個人情報保護とは何かと思う時に、こう考えてみて欲しい。
「人の尊厳を守る事」
つまり、あなたの私生活や家族の情報を無断で公衆に晒す行為は、尊厳を貶める行為にあたるだろう。よって個人情報の取扱は配慮しなければならない。
なお、こうした概念はコモン・ローの時代から人格的利益の保護を根拠に扱われてきた。
しかし、インターネットが発達するとあらゆる情報と紐付けて、個人を特定する事が可能となる。例えばブラウザのCookieとアンケート画面を用意して入力させた個人情報と紐づけた場合、Cookieも個人情報として扱われる。
このように、個人情報の範囲は技術の進歩と共に限りなく広がっていく。そこでプライバシー・バイ・デザインによって、早い段階でプライバシー問題を特定して解決しなければならない。これは、情報セキュリティを維持する事と同様に取り組むべき事です。
ポジティブサム・ソリューションの創出
システムをプライバシーに配慮して構築することは、セキュリティや機能性を弱めるどころか、設計全体を高い次元へ向上させる。すべての関係者が同時に利益を得る状況が生まれます。
PETs
「不要なまたは不法な個人データの処理を防止することによって、または自らの個人データへの個人のコントロールを強化するためのツール及びコントロールを提供することによって、情報システムにおける個人の私生活の保護を強化する一貫したICTシステム」を意味する。この概念は情報システム構造の設計も含まれる。1995年以降IPCによって、この概念と用語は世界中に広まり利用されています。
Fact Sheet – Privacy by design
Privacy by design ensures that good privacy practices are built into your organisation’s decision-making…
www.ipc.nsw.gov.au
ポジティブ・パラダイムを採用するにあたり、技術における限りないイノベーションのためには、創造性が必須条件です。
プライバシーの見返り
１．顧客の信頼は、カスタマー・リレーションシップ・マネジメント（CRM）と生涯価値、言い換えれば収益の獲得を促進する。
２．信頼の喪失は、シェアの損失、収益の低下、および株価の低下をもたらす。
３．顧客の信頼は、その組織におけるデータのプライバシーポリシーと慣例の厳格さと信頼性に依存している。
例えば、以下のような構図をよく見かけます。
- プライバシー 対 セキュリティ
- プライバシー 対 情報システムの機能性
- プライバシー 対 経営効率
- プライバシー 対 組織管理
- プライバシー 対 可用性
しかし、プライバシー対策が乏しいと、追加的な費用が発生したり、機会や収益を逃したりします。
- 個人データが不当に利用・提供されたクライアントや顧客への損害
- 組織の評判やブランドへの損害
- 個人データの質や完全性の低下による金銭的な損失
- 取引上の損失、新製品の実装の遅延、またはプライバシー問題の対処費用等の金銭的な損失
- 悪い評判によるシェアの下落や株価の損失
- 個人情報保護法違反
- 業界全体の信用低下
プライバシー・バイ・デザインの概念
これらの事からポジティブサム・パラダイムにおいて、それは時にプライバシー保護技術の創出をもたらします。
プライバシーの観点からすれば、すべてのICTは基本的に中立である。重要なことは、その設計や利用ー技術（テクノロジー）はプライバシーを侵害するようにもプライバシーを強化するようにも設計する事ができる。PETsは、個人データの利用を最小化し、データの安全性を最大化し、そして個人に権限を与えることにより、基本的なプライバシー原則を具現化します。
すなわち早くからプライバシーを組み込む組織は、結果として、プライバシーの見返りを受け、多くの持続的な方法により、便益が得られます。
プライバシー・バイ・デザインを実現するには
プライバシー・バイ・デザインをどのように導入するかは、使用するシステム、実施するプロジェクトの種類、および個人情報を扱う範囲によって異なります。
以下の戦略は、プライバシー・バイ・デザインのアプローチを組織に定着させるのに役立ちます。
- 新しいプロジェクトを開始するとき、または既存のプロジェクトを変更するときは、常にプライバシー影響評価を検討する。
- 処理する個人情報の量を最小限にする：目的のために必要なものだけを収集し、使用する。
- 個人情報は可能な限り高い精度で集計し、最小限の内容で使用・保管する
- 可能であれば、個人情報を仮名化する。また、異なる情報源から得た個人情報を別々のデータベースに保存し、目的上必要な場合を除き、これらのデータベースをリンクさせてはならない。これにより、個人の身元が推測されるのを防ぐことができます。
- 個人情報をどのように扱っているのかが容易に理解できるよう、あらゆる公文書に「平易な言語」方針を採用する。
- 組織内のプライバシーおよびデータ保護に関する責任者の連絡先を公表し、プライバシー・マネジメント・プランにリンクさせる。
- システムのセキュリティ機能を構築し、改善する。プライバシーを向上させる技術を使用できる場合があります。
- IT システム、サービス、製品、ビジネス慣行において、個人情報が自動的に保護されるようにし、個人がプライバシー保護のために特別な行動を取る必要がないようにする。
- 他のシステム、サービス、製品を使用する場合、設計者や製造者がプライバシーに配慮しているものだけを使用するようにする。これらの当事者との契約に、第三者がPPIP法および／またはHRIP法を遵守するための要件が含まれているかどうかを検討する必要があります。
関連記事
