データ保護影響評価

データ保護影響評価 (DPIA) は、個人の個人データに高いリスクをもたらす処理活動のために GDPR 第 35 条に基づいて要求される構造化プロセスです。 DPIA は、処理の性質、範囲、コンテキスト、および目的をキャプチャします。必要性、比例性、およびコンプライアンス措置を評価します。データ主体の権利と自由に対するリスクを特定し、評価します。そしてそれらのリスクに対処するための対策 (セキュリティ管理、仮名化、データの最小化、保持制限) を指定します。サポート資産には、データ フロー マップ (個人データがシステム内および国境を越えてどのように移動するか)、正当な利益の評価、およびサードパーティの処理者登録が含まれます。

DPIA は、体系的なプロファイリング、特別なカテゴリのデータの大規模な処理、公的にアクセス可能な領域の体系的な監視など、個人に高いリスクをもたらす可能性のある処理については、GDPR 第 35 条に基づいて法的に義務付けられています。必要な DPIA を実施しない場合、規制上の罰則が科される可能性があり、GDPR の重要な原則である説明責任が欠如していることになります。 DPIA は、法令順守を超えて、組織がプライバシー リスクを体系的に検討し、対処していることを規制当局やデータ主体に対して実証します。また、EU 以外のプライバシー法 (ブラジルの LGPD、英国の GDPR、カリフォルニアの CPRA) や保険会社によるプライバシー リスク管理の証拠としての要求も高まっています。

完全な DPIA レポートには、処理の説明、必要性と比例性の評価、リスクの特定、データ保護責任者および必要に応じて監督当局との協議記録、緩和策など、完全な評価が含まれています。データ フロー マップとインベントリは、個人データがシステム内、国境を越えて、処理者間でどのように移動するかを示し、処理活動の記録 (ROPA) と侵害通知の準備状況をサポートします。正当な利益評価 (LIA) は、GDPR 第 6 条 (1) (f) に基づく法的根拠として正当な利益に依存して処理するために必要な 3 つの部分からなる評価です。サードパーティのプロセッサ レジスタは、データ処理契約 (DPA) のステータス、転送メカニズム、場所など、すべてのデータ プロセッサとサブプロセッサを追跡します。これは、GDPR の継続的な説明責任に必要です。

DPIan アセット、データ フロー マップ、プロセッサ レジスタは Sustalium にアップロードされ、関連するプライバシー コンプライアンス フレームワークにリンクされます。プライバシー証拠は、GDPR 準拠記録、データ主体の権利手順、侵害通知プロトコルに関連付けられます。 Sustalium は DPIA のレビュー スケジュールを追跡し、処理操作が大幅に変更された場合には DPIA をレビューする必要があります。また、有効期限が切れた DPIA には再評価のフラグを立てます。プロセッサーの登録は調達記録にリンクされているため、新しいプロセッサーの契約が自動的に DPIA レビュー要件をトリガーします。 Sustalium は、複数の管轄区域にまたがって活動する組織向けに、プライバシー コンプライアンス要件を GDPR およびその他のプライバシー法の該当する国内実装にマッピングします。

GDPR が主要な枠組みです。第 35 条では DPIA、第 30 条では処理活動の記録、第 32 条ではセキュリティ対策の記録、第 33 条では記録された侵害通知手順が求められます。 EU AI 法では、高リスク AI システムに対して DPIA のような影響評価を義務付けています。 DORA では、DPIA データ処理マッピングと重複する ICT リスク評価が必要です。 eプライバシー指令では、電子通信処理のプライバシー評価が義務付けられています。英国の GDPR、ブラジルの LGPD、カリフォルニアの CPRA、中国の PIPL などの EU 以外のプライバシー法には、すべて DPIA または同等の要件があります。 ISO 27701 (プライバシー情報管理) では、プライバシー影響評価プロセスの記録を義務付けています。