【書評：1212冊目】GDPRガイドブック（足立照嘉、ヘルマン・グンプ）

【GDPRという新ルール】
サイバーセキュリティ専門家・足立照嘉氏とデータ保護専門家・ヘルマン・グンプ氏が、GDPR（EU一般データ保護規則）を解説しながら、企業資産を最大化する活用法を指南する一冊。

■この本の紹介文

サイバーセキュリティとデータ保護。
自分の会社がどんな運用をしているか理解していますか？

本書は、GDPR(一般データ保護規則)というEUで新しいスタートした規則の概要を解説しながら、どう活用すれば企業価値を最大化できるかを指南する一冊。

個人情報が適切に取り扱われていない場合。
全世界での「年間売上高4％」もしくは「2000万ユーロ（約25億円）」のいずれか高い方が制裁金として科せられる恐れがある。

このように、きちんと理解し、適切に運用しないと大きな影響を受ける可能性がある。
それが、GDPR(一般データ保護規則)というものです。

しかし、きちんと運用することで、市場からの信頼や企業価値の最大化が手に入ります。
ですから、1日も早く理解し行動する必要があるのです。

「欧州に拠点がないから関係ない」ではありません。
拠点がなくても制裁金などの厳しい罰則が適用されるからです。

まずは知ることから、はじめましょう！

◆これからは「データ保護」が命運を握る！

GDPRガイドブック EU一般データ保護規則活用法

posted with ヨメレバ

足立照嘉,ヘルマン・グンプ実業之日本社 2018-05-25

売り上げランキング : 5685

■本がわかる！１５の要約ポイント

ITシステムの「脆弱性」は、どこに生じるものだろう？
モナ・リザ同様に、「境界」で脆弱性が生じてしまうことが多く見受けられる。
「境界」とは、システムとシステムであったり、アプリケーションとアプリケーションの繋ぎ目となる部分のことだ。

相互に飛び交うデータが新たな価値の源泉となるのだ。
そして、あらゆるモノ同士が繋がっていくことで、その境界も増え続けていくこととなる。

第四次産業革命を含めたこれからの激動のビジネス環境において、成功に導くキーワードのひとつは「データ保護」ということだ。

悪意ある者は、より容易に侵入できる入り口を探すだけ。
サプライチェーンを構成している中に、容易に侵入できる会社が一社でもあれば、それはサプライチェーン全体にとっての脅威と同等である。
そして、このことを「サプライチェーンリスク」と呼ぶ。

EU加盟国では「Regulation（規則）」を国内法より優先することとなり、今後制定する国内法は「Regulation（規則）」に適合したものでなければならない。
そして、GDPRは「Regulation（規則）」である。

GDPRとは「個人データ」の「処理（Processing）」と「移転（Transfer）」に関する規則のことである。

GDPRこそが、データ活用の基本ルールだ。
ポイントは、ふたつ。
「個人データを保護する取り組みが適切になされており、問い合わせがあった際にはそのことを証明できること」。
そして、「万が一、データ侵害が発生した際には、その事実を検知して適切な対応ができること」である。

基本的人権の保護を目的として、個人データの保護に対する権利も「EU基本権憲章」で保障されており、GDPRとはデジタル社会における「基本的人権保護法」でもあるというわけだ。

適用対象範囲は明確にされ、EU域内に拠点を持たない企業も対象となる。
これまでは各加盟国に委ねられていた執行と制裁を増大し、法的拘束力のある規則となる。
莫大な金額の制裁金制度が導入されることは今回の大きなポイントだ。

●個人データ処理の6つの原則
（１）適法性、公平性および透明性の原則
（２）目的限定の原則
（３）データ最小化の原則
（４）正確性の原則
（５）保管制限の原則
（６）完全性および機密性の原則

管理者は、個人データ処理の原則を遵守する義務を負っている。
そして、「遵守を証明」できなくてはならない。
遵守の証明。
すなわちGDPRで新たに加わった概念である「説明責任の原則」だ。

GDPRは法律の力だけで解決できる問題ではなく、技術的および組織的対応（TOM’s）が重要である。
そのため、データ保護責任者（DPO）は経営者や弁護士よりも強い力を持っている。

域外移転は厳しく規制されている。
EEA域内もしくは欧州委員会が「安全」であると認定した国「以外」へのデータ移転にGDPRは大きな影響を与える。
特に「顧客や見込み顧客の情報」、「社内の人事情報」、「取引先担当者の情報」などを世界各地の拠点で抱えている日系企業では大きな懸念点だろう。

GDPRは製品とサービスにおける将来の成長を支えていくための積極的な機会であるとみなされるべきである。
企業がコンプライアンス遵守を容易に説明できる機会にもなる。

セキュリティとプライバシーを実現するためには暗号化を用いることに価値があるので、取り入れたほうが望ましい。

GDPRにおいて最も重要なキーワードは、「技術的および組織的対応（Technical and Organizational Measures：TOM’s）」である。
つまり、「セキュリティ対策」と「ガバナンスおよび教育」のことだ。

■これをやろう！３つの実践ポイント

【1212-1】個人情報の扱いには細心の注意を払う

【1212-2】セキュリティ対策を怠らない