「[[Open棟梁 wiki>https://opentouryo.osscons.jp]]」は、「[[Open棟梁Project>https://github.com/OpenTouryoProject/]]」,「[[OSSコンソーシアム .NET開発基盤部会>https://www.osscons.jp/dotNetDevelopmentInfrastructure/]]」によって運営されています。

-[[戻る>汎用認証サイトの独自仕様]]

*目次 [#j350b00a]
#contents

*概要 [#f57c03a5]
-欧州では2018年5月に「GDPR」が施行される。
-GDPRは「General Data Protection Regulation」の略。
-現行法であるデータ保護指令（Directive 95/46/EC）のルールの統一
-「一般データ保護規則」とも呼ばれる個人情報保護の法律。
-内容は、端的に言えば「個人データ」の「処理」と「移転」に関する法律。

*対象 [#t6a8e834]

**対象データ [#ya22b6f1]
具体的なガイドラインは第29条作業部会（Article 29 Working Party）が作成中であり、~
定義の詳細や業種業態ごとの管理手法について不明点がまだ多い段階

***個人データ [#r1561a5f]
自然人（データ主体）に関するあらゆる情報

もしくは複数の要素を参照することによって、~
直接的にまたは間接的に、識別され得る者

-氏名

-識別番号
--クレジットカード番号
--メールアドレス
--オンライン識別子
---IPアドレス
---クッキー

-位置データ
-パスポート情報

-固有性に関する要因~
当該自然人に関する、社会的アイデンティティに特有な情報
--物理的
---身体的
--生理的
---生理学的
---遺伝子的
--精神的
--経済的
--文化的
--社会的

***法人データ [#m2da9ef5]
企業などの法人データ

***死者のデータ [#xbe05775]
・・・

***対象外 [#p43760eb]
完全に匿名化されたデータは対象外。

**適用対象 [#c304032e]
組織の規模、公的機関、非営利団体等関係なく対象となる~
（中小零細企業でも対象だが一部例外措置あり）

***域内 [#p55b9410]
EU内（欧州経済領域EAA）に拠点を置く、
-データの主体（個人）
-データ管理者（EU居住者からデータを収集する組織）
-データ処理者（データ管理者の委託先としてデータを処理する組織）

***域外 [#uec50a07]
EU内（欧州経済領域EAA）に
-データ管理者（EU居住者からデータを収集する組織）
-データ処理者（データ管理者の委託先としてデータを処理する組織）

がなくても、

-EU居住者に商品やサービスを提供する場合
-個人データを処理、または監視する管理者（Controller）、処理者（Processor）する場合

には適用される。

***域外でも適用されるケース [#j7ed41cf]
域外でも、以下のようなケースには適用される。

-短期出張や短期旅行でEEA内に所在する日本人の個人データを日本に移転する場合
-日本企業から EEA内に出向した従業員の個人データ（元は日本から EEA内に移転した情報）
-日本から EEA 内に個人データを送付する場合（基準に沿って EEA内において処理されなければならない）
-日本から EEA 内に個人データが送付され、EEA内で処理された個人データを日本へ移転する場合

*義務 [#v0596e85]

**処理 [#e2af16fd]
処理には、収集・保管・変更・開示・閲覧・削除など、~
個人データに対して行われるほぼすべての行為が該当する

***処理過程の特定 [#ube5dde5]
処理対象の個人データおよびその処理過程を特定しなければならない

-個人データの収集および利用目的について、有効な同意が明示的に行われなければならない
-個人データの処理および保管に当たり、適切な安全管理措置を講じなければならない
-個人データの処理を行う目的の達成に必要な期間を超えて、個人データを保持し続けてはならない
-個人データの侵害（情報漏えい）が発生した場合、企業はその旨を監督機関に対し、~
72時間以内に通知しなければならない。また、データ主体にも遅滞なく通知しなければならない。

***データ主体の権利の尊重 [#j9690cb1]
（第13条～22条）

管理者は次のデータ主体の権利を尊重しその行使を円滑にする必要がある。

-情報権（情報の通知を受ける権利）（第13条、14条）~
管理者はデータ主体から個人データを収集する場合、~
個人データ入手時に、データ主体に一定の情報を提供しなければならない。

-アクセス権（第15条）~
管理者はデータ主体から個人データへのアクセスの請求があればそのコピーを提供しなければならない。

-訂正権（第16条）~
不正確な自己の個人データに関する訂正を管理者に求める権利を有する。

-削除権（忘れられる権利）（第17条）~
一定の場合、データ主体は自分に関する個人データの削除を遅滞なく管理者から得る権利を有する。 

-制限権（処理を制限する権利）

-携行権（データ携行の権利）

-異議権（処理に対して異議を述べる権利）

-自動処理による決定の対象とならない権利。

***データ保護責任者 [#xf63e3db]
定期的に大量の個人データを取扱う組織は、~
データ保護責任者や欧州における代理人を任命しなければならない。

**移転 [#f1e1f24b]
個人情報の移転

-EU（欧州経済領域EAA）から域外（第三国）への個人データの移転は原則として禁止。

-域外移転が可能なのは、データの保護措置が「十分なレベル」にあると認められる国のみ。

-例えば、日本のように欧州委員会によって、適切な個人情報保護制度を有している~
と認められていない国への情報移転は、以下のいずれかの要件を満たしに行く必要がある。
--本人同意を得る
--拘束的企業準則（binding corporate rules）を策定する
--標準契約条項（SCC：Standard Contractual Clauses）を締結する

*制裁 [#p411d531]

**１ [#q900d99f]
-違反行為の種類
--管理者および処理者の義務違反
--認証機関の義務違反
--監視機関の義務違反

-以下の高い方が制裁金として課される。
--企業の全世界年間売上高（グループ連結）の2％以下
--または1000万ユーロ（1ユーロ125円とすると25億円）

**２ [#cd70161e]
-違反行為の種類
--処理の基本原理の違反
--データ主体の権利の侵害
--個人データの移転に関する違反
--構成国法に基づく義務の違反
--監督機関の命令または制限の不遵守
--監督機関の命令の不遵守

-以下の高い方が制裁金として課される。
--企業の全世界年間売上高（グループ連結）の4％以下、
--または2000万ユーロ（1ユーロ125円とすると25億円）

*参考 [#sec81c4c]
-GDPR（EU一般データ保護規則）で抑えておくべきポイント｜マルケト~
https://jp.marketo.com/content/gdpr.html

-日本企業も大きな影響を受ける「GDPR」--まずは「対象か」の確認を - ZDNet Japan~
https://japan.zdnet.com/article/35110326/

-EU一般データ保護規則（GDPR）の概要（前編） | NTTデータ先端技術株式会社~
http://www.intellilink.co.jp/article/column/security-gdpr01.html

-GDPRのポイントはユーザーの同意管理、~
ティーリアムが対応強化：EnterpriseZine（エンタープライズジン）~
https://enterprisezine.jp/article/detail/10753

**＠IT [#t7e467b9]
-EUの「GDPR」は日本企業にも影響、対応すべき5つの優先課題：Gartner Insights Pickup（35）~
http://www.atmarkit.co.jp/ait/articles/1710/13/news011.html

-世界中の企業が、自社のGDPR（EU一般データ保護規則）対策を「勘違い」している~
──Veritas調査：「対策済み」と回答した企業のうち、万全だったのはたった2％~
http://www.atmarkit.co.jp/ait/articles/1707/27/news052.html

-GDPR初歩の初歩

--（1）：GDPR施行は、日本のITエキスパートにとってよそごとなのか？~
http://www.atmarkit.co.jp/ait/articles/1712/07/news003.html

--（2）：GDPR対策は個人情報の暗号化からGDPR初歩の初歩~
http://www.atmarkit.co.jp/ait/articles/1712/14/news001.html

**InfoQ [#sef80885]
-GDPRについてソフトウェアエンジニアは何を知るべきか?~
https://www.infoq.com/jp/articles/gdpr-for-software-devs

***理解すべき重要点 [#s3f14b28]
-データ主体に対する透明性
-プライバシ・バイ・デザイン、プライバシ・バイ・デフォルト

***個人識別情報(PII)を認識する [#r70a0ea0]
-個人を一意的に識別するために使われるデータ
-別々であれば固有情報でなくても、組み合わせることで、個人を識別できるデータ

***プライバシのための設計 [#r557ebca]
-GDPRに準拠させるもっとも安価な方法は、要求を正しく実装すること。
-徹底の度合いはシステムのリスクの程度による。

-監査証跡
--最小の要求（データ保護機関に報告する必要がある）
--管理だけでなく侵害の被害を抑える（デジタル・フォレンジック）。
--システム・アドミニストレータの否認防止の特徴

-データ露出の制限~
最善の方法は、収集するデータと保存する期間を制限
--本当に必要なデータだけ収集・アクセスするように制限
--データのライフサイクルを明確に定義し、それを記述する~
（ある種のアーカイブと削除の仕組みを導入する。）

-移動データ保護の仕組み

--暗号化

--匿名化と仮名化
---匿名化~
フィールドを削除するか、隠すことで、識別可能な情報を取り除く。
---仮名化~
識別可能な情報を仮名で置き換え、データ内で識別情報を分離。

--ロギングの規格・ガイドライン~
ログにPIIが含まれていないことを確認する。

***システムをチェックする [#e2e8ae52]
簡単なチェックリスト。

-収集するデータと目的

-データの保存期間~
収集したデータのライフサイクルを記録する。

-データを処理する基準~
データを収集する基準を記録する。

-データフロー図
--関係者
--階層
--プロトコル

-[[ユーザの権利>#l760ce24]]~
データ主体に権利を知らせ、その権利をどのように行使するか説明する。

***拡大したユーザの権利をサポートする [#l760ce24]
-自動化したリアルタイムの運用を必要としない。
（実際に必要なのは、30日以内に要求に回答するだけ）

-しかし、セルフサービスのユーザインタフェースを実装したほうが安価になる。

-情報を削除することで、削除は達成できますが、~
部分的にそれを上書きして、事実上、それを匿名化した方が簡単です。

***データ処理者かどうか? [#p90515ef]
-データ処理者は、制裁の責を負う。

-責任を避けるには、単にどのような状況下でも、
--PIIデータにアクセスしない、
--また、できないようにすること。
--そのことがどの契約にも明確に述べられているようにする。

-PIIデータの処理を避けるのは難しい場合、
--ログファイル、テスト環境、製品環境への緊急パッチに潜む注意。
--PIIデータベースに絶対にアクセスする必要がある場合、データ処理者であると認める。

***GDPRの神話を壊す [#t2dab034]
-ユーザのデータを収集して処理することを止めるものではない。
-「クラウドサービスをやってはいけない。」ということではない。

-エクスポート時に、
--身元と結びつく全てを手に入れる訳ではない。
--直接収集された情報のみ含まれているべき。

-対策
--データ保護~
停止中や転送中に2048ビットキーですべてを暗号化することを必要としない。
--監査ログ、侵入検出など。~
すべて監査ログをとり、侵入検出とテストデータ管理のツールを持つことを必要としない。

-制裁（罰金）
--制裁は、データプライバシについて何かし始めるための主な理由ではない。
--その時が来たら、罰金の範囲を決めるために使う多数の質問を一覧表にしている。

-ユーザの権利
--必ずしも、自動的に行使する必要はない。
--ユーザの身元と要求の正当性を確認することが重要。

***結論 [#g7c30d5e]

**Information Law 情報法 > EUデータ保護規則（GDPR） [#ib372a18]
http://informationlaw.jp/category/world-data-protection/eu-data-protection/

-制定の経緯と手続~
http://informationlaw.jp/2016/09/06/eu-personal-data-protection-regulation-purpose-and-procedure/

-どのような場合に日本企業に適用されるのか~
http://informationlaw.jp/2016/09/13/eugdpr-jurisdiction-and-territorial-scope/

-用語の定義：本人の同意がより厳しくなっています！~
http://informationlaw.jp/2016/09/26/eugdpr-definitions/

-規則の執行と罰則の強化・不服申立てと司法的救済~
http://informationlaw.jp/2016/09/28/eugdpr-enforcement-sanctions-penalties/

-データ保護byデザイン・デフォルト＆データ保護影響評価~
http://informationlaw.jp/2016/11/02/eugdpr-data-protection-by-design-default-dpias/

-匿名化と仮名化（Anonymisation & Pseudonymisation~
http://informationlaw.jp/2016/11/02/eugdpr-anonymisation-pseudonymisation/

-監督機関とデータ保護評議会~
http://informationlaw.jp/2016/11/09/eugdpr-sa-edpb-consistency-mechanism/

-統一がなされない分野~
http://informationlaw.jp/2016/11/09/eugdpr-unharmonized-areas/

-データ侵害の監督機関への通知とデータ主体への連絡~
（Data Breach Notification & Communication）~
http://informationlaw.jp/category/world-data-protection/eu-data-protection/

-EUのデータ保護改革の総仕上げ？~
－欧州委員会は電子通信における私生活の尊重と個人データの保護に関する規則を提案~
http://informationlaw.jp/category/world-data-protection/eu-data-protection/

-【便利帳】EUデータ保護規則とEUデータ保護指令の条文に関するサイトをまとめてみました：日本語仮訳情報も~
http://informationlaw.jp/2016/10/24/eugdpr-eupdpd-website-information/

-【リスト】EUデータ保護規則本サイトページ一覧~
http://informationlaw.jp/2016/11/06/eugdpr-website-page-list/

***個人データの処理に関する７つの原則 [#cb1f6f65]
http://informationlaw.jp/2016/09/28/eugdpr-principles/

+合法性、公正性および透明性
+目的制限
+データ最小限性
+正確性
+保管制限
+完全性および機密性保持
+責任

***EU域外への個人データ移転 [#la39fe7b]
-①：概観＆十分性の決定~
http://informationlaw.jp/2016/09/29/eugdpr-cross-border-data-transfers1/

-②：十分な保護措置と拘束的企業準則~
http://informationlaw.jp/2016/10/05/eugdpr-cross-border-data-transfers2/

-③：標準データ保護条項と契約条項~
http://informationlaw.jp/2016/10/06/eugdpr-cross-border-data-transferes3/

-④：行動規範と認証~
http://informationlaw.jp/2016/10/07/eugdpr-cross-border-data-transferes4/
--行動規範と認証／コンプライアンスの仕組みの強化~
http://informationlaw.jp/2016/10/07/eugdpr-certifications-codes-of-conduct/

-⑤：特例による移転~
http://informationlaw.jp/2016/10/07/eugdpr-cross-border-data-transferes5/

***データ主体の８つの権利 [#m2ca6c3f]
-ざっと概観しましょう~
http://informationlaw.jp/2016/10/20/eugdpr-data-subject-rights-overview/

-８つの権利

--①：情報の通知を受ける権利~
http://informationlaw.jp/2016/10/20/eugdpr-data-subject-rights-information-notices/

--②：アクセス権~
http://informationlaw.jp/2016/10/20/eugdpr-data-subject-rights-access/

--③：訂正権（Right to rectification）~
http://informationlaw.jp/2016/10/21/eugdpr-data-subject-rights-rectfication/

--④：削除権（忘れられる権利）~
http://informationlaw.jp/2016/09/10/eugdpr-right-to-erasure/
---忘れられる権利――Google v. Spain~
http://informationlaw.jp/2016/10/19/right-to-be-forgotten-google-v-spain/

--⑤：処理を制限する権利~
http://informationlaw.jp/2016/10/21/eugdpr-data-subject-rights-restriction-of-processing/

--⑥：データ携行の権利（Data Portability）~
http://informationlaw.jp/2016/10/25/eugdpr-data-subject-rights-data-portability/

--⑦：処理に対して異議を述べる権利（Right to object）~
http://informationlaw.jp/2016/10/25/eugdpr-data-subject-rights-object/

--⑧：自動処理による決定の対象とならない権利／プロファイリングが明記されました~
http://informationlaw.jp/2016/10/27/eugdpr-data-subject-rights-automated-individual-decision-making-profiling/

-⑨：データ主体の権利の範囲は制限されることがあります（Restrictions）~
http://informationlaw.jp/2016/10/27/eugdpr-data-subject-right-restrictions/

***管理者 [#y42ce696]
-管理者の義務：情報の通知（Information Notices）~
http://informationlaw.jp/2016/10/20/eugdpr-controller-obligation-information-notices/

-管理者の責任と義務：ざっと見てみました~
http://informationlaw.jp/2016/10/28/eugdpr-controller-accountability-obligations-overview/

***処理者 [#o5b62107]
-処理者の選定、処理者との契約、処理者の義務~
http://informationlaw.jp/2016/11/04/eugdpr-content-of-data-processing-agreements-obligations-of-processors/

***データ保護担当者 [#e72a5c19]
-データ保護担当者の指名・地位・役割~
http://informationlaw.jp/2016/11/06/eugdpr-designation-position-tasks-of-data-protection-officer/
トップ   新規 一覧 単語検索 最終更新   ヘルプ   最終更新のRSS