GDPR対応のためのDPIA実施法とセキュリティ診断の活用

顧客管理や会員サービス、採用受付、健康情報を使う新しい仕組みを始めるときは、問題が起きてから対応を考えるのでは遅い場合があります。

個人データを何のために使い、本人にどのような影響があり、会社として始めてよいかを事前に確認することが大切です。

DPIAは、新しい個人情報の利用を始める前に問題がないか会社として確認し、その判断を記録する作業です。

この記事では、DPIAで確認する内容と、個人データをWeb経由で扱う場合にセキュリティ診断を活用する方法をご紹介します。

セキュリティー診断さん

GDPRとかDPIAとか…横文字ばっかりで頭が痛くなってきたよ…。 セキュリティ対策はしっかりしたいけど、僕にも理解できるかなあ？

DPIAとは何を確認するものなのか

DPIAは、個人データの新しい使い方について、本人の権利や自由に大きな影響が生じないかを開始前に評価するものです。

単に危険を並べるのではなく、次の点を会社として整理します。

• 何のために個人データを使うのか
• 本人にどのような不利益が起こり得るのか
• その危険をどのように減らすのか
• 誰が内容を確認し、開始を承認したのか

確認した内容と承認結果を残すことで、なぜその利用方法を選び、どの対策が必要だと判断したのかを後から説明できます。

まずDPIAが必要かを判断する

すべての個人データ利用で、必ずDPIAが必要になるわけではありません。

GDPRでは、個人データの処理によって本人の権利や自由に高いリスクが生じる可能性がある場合に、処理を始める前のDPIAが求められます。

DPIAが必要になりやすい処理の例は、次のとおりです。

• 自動処理によって、契約や採用など本人に重要な影響を与える判断を行う
• 健康情報などの要配慮データを大規模に処理する
• 駅や商業施設など、一般の人が利用する場所を大規模に監視する

該当する可能性がある場合は、処理の目的、対象者、データの種類、規模、利用する技術を整理します。

自社だけで要否を判断しにくいときは、個人情報保護やGDPRに詳しい専門家を交えて確認しましょう。

DPIAが必要な場合に整理すること

DPIAが必要な場合は、細かな手順を増やすより、経営判断に必要な内容を次の4項目にまとめると確認しやすくなります。

利用目的とデータの流れ

最初に、何のために個人データを使うのかを明確にします。

そのうえで、対象者、収集するデータ、取得元、保存先、共有先、保存期間を整理します。

目的の達成に本当に必要なデータか、収集範囲や保存期間を減らせないかも確認してください。

委託先や外部サービスへ渡す場合は、どこまでデータが流れるかを把握する必要があります。

本人への影響

漏洩や不正利用だけでなく、誤った判断、差別、過度な監視など、本人に起こり得る不利益を整理します。

誰がデータへアクセスできるか、本人へ利用目的を説明できるか、異議や問い合わせを受けたときに対応できるかも確認します。

影響の大きさと起こりやすさを見ながら、優先して対策する危険を決めます。

予定する対策

見つけた危険に対し、アクセスできる人を制限する、必要なデータだけを扱う、保存期間を短くする、通信や保存データを保護するなどの対策を決めます。

技術対策だけでなく、本人への説明、委託先の管理、問題発生時の連絡体制も含めます。

対象システム、対応責任者、確認時期を決めておくと、対策を実行できる状態か判断しやすくなります。

対策後に残る危険と承認結果

対策を行っても残る危険を確認し、その状態で個人データの利用を始めてよいかを承認者が判断します。

利用目的、本人への影響、対策、残る危険、関係者の意見、承認結果を一つの記録として残してください。

扱うデータ、システム、委託先などを大きく変更した場合は、以前の判断が現在も妥当かを見直します。

評価した危険を技術対策へ落とし込む際は、GDPR対応で個人情報保護を強化するセキュリティ診断も参考にしてください。

DPIAとWebサイト診断は同じものではない

DPIAは、個人データを扱う業務全体を確認する作業です。

利用目的、本人への説明、法的な判断、社内運用、委託先管理、技術対策などを含めて評価します。

一方、Webサイトの脆弱性診断は、外部へ公開されたWebサイト、Webアプリ、ECサイト、APIなどに、攻撃者が悪用できる技術的な弱点がないかを確認するものです。

Web診断をDPIAの技術面の確認に活用すると、公開システムの状態を客観的な結果に基づいて検討できます。

社内PCや社内ネットワーク、社内規程の整備、GDPR上の法的判断は、それぞれの担当者や専門家へ確認します。

診断が役立つのは個人データをWeb経由で扱う場合

次のような公開機能で個人データを扱う場合は、外部から侵入される弱点がないかという技術面も事前に確認したい項目です。

• 会員登録やログイン機能
• 問い合わせフォームや採用応募フォーム
• 氏名、住所、購入履歴などを扱うECサイト
• 顧客が利用するWebアプリ
• 個人データを送受信する外部公開API

画面が正常に動いていても、外部から悪用できる弱点の有無を経営者が見た目だけで判断することは困難です。

『セキュリティー診断さん』を活用すれば、診断対象として指定した公開システムについて、技術的な弱点を確認できます。

診断結果をDPIAの技術面の判断・記録に使う

診断レポートは、DPIAで検討する技術面について、承認者や制作会社と相談するための具体的な材料になります。

受け取った後は、次の内容を確認します。

• どの公開システムやURLを診断したか
• どのような弱点が見つかったか
• 何を優先して修正するか
• 修正後に問題が解消したかを再確認したか

問題の場所と優先度が分かれば、経営者自身が技術的な修正方法を判断するのではなく、診断結果を制作会社や担当者へ共有して対応を相談できます。

『セキュリティー診断さん』の診断結果も、公開システムの安全対策について何を確認し、どのように対応したかを残すために活用できます。

サービスやシステムを大きく変更したときは、DPIAの判断を見直すとともに、変更した公開機能の技術面も再確認しましょう。

セキュリティー診断さん

報告書で「ここが一番危ないよ！」って教えてくれるんだね！ それなら僕でも対応できそう！

まとめ：DPIAの技術面を診断結果に基づいて判断する

DPIAでは、個人データの利用目的、本人への影響、予定する対策、対策後に残る危険と承認結果を事前に整理します。

法務、本人への説明、社内運用、委託先管理、技術対策を含む全体を会社として判断することが重要です。

会員サービス、フォーム、ECサイト、Webアプリ、外部公開APIで個人データを扱う場合は、公開システムに外部から悪用できる弱点がないかも確認材料の一つです。

自社だけで技術的な弱点まで判断することが難しいときは、『セキュリティー診断さん』で公開システムを確認し、診断結果を制作会社や担当者との修正相談に活用してみてください。

DPIAで検討する技術面を、確認した事実に基づいて判断し、その経緯を記録できます。

セキュリティー診断さん

ヨシ！ まずは診断から始めれば、うちのサイトのどこが危ないか分かるんだな！ (๑•̀ㅂ•́)و✧ やってみるよ！