企業にとってデータ、特に個人に関するデータはビジネスの可能性を広げる貴重な資源です。一方で個人データのプライバシーは多くの国で基本的人権のひとつとされ、法律によるプライバシー保護が図られています。本記事ではデータプライバシーの定義や重要性、法規制について解説していきます。
データプライバシーの定義
データプライバシーとは、個人情報を中心とする重要データの取り扱いをコントロールして、データの不適切な使用や誤った利用を制限することです。ここでいう個人情報には、氏名や住所、生年月日などの基本的な情報、指紋や顔認識データといった個人を識別するデータ、運転免許証番号やマイナンバーのような個人に割り当てられたデータ、さらには個人情報と紐付く移動履歴や購買履歴などが含まれます。
今日、個人情報は企業にとって「石油」にも匹敵する重要な資源です。多くの企業が先を争うように個人情報を収集・活用する一方、各国の政府はこうした動きにルールを設け、個人情報の保護を図ろうとしています。
データプライバシーはなぜ重要なのか
データプライバシーは個人・企業・国家のそれぞれにとって重要です。個人情報が悪意の第三者の手に渡れば詐欺やクレジットカードの不正利用といった犯罪を誘発する可能性がありますし、他人に知られたくないセンシティブな情報（思想や社会的身分、病歴などの情報）が公開され、精神的な痛手を受けることもあります。
また企業内の個人情報や機密情報が漏洩すれば企業活動に深刻なダメージを与えますし、流出した情報が政府の要人や国家機密に関するものなら、国家全体のセキュリティを揺るがしかねません。
インターネット技術が発達し、あらゆる企業や個人が国境を超えて簡単に情報をやりとりできる今日、こうしたリスクは高まる一方です。
データプライバシーの内容
データプライバシーに関する法律は国や地域ごとに制定されていますが、基本的なルールはおおむね共通しています。たとえば以下のようなものです。
・個人情報の収集や共有、第三者への提供について、本人の同意を求める
・個人情報の主体が、自分に関する情報の開示や削除を求める仕組みを用意する
・個人情報を利用する際は、個人の利益や権利の保護を最優先とする
これらのルールに強制力を持たせるため、ほとんどの国では法律の中に罰則規定を設けています。また技術の進化に対応するため、各国の法律は短期間でアップデートが繰り返されています。
各国のデータプライバシー法
データプライバシーに関する法律は、国単位、地域単位、経済圏単位で制定されています。ここでは代表的なものとして、日本の「個人情報保護法」、EUの「GDPR」、アメリカ・カルフォルニア州の「CCPA」を紹介します。
個人情報保護法（日本）
個人情報保護法（個人情報の保護に関する法律）は22005年4月に全面施行され、その後も数年おきに改定が繰り返されています。直近の改正法（令和3年改正法）では、これまで規制対象ごとに別れていた3つの法律（旧個人情報保護法、行政機関個人情報保護法、独立行政法人等個人情報保護法）が一本化され、個人情報保護とデータ流通の両立に必要な全国的な共通ルールが設けられました。またEUの規制法GDPRの「十分性認定（EU域内と同等の個人情報保護水準にある国だとする認定）」を意識した内容となっています。
GDPR（EU）
GDPR（General Data Protection Regulation：一般データ保護規則）は、2018年5月に施行されました。GDPRは世界で最も厳格なデータプライバシー法とされ、EUとEEA（欧州経済領域）の域内で事業を行うすべての企業に適用されます。ルールに従わない企業には重い罰金が科されることでも知られており、2019年にはGoogleが5000万ユーロ（約62億円）、2021年にはAmazonが7億4600万ユーロ（約970億円）の制裁金を科されました。
CCPA（カリフォルニア州）
2020年に施行されたCCPA（California Consumer Privacy Act：カリフォルニア消費者プライバシー法 ）は、アメリカの州の中で「はじめての個人情報保護法」です。保護対象はカリフォルニア州の住民の個人情報で、これらのデータを扱う企業には情報開示や、プライバシーポリシーの毎年更新が義務付けられています。
データプライバシーとデータセキュリティの関係
データプライバシーとデータセキュリティは全く異なります。データプライバシーがデータの取り扱いに関するルールであるに対し、データセキュリティは外部の攻撃からデータを守るための行動指針です。ただしどちらも企業の信頼に関わる重要な要素であり、データプライバシーとデータセキュリティの両方にバランス良く取り組むことが欠かせません。
まとめ：データプライバシーは現代のビジネス活動に不可欠
インターネットの発達により、すべての企業に「世界中の消費者を相手にビジネス活動を行う」チャンスが開かれています。このことは同時に、世界中のデータプライバシー法の遵守が求められることも意味しています。今後、自社のビジネス活動をどれほど拡大できるかは、データプライバシーへの取り組みにかかっているといえるでしょう。
