プライバシーバイデザインとデータ保持ポリシー

Privacy by Design（PbD）は、Ann Cavoukianが1990年代に提唱したフレームワークであり、プライバシーを後付けの対策ではなく、設計の基礎となる要件として扱います。システムの構築後にプライバシー制御を追加するのではなく、PbDでは最初の設計判断からそれらを組み込みます。GDPR第25条は、PbDをEU向けシステムに対する法的要件として正式に規定し、設計および初期設定によるデータ保護を求めています。つまり、デフォルト設定は常に、利用可能な選択肢の中で最もプライバシーを保護するものでなければなりません。

Cavoukianの7原則は次のとおりです。事後対応ではなく事前対応：プライバシーに関する事象が発生する前に予測し、防止します。デフォルト設定でプライバシーを保護：プライバシー保護のためにユーザーが操作する必要はありません。設計へのプライバシーの組み込み：別の層として後から追加するのではなく、設計に組み込みます。完全な機能性：プライバシーのためにセキュリティや機能性を犠牲にする必要はありません。エンドツーエンドのセキュリティ：収集から廃棄まで、ライフサイクル全体を保護します。可視性と透明性：運用を独立した検証に対して開かれたものにします。ユーザーのプライバシー尊重：ユーザー中心の制御と強力なデフォルト設定を採用します。

プライバシー・バイ・デフォルトとは、最もプライバシーを保護する設定が初期状態で有効になっていることです。ユーザーがデータ収集を拒否したり、共有を制限したりする必要はありません。共有には、ユーザーによる明示的なオプトイン操作を必要とします。実例として、ソーシャルメディアのプロフィールは公開ではなく非公開を初期設定にする、分析ツールは最小限のデータ収集を初期設定にする、アプリは位置情報の許可を要求しないことを初期設定にする、といった方法があります。PbDの原則では、ユーザーの認識に頼るのではなく、プライバシーを保護する選択を自動的に行うことがエンジニアに求められます。

データ最小化は、PbDの原則であり、GDPRの法的要件でもあります。指定した目的に厳密に必要な個人データだけを収集します。機能を構築する前に、エンジニアは「この項目は本当に必要か」と問いかけるべきです。一般的な最小化の手法には、生データの代わりに導出値を収集する（生年月日ではなく年齢層）、仮名化を使用する（直接的な識別子をトークンに置き換える）、個人単位の分析が不要な場合に匿名化を実施する、といった方法があります。収集しなかったデータが漏えいすることはありません。

仮名化では、個人を直接特定できるデータを人工的な識別子（トークン）に置き換えますが、対応表を保持するため、キーがあれば再識別できます。GDPRは仮名化をリスク低減手法として認めていますが、仮名化されたデータをGDPRの対象外とはしていません。仮名化されたデータも引き続き個人データです。匿名化では、個人を特定できる可能性を不可逆的に取り除きます。真に匿名化されたデータはGDPRの適用範囲外となりますが、完全な匿名化を技術的に実現するのは困難です。匿名とされている多くのデータセットも、補助データや推論攻撃によって再識別される可能性があります。

プライバシー影響評価（PIA）は、GDPRではデータ保護影響評価（DPIA）と呼ばれ、新しいシステムやプロセスの開始前にプライバシーリスクを評価するものです。GDPRでは、処理によって高いリスクが生じる可能性がある場合にDPIAを義務付けています。たとえば、機微なデータの大規模処理、体系的なプロファイリング、新しい技術の利用などが該当します。DPIAには、処理の目的、必要性の評価、リスクの特定、リスク低減策を記録します。DPIAを早期に完了しておくと、システム構築後の高額な再設計を防げます。

データ保持ポリシーは、各カテゴリのデータを安全に廃棄するまでの保持期間を定めます。保持期間の決定では、法的、業務上、監査上の要件を満たすために十分な期間データを保持することと、不要なリスクとなるほど長期間保持しないことという、相反する2つの要求のバランスを取ります。GDPRの保存期間の制限に関する原則では、当初の目的に必要でなくなったデータを削除することが求められます。保持スケジュールは文書化し、自動削除ジョブやアーカイブの有効期限設定によって技術的に適用しなければなりません。

保持スケジュールには、法的保全のための例外メカニズムを設ける必要があります。訴訟が予想される場合や開始された場合、組織には通常の保持スケジュールにかかわらず、関連する可能性のあるすべてのデータを保存する義務があります。法的保全の対象となっているデータを破棄すると、証拠の毀棄に該当し、不利な裁判判断や制裁につながる可能性があります。法的保全ソフトウェアは、対象データに技術的な保存フラグを設定し、法務チームが保全を解除するまで自動削除を防止します。法的保全は、その期間全体を通じて追跡・記録しなければなりません。

データが保持期間の終了に達したら、復元できない方法で破棄しなければなりません。デジタルデータの場合は、暗号消去（暗号鍵を破棄して暗号文を利用不能にする）、消磁（磁気媒体の場合）、安全な上書き（NIST SP 800-88のClearまたはPurge）、または物理的破壊（シュレッダー処理、焼却）を行います。組織は、特に第三者に媒体の破棄を委託する場合、コンプライアンス監査の証拠として破棄証明書を発行すべきです。クラウドストレージでは、通常、暗号消去が実行可能な唯一の方法です。

適法性の根拠として同意に依存する組織は、誰が、いつ、どのような具体的な処理に対して、どの手段で同意したのかを証明できる同意記録を維持する必要があります。これらの記録は、処理が継続する期間に加え、紛争解決に必要な合理的な期間が経過するまで保持しなければなりません。同意管理プラットフォーム（CMP）は、Cookieへの同意取得、設定の収集、同意の撤回を自動化します。同意の変更に関する監査証跡は不可欠です。ユーザーが同意を撤回したにもかかわらずデータ処理が継続されると、組織はGDPRに基づく重大な責任を問われるおそれがあります。

実務におけるプライバシー・バイ・デザインとは、アーキテクトが設計段階でプライバシーに関する問いを検討することです。クライアント側の分析ビーコンよりもサーバーサイドレンダリングを優先してください。カード番号をそのまま保存するのではなく、トークナイゼーションを使用してください。機密フィールドを対象に、データベースで列レベル暗号化を適用してください。クエリごとに必要最小限のデータだけを強制的に使用させるデータアクセス層を設計してください。PIIは、より厳格に制限した別のデータベーススキーマに保存してください。分析結果には差分プライバシーを適用してください。こうした選択を積み重ねることで、内部関係者であっても悪用が極めて困難なシステムになります。

このレッスンで扱ったCompTIA Security+（SY0-701）の概念について、理解度を確認しましょう。

このレッスンでは、次のことを学びました。プライバシー・バイ・デザインは、プライバシーを7つの基本原則（デフォルト設定でのプライバシー保護など）とともに、システムの設計当初から組み込みます。データ最小化と仮名化は、分析を可能にしながら攻撃者にとってのデータの価値を低下させます。また、データ保持ポリシーは、不要なデータ保存のリスクと法的義務のバランスを取り、保存期間終了時には安全に破棄します。次は、アンチウイルス、EDR、XDRプラットフォームなどのエンドポイントセキュリティについて学びます。