データプライバシーとデータガバナンスは、今日のデジタル時代において賛否が分かれる問題です。顧客情報を日常的に取り扱う事業主として、収集したデータが常に安全かつ確実に保護されるよう確保することは、あなたの責任です。
データ漏洩の件数が増加し続ける中、収集したデータの法的所有権や責任の観点から、自社の現状を把握しておくことが重要です。本記事では、データの所有権、データの共有、それに伴う権利と義務、そしてデータへのアクセスを最適に管理する方法について、包括的なガイドをご紹介します。
データの所有権とは何ですか？
データの所有権とは、データを使用、管理、および統制する権利を指します。通常、自分自身、自身の事業、および顧客に関連するデータを保有し、管理することは合法です。
データ所有者として、データの性質、出所、および必要な同意に応じて、特定の種類のデータを作成、編集、変更、共有し、そのアクセスを制限することができます。
米国には、データのプライバシーおよび保護に関する法律が数多く存在します。 その中には、医療業界の企業や組織を対象とした「医療保険の相互運用性と説明責任に関する法律（HIPAA）」のように、特定の業界を対象としたものもあります。また、「公正信用報告法（FCRA）」や「家族教育権およびプライバシー法（FERPA）」のような、一般的な連邦法もあります。「米国データプライバシー・保護法（ADPPA）」は現在まだ法案の段階ですが、可決されれば、データ管理に大きな変化をもたらすことになります。
データの所有権には、データの所有者が、自身のデータの取り扱い、誰がデータにアクセスできるか、どのような目的で、どのように使用されるかを決定する権利に加え、削除や訂正を求める権利も含まれます。
データプライバシー違反に対する罰金
多くの連邦法や州法は、EUの一般データ保護規則（GDPR）をモデルに制定されています。カリフォルニア州消費者プライバシー法（CCPA）など、米国の多くのデータプライバシー法では、個人がプライバシー権の侵害を理由に企業を提訴することが認められています。CCPA あたり750ドルのCCPA 、バージニア州消費者データ保護法（VCDPA）では1件あたり7,500ドルの罰金が科されます。
同様に、GDPR 、特定の種類のデータ侵害に対して、企業の全世界売上高の最大4％に相当する罰金が科されることがあります。
HIPAA 児童オンラインプライバシー保護法（COPPA）などの法令に違反した場合も、多額の罰金が科される可能性があります。企業はデータの所有権を認識し、顧客のプライバシーを保護するために自らの責務を果たすことが不可欠です。
データの所有権はなぜ重要なのか？
今日では、デジタル製品やサービスを販売していない企業であっても、ほとんどの企業が顧客から大量の個人情報を収集しています。これには、配送先住所や電話番号から、メールアドレスやクレジットカード番号に至るまで、個人を特定できるさまざまなデータが含まれます。
顧客と事業者との関係が継続している限り、記録保管の目的であれ、契約やサービスの維持のためであれ、データは事業者によって保持され続けます。
このシナリオにおいても、データの所有権は依然としてそのデータを提供した顧客に帰属します。データ管理に関する連邦および州の規制を遵守するためには、企業はデータ所有者の権利を十分に認識しておく必要があります。これを怠った場合、消費者保護に関する法令や規制の執行を担当する連邦取引委員会（FTC）から、貴社に対して罰則が科される可能性があります。また、個々の顧客は、自身のデータに関する権利を侵害した企業に対して訴訟を提起する権利を有しています。
データ所有者に求められる権利とは何ですか？
米国をはじめ、国際的なビジネスにおいては世界の他の地域においても、データの所有権に関するさまざまな法律や規制が存在するため、自社の対応が完全にコンプライアンスに準拠しているかどうかを確実に把握するのは困難な場合があります。一般的に、顧客の個人データは「識別可能なデータ」と「識別不可能なデータ」の2つのカテゴリーに分類されます。
個人を特定できるデータとは、個人を特定するために使用できるデータのことです。これには、氏名、社会保障番号、住所、電話番号、クレジットカード情報などが含まれます。多くのプライバシーおよびセキュリティ関連法では、所有者の明示的な同意なしに、企業がこの種のデータを保持、販売、または共有することを禁じています。
公的記録および雇用主のデータは、この法律の適用除外となります。たとえ個人を特定できる情報であっても、そのデータが雇用主によって収集されたものであるか、あるいは犯罪記録、裁判記録、不動産情報、破産判決などの公的記録として入手可能なものである場合は、消費者保護規制とは異なる、独自のデータ関連法規の適用を受けます。
特定不能なデータとは、衣服のサイズ、ストリーミングサービスの視聴履歴、購入履歴など、必ずしも個人を特定するために使用できないデータを指します。これは「匿名化データ」とも呼ばれ、特定可能なデータと同じような規制の対象にはなりません。
データ所有者のプライバシー権には、取引完了後に本人を特定できるデータの削除を要求する権利が含まれます。また、誤りや古い情報を訂正する権利、および自身のデータ要素が第三者に共有されないよう要求する権利も有しています。
データの露出とデータ収集を削減する
消費者データを収集する立場にある事業者として、そのデータの安全性とセキュリティを確保することは、貴社の法的責任です。セキュリティ対策やアクセス制御措置が不十分であることに起因するデータ侵害や漏洩が発生した場合、貴社は法的措置や多額の罰金に直面する恐れがあり、過失の程度や違反した法令によっては、数百万ドルから 数十億ドルもの損失を被る可能性があります。
データ所有権に関する問題や情報漏洩のリスクを低減する最善の方法は、手元にあるユーザーデータの量を最小限に抑えることです。これは、顧客への製品やサービスの提供に必要のないデータについては特に当てはまります。
データの漏洩とデータ収集は、データセキュリティにおける2大リスクです。データの漏洩とは、オンライン上でデータが不正に共有されることを指します。データ収集とは、複数の情報源からデータを収集し、そのデータをマーケティングやその他の目的で利用することを指します。これらの行為はいずれも、消費者のデータのプライバシーとセキュリティを脅かす恐れがあるため、回避するか、あるいは最小限に抑える必要があります。
データ漏洩のリスクを低減する最善の方法の一つは、信頼性の高い暗号化やtokenization 備えた、安全なクラウドベースのシステムを利用することです。これにより、システムの外部パラメータを制御できるだけでなく、データへのアクセス権限を持つユーザーを追跡・管理することも可能になります。
また、ユーザーの同意なしにデータを収集するプロセスも無効にする必要があります。そのような行為は、米国の複数のデータ保護法やプライバシー法に違反することになります。
Rixon でデータ所有者の権利を守りましょう
Rixon 、機密データを保有する組織向けに、先進的なセキュリティおよびプライバシーソリューションを提供する革新的な企業です。最先端の「vaultless 」tokenization により、収集されたすべてのデータが最新の規制や法令に従って確実に保護されるよう保証しています。
当社は、アクセス権限をカスタマイズするためのシンプルな切り替え機能だけでなく、当社のソリューションにネイティブに組み込まれた「ステークホルダー機能」を通じて、データ主権を即座に管理できる機能も提供しています。この機能により、データ所有者は自身のPII アクセスできるユーザーを管理することができます。データ所有者は、データプライバシー法に従い、世界中のどこからでもアクセス権の付与や取り消しを行うことが可能です。
今すぐ無料デモをご予約いただき、データプライバシーコンプライアンスに向けた取り組みを始めましょう。