テクニカ・ゼン株式会社では会員制データ・プライバシー情報サイトを開始しました。こちらの有用情報で記事を更新していますのでぜひ、ご訪問・ご登録ください。
ePrivacy Regulationはいつになったら定まるのですか?
プライバシーの専門家は一度ならずこんな質問を受けているはずです。当初は2018年5月25日にGDPRと同時施行といわれていたのが2018年中となり、2019年となり、2020年中ではないかというのが最近の見方のもっとも有力なものでした。
驚くことなかれ･･･
これが更に遅れる可能性がでてきました。
欧州連合理事会の議長国が出したドラフトにドイツが難色を示しているとの報告がされています。これによって三読会の開始が更に遅れることになりそうです。2020年後半から、悪くすると2021年までかかるかもしれません。
テクニカ・ゼン株式会社では会員制データ・プライバシー情報サイトを開始しました。こちらの有用情報で記事を更新していますのでぜひ、ご訪問・ご登録ください。
ICOの行っているRegulatory Sandboxについての意見公募が締め切られ寄せられた意見がまとめられました。
Regulatory Sandboxとは、ある一定水準の安全保護策を備えた企業に対して、イノベーティブな個人データの使用を許可するという考え方です。
私はかねてから非常に興味深いアプローチとして注目していたのですが、データ保護当局が実際に意見公募をしているのはおそらくICOが初めてではないかと思います。
データ保護は時にイノベーションに対立します。この対立を緩和するひとつの方策がRegulatory Sandboxです。AIやIoTの発展を助長するひとつの手段として積極的に取り入れてもらいたいものです。
ICOの検討はまだファースト・ステージの段階であり、technology strategy 2018-2021 の議論の中で更に醸成されていくこととなるでしょう。注目が必要です。
テクニカ・ゼン株式会社では会員制データ・プライバシー情報サイトを開始しました。こちらの有用情報で記事を更新していますので、ぜひ、ご訪問・ご登録ください。
カナダでの事故ですが、データ侵害について意外な経路が原因となった事例が昨日報告されました。
ある会社の従業員（女性）がジムで盗難の被害にあいました。盗難されたのは、女性の家の鍵と財布です。泥棒は財布の中にあった情報から女性の家を突き止め、鍵をつかって女性の家に侵入し、かばんを盗みます。
このかばんにはその会社の顧客情報と会社から貸与されていた機材が入っていました。盗難にあった情報には住宅ローンの更新に関する情報が含まれており、誤用されるとIDの盗難、詐欺、信用記録へのネガティブな記録を残す等重大な損害を生じる可能性があります。
重大な影響をもたらすような sensitive data の持ち運び方法については細心の注意が必要と考えさせられる事象です。
テクニカ・ゼン株式会社ではデータプライバシー会員制サイトを新たに開始しました。
こちらの記事も少しずつ会員制サイトに移していきます。会員制サイトではGDPRの最新動向もリアルタイムで随時アップしてまいりますので、登録の上ぜひご活用ください。
先日アメリカの FTC のCommissionerである Rohit Chopraのインタビューを聞きました。アメリカにおいてもデータ・プライバシーについて規制がうまれつつある様子が伝わってきます。デジタル・エコノミー化する中で、私たちが享受しているオンライン・サービスが本当は無料ではないことに注意をしなければなりません。私たちは知らないうちに大きな代償を払っているかもしれません。
話は少しそれますが、今、欧州を発端にプラスチック容器の規制が急速に広まりつつあります。日本の新聞でもプラスチックのストローが廃止されたという話題が取り上げられているのでご存知の方も多いでしょう。
プラスチック容器は軽く、安価に製造できるため急速に広まりましたが、今、その負の側面が無視できなくなり規制という局面に向かっていると整理できます。
規制が生まれるときは、多くの場合、負の側面が無視できなくなるときなのです。
データ・プライバシーについても同じような状況にあると理解するのが良いかもしれません。私たちにはこれからの社会をどうしていきたいのか、考え、行動する責任があります。
私たちはどのような社会に生きたいのか、どのような社会を後世に残したいのか決めることができる世代です。
テクニカ・ゼン株式会社ではデータプライバシー会員制サイトを新たに開始しました。
ブログはこの一月ほど更新ができていませんでしたが、会員制サイトの準備に時間をとられていたことが一つの理由です。申し訳ありません。
今後は会員制のサイトにより大切な情報を掲載していく予定ですので、データ・プライバシーに関わる方にはぜひご登録していただければと思います。
こちらのブログは私の個人的な考えや見解を発信する場所へとシフトしていくこととなります。
データ・プライバシーはデータ・セキュリティと混同されることが多いのですが、セキュリティは情報の問題でしかありません。
データ・セキュリティ対応をしておけばデータ・プライバシーが可能であるというのは残念ながら正しくありません。
データ・プライバシーは人の生活に密接に影響するものであり、社会に対するインパクトがまったく異なります。自然、アプローチも「情報を護る」という観点から「人を護る」という観点に変わります。目指すものが異なるので、優先順位も当然異なります。ロジックではなく、エシックスで判断を行う場面が生じます。
エシックスで判断を行うためには、社会としての正義が問われます。社会として何をよしとするのか、何を禁じるのかが問われるのです。
データ・プライバシーは、私たちがどういう社会に生きたいのか、という問いかけにつながります。そして、私たちは主体的に自分たちの生きたい社会を宣言しなければなりません。そうでなければご都合主義の政治家と旧態依然とした保守的権力機構によって一部の集団に恩恵がもたらされるような決定が行われることとなるでしょう。
今、世界中で行われている法改正の根底には、社会の変革に対する各国の回答という側面があります。GDPRとよく似た動きが見られますが、やはり国ごとで大きく姿勢が異なり興味深いものがあります。会員制サイトでは、そういったムーブメントに従った情報の提供を行います。
もちろん、実務の上で役に立つ情報も必要であり、プライバシー・マネジメントを実装するためのチェックリストや各種テンプレートの提供も行っていきます。
議論も重要ですが、それ以上に行動すること、実装することのほうが重要です。思考はあくまで行動の裏づけがあって真実味を持つからです。
かつて、ビジネスは利便性の追求の結果、環境対策の必要性を指摘されながらも合理性を追求し、環境問題を引き起こしています。
データについても同様で、ビジネスが既に動いてしまって、大量のデータ侵害が発生する状況になってようやく法整備が進み始めています。
環境問題が引き起こされた時代、私たちはどのような世界に済みたいかについての議論が十分にできていなかったのかもしれません。データについて同じことは繰り返してはなりません。データ・プライバシーについての情報を発信する中でどういうルールが私たちに必要なのかについての考察も忘れてはなりません。
日本ではコンプライアンスというのがまるで面倒な校則のように扱われています。
権威ある「誰か」が決めたことを、本当は何の役にも立たないと直感的に理解しながら規則のための規則をまもるために効率を落とし、みなで足を引っ張り合っている。
データ・プライバシーに限らずいたるところでそんなことが起きています。
実際私たちのところへくるコンサルティングの相談も「必要最低限で」という修飾語がついて依頼が来ることが普通です。
コンプライアンスというのは「無駄」なことをするためのものではありません。
必要なことを達成するために、運用可能なルール作りを行うことです。達成したい目的をもっとも合理的に達成し、無駄を省くことこそがコンプライアンス活動の目的です。
日本におけるコンプライアンスへの姿勢を変えていかなければならないときになっています。
その最初の一歩は「なぜ」やるのかを考えることです。
思考停止せず、「なぜ」そうするのかを常に問い続けなければなりません。
快適なことではないでしょう。しかし、複雑な時代に生きるものの義務として、私たちはその責任を果たさなければなりません。
情報セキュリティ：組織的手法について、外注業者の活用について、執行命令の事例
準拠法：Act 78-17 of 6 January 1978 on Data Processing, Data Files and Individual Liberties (includes amendments for GDPR) – France
CNILがAlliance Francaise Paris Ile-de France（アリアンス・フランセーズ財団 パリ・イル＝ド＝フランス校）に30,000ユーロ（約400万円）の制裁金を課しました。
ウェブサイト上の学生に対して権限のない者がアクセスできる状態となっており、適切なセキュリティ対策を採っていなかったためです。
（表示されていたURLのIDを変更することで学生の個人データをダウンロード可能となっていた）
ウェブ制作会社が勤勉に対処したことを評価したものの、アクセス可能となったドキュメント数が413,144件に昇ったことから今回の制裁金金額を決定しました。
LinkedinというサービスでFacebookのCPOと繋がりました。
まぁつながるということは特に大したことでもないのかもしれませんが、IAPPのつながりがあった故にネットワークが構築できたという点は、やはりIAPPという組織の力を感じずにはいられません。
これからPrivacyの分野を深めたい方はぜひIAPPに加入されることをお勧めします。
日本ではPrivacyというのはまだまだ「めんどうなもの」という程度の認識でしかありません。しかし、アメリカや欧州、シンガポールやフィリピンでは非常に真剣に議論されている印象があります。少なくとも、私が参加したIAPPの国際会議ではそうでした。
「コンプライアンス」とは何か、日本の企業はもっと真剣に考えたほうがよいでしょう。
私が経営について教えていただいている小宮一慶さんはいつも次のようにいっています。
「法律とは守って当然のもので、法律を守らないというのはありえない話だ。たとえば車を運転していて反対車線を逆走していないからといって誰も褒めはしない。それは、守って当然のもので、守らなければいろいろな問題が生じるからだ。ピーター・ドラッカーが言うように、会社とは社会に存在を許されているものでしかない。法律を守らないような会社は、当然退場すべきだ。」
ルールを「面倒」と思っていると「形だけ従っていたらよい」となります。当社にも、「何をしたら安全ですか？」という問い合わせが数多く寄せられますが、そのような質問をする会社はそもそもなぜ会社が存在しているのかについてのスタンスがずれているのかもしれません。
Privacyはお客様の大切なデータを大切に扱うという約束です。
透明性と説明責任を果たすことは当然必要ですし、傷をつけないように注意するのも当然のことでしょう。そういった当たり前のレベルは、そのまま会社としての「品性」のレベルになるのではないでしょうか。
人の「権利」や「自由」を守るというのは「青臭い」ことではなく、私たちの社会がよいものであるための最低限のマナーだということを忘れないでほしいと思います。
このブログを書いているテクニカ・ゼンの代表の寺川が、このたびCIPMの資格を取得しました。
CIPMとは、世界最大のPrivacy Professionalの協会であるIAPPが主催する能力認証制度です。
以前から保有していたCIPP/Eという資格は欧州の個人データ法について信頼できる知識を保有していることを証明する資格です。
今回新規に取得したCIPMという資格はPrivacy Management Programを実装し、運用するのに必要な知識を保有していることを証明する資格です。
GDPRでいうDPOは、CIPP/EとCIPMを保有していることが望ましいとされています。
当社としても、ようやくDPOとして活動を開始する準備が整ったといえますので、DPOの受託サービスを開始します。
ご関心のある方はこちらにご連絡ください。
こういった認証は取ればよいというものでもありませんが、認証を持っていることで、我流ではなく確かな実績と経験に基づいた知識体系に基づいてトレーニングを受けていることを証明できます。
また、認証の維持には継続的なトレーニングが要求されるため、認証保有者は継続的に新たな知識を身に着けていることも保証されます。
GDPRに関するサービスや弁護士によるサービスが増えてきた中、こういった認証を取得しているかも一つの目安となります。
今日から新たにPrivacy Managementという概念について説明をしていきます。
Privacy Management とは、社内におけるData Privacyを管理する手法のことです。
Digital Ageに入った現代では、今後重要性が増す考え方です。
概念としてはISO 9001やISO 14001を思い浮かべていただければよいかと思います。
マネジメントシステムの必要性は評価がむつかしいものの一つです。
社内の合意が得られない場合、ビジネス・ケースを提示する必要があります。
ビジネス・ケースを組み立てるために、まずはデータ侵害のコストについてから話を始めていきましょう。
データ侵害時に発生するコストにはどのようなものがあるかご存知でしょうか？
GDPRでは巨額の制裁金ばかりが注目されていましたが、「見えないコスト」にも注意が必要です。
１．危機管理コスト(PRコスト)
一貫性があり、適切なタイミングで、ユーザに対して親切な情報提供を行ためには専門家の協力が必要となります。
２．調査コスト
データ侵害の確認、封じ込め策の実施、原因の解消といった作業を専門家が行う時間と費用が生じます。また、影響を受けたデータの数、範囲、種類について特定するのにかかる費用も生じます。
３．被害者への通知コスト
影響を受けた被害者への手紙、e-mail、ウェブサイト、その他影響を受けた被害者にコンタクトするために必要な手段を準備し準備したものを届けるために必要な費用が生じます。
４．コールセンターのコスト
データ侵害が発生するとコールセンターの設置をする必要があります。専用電話や専用e-mailアドレスの設置に関する費用も生じます。
５．外部弁護士のコスト
弁護士への相談費用やデータ侵害後の義務にかかる費用も生じます。訴訟への対応費用も生じます。
６．装置の更新、セキュリティ対策コスト
データ侵害が発生すると、装置やソフト、システムの更新を行うこととなる場合があります。
７．売り上げの減少コスト、株価の減少コスト
データ侵害は株価の低下、顧客離れ等を引き起こす可能性があります。
８．保険コスト
保険の費用はデータ侵害後上がります。
９．被害者救済対策コスト
被害者に対する救済措置に要する費用が生じます。（クレジットカードの監視、詐欺行為の解決、ID盗難保険の提供）
10．制裁金コスト
制裁金、対応遅れ、対応ミスに対する罰金コストが生じます
11．従業員トレーニングコスト
トレーニング内容を改良し、従業員を再トレーニングするためのコストが生じます
12．カード更新コスト
クレジット・カード番号が漏洩した場合はカード番号の変更費用が生じます。
13．被害者の損害補償コスト
データ侵害の被害者が被った損害を補償するための費用が生じます。
14. 機会費用
データ侵害は組織の生産性を低下させます。また、一部の従業員はデータ侵害によって生じた業務によって拘束されることとなります。
匿名での報告ではない場合、以下の個人データのみを取得可能。
内部通報者のデータは内部調査後２か月以内に削除しなければなりません。
懲罰目的または犯罪行為に関しては２か月以上保管可能です。