データプライバシー

データ保護の原則を遵守する

データ処理の原則を遵守するには、次の操作を実行します。

• 各カテゴリの個人データを処理する必要性を特定し、文書化します。データ処理の必要性を識別できない場合は、データを処理しないでください。データを処理する必要性を認識したら、その必要性以外の理由でデータを処理しないでください。
• お客様のニーズに必要な最小限の個人データのみを処理し、特定されたニーズに対してデータが適切であることを確認します。
• 個人データが正確であることを確認します。データが不正確な場合は、データ更新に必要なメカニズムが整備されていることを確認してください。
• 必要な期間のみ個人データを処理します。データが不要になったら削除してください。文書保管スケジュールには、個人データの各カテゴリの処理が説明されています。

個人データが安全であることを確認する

個人データのセキュリティは、アプリケーションの全体的なセキュリティとともに考慮されます。安全なコーディング手法を使用して、攻撃者がアプリケーションや個人データを侵害する可能性を低減します。アプリケーションをあらゆるレベルでテストし、アプリケーションを侵害しようとしている専門的で倫理的な権限のないユーザーのサービスを受けることを検討します。可能な限り個人データを暗号化します。個人データにアクセスする必要がある必要な人物のみがアクセスできるように、適切なアクセス制御が実施されていることを確認します。

個人が権利を行使できるようにする

アプリケーションがデータ主体の個人データを処理する場合、その個人にはプライバシー規制によって付与される特定の権利があります。個人のリクエストを満たすには、リクエストを効率的に処理できるように、アプリケーション内で個人データが処理される場所を文書化します。

データ主体には自身のデータにアクセスする権利があります。アプリケーションによって処理される個人情報のコピーを提供するためのメカニズムが整備されていることを確認します。データ主体には、自分のデータを別の組織またはデータ リポジトリに転送するよう要求する権利もあります。このような要求があった場合、構造化された一般的な形式でデータを転送します。アプリケーションによって処理される個人データは正確かつ最新のものでなければなりません。データが正確かつ最新でない場合、データ主体はデータの修正を要求することができます。

データ主体は同意を撤回したり、データの処理に反対したり、データの削除を要求したりすることができます。個人データの削除を可能にするメカニズムを導入する必要があります。あるいは、データ主体は、指定された目的のために個人データの処理を停止するよう要求することもできます。この場合、個人データは削除されませんが、特定された目的のためにデータの処理は停止されます。

個人データの地理的位置とアクセス可能性を文書化する

プライバシー規制では、個人データが処理される場所に関する制限を設けたり、特定の国や地域外にデータを転送するための適切なメカニズムを義務付けたりします。データ主体が居住する国または地域以外で個人データを処理する場合は、別の国または地域にデータを転送するための適切な法的メカニズムを特定する必要があります。顧客は、データが処理される場所を顧客とユーザーに通知する必要があります。この情報を顧客に伝える必要があります。

データ主体の同意を追跡する機能の要件を検討する

アプリケーションを使用する組織は、個人データの処理を合法的に行うために、適切な方法でデータ主体の同意を得る必要があります。データ主体がアプリケーションとやり取りする方法の性質に応じて、同意を得るためのメカニズムを要求することができます。その場合は、その同意がいつ、どのように与えられたかを記録する必要があります。また、その同意を取り消すためのメカニズムも用意する必要があります。

顧客との適切な契約条件が確立されていることを確認する

プライバシー規制では、データ管理者としての組織とデータ処理者としての組織を区別しています。データ管理者は、個人データを処理する目的と方法を決定する組織です。データ処理者は、データ管理者に代わって個人データを処理する組織です。ほとんどの場合、あなたはデータ処理者であり、あなたの顧客はデータ管理者です。 個人データは、データ管理者からの指示があった場合にのみ処理する必要があります。あなたまたはあなたの顧客は、それらの指示を記載した法的文書を作成する必要があります。文書に署名したことを確認します。