先進国がパンデミックからの回復の兆しを見せ始めるにつれ、営業を再開すると発表する企業が増えています。 そこで疑問が生じます。規制当局もまた、ビジネスに前向きなのでしょうか？ 彼らは結局、去っていったのでしょうか？
まあ、他の多くの企業と同様、規制当局や監視機関もリモート勤務に移行し、業務手順を調整しましたが、その存在が消えたわけではありません。
新型コロナウイルスの混乱や、それがビジネスにもたらした課題を背景に、むしろ問うべきなのは、規制当局がパンデミック下で企業に余裕を持たせるために、一部の規制を緩和したのかどうか、ということかもしれません。
3年前に施行された、欧州連合（EU）の一般データ保護規則（ 、GDPR）を例に挙げましょう。 この法律は、EUおよび欧州経済領域（EEA）外への個人データの移転に対処し、個人が自身の情報を管理できるようにすることを目的としており、個人の情報を管理し、27カ国からなるEU域内で事業を行うあらゆる企業に、劇的な変化をもたらしました。
この法律により、EU加盟国は、データ漏洩が発生した場合、企業に対して年間売上高の最大 4％に相当する罰金を科すことができるようになりました。
莫大な罰金の脅威に怯えた企業各社は、GDPRの施行に先立ち、途方もないほどのリソースをコンプライアンス対策に投入しました。 法律専門家のための求人プラットフォーム「 LegalJobs」（ ）によると、米国企業の10 社のうちほぼ8社が、この規制への対応に向けた措置を講じており、そのうち27％が規制遵守のために50万ドル以上を費やしたとのことです。
ホットボタン
昨年、パンデミックが拡大する中、 のオマー・テネ氏（）――国際プライバシー専門家協会（IAPP）の副会長兼最高ナレッジ責任者――によると、規制当局は、サプライチェーンが混乱し、ビジネス関係が激変し、従業員全員が在宅勤務に移行するという、企業が直面した特異な状況を認識しました。 しかし、企業が通常の業務に戻るにつれ、データ保護当局が「方針を転換し、アドテックや国際的なデータ転送といった注目度の高い分野を含め、執行手続きを加速させる」ことが予想されると、テネ氏は述べています。
「私たちは罰金の動向を追跡していますが、実際に罰則が厳しくなる傾向が見られます。」TrustArcのプライバシー・インテリジェンス担当上級副社長兼法務顧問、ヒラリー・ワンダル氏
もちろん、どの規制当局も、パンデミックの期間中に規制やコンプライアンスが緩和されたことを認めることはないでしょう。 一方、英国のデータ保護機関である情報コミッショナー事務局（ ） は、2021年6月4日で公表された規制方針において、対応を「柔軟」に行い、「国民にとって最も深刻なリスクや最大の脅威」に焦点を当てる方針であると述べました。 先月、物議を醸しているボリス・ジョンソン首相の元首席顧問、ドミニク・カミングス氏は、 での議会公聴会 において、パンデミックに対する英国の対応を調整するため、各機関に対しEUのデータ保護法を無視するよう指示したと述べました。pa
情報ガバナンスおよびデータセキュリティのアドバイザー企業であるTrustArcのプライバシー・インテリジェンス担当上級副社長兼法務顧問、ヒラリー・ワンダル氏は、GDPRの執行が全般的に鈍化しているという見方もあるものの、実際にはより多くの罰則が科されていると述べています。
「私たちは罰金の状況を追跡していますが、実際に罰則が厳しくなる傾向が見られます」とワンダル氏は述べています。
She highlights the 6 million euro fine handed out to CaixaBank by the Spanish Data Protection Authority (AEPD) earlier this year for failing to process personal data lawfully and not providing customers with adequate information about privacy policies. The month before, in 2020年12月, AEPD fined another Spanish bank, BBVA, 5 million euros for GDPR violations.
パンデミックの状況にもかかわらず、企業は警戒を怠らず、より厳しい監視や、場合によっては厳しい罰則に備えるべきだと、オランダに拠点を置く Unit4社のグローバルデータ保護責任者であるレネ・ベントヴェルゼン氏は述べています。同社はプロフェッショナルサービス向けのエンタープライズアプリケーションを提供しており、GDPRの発効に伴い、コンプライアンスと意識向上のための取り組みを開始しました。
また同氏は、GDPRの意義は巨額の罰金を回避することだけにとどまらず、コンプライアンスは「単に優れたビジネス慣行であり、評判の向上にもつながる」と述べています。
規制当局の怒り
企業が規制当局の厳しい措置を避けるために、GDPRへの準拠に向けて講じることができる措置はいくつかあります。 「まずは、どの規制が適用されるかを判断することから始めるのが良いでしょう」とワンダル氏は述べています。 企業は、各規制が互いにどのように関連しているかを検討した上で、体系的な取り組みを策定する必要があります。
ワンダル氏は、ガバナンスの基盤としてフレームワーク構造を活用することを推奨しています。 「法的要件を理解している人材が必要ですが、ソフトウェアソリューションを開発するエンジニアも、プライバシーを組み込む方法を理解しておく必要があります」と彼は述べています。 「重要なのは、 データをどのように管理し、 最適な価値を引き出し、リスクをどのように管理しているかということです。」
「重要なのは、最適な価値を引き出すためにデータをどのように管理し、リスクをどのように管理するかということです。」
データコンサルティング企業Cohesityの最高情報セキュリティ責任者（CISO）兼IT部門責任者であるブライアン・スパンズウィック氏は、GDPRへの準拠に関して言えば、「世の中に新しいことは何もない」と強調しています。 企業は、転送中および保存中の機密データを暗号化すること、ユーザーが機密データを個人の端末にダウンロードできる機能を制限または排除すること、そして機密データにアクセスする際には仮想プライベートネットワーク（VPN）を利用した安全なネットワークを使用することで、プライバシーと可視性を向上させることができます。
「こうしたプライバシー保護の取り組みが広まりつつあるのには理由があり、単に規制への準拠だけではないということを、人々は肝に銘じておく必要があります」とスパンズウィック氏は述べています。 「また、お客様やパートナーのデータを適切に管理することでもあります。」
そのためには、企業は、エンドポイントやネットワーク全体の脆弱性や設定ミスを悪用しようとする悪意のある攻撃者たちの一歩先を行く必要があります。 のセキュリティ構成管理に適したプラットフォームを活用することで、リアルタイムのデータや是正ツールを提供するこのソリューションは、CISOやIT運用責任者がIT環境の健全性を向上させるだけでなく、ネットワーク上の数万台に及ぶエンドポイント全体をほぼ瞬時に可視化できるよう支援します。
「単に規制への準拠だけではありません。」 また、お客様やパートナーのデータを適切に管理することも重要です。”Cohesityの最高情報セキュリティ責任者（CISO）兼IT部門責任者、ブライアン・スパンズウィック氏
また、これらのプラットフォームでは、重要なレポート作成やコンプライアンス監査に必要な指標をリアルタイムで提供しており、これにより、従業員が複数のツールから手作業でデータを集め合わせる必要がなくなるため、セキュリティと生産性が向上します。 これにより、ワークフローが簡素化され、 ツールの乱立が解消され、コンプライアンスデータが一元管理されます。
多くの評論家は、新型コロナウイルス感染症（COVID-19）の事態が収束に向かうにつれ、企業がGDPRやその他のプライバシー規制を無視したくなる誘惑に駆られるだろうという点で意見が一致しており、企業の法務・セキュリティ担当者は、そうした行為がもたらす危険性を経営陣に強く認識させる責任があります。
「一部の組織では、GDPRへの準拠が以前ほど重視されなくなっている可能性が極めて高い」と、TaniumのEMEA地域担当チーフアーキテクトであるオリバー・クロンク氏は述べています。 「今後1～2年の間に、いくつかの見落としが生じ、その結果、GDPRに基づく多額の罰金が科される可能性があると考えています。」
