DPOが匿名化ツールを評価すべき理由
GDPRは高リスクの処理に対してデータ保護影響評価（DPIA）を義務付けています。大規模な個人情報の処理は高リスクに該当します。匿名化ツールはデータ処理者です。処理者に関する規則が適用されます。本番稼働前に評価してください。
二つのことが求められます。処理者はセキュリティに関する「十分な保証」を提供する必要があります。すべての処理は書面による契約によって規律される必要があります。DPOとして、ツールのセキュリティ管理策、副処理者、ホスティング場所、侵害時の手順、データ処理契約（DPA）を記録してください。
ISO 27001認証は作業を減らします。BSIの調査では、認証取得組織がセキュリティ調査票の対応時間を**73%削減できることが示されています。Gartnerの調査では、ISO 27001がFortune 500の入札案件の78%**で求められています。認証済みのツールであれば、証明書を提示するだけで済みます。各管理策を個別に確認する必要はありません。未認証のツールはより多くの手作業による確認が必要です。
要件への対応については、コンプライアンス概要およびセキュリティページをご参照ください。
確認すべき七つの項目
匿名化ツールやサプライヤーを評価する際は、このリストをご活用ください。
1. データ処理契約。 GDPR準拠のDPAは締結されていますか？以下を網羅している必要があります：指示に基づく処理のみの実施、注意義務、セキュリティ対策、副処理者の管理、権利行使要請への支援、ファイルの削除または返還、監査権。
2. セキュリティ記録。 セキュリティ対策が文書化されていますか？ISO 27001認証済みのサプライヤーは、証明書と適用性宣言書を提示できます。これで要件を満たします。
3. 副処理者リスト。 このツールは副処理者を利用していますか？名称は明記されていますか？変更前に事前通知を受ける必要があります。クラウドホスト、CDN、OCRツールはすべて該当します。名称が不明記なのはよくある不備です。
4. ホスティング場所。 ファイルはEU内でホストされていますか？EUホスティングはEU拠点の企業にとって最も手続きが簡便です。ゼロ知識ツールも問題ありません——ファイルがデバイスの外に出ません。米国拠点のサプライヤーには標準契約条項（SCC）が必要です。
5. 侵害通知。 サプライヤーはどのくらい速く侵害を通知しますか？法律では72時間以内に規制当局へ通知することが求められています。サプライヤーはその前にあなたに連絡する必要があります。DPAでこれが確認できるか確かめてください。
6. サプライヤーのDPIA。 サプライヤーは自社のDPIAを実施していますか？閲覧できますか？DPIAがなければ、自社の記録に空白が生じます。これはよくある問題です。
7. 消去と可搬性。 サプライヤーは消去権と可搬性の要請に対応できますか？ゼロ知識ツールはファイルを保存しないため、消去が適用されない場合があります。DPIAでその旨を明記してください。
優れたサプライヤーは四つの書類を提供します：ISO 27001証明書、EUホスティング証明、DPIA、署名済みDPA。この四点で、自社のDPIAのすべての空白を埋めることができます。規制当局も満足します。
評価手順に関するよくある質問は、DPO向けFAQをご覧ください。