企業がいま取り組むべきプライバシー対策 — 法令順守を超えた『信頼』の設計図（前編）

EY Digital Trustのコラムシリーズ第3回は、プライバシー／セキュリティ。

個人情報保護、プライバシー対策は、ITの技術進歩と法規制の強化が加速する現在、企業のリスク管理における最重要テーマの1つとなっています。

本稿では前後編の2部構成で、前編はプライバシー対策を取り巻く環境や変化について企業がどう対応していくべきか、実例をもとに解説します。
 

1. いま起きている環境の変化

Q：なぜプライバシー対策が重要とされるのでしょうか。

2000年代以降、インターネットやSNS、クラウドサービスの普及により、個人情報が容易にグローバルに流通する時代が到来しました。これに伴い、本人の想定を超えた利用や不利益が生じ得るリスクが顕在化し、GDPRをはじめとする法規制の強化が世界的に進んでいます。最近ではAIの活用により、収集されるデータ量はさらに増加し、新たなリスクが生まれています。

こうした変化の中で、企業は 自社としてどこまでプライバシーに配慮するか を主体的に考え続ける必要があります。プライバシー対策は一度整備して終わるものではなく、継続的に取り組むべきテーマといえます。

2. 個人情報保護とプライバシーの違い

Q：個人情報保護とプライバシーはどのように異なり、なぜ両者が同時に論じられるのでしょうか。

一般的に、個人情報保護は法規制に基づく管理枠組みの説明として使われます。法令順守は最低限の要件にすぎません。一方、プライバシーは、家庭内の私事や個人の秘密に関すること、他人から干渉・侵害を受けない権利が含まれ、また最近では「自己の情報をコントロールできる権利」という意味でも使われることがあります。法規制上問題がなくても、想定外の利用が行われれば信頼低下につながります。

そのため企業は、法令対応とプライバシー配慮の両面を組み合わせたリスク管理が求められます。

3. 生成AIの新論点

大量データの解析を前提とするAI技術がもたらすプライバシーリスクにも注目されています。

Q：生成AIのリスクにはどのようなものがありますか？

生成AIにより、従来のデータ利活用からさらに収集データ量が拡大し、意図しない個人情報の収集や利用のリスクが高まっています。また推測、結合の技術が進化することで、個人情報が含まれない複数のデータを結合、分析することで個人が推測される「新たな個人情報」の生成にも懸念が広がっています。

企業は、①どのような情報を収集、入力し、活用しているか、②情報の取り扱い管理プロセスが整備され、検証されているか、③責任の所在が明確であるか、などの観点について、透明性をもった説明責任を果たすことが求められます。

4. プライバシー対策の第一歩

Q：企業はまず何から始めるのがよいでしょうか。

自社の現状について、各国の法規制、業界ガイドライン、国内外の規格（JISQ15001、ISO/IEC27701等）の水準とのギャップを把握し、リスクを特定することが先決です。改善活動は、リスクが高い領域から進めることが一般的ですが、組織の役割定義やルール作り、運用は安全管理策の実施やモニタリングなど、現場レベルでの実行や継続的な運用の具体化を行います。一度整備して終わりではなく、継続的な改善を前提とした仕組設計がよいでしょう。

プライバシー対策は、AI以外のリスク領域、例えばセキュリティ、サステナビリティとも親和性があります。既存のノウハウの活用、横展開も検討されるとよいかと思います。