一般データ保護規則（GDPR）については、誰もが耳にしたことがあるだろう。
データ・プライバシーのことですよね？要するに、そうです。
しかし、ビジネスにとっては、顧客やターゲットとどのように接し、連絡を取り合うかという根本的な転換を意味する。
例えば、Metaは次のような高額の罰金を科せられた。 1.30億ドル GDPRで定義されたデータ・プライバシーのパラメーターを遵守しなかったため。😲
ですから、EU地域にカスタマーを持つのであれば、このことを正しく理解し、早急にやる必要があります！
このブログ記事では、GDPRコンプライアンスについての明確な理解、それを達成するための便利なチェックリスト、そしてプロセスを自動化し効率化するための便利なツールをご紹介します。
それではどうぞ。🎢
GDPR 101: 基本を理解しよう
GDPRとは？ GDPR は、EU域内の個人のデータプライバシーを保護するためにEUが施行した規制である。EU市民の個人データがどのように収集、保存、使用され、最終的にビジネスによって保護されるかを規定している。
この法律は2018年5月に施行され、企業が顧客とどのように接するかに大きな影響を与えている。この包括的なガイドラインは、データ保護の3つの広範な側面を管理するために導入された：
- データプライバシー: GDPRは、アクセス、修正、消去、処理の制限、データポータビリティ、処理へのオブジェクト、データ処理活動に関する通知を受ける権利など、個人データに対するより大きなコントロールを個人に付与する。
- データ・セキュリティ：* GDPRは、企業に対し、適切な技術的・組織的措置を実施することを求めている。個人データを保護するための適切な技術的・組織的 *説明責任：企業はGDPRの遵守を実証する責任がある。これには、銀行業務などリスクの高い処理活動に対するデータ保護影響評価（DPIA）の実施や、特定のケースにおけるデータ保護責任者（DPO）の任命などが含まれる。
覚えておいてください：EU居住者の個人データを収集または処理する組織は、会社の場所に関係なく、GDPRに準拠する必要があります。これには、中小ビジネス、多国籍企業、非営利団体も含まれます。
どのようなデータについて話しているのか？
GDPRは個人を特定できる情報（PII）に焦点を当てており、これは直接的または間接的に個人を特定するために使用できるすべての情報です。例としては以下のようなものがあります：
- 直接的な識別子：氏名、住所、社会保障番号またはそれに相当する番号、電話番号、電子メール・アドレス。
- 間接的識別子： 性別、人種、生年月日、地理的指標、職業、人口統計データ
- 運転免許証番号、パスポート番号、生体データ、財務情報、医療記録、電子・デジタルアカウント情報、従業員人事記録、パスワード情報、学校識別番号。
続きを読む: 2024年ベストデータガバナンスソフトウェア10選（レビュー＆価格 )
ビジネスにとってやることとは？
GDPRの観点から見ると、あなたはEU市民のデータを扱うデータ管理者またはデータ処理者のどちらかに該当します。どちらのカテゴリーに属するかによって、ビジネスとしての依存関係は異なります。
- データ管理者:これは、個人データを処理する目的と手段を決定する主体です。GDPRを確実に遵守する責任がある。
- データ処理者：*データ管理者に代わって個人データを処理する主体。データ処理者はデータ管理者の指示に従わなければならない。
実際の例では、データ管理者は病院であり、データ処理者は病院が患者記録を保管するクラウドストレージ・プロバイダーである。データ管理者として、病院は保存する情報とその使用方法を決定する。クラウドプロバイダー（データ処理者）は、病院の指示に従ってデータを安全に保存するだけである。
🚦Remember：GDPRはデータ管理者に、すべてのビジネスプロセスにプライバシー・バイ・デザインを作成し実装する責任を課しています。
**GDPR：プライバシー法か情報プライバシー法か？
プライバシー法と情報プライバシー法はしばしば同じ意味で使われますが、両者には明確なニュアンスがあります。どちらも個人のデータを保護することを目的としていますが、微妙に異なる角度から問題に取り組んでいます。
プライバシー法は、最も広い意味では、不要なホームアポイントメントなど、個人の生活や物理的スペースへの侵入から個人を保護することに関係している。一方、情報プライバシー法は、IPアドレスや電子メールのような個人データの保護に特化している。
実際には、あなたがサインアップしたサービスが、あなたの携帯電話のGPSを介してあなたの場所にアクセスし、あなたの地元に特化した最新情報を送信したり、宅配サービスがあなたのホームアドレスにアイテムを発送したりする可能性があります。これらのビジネスのいずれかがデータ侵害を経験した場合、あなたのホームの場所が突然公開され、悪用される可能性がある。
このような背景から、GDPRは主に個人データを保護する一方で、より広範なプライバシーに関する懸念にも触れている。
GDPRはデータ保護だけの問題ではありません。GDPRは単なるデータ保護に関するものではありません。プライバシー権や忘れられる権利などの基本的権利に関するものです。 マックス・シュレムス プライバシー活動家
**GDPR対応チェックリスト：データ保護へのロードマップ
GDPRのコードを解読したところで（少なくとも基本は！）、GDPRに準拠するためにGDPR監査チェックリストに含める必要がある大まかなステップを見てみましょう。
1.データソースの地図。
データを保護する前に、どのようなデータを収集しているかを理解する必要があります。監査を実施し、ビジネスが蓄積するすべての個人データ、その出所、使用方法を特定する。
これを効率的にやるためには、以下のことを調べる必要があります：
- 氏名、住所、連絡先、財務データ、生体データなど、収集したすべての個人データの詳細な目録を作成する。
- データソース:ウェブサイト、フォーム、第三者プロバイダー、または物理的なやりとりなど、このデータのソースを特定する。
- データ処理活動：* データのストレージ、処理、送信、共有を含むデータの使用方法を決定する。
- データ保持: GDPRの原則に沿い、個人データのストレージを最小限に抑えるデータ保持ポリシー（データがシステムに保存される期間）を確立する。
- データフロー：*組織内および外部へのデータフローをマップする。例：出荷注文を実行するサードパーティの配送サービスは、このカテゴリーに該当する。
💡 プロヒント：* 💡 プロヒント：* クリックUp CRM は、顧客データをマップし、保存するためのデータソリューションです。セールスリードの電子メールアドレスの取得からカスタマージャーニーやその他のインタラクションの把握まで、すべてのデータを一箇所で整理するのに役立ちます。
ClickUp CRMでクライアントアカウントを管理し、ワークフローを合理化し、顧客への働きかけを自動化します。
2.データ保護責任者（DPO）を導入する。
DPOは、組織内のデータプライバシーに関する唯一の窓口として機能します。
データ保護責任者は、データ・プライバシーの専門家として、組織のデータ慣行がGDPR要件に合致していることを保証します。DPOはその役割において、データ対象者の要求に対応し、データ侵害に対応し、リスク評価を支援し、データ保護当局との連絡役を務めます。
DPOの資格を得るには、データ保護法に関する専門知識を有し、従業員やデータ対象者が容易にアクセスできることが必要です。資格のあるDPOを任命することで、データプライバシーに対するコミットメントを示し、コンプライアンス違反のリスクを低減し、ビジネスとしての信頼性を顧客から高めることができます。
続きを読む: AIをデータガバナンスに活用する方法（ユースケースとツール）
3.GDPRプロセスをエンドツーエンドで文書化する。
すべてを文書化しましょう！データ処理ポリシーの策定には、プロセスをひとつひとつ概説することが必要です。これにより、例えば、顧客のデータがどこに保存されるのか、あるいはサブスクリプションをキャンセルした後の保存期間を特定することができます。
プロセスの概要と詳細が明確に定義され、定期的に更新または参照する必要のあるすべてのチームがアクセスできるようにしてください。
活用 ClickUp ドキュメント を使用して、データの種類、収集の法的根拠、保存期間など、データ処理活動の記録を一元化し、簡単にアクセスできるようにメンテナーします。
/クリックアップドキュメント https://clickup.com/blog/wp-content/uploads/2024/09/ClickUp-Docs-10.gif
/%img/
コンプライアンス・ドキュメントは退屈なものではありません。ClickUpドキュメントをお試しください。
データマップ、データ保持ポリシー、データ漏えい対応プラン、リスク評価など、コンプライアンスのさまざまな側面ごとに別々の文書を作成できます。
これらのドキュメントは、ネストされたページを使用して階層構造に整理することができ、ナビゲーションや参照が簡単になります。また、クリックアップの@メンションなどのコラボレーション機能を使って、関連するチームや個人をプロセスに参加させ、全員の連携と情報共有を確保することもできます。
**4.データ収集プロセスを見直す
すべてのデータは本当にやることですか？GDPRはデータ最小化の原則を強調しており、組織は特定の目的に必要な個人データのみを収集し、処理する必要があります。
コンプライアンスを確保するためには、データ収集の慣行を定期的に評価し、それが必要なものにリミットされ、ビジネス・オブジェクトに比例していることを確認してください。以下は、検討すべき事項です：
目的のリミット
収集するデータがビジネス・オブジェクトに直接関連し、意図しない目的に使用されないことを確認する。注文を処理するために、eコマース・ウェブサイトはカスタマーの名前、住所、支払い情報 を収集することがあります。このデータは、顧客の同意なしにターゲット広告に使用すべきではありません。
データの最小化
データ収集の目的を損なうことなく、削除または匿名化できるデータフィールドがあるかどうかを特定する。ソーシャルメディア・プラットフォームは、当初ユーザーのフルネーム、電子メール・ アドレス、生年月日を収集するかもしれない。しかし、そのプラットフォームがユーザー名と電子メール・アドレ スだけで十分に機能するのであれば、個人データの収集を最小限に抑えるべきである。
データ保持
必要以上にデータを保持しないよう、適切なデータ保持ポリシーを策定する。規制遵守の目的で、銀行がクレジットカードの申込記録を特定の期間保持することがある。義務付けられた期間を過ぎたら、このデータは匿名化するか削除することができる。
同意
処理の法的根拠として同意に依拠する場合は、それが自由に与えられ、具体的で、十分な情報を提供され、かつ曖昧さのないものであることを確認してください。モバイルアプリが、パーソナライズされた推奨のために場所データを収集することに同意するようユーザーに求める。同意は自由に与えられ、具体的であるべきである（例：アプリ使用時のみ場所にアクセスする）。
正当な利息。
正当な利益に依拠する場合は、個人の利益、権利、自由を上回るものであるかどうかを慎重に評価すること。ある報道機関が、コミュニケーションや協力を促進するためにジャーナリストの連絡先情報を処理することがある。これはジャーナリズム活動に対する正当な利息とみなすことができる。
🌈 Did you know?? SOC 2 は、GDPRに相当するフレームワークで、米国ビジネスにより密接に関連している。データセキュリティとプライバシーに対するコミットメントを示すために組織が使用する自主基準である。
GDPRが欧州連合内の個人の個人データ保護に焦点を当てた法的規制であるのに対し、SOC 2はそれを補完する規格と見なすことができる。参考 SOC 2準拠を達成することで SOC 2に準拠することで、データに責任を持つビジネス・エンティティであり、世界的に認知されたデータ・セキュリティ対策のメンテナーであることを証明することができます。
5.データ侵害に注意し、迅速に行動する。
GDPRの下でデータ侵害をレポート作成する場合、組織は個人の権利と自由に対する潜在的なリスクを評価しなければなりません。これには、漏洩したデータの種類、不正アクセスの可能性、影響を受ける個人への潜在的な影響を考慮することが含まれる。
GDPRは、個人の権利と自由に悪影響を及ぼす高いリスクがある場合、72時間以内にデータ侵害をレポート作成することを義務付けている。
多くの場合、組織は影響を受ける個人にも直接通知し、情報漏えい、関係するデータ、それに対処するためのステップについて明確な情報を提供しなければならない。
さらに、情報漏洩の原因を把握し、防止策を講じるためには、徹底的な調査が必要です。情報漏えいを報告し、その影響を軽減するために取られたステップを含め、プロセス全体の詳細な記録を作成することが不可欠です。
事例：ブリティッシュ・エアウェイズのデータ漏洩事件
2018年 ブリティッシュ・エアウェイズ は、約50万人のカスタマーを巻き込む重大なデータ漏洩に見舞われた。ハッカーが航空会社の予約システムに不正アクセスし、氏名、住所、支払いカード情報、旅行日程などの個人情報を盗んだ。
この侵害は、大規模な個人データの不正処理に関わるものであり、GDPRの明確な違反であった。ブリティッシュ・エアウェイズはこのインシデントにより、英国の情報コミッショナー事務局（ICO）から2000万ポンドの罰金を科された。
6.データ収集の透明性を優先させる。
あなたのカスタマは、あなたがどのようなデータを収集し、それをどのように使用しているかを正確に知る権利があります。データ収集プロセスの透明性を確保するためのステップをいくつか紹介します：
- クリアされた簡潔なプライバシーポリシー: データの取り扱いについて明確に説明した、アクセスしやすく理解しやすいプライバシーポリシーを提供する。これらの方針は平易な言葉で書かれ、法律用語を避けるべきである。
- インフォームド・コンセント：* データ収集の目的、収集するデータの種類、および同意収集プロセスにおけるデータに関するカスタマーの権利を明示する。
- データ対象者のアクセス要求：* データ対象者のアクセス要求にプロンプトで包括的に対応する。これは、個人データのコピーおよびその処理方法に関する情報を個人に提供することを意味する。
- 第三者とのデータ共有: 個人データを第三者と共有する場合、データを保護するための適切な保護措置が講じられ、第三者もGDPRに準拠していることを確認する。
7.未成年のカスタマーの親権者の同意を確保する。
GDPRは、ほとんどのEU諸国において、16歳未満の子供の個人データを処理する前に親または法定後見人の同意を得ることをビジネスに義務付けている。
ユーザーの年齢を検証するには、親権者の同意を求める、または年齢検証サービスを利用するなど、信頼できる方法を採用してください。親権者の同意を得る場合、それは自由に与えられ、具体的で、十分な情報を提供され、明確でなければなりません。
さらに、同意の日付、方法、同意者の身元など、同意プロセスの詳細な記録を維持します。子どもから機微（センシティブ）情報が収集されないよう、また、子どものデータが必要以上に保持されないよう、追加のステップを追加する。
事例TikTok対アイルランドデータ保護委員会。 TikTokは3億7900万ドルの罰金を科された。 アイルランドのデータ保護委員会（DPC）は、児童の個人データを適切に保護していなかったとして、TikTokに3億7900万ドルの罰金を科した。DPCは、TikTokがGDPRで義務付けられている13歳未満の児童からの有効な同意を得ていなかったと認定した。
さらに、DPCはTikTokが有害な可能性のあるコンテンツを子どもがビューしないようにすることを十分にやっていなかったと批判した。これはGDPRのもとで課された罰金のなかでも最大級のものであり、オンラインで子どものデータを保護することの重要性を浮き彫りにしている。
**8.ダブル・オプトイン・コンセントの採用
真にインフォームド・コンセントのプロセスを促進するために、電子メール・アドレスを含む顧客のデータをマーケティング目的で処理する前に、顧客から明示的な同意を収集する。二重オプトインプロセスは、個人が電子メールリストに故意かつ自発的に登録したことを確認するための強固な方法です。
ダブルオプトインの仕事とは？
- 最初のサブスクリプション:個人が電子メールリストに登録するために自分の電子メールアドレスを入力すると、彼らは確認の電子メールを受信します。
- 確認:個人がサブスクリプションプロセスを完了するために確認メール内のリンクまたはボタンをクリックする必要があります。
この2ステップの検証プロセスにより、スパムを防止し、個人が電子メールの受信に積極的に同意していることを確認することができます。ダブルオプトインプロセスを導入することで、迷惑メールマーケティングのフラグを立てられるリスクを減らすことができます。
**9.プライバシーポリシーは定期的に更新しましょう。
プライバシーポリシーは定期的に見直し、更新しましょう。プライバシーポリシーを最良の形に保つために、以下のポイントに注目してください：
- 正確性：*プライバシーポリシーの情報が正確で最新であることを確認する。
- アクセシビリティ： プライバシーポリシーは、ウェブサイト上で簡単にアクセスできるようにし、他の関連ページからリンクされるようにする。
- プライバシーポリシーが実際のデータ運用と一貫していることを確認する。
ボーナス：*インスピレーションをお探しですか？をご覧ください。
ClickUpのプライバシーポリシーをご覧ください。
クリックアップのプライバシーポリシーの例
**10.第三者のリスクを評価する
データに責任を持つビジネス・エンティティとして、サードパーティの関連会社がGDPRに準拠しているかどうかを再確認する責任があります。言うは易く行うは難し」であることは承知しています！しかし、サードパーティの監査方針を策定するのに役立つプロセスの概要を以下に示します：
- 仕事の範囲、共有データ、セキュリティ対策、両当事者の責任を概説した明確なデータ処理契約を締結する。
- サードパーティのプライバシーポリシー、証明書、リファレンスを評価し、徹底的なデューデリジェンスを実施する。
- データの機密性、処理活動、地理的な場所（EU域内か域外か）などを考慮し、第三者とのデータ共有に伴うリスクを評価する。
第三者のコンプライアンスを監視し、監査を実施することで、定期的な監視をメンテナーすること。
続きを読む 2024年、最高のガバナンス、リスク、コンプライアンス（GRC）ツール10選
自動化ツールでGDPRコンプライアンスを克服
ふぅ、なかなかのチェックリストだ。ありがたいことに、あなた一人でこのコンプライアンスの旅をナビゲートする必要はありません。
いくつかの デジタルGRCツール オールインワンのプロジェクト管理プラットフォームであるClickUpは、GDPRコンプライアンス本部を簡単に兼ねることができます。
のような困難なプロセスを設定する場合、ClickUpを使用することで、そのようなプロセスを効率化することができます。 GDPR対応チェックリスト ClickUpではステップ・バイ・ステップを大切にしています。
のような機能があります。 ClickUpタスクチェックリスト は、このような複雑なプロセスを分解して管理するために設計されています。チェックリストを作成することで、タスクを完了するために必要な具体的な行動を明確に定義し、チームメンバーに割り当て、進捗を追跡することができます。
ClickUpのタスクチェックリストを使えば、各タスクにチェックリストを簡単に作成できます。
ClickUpでタスクチェックリストを使用するには、新しいタスクを作成し、タスクの「チェックリスト」タブをクリックし、個々のステップを追加するだけです。そして、コンプライアンス・チェックリストを、より小さく管理しやすいサブタスクにまとめることができます：
_チェックリストでサブタスクを作成する
タスクリストですべてのステップが準備できたら、各タスクを法務チームなどの関連チームに割り当て、プロセスを進める。
また ClickUp ガントチャートビュー を使えば、このプロセスをタイムライン上で可視化し、進捗状況を確認し、プロジェクト完了までの明確なタイムラインを作成することができます。
ClickUpのガントチャートで最も重要なタスクを可視化しましょう。
これで終わりではありません。プロセスができたら ClickUp 自動化 を使用して、定義したルールに基づいて特定のアクションを完了することができます。例えば、3ヶ月ごとにプライバシーポリシーの入力追加、レビュー、更新を通知するカスタム自動化を設定できます。
カスタム自動化により、コンプライアンス・タスクをプロセスに沿って進めることができる。
最後に、GDPRポリシーのコンプライアンスには多くの文書化が必要です。
プロセスのどの時点でも行き詰まりを感じたら、以下を使用してください。 ClickUp Brain ClickUpに内蔵されたAIアシスタント、ClickUp Brain /%ref.を使えば、わかりやすく端的な言葉でポリシーを作成したり、GDPRに関する業界のベストプラクティスについて調べることもできます。
ClickUp BrainのAI Writerは、ドキュメントのドラフトをより速く作成するのに役立ちます。
さらに、ClickUpにはカスタムテンプレートがあり、チェックリストのプランニングをより簡単にすることができます。
クリックアップのコンプライアンス・プロジェクト・プラン・テンプレート
ClickUpのコンプライアンス・プロジェクト・プラン・テンプレートは、計画プロセスの見出しを提供します。
ClickUpのコンプライアンス・プロジェクト・プランテンプレート そのコンプライアンス要件ビューは、必要なすべての規制をリストアップすることができ、コンプライアンスステータスビューは、進捗状況の明確な概要を提供し、非準拠領域を特定します。また、Add Requirements Viewにより、新たな規制が発生した場合にも簡単に組み込むことができます。全体として、このテンプレートは以下のような特徴があります。
/を参照してください。 https://clickup.com/blog/project-compliance// はコンプライアンス・プロセスを合理化します。 /%href/
進捗を追跡し、GDPR 基準を確実に遵守することができます。
ClickUpのプロジェクトチェックリストテンプレート
ClickUpのプロジェクトチェックリストテンプレート
ClickUpのプロジェクトチェックリストテンプレート は、コンプライアンス・プロセスに不可欠なステップの概要を示すのに役立ちます。このテンプレートには、あらゆるプロジェクトの基盤となる一般的なサブタスクのアウトラインが含まれています。このテンプレートを使用すると、次のことが可能になります：
- 各ステップが前のステップの上に構築されるように、タスクの適切な順序を概説します。これにより、エラーや漏れを防ぐことができます。
- GDPRコンプライアンスに関連する潜在的な課題とリスクを予測し、これらの問題に積極的に対処する。
- 各タスクの期限を記載し、プロジェクト全体が期限内に完了するようにします。
クリックUpでコンプライアンスが簡単になります。
組織がこの重要な規制の要件を確実にミーティングするためには、体系化されたGDPRコンプライアンスチェックリストが不可欠です。
ClickUpのプロジェクト管理機能は、GDPRコンプライアンスチェックリストを作成・管理するための強力なプラットフォームを提供します。一見複雑に見えるこのプロセスを、管理可能な小さなタスクに分解することで、進捗を効果的に追跡し、潜在的な問題を特定し、コンプライアンスを確保することができます。
プロセスの概要から責任の割り当て、進捗の監視、チームとの連携まで、ClickUpはコンプライアンスプロジェクトを軌道に乗せるお手伝いをします。 無料ClickUpアカウントに登録する に登録し、GDPRプロセスを開始しましょう！