日本の企業や組織がGDPR準拠に向けてするべきこと
――日本の経済団体は、データ活用のためには規制緩和の必要があると主張している一方で、プライバシーの専門家は、きちんと利活用するためには規制が必要といっています。先ほどアメリカは処方的でEUがポリシーベースとおっしゃいましたが、その具体的な意味を教えてください。
ルイスターバーグ：それは、規制が悪いものなのかどうかという話です。もしその規制が非常に処方的なものであって、競争を阻害するようなものであったとしたら、それは悪いものだと思います。しかし、GDPRは競争を阻害するものではなく、ある意味では競争する基準を決めるグラウンドようなものであると考えられます。データをどうしようが構わないが、基本的なルールがあるのでそれは守りましょうというのがGDPRです。
データ保護の観点から、規制緩和が処方的なものでなくなるというのであれば、私はその規制緩和に同意します。しかし、その規制緩和が単純にルールを少なくするものであったとしたら、それには同意できません。最終的に世界はデータを共有する方向に進んでいくのは間違いありません。その世界において担保されるべきは、自分のデータに対するコントロールであり、それがどう使われるかということに対する透明性だといえます。
現在EUと日本の間では、日本の十分性認定においての議論が盛んに行なわれていると思います。日本が十分性認定を受けるためには、なんらかの変化が必要であり、その変化がなければフェアなグラウンドが担保されないからです。私は欧州と日本間でデータの共有ができるようになって欲しいので、そのために若干処方箋的な部分が増えても大丈夫ではないかと思います。
ポリシーベースと処方型の違いですが、実は処方型にも均質性をもたらすことができるという良い面があります。例えば、セキュリティのスタンダードについて均質であるということは決して悪いことではありません。アメリカでは、データ侵害があった場合の通報が義務付けられていますが、問題があったときに何をすべきか決められているのは良いことだと思います。
ポリシーベースは、目標を明らかにして、その手法については企業に一任する手法です。しかし、放置しておくと解釈の間違いが生じてしまいます。国ごとに解釈が違うと、グローバル企業にとっては悪夢です。ですから処方型だから悪い、ポリシー型だからいいと一概にいえるようなものでもないですね。
GDPRは、「ここは三つ星レストランですからネクタイをしましょう」というような処方的な枠組みを提示しながらも、ある程度の自由度を許容するようなものと考えるのがいいのではないかと思います。
――最後に、日本の現状について感じていることや提言があればお願いします。また、その状況に対してデロイトが取り組んでいることを教えてください。
北野氏：私たちは過剰投資はお勧めいたしません。これまでさまざまなお客様にお話しさせていただいたことですが、日本の企業はとにかく真面目で、100％を目指しがちです。とにかく定められたことを2018年5月25日までに全部終わらせないといけないと全力を挙げていらっしゃる。
もちろん、事業リスクが大きな企業はそれなりにお金をかける必要があるわけですが、「本当にそんな問題が起きますか？」というようなところまで対応しようとします。確かに法律の条文を読めば適用対象になるわけですが、万難を排してまで行うようなことではないように思います。それよりも優先度をつけて、メリハリのある対応をした方がいいでしょう。
例えば、ITシステムにはライフサイクルがあって、一定の期間でシステムの更新や改修、バージョンアップなどが行われます。データの破棄などもこういう機会に同時に行う方法があるわけです。それなら、期限内に全てが終わらなくても、システム更新のタイミングでこれらのデータが破棄されるという説明ができれば、当局から調査などがあったとしても大きな問題にはならないと考えられています。
また、GDPRの条文を表面的に読むと、個人データを破棄するように定められていたとしても、例えば製造業におけるリコール対応など、ある程度の顧客データは保持しておきたい場合があるでしょう。こういったケースでもデータが適切に管理できていて、保持している正当な理由が説明できれば、当局に許容される可能性が高いと思います。最近はそういうことをよく感じますね。
一方で、なるべく個人データではないことにしようという動きもあるようです。改正個人情報保護法の際にもありました。しかし、EUでは日本よりも個人データの適用範囲が広いので、そういう小手先で対応するのはかえってよろしくないでしょう。それよりはメリハリをつけた対応の方が良いと思います。
ルイスターバーグ：デロイトでは、GDPRを包括的な観点から眺め、さまざまなバックグラウンドを持った人たちが取り組んできたことが正しかったと信じています。これはデロイトにとってもチャレンジだったのですが、多くのクライアント、特に大手企業にはどうしても縦割りのサイロ構造が存在します。まずはここを変えていく必要があります。
これからは、コンプライアンスや法務畑の人たちは、リスクシナリオにも長けていく必要がありますし、ITの人たちも白か黒かだけでなく、グレーの部分があることを認識しなくてはなりません。また、マーケティング・営業といった部門においては、GDPRがデータの活用を止めるものではないこと、自らのプレイフィールドがどこにあって、どこに強みを発揮できるのかを明示しなくてはならないことを理解する必要があると思います。
そのためには、GDPRが単なるデータ保護ではなく、まさに情報ガバナンスであることを理解することが重要です。その理解があって初めて、企業はコンプライアントでありながらイノベーションの成果を十分に享受することができる。つまり成功を収めることができると思います。
――ありがとうございました。
