製造業も個人データを取り扱っています

GDPRは数年前から施行されており、主要な制裁金で最も頻繁に引用される条項は第32条です。従業員、顧客、サプライヤーの個人データとエンジニアリングデータを処理する製造業者も、この義務から免除されません。

その理由の一つは、第32条がチェックリストのような書き方をされていないことです。4つのカテゴリーの対策が例示的に挙げられており、「適切性」はリスクに照らして判断されます。本記事では、これら4つのカテゴリーが実際に製造業者に何を求めているのかを解説します。

要約

GDPR第32条は、技術的および組織的対策の4つの例示的なカテゴリーを定めています。これらはいずれも一度導入すれば終わりというものではありません。製造業者にとって、規制施行から数年経った今、問うべきは「第32条に一度対応したか」ではなく、「現在のリスクに対して今も対応できているか」です。

主なポイント

1. 第32条は、4つの例示的な対策カテゴリーを挙げており、固定的なチェックリストではありません。
2. 「リスクに応じた適切性」とは、データの機微性や脅威の状況が変化するたびに基準も変動することを意味します。
3. GDPRの主要な制裁の多くは、手続き上の不備ではなく、セキュリティ対策の失敗が原因です。
4. 顧客による鍵管理がない暗号化は、仮名化要件を弱くしか満たしません。
5. 4つ目の要素である「有効性の定期的なテスト」は、ほとんどの製造業者が完全に見落としています。

「適切性」が個人データで常に変動する理由

第32条は、特定の技術を明示的に指定することを避け、代わりに「当該処理により生じるリスクに応じて適切な対策」を求めています。

リスクベースの表現は、データや脅威状況に応じて基準が変動することを意味する

あるカテゴリーの個人データに対して適切と判断された対策も、データの機微性や脅威の状況が変化すれば自動的に適切であり続けるわけではありません。

規制当局は「適切性」を合理的な製造業者の行動と比較して判断する

規制当局による判断では、そのデータを扱う合理的な製造業者がどのような対策を講じていたかが基準となります。

4つのカテゴリーが実際に求めるもの

各カテゴリーは、規制当局の判断で繰り返し問題となっている失敗事例があります。

実効性のある仮名化と暗号化

暗号化は、暗号化データを保持する組織が当然のように復号できる場合、このカテゴリーを弱くしか満たしません。

継続的な機密性・完全性・可用性・レジリエンスの維持

このカテゴリーは、導入時に一度評価すればよいものではなく、明確に継続的な対応が求められます。

なぜこの条項が今も最大の制裁金を生むのか

2026年までに発生する主要な制裁金は、文書化の不備ではなく、侵害後の技術的・組織的対策の不十分さに集中しています。

数年後も通用する第32条プログラムの構築

実務上は、4つのカテゴリーすべてを継続的な運用上のコミットメントとして扱うことが重要です。暗号化が本当に露出を制限しているかを検証し、アクセス制御が継続的に監視されているかを確認し、災害復旧を実際のスケジュールでテストすることが求められます。

データコントロールプレーンによる継続的な第32条遵守の支援

Kiteworksのデータコントロールプレーンは、顧客所有の暗号鍵をハードウェアセキュリティモジュール経由でサポートし、監査ログはデフォルトで匿名化されているため、真の仮名化レイヤーを追加します。シングルテナントアーキテクチャと組み込みの災害復旧構成により、継続的な機密性・完全性・レジリエンスを実現し、すべてのチャネルでの操作が改ざん防止かつ制限のない監査ログに記録され、SIEMツールに直接連携されます。

現在の対策が第32条の要件を満たしているか検証したい製造業者は、カスタムデモを予約できます。