世界的な健康危機が続く中、プライバシーの将来をめぐって疑問や懸念が広まっています。現在、接触者追跡アプリの導入が進むにつれ、「新型コロナウイルスの追跡とプライバシー保護は両立できるのか？」といった見出しが頻繁に見られるようになっています。データプライバシーへの関心が高まっていることは重要ですが、ここでは基本に立ち返り、データの収集や監視が決して 新しい現象ではないことを 改めて認識しておきましょう。
将来を見据えるにあたり、まずは最近の過去を認識することが重要です。プライバシーの原則は新しいものではありません。ここ数年、世界的な舞台でプライバシーに関する議論が着実に高まっています。最も顕著な例は、2年余り前に欧州連合（EU）が一般データ保護規則（GDPR）を批准したことです。 これは、プライバシーやリスク管理に携わる人々だけでなく、世界中の組織にとっても画期的な出来事でした。世界各地でさまざまなレベルのプライバシー規制が存在する中、この集中的な取り組みにより、企業が個人情報や機密情報をどのように保管、管理、保護、利用すべきかが再定義されました。また、GDPRは、デジタル経済においてデータが果たす極めて重要な役割を、国際社会が認識するきっかけともなりました。
2020年現在、特に米国では「プライバシー関連法案が相次いで提出されている」。ワシントン州からフロリダ州に至るまで、各州議会は、人々を守るために何らかの措置を講じる必要があると認識している。 GDPR（一般データ保護規則）施行から2周年を迎えた直後、米国上院に「2020年データ説明責任・透明性法（Data Accountability and Transparency Act of 2020）」という法案草案が提出されました。この法案は、GDPRと同様の保護措置を米国にもたらすものです。これは数ある法案の1つに過ぎませんが、データ管理者に情報保護の責任を問うという点で、より踏み込んだ内容となっています。こうした進展は前向きなものですが、まだやるべきことは山積みです。
世界的な健康危機の最中、プライバシーというテーマが再び主要なニュースとなっている。しかし、GDPRを念頭に置き、各国政府は接触追跡アプリから地方自治体へ転送されるデータ量を制限 しようとしている。
この健康危機によって、私たちのプライバシーに対する認識は変わるだろうか？ そうは考えにくい。
何か具体的な出来事が起こるまでは、プライバシーは多くの市民が日常生活の中で積極的に意識することのない、背景にある問題に過ぎません。消費者はすでに、自分が望むものと引き換えに個人データを提供するように条件付けられています。今日でも同様のトレードオフが存在します。安全を確保するために接触追跡アプリを有効にするか、それともプライバシーを守るためにそれを避けるか、という選択です。世界の一部の地域では、こうしたアプリのダウンロードが義務付けられています。アイスランドのような国では、自発的な利用率が40％を超えています。
私のように医療分野で働く者にとって、プライバシーやデータセキュリティの問題は、単なる一過性の現象や一時的な出来事ではなく、まさに日々の業務そのものです。 私たちの行動を規定し、事業運営の指針となる規制が存在します。とはいえ、事業活動が再開される中、企業は従業員や顧客に関する機密性の高い健康データの収集を開始せざるを得なくなる可能性があります。多くの企業にとって、こうしたデータの保護に取り組むのはおそらく初めての経験でしょう。プライバシーを最優先にするためには、どのような措置を講じるべきでしょうか？
- 焦らず進めましょう。これは現代ビジネスの合言葉とは相反しますが、プライバシーに関しては、最初から正しく対応することが重要です。医療データが漏洩すれば、評判の失墜など、壊滅的な影響を及ぼす恐れがあります。長期的な効率化を実現するためにも、こうしたデータの管理とセキュリティ対策には細心の注意を払ってください。
- 同業者を頼りにしましょう。医療や金融サービスの分野では、長年にわたり、個人を特定できる情報（PII）の保護という課題に取り組んできた人々が数多くいます。私たちにはベストプラクティスがあり、どのベンダーを信頼すべきかを知っています。受信トレイに届くベンダーの営業メールや、インターネットのディスプレイ広告の保証だけを鵜呑みにして、勝手に決めつけたりしないでください。独立した組織が提供するリソースや、すでに実地で検証を終えている同僚の知見を最大限に活用しましょう。
- サードパーティ・リスクに一層の注意を払う必要があります。外部ベンダーが自社のプライバシープログラムの一部を実施している場合でも、単にネットワークへのアクセス権を持っている場合でも、それらを注意深く監視してください。事前に必要な評価を実施し、ガバナンス体制を整備して、ベンダーが特定の業務に必要なシステムや情報のみにアクセスできるようにしてください。
- 共有するデータを制限してください。部門間や社外でデータを共有する必要がある場合は、共有するデータを制限し、必要最小限にとどめるようにしてください。情報サプライチェーンにおいて、どのようなデータが誰と共有されているかを把握しておくことが不可欠です。
多くの点で、プライバシーをめぐる議論は、特に米国においてはまだ始まったばかりです。私の見解では、これは白黒はっきりとした議論ではありません。複雑で主観的な問題なのです。だからこそ、私は「やらなければならないこと」ではなく、「正しいこと」を行うべきだと主張しています。
データには価値があります。データは単なる数字や情報の集まりではなく、人間から派生したものです。それゆえ、データには計り知れない責任が伴います。コンプライアンス、リスク管理、情報セキュリティのいずれの分野に従事していても、自身の行動が企業の枠を超えて影響を及ぼすことを忘れてはなりません。株主のことだけを気にかけるだけでは不十分です。データの保護や管理に関する意思決定は、ステークホルダー（顧客、パートナー、従業員）にも影響を与えることを肝に銘じておいてください。
ケビン・ヘインズ氏は、 ネモアーズ・チルドレンズ・ヘルス・システムのチーフ・プライバシー・オフィサーです。
彼が最近行った、 『Security & Compliance Weekly』 での最近の対談をぜひご覧ください。ネモアーズがアーチャーを活用してコンプライアンスリスクを管理している方法について解説されています
