多くの日本企業では、個人情報の保護は重要であると認識していても、専門の部署や専任者を配置するまでには至らず、セキュリティ部門やコンプライアンス部門等が兼務しているというのが実態ではないだろうか。一方、欧米では、プライバシー保護の専門能力を有した人材（プライバシー専門人材）を採用する企業が多く、さらに昨今の規制強化の潮流を受けて人材需要が拡大を続けており、プライバシー保護は将来性のあるキャリアと考えられている。今回は、EUで導入されるデータ保護責任者（DPO：Data Protection Officer）制度を踏まえながら、プライバシー保護というキャリアの可能性について考える。
データ保護責任者（DPO）とは？
2018年5月から施行予定の欧州連合（EU）の新しいルール「一般データ保護規則」（GDPR：General Data Protection Regulation）では、高い独立性を有するデータ保護責任者（DPO：Data Protection Officer）の設置が義務づけられることとなった。以下では、GDPRで規定された条文や解説からDPOの概要を紹介する。なおEUでは、「個人情報」に相当する用語として「パーソナルデータ」又は単に「データ」が用いられているので、適宜読み替えて参照いただきたい。
DPOの設置義務がかかるのは、正確には、中核ビジネスにおいて、大規模に個人を定常的かつ機械的に取り扱ったり、大規模に機微情報等を取り扱ったりする事業者である。一方、公的機関は原則DPOを設置することとされている。なおDPOには、事業者内部の者に限らず、サービス契約に基づく外部の専門家（弁護士等）を任命してよいとされている＊1 。
DPOの役割には、所属組織に対するものと監督機関に対するものとの両方が規定されている*2。
- 法令遵守のための情報提供、助言
- データ保護に関する法令、企業準則の遵守状況の監視
- データ保護影響評価（DPIA：Data Protection Impact Assessment）*3への助言と評価
- 監督機関への協力
- データ処理に関する監督機関とのコンタクトポイント
特徴的なのは、その高い独立性である。DPOは、企業に雇われてデータ保護の任務を遂行するも、経営者の都合で処分されない特権を与えられるという、「会計監査人」のような位置づけとなっている。GDPRでは、次のようにDPOの位置づけが規定されている *4。
- 事業者は、DPOが、パーソナルデータの保護に関する全ての課題に、適正かつ適時に関与することを確保しなくてはならない。
- 事業者は、DPOの任務遂行を支援しなくてはならない。
- 事業者は、DPOの任務遂行に対し、事業者から指示を受けることのないことを確保しなくてはならない。
この記事は参考になりましたか？
- ビッグデータ社会のプライバシー問題連載記事一覧
-
- テレビがネットと接続する今、視聴者のプライバシーはどう保護されるのか？
- EUによるデータの移転規制が解除される？成果を上げはじめた日本のプライバシー外交
- プライバシー専門人材の市場が生まれる！データ保護責任者（DPO）とは何か？
- この記事の著者
-
小林 慎太郎（コバヤシ シンタロウ）
株式会社野村総合研究所 ICT・メディア産業コンサルティング部 兼 未来創発センター 上級コンサルタント専門はICT公共政策・経営。官公庁や情報・通信業界における調査・コンサル ティングに従事。情報流通が活発でありながら、みんなが安心して暮らせる社会にするための仕組みを探求している。著書に『パーソナルデータの教科書～個人情報保護からプライバシー保護へとルールが変わる～』（日経BP）がある。
※プロフィールは、執筆時点、または直近の記事の寄稿時点での内容です
この記事は参考になりましたか？
この記事をシェア
