Q.データ・マッピングとは具体的に何をするのですか?

テクニカ・ゼン株式会社では会員制データ・プライバシー情報サイトを開始しました。少しずつ登録していただける方が増えており大変うれしく思っています。こちらの有用情報で記事を更新していますので、ぜひ、ご訪問・ご登録ください。無料会員でも読める記事も少しずつ増やしています。

質問への簡単な回答です:

続きを読む Q.データ・マッピングとは具体的に何をするのですか?

Q. パーソナル・データとはどんなものですか?

A. パーソナル・データとは「識別された、または識別され得る自然人に関するあらゆる情報」と定義されています。
英語では以下の通りです。
Article 4 (1)
“any information relating to an identified or identifiable natural person (‘data subject’)”
自然人とは法人と区別するための「個人」のことです。data subjectは「データ主体」と訳され、そのパーソナル・データの出所となる「個人」のことです。
氏名、ID番号(マイ・ナンバー、免許番号等)、住所、位置情報、メールアドレス、IPアドレス、クッキー、遺伝的情報、民族的情報、等あらゆるものが該当します。

Q. GDPRが適用される要件は具体的にどのようなものですか?

A: GDPRでは、「地理的」な適用範囲と「物質的」な適用範囲というふたつの観点から適用範囲を定めています。
地理的な適用範囲としては、以下のものがあります。
1.パーソナル・データの取扱いがEUに拠点を持つコントローラー(管理者)またはプロセッサー(取扱者)によって行われる場合
2.EU 在住のデータ主体に対する商品またはサービスの提供に関する取扱い、およびEU 域内で行われるデータ主体の行動の監視に関する取扱い(コントローラー(管理者)やプロセッサー(取扱者)の拠点がEU内にあるかどうかを問わない)
3.加盟国の国内法が適用される場所にある、EUに拠点を持たないコントローラー(管理者)によるパーソナル・データの取扱い

物質的な適用範囲としては、以下のものがあります。
1.パーソナル・データを処理する際、一部または全部完全に自動処理する場合はGDPRの適用範囲となる。(自動処理と「自動的な意思決定」は異なります)
 
自動処理されない場合であってもファイリング・システムの一部を形成するようなパーソナル・データは適用範囲となります
(GDPRの適用範囲は Article 2とArticle 3に定められています。)
短期出張や短期旅行で EEA 域内に所在する日本人の個人データや、日本企業から EEA域内に出向した従業員の情報(元は日本から EEA域内に移転した情報)を取扱う場合は、GDPRの適用範囲となるため、注意が必要です。

Q: GDPRとは何ですか?

A: GDPRとはGeneral Data Protection Regulationの略です。日本語では一般データ保護規則と訳されます。EEA(欧州経済領域)参加国内におけるpersonal data(パーソナル・データ)を保護するための法律です。個人情報保護法に分類されます。欧州の法規ですが、EEAからEEA外へのpersonal data(パーソナル・データ)移転を原則禁止し、違反者に対しては最大2千万ユーロ(約28億円)または違反者の全世界での売上高の4%に相当する金額いずれか高い方の罰則が科せられるという項目があるため、現在世界中の企業が急ピッチで準備を進めています。

ICO (英国個人情報保護監督機関:Information Commissioner Office)のブログ

GDPRについてもっともわかりやすく情報を発信してくれている機関の一つがイギリスのICOです。
ICOのウェブサイトではGDPRの肝心なポイントが非常にわかりやすく解説されています。対応を迫られている方は一読をお勧めします。

ICOのページで読むべき場所はどこでしょうか?
詳しくは、下の記事をご覧ください

イギリスの監督機関(ICO)の必読ページを教えてください

(この記事はテクニカ・ゼン株式会社の会員制データサイトプライバシー情報サイトに移行しました。会員の方にはGDPR関連情報やテンプレートをご提供しておりますのでぜひご登録ください。)

JETROがGDPRの実務ハンドブックを公開

JETROが8月18日にGDPR対応のためのハンドブック(実践編)を発行した。
内容はQ&Aとなっているため、より実務的な疑問に対して回答がされているといってよいだろう。

「十分性認定」への言及もあり、GDPR対応は「十分性認定」を取得後も解決しないと明言されていることに注意が必要だ。
DPOを設置する場合、日本企業はまずは国内にDPOを設置する必要がある旨も記載がある。(ドイツに支社があり10名以上の職員を抱えている場合は必須)