改正個人情報保護法などへの対応には“組織の仕組み”が不可欠【第2回】

前回、データを活用できる組織になるには、役職や部門の垣根を超えて課題やアイデアを共有し、互いの意見を理解し合うことの必要性を説明した。そもそも、なぜデータ活用に「組織全体」という視点が必要なのか。「データを使う部門、IT部門だけで活用すれば、それで十分ではないか」と疑問を抱く読者も多いだろう。

　組織全体の視線が必要な理由は大きく2つある。

理由1：もはやビジネスにデータやITは不可欠である

　ビジネス環境の変化が激しく、かつ、物理的に働き手が少なくなっていく今、どの部門にも「関係ない」ということはあり得ない。例えば、「私は人事だから、マーケティングや営業部門のようにデータ活用とは関係ない」という意見がある。だが、どの企業も優秀な人材を求め、デジタルマーケティングの手法を取り入れている企業も増えている。人事にもデータ活用は決して無関係ではない。

　当然、マーケティングや営業など顧客と直に接する部門でのデータ活用は必須である。並行して、企業の各部門とIT部門の連携も、これまで以上に深く、強くなっていくと予想できる。

理由2：個人情報の扱いに関する環境が大きく変化した

　データ活用に関して企業を取り巻く環境は大きく変化している。なかでも大きな影響を与えるのが、第1回でも述べた個人情報保護法の改正である。最大のポイントは、個人情報を本人の同意なく個人特定のために使うことが禁じられたことだ。

　2022年4月から施行される改正個人情報保護法では、『令和2年改正版』（2020年）と『令和3年改正版』（2021年）が同時に施行され、改正されるポイントも多岐にわたる。個人情報やプライバシーへの関心が高まる中、これらへの対応を怠ることは、企業への信頼を大きく損ねかねない。

　個人情報の開示請求についても改正されている。これまで取得から6カ月以内に消去されていた個人データは、「保有個人データ」に含まれなかったものが、改正により保有個人データに含まれることになった。開示方法も、従来の書面に加え、電磁的記録（データ）による開示が認められるほか、第三者に個人情報を提供する際に義務付けられている「第三者提供記録」についても開示請求できる。

　つまり、これまで以上に本人から「自分の個人情報はどのように扱われているのか」の開示を請求できるようになった。同じ会社に所属しながら「私は担当ではない」という姿勢はガバナンスに問題があると言わざるを得ない。

　なお個人の権利が日本よりも尊重されているEU（欧州連合）では、より厳しい規則「GDPR（General Data Protection Regulation：EU一般データ保護規則）が2018年から施行されている。

　昨今、Webサイトにアクセスすると「このサイトでは利便性を高めるため、クッキーを利用しているので、クッキーの利用を受け入れるか、自分で詳細を設定するか選んでほしい」というメッセージが表示される。これはGDPRの定めに対応したものだ。

　日本のWebサイトでは「クッキーを利用しているので許可してほしい」というメッセージが出ることがある。だが、これはGDPRでは認められない。どのクッキーの利用を許可するかは、利用者本人が決められなければならないからだ。