企業に対して自分に関する個人データを保有しているか尋ねる1通のメールは、些細な事務的請求に見えるかもしれません。しかし、欧州における最近の執行決定によれば、その1件の請求が企業のデータ保護上の失敗を次々と明るみに出す糸口となり、その企業に数百万ユーロの損害をもたらす可能性があります。GDPRデータ主体の権利――一般の人々が自分の個人データにアクセスし、訂正し、削除し、または移転することを可能にする手段――は、規制当局が組織内部のより大きな問題を暴くために用いる仕組みになりつつあります。
GDPRデータ主体の権利とは何か、なぜ重要なのか
GDPRの下では、EUで事業を営む企業や組織によって個人データを処理されるすべての人は、一連の強制力のある権利を有します。これには、どのようなデータが収集されているかを知る権利、そのデータのコピーにアクセスする権利、不正確な情報を訂正してもらう権利、削除を請求する権利（しばしば「忘れられる権利」と呼ばれる）、そして自分のデータを別のサービスに移せるよう、持ち運び可能な形式で受け取る権利が含まれます。
これらの権利は新しいものではありません。GDPRが発効して以来存在しています。変わってきているのは、それらがどのように使われているかです。規制当局や裁判所は、1件のデータ主体の請求と、それに対する企業の対応を、その企業のデータガバナンス全体を映す窓として扱う傾向を強めています。企業が「あなたは私について何を知っており、それはどこに保存されているのか」といった単純な問いに、完全かつ迅速に答えられない場合、その失敗はしばしばより深い構造的問題を示唆します。すなわち、相互に接続されていないシステムに散在するデータ、チーム間で不明確な責任の所在、あるいは個人の権利を念頭に置かずに設計されたプロセスです。
1件の苦情がどのように数百万ユーロの制裁金になったか
最近の欧州の決定は、これが実際にどのように展開するかを正確に示しています。ある人が基本的な権利を行使します。多くの場合、自分の記録へのアクセスを求める、あるいは自分のデータの削除を請求するといった、ごく単純なことです。企業は不完全に、遅れて、あるいはまったく対応しません。データ保護機関への日常的な苦情として始まったものが、その後、本格的な調査へとエスカレートし、その調査はしばしば元の請求をはるかに超える問題を明らかにします。正当な理由なく保持されたデータ、部門間で一貫性のない取り扱い、あるいはコンプライアンスのために適切に監査されたことのないシステムです。
その結果、これらの事例に関連する制裁金は、たとえ引き金が、書面上はすでに存在していた権利を主張する一個人であったとしても、数百万ユーロに達することがあります。このパターンは、データ主体の権利が単なるコンプライアンス上のチェック項目ではないことを示しています。それらは規制当局が進んで用いる積極的な執行手段であり、1件の苦情がしばしば扉を開くのに十分なのです。
これは、Uberの8億2500万ユーロのGDPR制裁金で起きたことと軌を一にしています。これは、十分な透明性や人による審査なしに行われたアカウント停止などの自動化された決定を中心としたものでした。どちらの状況でも、根本的な問題は同じでした。すなわち、個人データが大規模に処理されている一方で、誰かが疑問を呈したり決定に異議を唱えたりしたときに、それを適切に説明するための体制が整っていなかったのです。
企業が対応に奔走していることが、あなたのデータ露出について明らかにするもの
消費者にとって、これらの執行事例には重要な教訓が埋もれています。規制当局が、正式に請求された際に個人のデータの完全で正確な全体像を提示することに企業が苦労していることを突き止めているのであれば、それは多くの組織が内部でも明確な全体像を持っていないことを強く示唆します。個人データは、企業が認識しているよりも多くの場所に存在することがよくあります。マーケティングデータベース、サポートチケットシステム、分析プラットフォーム、第三者ベンダー、そして完全には把握されたことのないバックアップです。
この断片化こそが、1件のデータ主体の請求がこれほど多くを露呈しうるまさに理由です。それは企業に、あなたの情報がどこに存在するかを実際に追跡させることを強制し、しばしばその作業は組織が存在すら知らなかった欠陥を明らかにします。言い換えれば、あなたの権利を保護するその同じ請求が、企業がデータ保護をどれほど真剣に受け止めているかの実践的な監査としても機能するのです。
自分の権利を行使し、自分のデータフットプリントを監査する方法
規制当局があなたに代わって行動するのを待つ必要はありません。GDPRデータ主体の権利はあなたが直接利用できるものであり、その使用はしばしば簡単です。
- アクセス請求を送る。 企業に直接、自分についてどのような個人データを保有しているか、それはどこから来たのか、誰と共有されたのかを尋ねましょう。
- 訂正を請求する。 返ってきたデータの中に不正確または古いものがあれば、それを修正してもらう権利があります。
- 適切な場合には削除を求める。 もはやサービスを利用していない、あるいは企業があなたのデータを保持する正当な理由がない場合には、消去を請求しましょう。
- ポータビリティを請求する。 自分の情報を別のプロバイダーに移したい場合には、構造化され、一般的に使用される形式でそれを求めましょう。
- 応答時間を追跡する。 企業は一般に、定められた期間内に応答することが期待されています。遅延や不完全な回答は、あなたの国のデータ保護機関に報告できます。
これがあなたにとって意味すること
GDPRデータ主体の権利に関連する執行リスクの高まりは、最終的には個人にとって良い知らせです。それは、書面上の権利が無視されたときに実際の結果によって裏付けられていることを意味します。企業のシステムの中に自分の個人情報がどれだけ漂っているのかと疑問に思ったことがあるなら、データアクセス請求の提出は、それを知るための正当で手間のかからない方法です。あなたには何の費用もかからず、企業には法的に応答する義務があります。
同時に、これらの事例は、データ保護上の失敗がめったに限定されたままでは済まないことを思い起こさせます。ある人のアクセス請求を誤って処理する企業は、しばしばより広範にデータガバナンスを誤って処理しており、それはそのシステムを通るすべての人の情報に影響を与えます。
出発点として、あなたに関する重要な個人情報を保有している2、3のサービス――例えば元雇用主、もはや利用していないサブスクリプションサービス、あるいは機微なデータに関連するプラットフォーム――を特定し、正式なアクセスまたは削除の請求を提出することを検討してみてください。彼らがどれだけ迅速かつ完全に応答するかに注意を払いましょう。その応答は、その組織がGDPRデータ主体の権利をどれほど真剣に扱っているか、そしてあなたのデータが本当に管理下にあるかどうかを、多く語ってくれます。
