する場合

• 環境で GDPR データ保護管理策の機能を導入または設定する場合
• コンプライアンス要件に沿ったセキュリティ管理策を確立する場合
• この分野のセキュリティアーキテクチャを構築または改善する場合
• この実装を必要とするセキュリティ評価を実施する場合

前提条件

• EU のデータ保護法とその域外適用範囲を理解していること
• 組織内の個人データ処理活動に関する知識
• データアーキテクチャ、データベース、アプリケーションシステムに精通していること
• 国境を越える移転を含むデータフローを理解していること

中核となる概念

技術的管理策に関する主要な GDPR 条項

条項	要件
Art. 5	原則：適法性、目的の制限、データの最小化、正確性、保存期間の制限、完全性および機密性、説明責任
Art. 6	処理の適法な根拠（同意、契約、法的義務、重大な利益、公的な任務、正当な利益）
Art. 25	設計段階およびデフォルトでのデータ保護
Art. 28	処理者の義務および契約上の要件
Art. 30	処理活動の記録（ROPA）
Art. 32	処理のセキュリティ（技術的および組織的措置）
Art. 33	監督機関への侵害通知（72 時間以内）
Art. 34	データ主体への侵害の通知
Art. 35	データ保護影響評価（DPIA）
Art. 37-39	データ保護責任者（DPO）の任命および役割
Art. 44-49	国境を越えるデータ移転（十分性認定、SCC、BCR）

第 32 条のセキュリティ対策

この規則は、組織に対して、リスクに見合った措置を実施するよう求めています。

• 個人データの仮名化および暗号化
• 処理システムの機密性、完全性、可用性、レジリエンス
• 適時に個人データの可用性とアクセスを復旧する能力
• 技術的および組織的措置の定期的なテストと評価

データ主体の権利（第 12～22 条）

権利	条項	説明
通知を受ける権利	13-14	処理に関する透明性のある情報
アクセス権	15	個人データのコピーを取得する
訂正権	16	不正確なデータを訂正する
消去権	17	「忘れられる権利」
処理を制限する権利	18	データの処理を制限する
データポータビリティの権利	20	機械可読形式でデータを受け取る
異議を唱える権利	21	処理（特にダイレクトマーケティング）に異議を唱える
自動化された意思決定	22	完全に自動化された意思決定のみの対象とならない

ワークフロー

フェーズ 1：データのマッピングと評価（第 1～6 週）

1. 包括的なデータインベントリを作成します。
   • 収集する個人データ
   • 誰から収集するか（データ主体）
   • 収集する理由（目的と適法な根拠）
   • 保存場所（システム、所在地、国）
   • アクセス権を持つ者（内部および外部）
   • 保存期間
   • データを保護するセキュリティ対策
2. 第 30 条に従って、処理活動の記録（ROPA）を文書化します。
3. 各処理活動の適法な根拠を特定します。
4. 国境を越えるデータ移転と移転の仕組みをマッピングします。
5. DPIA が必要な処理活動を特定します。

フェーズ 2：ギャップ分析とリスク評価（第 7～10 週）

1. GDPR 要件に照らして現状を評価する
2. 高リスクの処理活動について DPIA を実施する
3. 第 32 条の遵守におけるセキュリティ上のギャップを特定する
4. データ保持要件への準拠状況を評価する
5. データ主体の権利に関する請求への対応能力を評価する

フェーズ 3：技術的管理策の導入（第 11～24 週）

1. 暗号化：
   • 保存データ：データベース、ファイルシステム、バックアップに AES-256 を使用する
   • 転送中のデータ：すべての個人データの転送に TLS 1.2+ を使用する
   • 鍵管理：安全な鍵の保管とローテーションの手順を整備する
2. 仮名化：
   • 機密性の高い識別子にトークン化を導入する
   • 仮名化キーをデータストアから分離する
3. アクセス制御：
   • 個人データにロールベースのアクセス制御（RBAC）を導入する
   • 最小権限の原則を適用する
   • 個人データを処理するシステムに MFA を導入する
   • アクセス権を定期的にレビューする
4. データ最小化：
   • アプリケーション層でデータ収集の制限を実装する
   • プライバシー設定をデフォルトで適用する（デフォルトでのデータ保護）
   • データ保持期間の遵守を自動化する
5. 消去とデータポータビリティ：
   • すべてのシステムにわたるデータ削除ワークフローを構築する
   • 機械可読形式（JSON、CSV）でのデータエクスポートを実装する
   • バックアップとアーカイブにも削除を反映させる
6. 同意管理：
   • 詳細な同意取得の仕組みを導入する
   • 同意撤回機能を実装する
   • 同意の監査証跡とバージョン管理を整備する
7. 侵害検知：
   • 個人データへのアクセス監視に SIEM を導入する
   • データ損失防止（DLP）管理策を導入する
   • 異常なアクセスを検知する

フェーズ 4：組織的管理策（第 11～24 週）

1. 必要に応じてデータ保護責任者（DPO）を任命する
2. データ保護に関するポリシーと手順を策定する
3. 侵害通知手順（72 時間以内）を作成する
4. データ主体からの請求（DSR）への対応手順を確立する
5. データ処理契約（DPA）を用いたベンダー管理を導入する
6. 全従業員を対象にプライバシー意識向上トレーニングを実施する
7. 開発チーム向けに、設計段階からのデータ保護に関するガイダンスを作成する

フェーズ 5：文書化とコンプライアンスの証拠（第 25～30 週）

1. ROPA 文書を最終化する
2. すべての DPIA とその結果を文書化する
3. データ保護ポリシーを作成する
4. 技術的および組織的措置を文書化する
5. プライバシー通知と同意記録を整備する
6. 国際移転に関する文書（SCC、TIA）を作成する

フェーズ 6：継続的なコンプライアンス（継続）

1. 新たな処理活動について DPIA を定期的にレビューする
2. データマッピングを毎年更新する
3. セキュリティ対策を定期的にテストする（第 32 条の要件）
4. データ主体からの請求を追跡し、SLA を監視する
5. 侵害対応の準備状況をテストする
6. トレーニングの更新と意識向上キャンペーンを実施する

主な成果物

• 処理活動記録（ROPA）
• データ保護影響評価（DPIA）
• データ処理契約（DPA）
• プライバシー通知と同意記録
• 侵害対応手順と登録簿
• データ主体からの請求への対応手順
• 国際データ移転の仕組み（SCC、BCR）
• 技術的および組織的措置の文書

よくある落とし穴

• GDPR を技術的な実装を伴わない、法務やコンプライアンスだけの課題として扱う
• シャドー IT やレガシーシステムが漏れた不完全なデータマッピング
• 同意の監査証跡を維持できない
• 72 時間以内の侵害通知が可能かテストしない
• クラウドサービスに関する越境移転要件を無視する
• 正当な利益が適用される場合でも、適法性の根拠として同意に過度に依存する

参考資料

• GDPR 公式テキスト：https://gdpr-info.eu/
• 欧州データ保護会議（EDPB）のガイドライン
• ICO（英国）の GDPR ガイダンス：https://ico.org.uk/for-organisations/guide-to-data-protection/guide-to-the-general-data-protection-regulation-gdpr/
• CNIL（フランス）の GDPR コンプライアンスツールキット
• DPIA に関する第 29 条作業部会のガイドライン