欧州の一般データ保護規則（GDPR）をめぐる騒動が本格化し、サプライヤーは「当社の製品を買わないと年間売上高の最大4%の罰金を科せられる」と警告しています。まだ対策を講じていないのであれば、本当にそんなに悪いことなのでしょうか？そして、どうすれば良いのでしょうか？
EU 加盟国で、または EU 加盟国と取引し、顧客やその他の人々から個人データを記録する場合、2018 年 5 月 25 日に発効する GDPR の影響を受け、コストが増加する可能性があります。
GDPRとは何でしょうか？GDPRは、個人が自らの個人データを管理できるよう回復し、例えば忘れられる権利を与えることを目的としています。個人情報には、氏名、自宅住所、写真、メールアドレス、銀行口座情報、ソーシャルネットワーキングサイトの投稿、医療情報、さらにはコンピューターのIPアドレスなどが含まれます。
企業はGDPRに準拠する必要がありますが、ここはEUですから、そう単純ではありません。GDPR準拠のための単一のテストは存在しないのです。A3 GDPRセッションで、Fieldfisherでプライバシー、セキュリティ、情報を担当するパートナーである弁護士Renzo Marchini氏は、この規制は規範的なものではないと述べました。「準拠している、あるいは準拠していない」という明確な基準はなく、曖昧です。準拠しているかどうかを検証することはできません。しかし、社内のプロセスと手順がGDPRに準拠していることを確認するのは、企業自身の責任です。
GDPRの問題だけを解決したいと思って、SKUを注文したり、誰かと契約してすべてを実現させたいとしましょう。しかし、残念ながらうまくいきません。完璧なGDPRコンプライアンスキットを販売している人は、インチキ商法を吹いているようなものです。そんな人は存在しません。Wasabi Technologiesの英国およびアイルランドチャネルセールスディレクター、Ricky Patel氏は、統一されたGDPRキットは存在しないと述べています。ベンダーごとにルールの実装方法が異なり、組織ごとに状況が異なるため、万能のソリューションは存在しません。
チクタク、マザーフ...えーと、GDPRでパニックにならないで
続きを読む
信頼できるサプライヤーは、GDPRコンプライアンスへの正しい道筋を示し、罰金を回避するための正しい道筋を示してくれる製品を販売しています。Micro Focusの情報管理担当グローバルヘッドであるジョー・ガーバー氏は、同社にはそのようなパッケージ済みのGDPRスターターキットが8つあると述べています。同様に、MimecastはGDPRメール機能を備えた機器を提供しており、Quantumもデータ保護製品を提供しています。
ガーバー氏は、規制の緩い業界の組織がGDPRに全面的に引き込まれていると述べた。これは、GDPRによってデータ保護・ガバナンスのサプライヤーにとって、対象となる市場が拡大することを意味するのだろうか？「新たなユースケース、そして調査や電子情報開示ももたらされるでしょう」とガーバー氏は答えた。
これは、電子情報開示（eDiscovery）およびリーガルホールドストレージシステムの販売業者にとって大きなメリットです。eDiscovery、つまりデータディスカバリーが重要なのは、企業が保有するすべての個人情報の正確なインベントリを把握し、新しい規制下でそれらの情報が不適切に取り扱われないようにする必要があるためです。
その反面、GDPR の対象となる組織のコストは増加します。
仮に、これは大したことではない、必要な変更は簡単に実施できるだろうと心の中で思っていたとしたらどうだろう？ SNIA Europeの取締役兼財務担当で、元日立データシステムズのCTOであるボブ・プラムリッジ氏は、「大多数はそうだろうが、20%程度は罰金が科されるだろう」と推定している。
国の監視機関が誰かを懲罰対象とするような決定を下さない限り、罰金は比較的少額になるかもしれません。最終的には、罰則は相応の額になるでしょう。英国のデータ監視機関であるICOは、巨額の罰金を科すことを否定しています。
JawboneのようなGDPRコンサルティングサービスも購入できます。その質の高さは私たちには想像もつきません。
ただし、その前に、自国のデータ保護規制当局が準備状況確認サービスを実施しているかどうかを確認してください。英国では、ICOが提供しているセルフサービス型のチェックリスト（例えば、こちら）があります。
やるべきことがまだたくさんあることに気づいたら、期限まであと6ヶ月しかないことを念頭に置き、上級管理職を任命して準備を進めてもらうのが良いでしょう。Quocirca、Freeform Dynamics、451 Groupといったコンサルティング会社が、そのような幸運な方をサポートしてくれるかもしれません。GDPRに精通した法律専門家に依頼するのも良いでしょう。
ここでの基本的なメッセージは、自己チェックテストを実施し、行動を起こす必要がある場合は、最寄りのGDPR寺院の僧侶をなだめるために、人材と時間、そして資金を割り当てる準備をすることです。なぜなら、逃げ道はないからです。GDPRは、いずれにせよ、あなたが支払わなければならない税金なのです。®
編集者注:この記事は公開後に更新され、GDPR は EU 市民だけを対象としているわけではないことを明確にし、使用されている言葉を整理しました。
