1. データマッピング

（1） データマッピングとは

データマッピングとは、企業が管理するパーソナルデータの所在や流れを、データのライフサイクルを通して正確に把握するための手法です。具体的には、企業内のさまざまな部門やシステムに分散して存在するパーソナルデータを整理し、可視化するプロセスを指します。これにより、データの収集、処理、保管、共有、消去の各段階におけるデータの流れを明確にし、プライバシーリスクの発生場所を特定することが可能となります。

データマッピングはPIAの第一歩としても重要です。PIAは、対象となるパーソナルデータの流れを把握したうえでリスクの評価を行う必要があるため、データマッピングがその前提となります。

「何から着手してどう進めればよいのか分からない」、または「どのシステムや業務においてパーソナルデータが利活用されているのか分からない」という課題を持っている場合は、「データマッピング」から始めるのが良いと考えられます。

また、データマッピングについては、個人情報保護委員会から解説資料^*1が公開されています。実施にあたっては、解説資料を参考にして進めていくことができます。以降の説明では、解説資料の内容も取り入れています。

（2）データマッピングの意義

個人情報保護委員会の解説資料においては、データマッピングには次の2つの意義があるとされています。

ア. 個人情報保護法を含む当該データに適用される法令の遵守状況の確認
イ. 当該データの取扱状況等に起因するリスクに応じた必要な対応の実施

アについては、個人情報保護法の観点で、例えば次のような確認が可能になることを意味します。

a. 本人に提示している利用目的を遵守してデータの利活用が行われているか

b. 本人の同意なく、グループ会社・委託先・海外法人などにデータを提供していないか

c. 利用目的を達成したデータが消去されているか

d. 外国にある第三者にデータを提供している場合、本人に対して参考情報を提供したうえで同意を得ているか

イについては、個人情報保護法で求められる範囲を踏まえつつ、法令の範囲外も含めて、自社として考慮すべきプライバシーリスクを評価し、必要な対応を明らかにすることを意味します。例えば、次のような観点です。

a. データの内容に係るリスク

・自組織のビジネスによっては、個人の権利利益に影響を及ぼすおそれがあるセンシティブなデータを取り扱うことが考えられます。例えば、健康診断結果や病歴など健康に関するデータや、保有資産状況などの財産に関するデータです。

・このようなセンシティブなデータは、漏えい防止のために特に注意が必要であることはもちろん、個人に対して不当に不利益を生じさせることのないように利用する必要があります。

b. データの保管形態に係るリスク

・データを電子的に保有するか、紙媒体で保有するかによって、リスクが変わってきます。さらに、クラウドサービスにデータを保管することで、クラウドサービス事業者によるデータの利用や、クラウドサービス事業者に起因するデータの漏えいなどのリスクも検討する必要があります。

（3）データマッピングの進め方

データマッピングは、「準備」、「実施（表作成）」、「確認・対応」および「更新」の4つのステップで進めます。

ア. 準備

データマッピングについて次の事項を決定し、データマッピングがスムーズかつ効果的に行われるようにします。

イ. 実施（表作成）

a. データマッピング表のフォーマットに則り、記入を進めていきます。データマッピング表の記入者は、個人情報保護法やデータマッピングの取り組みに馴染みがないことも想定されるため、事前の説明会の実施や、マニュアルや記載例の配布、相談体制の整備など、サポートする体制を整えることが重要です。

b. データマッピングに係る担当部署は、記入者が作成したデータマッピング表について、正しい理解に基づいているかなどを確認します。特に、「個人情報」に該当するかどうかの判断、データのライフサイクル全体が網羅されているか、などの観点での確認が必要です。

c. データマッピングの量が多い場合には、全てをデータマッピングに係る担当部署が確認するのではなく、部門ごとにとりまとめ担当者を設置して確認することも考えられます。

図1：データマッピング表（例）

ウ. 確認・対応

a. 作成したデータマッピング表を、データマッピングの目的に沿って確認し、必要な対応事項を洗い出して対応します。

b. 目的が「個人情報保護法の遵守状況の確認」であればチェックリスト化された確認項目^*2を基に検証することが考えられます。一方で、目的が「パーソナルデータの適切な取り扱いの確認」であれば、どのようなリスクがあるかを洗い出し、それに則ってリスク評価をする必要があります。このような場合は、次章で述べるPIAとあわせて実施するのが望ましいと考えられます。

エ. 更新

データマッピング表は、一度作成して終わりではなく、例えば次のようなタイミングで更新する必要があります。加えて、データの取り扱いの実態がデータマッピング表と相違していないか、定期的に見直すのが望ましいと考えられます。

・記載内容に変更が生じた場合

・サービスの仕様変更を行う場合

・法改正があった場合

（4）データマッピングの実施にあたってのポイント

データマッピングを実施するにあたってのポイントは次の2点です。

ア. データマッピングの目的に応じた範囲の決定

データマッピングを有意義な取り組みとするために最も重要なことは、目的の設定です。検討すべき要素としては、特に次の2点が挙げられます。

・法令遵守の状況を確認するのか、プライバシーに係るリスク全体を検討するのか

・データマッピングの対象となる組織はどの範囲とするか（グループ会社全体、特定のグループ会社、特定の部署、特定のプロジェクト／サービス）

1点目については、「データマッピングの意義」の①で例示したような内容に不安があれば「法令遵守の状況の確認」の範囲に留めるのも一案です。一方で、センシティブなデータを取り扱っている場合や、データの利活用を通じて顧客に影響を与えるようなビジネスを行う場合は、法令遵守のみならず、プライバシーに係るリスク全体を評価するのが望ましく、必要に応じてPIAと組み合わせることを検討する必要があります。

2点目については、データマッピングに慣れていない段階でデータマッピングの対象となる組織を広げてしまうと、多くの課題が生じる可能性があるため、特定のプロジェクト／サービスなど、最初は小規模に始めていくのが望ましいと考えられます。

イ. データマッピング表に記入するデータの識別

データマッピングは、対象となるデータを表形式で取りまとめることになっています。しかし、その対象を網羅的に把握してリストアップすることは容易ではありません。そのため、データを表形式にする前に、データフロー図の形式で可視化することが有効です。これにより、保有しているデータの抜け漏れを防ぐことができるとともに、データのライフサイクル全体にわたって管理状況を把握することができます。

データフロー図にて取り扱うデータを可視化した後に、データマッピングの対象となるデータを表形式で整理することで、データの網羅的な把握と、データマッピング表作成後のリスクの検討に役立てることができます。

PwC Japan有限責任監査法人では、データフロー図のテンプレートを用意しています。テンプレートは2種類あり、データマッピングの目的や、割くことのできる工数、データマッピング実施者の習熟度などにより選択できます。

図2：データフロー図（例）

3. まとめ

本稿では、「プライバシーリスクへの対応ができている」と自信を持って言えない企業に向けて、データマッピングとプライバシー影響評価（PIA）の概要や実施にあたってのポイントを解説しました。これらについては、個人情報保護委員会も、法令の見直しに係る整理資料で言及していたり、解説資料を公表したりと、今後も注目が高まることが想定されます。PwC Japan有限責任監査法人は、リスク管理やガバナンスの知見に基づき、独自に作成したツールを基に、データマッピングやPIAの実施を支援します。詳細は下記をご参照ください。

プライバシー影響評価（PIA）構築支援

次回は、「関係する所管部門が多く部門横断的な取り組みの推進が難しい」、「法令対応を超えた取り組みの必要性が分からない」といった課題を持つ企業に向けて、プライバシーガバナンスの必要性について解説します。