データガバナンスがGDPR準拠にどのように役立つか
従業員数が250人未満の企業であっても、GDPR（一般データ保護規則）を遵守し、適切な対策を講じる必要があります。
その 一般データ保護規制（GDPR）その名称が示唆する以上に、これは単にデータを保護するだけのものではありません。アナログ世界とデジタル世界の両方において、欧州市民の個人のプライバシーを保護することを目的としています。
データ保護指令95/46/ECに基づくGDPRの改正があり、2018年5月25日以降に発効します。これらの改正は、既に国内規制を遵守している企業にとっては大きな影響はありません。改正GDPRによって最も大きな影響を受けるのは、現在規制を遵守していない企業です。これらの企業にとって、これはまさにゲームチェンジャーです。彼らは、現在では少額、あるいは罰金が科せられる程度であるのに対し、数百万ユーロもの罰金という現実に直面することになります。実際、既にGDPRの制裁を受けた企業も存在します。英国に拠点を置くSigue Global Service Ltd.は最近、イタリアのデータ保護当局から1,100万ユーロの罰金を科されました。これは、組織が規制を理解し、行動を起こすことの緊急性を浮き彫りにしています。
GDPRのもう一つの重要な変更点は、本社所在地に関わらず、EU域内で製品やサービスを提供するすべての企業にこの規制が適用されるようになったことです。つまり、ヨーロッパからアクセス可能なウェブサイトを持ち、複数の（ヨーロッパの）言語でサービス内容を説明し、国別のサブページを提供したり、価格をヨーロッパの通貨で表示したりしている企業は、「サービスを提供している」とみなされます。GDPRはこうしたすべての組織に適用されるため、実際にはほとんどの国際企業に影響を及ぼします。
この規制は、従業員250人未満の小規模企業と「通常」企業を区別しています。小規模企業の場合、専任のデータプライバシー責任者の任命義務など、GDPRのすべての要件が適用されるわけではありませんが、データ侵害が発生した場合や苦情が申し立てられた場合は、大規模企業と同様の罰金が科せられます。したがって、従業員数が250人未満の企業であっても、GDPRに準拠し、適切な対策を講じる必要があります。
データガバナンス データガバナンスとは、企業内におけるデータの作成、維持、使用、配布、削除を制御するシステムです。データガバナンスには、 のワークプ, プロセス, 政策 (NAIST) と テクノロジーそのため、構造化されたデータの作成、使用、削除のためのビジネスプロセスを拡張または確立します。
これは、データガバナンスシステムの機能によって、GDPRの要件のほとんどを満たすことができることを意味します。
- 個人データ処理の原則（第5項）： データ経済性、データ回避、データ品質、およびプロセスの透明性
- 説明責任（第5条第2項）
- アクセス権（第15条）
- データポータビリティ（第20条）
- プロセッサー契約による処理（第28条）
- 処理活動の記録（第30条）
- データ保護影響評価（第35条）
- 事前協議（第36条）
データ保護責任者とデータスチュワードの役割と責任はほぼ同じです。両者とも、ポリシーを設定することで業務プロセスのパラメーターを確立し、ビジネス部門と共同でデータの収集方法と利用方法を定義する必要があります。これらのポリシーやそこから導き出されたルールを徹底し、ITシステムに保存されているデータを継続的に監視するには、テクノロジーが不可欠です。
要約すると、データガバナンスは、これまで経営幹部レベルではあまり注目されてきませんでしたが、重大な出来事が起こらない限り、その重要性は高まりませんでした。しかし、GDPRの施行と変更管理プロジェクトの必要性により、企業は個人情報（PI）データの取り扱い方法を見直す必要に迫られるでしょう。法的範囲と影響により、データの認知度と重要性は大幅に向上し、これはデータガバナンスの取り組みと、その価値を理解するためのパイロットプロジェクトを実施する絶好の機会となります。
このシリーズの次回のGDPRブログ記事では、新しいGDPR要件の詳細に焦点を当てます。
