GDPR第6条：データ処理の7つの法的根拠とは？

GDPR第6条とは？

一般データ保護規則（GDPR）は欧州連合の主要なデータ保護の枠組みです。GDPRの第6条は、個人データ処理の合法的根拠を概説しています。EU市民のデータ保護権を確保しつつ、個人データを合法的に処理できる特定の条件を定めています。

GDPR第6条を理解することは、EU域内で個人データを扱う組織やEU市民のデータを扱う組織にとって極めて重要です。データ処理の許容される根拠を明確にすることで、第6条は、組織がコンプライアンスに準拠した方法でデータを収集し、罰則のリスクを回避する方法を明確にしています。

ご参考までに、GDPR第6条の主要部分をご紹介します：

処理は、以下の少なくとも1つが適用される場合に限り、かつその限りにおいて適法とする：

(a) データ主体が、1つまたは複数の特定の目的のために個人データを処理することに同意した場合；

(b) データ対象者が当事者である契約の履行、または契約締結前のデータ対象者の要請に基づく措置のために処理が必要である場合；

(c) 管理者が従うべき法的義務を遵守するために処理が必要な場合；

(d) データ主体または他の自然人の重大な利益を保護するために処理が必要な場合；

(e) 公益のため、または管理者に与えられた公的権限の行使のために処理が必要な場合；

(f) 管理者または第三者が追求する正当な利益のために処理が必要な場合。ただし、かかる利益が、個人情報の保護を必要とする情報主体の利益または基本的権利および自由（特に情報主体が児童の場合）によって優先される場合を除く。

第1号の(f)項は、公的機関がその職務を遂行するために行う処理には適用されないものとする。

サイバーセキュリティにおけるAIの影響についてもっと知りたいですか？当社のブログをご覧くださいAIサイバーセキュリティサイバー脅威からAIシステムを守る.

GDPR第6条：処理の合法的根拠

第6条は、個人データを処理するための6つの合法的根拠を示している。各基準は異なる状況やニーズに対応し、厳格なデータ保護基準を維持しながら柔軟性を確保しています。本セクションでは、各基準を細分化し、その適用可能性と要件を強調します。

(a) 同意

同意はGDPR第6条に基づく主要な法的根拠です。これは、個人が自発的にデータ処理活動に同意することを要求するものです。同意は、明示的、具体的、十分な情報を提供され、かつ曖昧であってはなりません。つまり、ユーザーは自分が同意している内容を正確に把握し、明確な肯定的同意を提供しなければなりません。

しかし、有効な同意を得るには、透明性と簡便性が求められます。同意はいつでも簡単に撤回でき、個人が自分のデータを管理できるようにすべきです。

(b) 契約上の必要性

法的根拠としての契約上の必要性は、データ対象者との契約を履行するためにデータ処理が必要な場合に適用されます。例えば、誰かが製品を購入する場合、その住所および支払データは、取引の完了および配送のために必要です。この根拠により、業務運営と顧客の期待およびサービス提供が一致します。

この基準を遵守するためには、データ処理が契約上の義務に直接結びついている必要があります。企業は、契約の履行に必要な以上のデータを処理しないことを保証し、データの収集と使用における最小限のアプローチを重視しなければなりません。

(c) 法的義務の遵守

組織は、法的義務を遵守するためにデータを処理することができます。つまり、税務報告や雇用記録の管理など、法律や規則が特定のデータ処理活動を義務付けている場合、これらの活動はGDPRの下で合法的なものとなります。この根拠により、企業は強制的な法的要件を無視することができなくなります。

この基本に沿うためには、企業は適用される法的要件を明確に理解し、データ処理がこれらの義務に厳密に従うようにしなければなりません。

(d) 重要な利益

重要な利益とは、個人の生命または健康を保護するためのデータ処理を可能にする、もうひとつの合法的根拠です。この根拠は、通常、医療上の緊急事態など、緊急の対応が必要な場合に発動される。重要な利益を守るためのデータ処理の必要性が焦点となります。

この根拠は、適用範囲が狭く具体的であるため、慎重な検討が必要である。組織は、そのような処理が真に必要であり、他の法的根拠がより適切でないことを確認しなければならなりません。このことは、緊急時におけるデータ保護とニーズのバランスをとることの重要性を強調しています。

(e) 公益または公的権限

公共の利益のために遂行される任務の遂行または公的権限の行使のために必要なデータ処理もまた、合法的な根拠です。公的機関や公共性のある業務を遂行するその他の組織は、しばしばこの根拠に依拠します。例えば、選挙管理や公衆衛生プログラムのためのデータ処理などです。

この基盤を活用する組織は、その公的任務と、その行動を規定する法的枠組みについて、明確性と透明性を確保しなければなりません。

(f) 正当な利益

正当な利益は柔軟な根拠を提供し、組織の必要かつ正当な利益に関連する目的のためのデータ処理を許可します。これには、詐欺防止、ダイレクト・マーケティング、データ分析などの活動が含まれます。正当な利益は、データ対象者の権利および自由に優先してはなりません。

このバランスを取る行為では、組織は、潜在的なリスクや個人のプライバシーへの影響に対する利益を評価する必要があります。この根拠への依存を正当化し、GDPRの要件への準拠を証明するためには、適切な文書化と徹底的な影響評価が不可欠です。

GDPR第6条遵守のためのベストプラクティス

GDPR第6条への準拠を達成するには、データ処理の合法的根拠を明確に理解し、適用する必要があります。組織は、処理活動の前に適切な根拠を特定し、文書化を徹底し、GDPRの原則を遵守しなければなりません。

適切な法的根拠の決定

データ処理の適切な法的根拠を選択することは、GDPR遵守の基本です。これには、データ処理活動のコンテキストを評価し、第6条に概説されている適切な法的根拠と照合することが含まれます。組織は、選択した各法的根拠の根拠を体系的に文書化する必要があります。

法的根拠の適切性の評価には、データの性質、処理の目的、および個人の権利に対する潜在的な影響の考慮が含まれます。このプロセスでは、GDPRの要件と組織のニーズの両方を深く理解し、データ保護が業務上の目的に合致していることを確認する必要があります。

有効な同意の確保

有効な同意を確保するためには、個人データを処理する前に、データ対象者から明 確で明確な同意を得ることが必要です。同意は、自由に与えられ、具体的で、十分な情報が与えられ、曖昧さのないも のでなければなりません。組織は、わかりやすい言葉を使用し、データ処理に関する情報を提供すべきです。

同意の仕組みはユーザーフレンドリーであるべきであり、個人が簡単に同意を提供したり撤回したりできるようにすべきです。これには、同意プロセスをユーザーインターフェースに統合し、同意管理に対応するシステムを維持し、GDPR要件への継続的なコンプライアンスを確保することが必要です。

同意の記録を保管する

同意の詳細な記録を残すことは、GDPRの遵守を証明するために重要です。記録には、誰が、いつ、何について同意したかを含める必要があります。この文書は、同意が有効に取得されたことを証明し、コンプライアンス違反の申し立てのリスクを軽減するのに役立ちます。

記録には、撤回または変更を含む同意ステータスの変更も示すべきです。最新の同意記録を維持するには、データ処理活動が一貫してデータ対象者の現在の同意 状況を反映していることを確認するための定期的なレビューおよび監査が必要です。

同意の撤回を促進する

同意の撤回を促進するには、個人がデータ処理への同意を撤回するための分かり やすくアクセスしやすい方法を提供する必要があります。組織は、データ対象者が理由なくいつでも簡単に同意を撤回できる仕組みを導入す べきです。

撤回時には、同意のみに基づくデータ処理活動は直ちに中止しなければなりません。撤回された同意の下で以前に収集されたデータを削除または匿名化するための 手続きが整備されるべきであり、これはデータ主体の権利を維持するための積極的な アプローチを反映するものです。

必要な処理を特定する

必要な処理活動を特定するためには、法的根拠に基づく特定の目的を達成するために 不可欠なデータ処理を決定する必要があります。組織は、その処理が意図された目的に見合ったものであるかどうか、また、より侵入的でない手段で同じ結果が得られるかどうかを評価しなければなりません。

この評価には、データ処理の必要性を慎重に分析し、最小限のデータ収集と必要 な範囲に合わせた処理活動を確保することが含まれます。文書化と定期的な見直しにより、データ処理行為の必要性と比例性を検証します。

重要な利益の保護に必要なデータのみを処理する

生命的利益の保護のみを目的としたデータ処理は、具体的かつ限定的な範囲に限られます。組織は、そのような処理が誰かの生命または健康を保護するために明白に必要であることを保証しなければなりません。この根拠は一般的に、他の法的根拠では不十分な緊急事態のために確保されます。

事業者は、この根拠を使用する各事例を文書化し、その必要性を明確に正当化しなけれ ばなりません。緊急時対応プロトコルの定期的な見直しと更新は、重要な利益の下でのデータ処理がコンプライアンスと透明性を維持するのに役立ちます。

公益に奉仕する、または公的権限を行使する

公益のため、または公的権限を実行するためのデータ処理には、明確な正当化理由と法的裏付けが必要です。この根拠は、公衆衛生の監視や選挙の管理など、公共部門や社会に利益をもたらす業務に適用されることが多いです。

組織は、その公益的役割を透明性をもって伝え、その活動を規定する法的枠組みを厳格に遵守しなければなりません。これには、公的説明責任と、データ処理努力の社会的利益と法令遵守を明確にするための継続的なコミットメントが含まれます。

データ保護対策の実施

データ保護対策を実施することで、GDPRの原則に確実に準拠し、個人データの完全性を保護します。これには、不正アクセスや侵害から保護するための暗号化、アクセス制御、定期的な監査、従業員研修などの技術的・組織的対策が含まれます。

データ保護対策の継続的な評価と強化は、進化する脅威と規制の変更に適応する上で極めて重要です。

エクサビームによるGDPR対応

エクサビームは、企業がGDPRの技術的要件と運用要件の両方を満たすことを支援します：

• 外部脅威の削減: Exabeamは既存のセキュリティ・ソリューションと連携し、機械学習と行動分析を使って、敵がデータを見つけアクセスしようとしていることを示す可能性のある異常な行動を特定します。Exabeamの脅威タイムラインは、異常と相関ルールのイベントを組み合わせ、ユーザーやデバイスごとにイベントをグループ化します。
• 内部脅威の削減: Exabeamは、IDおよびアクセス管理ソリューションと連携し、割り当てられた権限の偶発的または悪意ある乱用に起因するセキュリティ・インシデントを防止します。特定のユーザーにとって標準から外れたアクティビティにフラグを立てることで、Exabeamはデータ盗難につながる可能性のあるインシデントを検知するのに役立ちます。ユースケースにマッピングされた理想的なログソースと、MITRE ATT&CK ^{Ⓡフレームワークは}、どのセキュリティツールを組み合わせれば、イベントの最も明確な全体像を示すことができるかを示しています。

可視化とダッシュボード: Exabeamは、GDPRの義務化とデータプライバシー担当者のニーズをサポートするために、コンプライアンスに基づいた明確なGDPRダッシュボードを提供し、簡単にダウンロード、エクスポート、または電子メールで定期的に送信します。