GDPRとCCPAの比較：3つの類似点と6つの相違点

GDPRとは何か？

一般データ保護規則（GDPR）は、欧州連合（EU）が2018年5月に制定したデータ保護法である。データの取り扱い、処理、保管に関する厳格なガイドラインを施行することで、EU域内の個人の個人データを保護することを目的としている。GDPRは、EU域外の組織であっても、EU市民のデータを扱うあらゆる組織に適用される。GDPRは、透明性のあるデータ慣行、同意、個人データに関する個人の権利を重視している。

GDPRは、コンプライアンス違反に対する罰金を義務付けており、最高2,000万ユーロ、または全世界の年間売上高の4％のいずれか高い方の金額となる可能性がある。同規制は、組織に対してセキュリティ対策の実施と違反の迅速な報告を義務付けることで、プライバシーの保護に重点を置いている。また、個人にデータへのアクセス、訂正、削除の権利を与え、個人情報の管理を強化している。

サイバーセキュリティにおけるAIの影響について詳しくはこちら：AIサイバーセキュリティ：サイバー脅威からAIシステムを守る。

CCPAとは？

カリフォルニア州消費者プライバシー法（CCPA）は、カリフォルニア州住民の個人情報を保護するために制定された州レベルのプライバシー法である。2020年1月より施行され、CCPAは住民にプライバシーの権利を与え、企業がどのようにデータを収集、使用、共有するかについて透明性を高める。年間総収入が2,500万ドルを超える、または5万人以上の消費者、世帯、デバイスのデータを取り扱うなど、特定の基準を満たす企業に適用される。

CCPAとGDPRの類似点とは？

1.保護個人データ

GDPRとCCPAはともに個人情報の保護を目的としており、データ利用の透明性と管理に重点を置いている。GDPRは、氏名、メールアドレス、IPアドレスなど、個人を特定できるあらゆる情報を対象としている。CCPAの定義は、閲覧履歴、購買記録、さらには個人に関するプロフィールを作成するために導き出される推論などのデータにも及ぶ。両規制とも、データ収集の目的やデータ・セキュリティ対策について明確なコミュニケーションを義務付けている。

GDPRとCCPAはデータ主体の権利を強制し、企業は収集・保存されたデータについて個人に通知することを義務付けている。適用範囲に違いはあるものの、どちらの法律もデータ収集の最小化と、設計およびデフォルトによるデータ保護の実施を推進している。また、不正アクセスを防止するためのセキュリティ・プロトコルが必要であり、違反があった場合には、影響を受ける個人に速やかに報告することを義務付けている。

2.消費者の権利

GDPRはEU市民に対し、アクセス、訂正、削除、データ処理に対する異議申し立ての権利など、広範な権利を提供している。同様に、CCPAはカリフォルニア州民に、どのような個人情報が収集、販売、開示されるかを知る権利と、データ販売からオプトアウトする権利を提供している。どちらの法律も消費者の権利拡大に重点を置き、企業に透明性のあるプライバシーポリシーと手続きの採用を促している。

GDPRの下では、個人はデータポータビリティを要求することができ、異なるサービス間で個人データを入手し、再利用することができる。CCPAにも同様の規定があり、消費者は容易に利用可能な形式で自分のデータにアクセスすることができる。両規制とも、消費者の要求に対するタイムリーな対応を義務付けており、通常GDPRでは1ヶ月以内、CCPAでは45日以内となっており、組織による迅速な対応を保証している。

3.規制要件

GDPRは、処理活動が個人データに高いリスクをもたらす場合、データ保護影響評価（DPIA）を実施することを組織に義務付けている。また、特定の組織については、データ保護責任者（DPO）の任命も義務付けられている。CCPAは、DPOの設置は義務付けていないものの、企業に対してデータ収集の慣行を開示し、消費者からの要求に対する仕組みを導入することを義務付けている。どちらの規制も、データ処理活動におけるプライバシーガバナンスと説明責任の重要性を強調している。

GDPRの遵守には、より厳格な文書化と、適法性、公平性、透明性といった原則の遵守が必要です。CCPAは、データ実務の明確化とオプトアウト・オプションの利用可能性を優先する。

GDPRとCCPAの比較：主な違い

1.範囲と適用性

GDPRは、組織の所在地に関係なく、EU市民の個人データを処理するあらゆる組織に適用される。GDPRはあらゆる分野を対象としており、データの取り扱いに関する規制を課している。これに対し、CCPAはカリフォルニア州で事業を行う営利企業を対象としており、年間総収入や個人データの処理量など一定の基準を満たしている。その結果、GDPRの世界的な適用範囲に比べ、範囲が狭くなる。

GDPRの適用範囲は広く、EU域外のデータ保護規制にも影響を及ぼす。EU居住者に商品やサービスを提供するEU域外の組織も含まれる。同様に、CCPAは、カリフォルニア州または米国外に設立された組織がカリフォルニア州の住民とビジネスを行う場合、その組織に影響を及ぼす可能性がある。

2.対象データの種類

GDPRの個人データの定義は幅広く、識別可能な個人に関連するあらゆる情報を包含する。これには、氏名のような直接識別子やIPアドレスのような間接識別子が含まれる。CCPAの定義はより広く、従来の個人情報を含み、閲覧履歴、購買行動、生体情報などのデータにも及ぶ。

両規制には、GDPRにおける健康記録や生体情報など、追加的な保護を必要とするセンシティブデータの特別分類が含まれている。また、CCPAは消費者プロファイルの作成に使用されるデータも対象としており、デジタルマーケティングやアナリティクスにおけるデータの進化した性質を強調している。

3.処理の法的根拠

GDPRは、同意、契約上の必要性、正当な利益など、個人データを処理する法的根拠を組織に求めています。GDPRは、データ処理活動について明示的な同意を得ることに重点を置き、同意が十分な情報を与えられた上で自由に与えられることを条件としている。CCPAは具体的な法的根拠を規定しないが、データ販売へのアクセス、削除、オプトアウトに関する消費者の権利に重点を置き、ユーザーのコントロールに重点を移している。

GDPRの下では、機密性の高い個人データの処理には、明示的な同意や法的義務の遵守など、より高度な保護措置と正当性が求められます。CCPAのアプローチは、透明性と消費者のエンパワーメントを中心に据えたものであり、企業に対し、データ取り扱いについて消費者に通知し、オプトアウトの選択肢を尊重することを義務付けている。

4.施行と罰則

GDPRでは、監督当局は最高2,000万ユーロまたは全世界の年間売上高の4％のいずれか高い方に制裁金を課すことができる。これらの罰則は、コンプライアンス違反に対する抑止力として機能する。CCPAは、意図的な違反には最高7,500ドル、意図的でない違反には最高2,500ドルの罰金を科し、カリフォルニア州司法長官が執行する。

GDPRの施行にはEU加盟国全体のデータ保護当局（DPA）が関与し、規制の均一な適用を保証している。CCPAはカリフォルニア州司法長官に執行を依存しており、消費者は特定のデータ侵害に対して私的訴権を有する。

5.データ漏洩の通知

GDPRの下では、個人の権利にリスクをもたらすデータ侵害は72時間以内に関連当局に報告されなければならない。また、影響を受ける個人にも過度な遅延なく通知しなければならない。CCPAは、影響を受ける消費者にできるだけ早く通知することを義務付けているが、特定の時間枠を義務付けてはいない。

両規制は、情報漏えいの内容、影響を受けるデータ・カテゴリー、影響を軽減するために講じた措置など、詳細な情報漏えいの通知を求めている。両規制はまた、データ侵害の記録を保持し、予防措置を実施することも企業に求めている。

6.セキュリティツールとプロセス要件

GDPRは、暗号化や仮名化など、個人データを保護するためのセキュリティツールやプロセスを義務付けている。組織は、データの機密性と処理活動によってもたらされるリスクに比例した技術的・組織的管理を実施しなければならない。CCPAはセキュリティ対策の概要を示していませんが、消費者データを保護するためのセキュリティ対策を実施する責任を企業に課しています。

GDPRの下でのセキュリティは、定期的な評価とセキュリティ・プロトコルの更新を伴う継続的なプロセスである。CCPAのアプローチは規定が少なく、企業がセキュリティ対策を決定する柔軟性が与えられている。しかし、どちらの規制も、効果的なセキュリティ対策を通じて個人データを保護し、消費者の信頼を維持することの重要性を強調している。

エクサビームによるGDPR対応

エクサビームは、企業がGDPRの技術的要件と運用要件の両方を満たすことを支援します：

• 外部脅威の削減: Exabeamは既存のセキュリティ・ソリューションと連携し、機械学習と行動分析を使って、敵がデータを見つけアクセスしようとしていることを示す可能性のある異常な行動を特定します。Exabeamの脅威タイムラインは、異常と相関ルールのイベントを組み合わせ、ユーザーやデバイスごとにイベントをグループ化します。
• 内部脅威の削減: Exabeamは、IDおよびアクセス管理ソリューションと連携し、割り当てられた権限の偶発的または悪意ある乱用に起因するセキュリティ・インシデントを防止します。特定のユーザーにとって標準から外れたアクティビティにフラグを立てることで、Exabeamはデータ盗難につながる可能性のあるインシデントを検知するのに役立ちます。ユースケースにマッピングされた理想的なログソースと、MITRE ATT&CK ^{Ⓡフレームワークは}、どのセキュリティツールを組み合わせれば、イベントの最も明確な全体像を示すことができるかを示しています。

可視化とダッシュボード: Exabeamは、GDPRの義務化とデータプライバシー担当者のニーズをサポートするために、コンプライアンスに基づいた明確なGDPRダッシュボードを提供し、簡単にダウンロード、エクスポート、または電子メールで定期的に送信します。