データ保護影響評価プロセスの構築・実行支援

AIをはじめとしたデジタル技術の急速な発展により、企業活動における個人データの取扱いの様態は大きく変化しています。これに伴い、企業には個人データ保護に対する対応の向上が求められており、データ保護影響評価（プライバシー影響評価、DPIA、PIAと呼称される場合もある）は、その有用な手段の1つとされています。

KPMGはデータ保護影響評価に関する豊富な知見を基に、プロセス構築から実行までを支援します。

個人データの利活用は企業の競争力強化に向けて不可欠な取組みであり、その価値は近年さらに高まっています。他方で、EU一般データ保護規則（GDPR）を筆頭に各国・地域における個人データ保護規制の厳格化が進んでいるほか、個人におけるプライバシー保護の意識も向上しており、個人データ保護に対する社会的要請がより一層高まっています。

【デジタル技術の発展による個人データを取り巻く変化】

データ保護影響評価とは、特定の事業や施策において個人データの取扱いを個別に分析・評価することにより、効果的・効率的なリスク低減を図る手法のことを指します。そのプロセスの構築や実行にあたっては、多くの企業において以下の課題が存在すると考えられます。

前述の課題認識のもと、KPMGでは多様化する個人データ取扱いのリスクを｢データ固有リスク｣と｢データ処理リスク｣に分類し、その影響度を検討することで実施対象の絞り込みや普遍的観点での評価を実現します。

さらに、各リスクに対する情報セキュリティ・プライバシー対策の状況について、各国・地域における個人データ保護規制の要求事項も踏まえて俯瞰的に確認することで、リスク低減に向けた具体的対策を検討します。

KPMGは、以下のステップで企業のデータ保護影響評価プロセスの構築・実行を支援します。

ステップ1．現状分析・観点整理

企業の個人データ取扱い状況の全体像と流れを把握し、現状分析を行います。その結果を基に、｢データ固有リスク｣と｢データ処理リスク｣について、各国・地域における個人データ保護規制の要求事項を踏まえて、データ保護影響評価の実施基準・評価項目を検討します。

ステップ2．仕組みの整備

ステップ1で検討した実施基準・評価項目を基に、データ保護影響評価の手段（具体的文書等）を実装します。加えて、評価関係者の役割分担を明確化して実施フローを整備します。

ステップ3．実行・運用定着

データ保護影響評価の実施にあたって、その実効性の向上と継続的な運用の実現を図ります。すでにデータ保護影響評価の枠組みを整備している企業に対しては、新規事業や高リスクな取扱いが想定される事業など、難易度の高いケースのサポートや、既存の評価システムに対するアドバイスを実施することも可能です。

• プロジェクト推進：横断的プロジェクト管理

横断的に推進するため、英語でのコミュニケーションスキルおよびプロジェクト管理の豊富な経験を有する人員による支援が可能です。

• 豊富なナレッジ：法規制／セキュリティの知見

データ保護規制の要求事項に基づく現実的で有効な対策を提案するため、現地の法規制に加え情報セキュリティについても深い知見を有するメンバーでチームを構成します。

• グローバルネットワーク：KPMGのネットワーク

KPMGのネットワークを活かし、他社事例や現地慣行を踏まえて検討します。必要に応じて海外拠点にKPMGの現地法人が直接支援することにより、不要なリードタイムを削減します。