プライバシーリスク評価・パーソナルデータ
管理システム化検討支援サービス

１.プライバシーリスクの洗い出し、PIAの実施ができる「プライバシー影響評価サービス」

パーソナルデータを取り扱う「組織」「業務」「システム」について、それぞれ重要と考えられる観点から評価し、プライバシーリスクを包括的に可視化します。パーソナルデータの取り扱い業務を委託する先の企業についても、評価することが可能です。

国内外の代表的なプライバシー関連ガイドラインや管理基準を参照し作成したフレームワーク「NSF for Privacy」を用いて、個人情報保護評価（PIA）が求める項目を網羅しながら、「組織」「業務」に加えて「システム」の実態を踏まえた対応状況を効率的かつ実効的に把握することができます。

さらにNRIセキュアでは、プライバシーリスクが導出された場合の実施すべき対策の提言や、実行時のアドバイザリ支援も行います。これから新規に構築するシステムおよび業務に対する評価や、PIAプロセスを自組織内で継続的に実行するための社内体制・プロセス構築も支援します。プライバシーに関するガバナンス構築等のコンサルティングサービスを提供する、株式会社野村総合研究所とも連携し対応することも可能です。

プライバシー影響評価サービスにおける評価の観点

評価の流れ

２.プライバシー配慮とデータ活用を両立するための「パーソナルデータ管理基盤検討支援サービス」

パーソナルデータを積極的に活用するにあたり、その活用方法がデータを提供した消費者個人の意図に合致していないと、プライバシーを侵害しているとみなされるおそれがあります。そのため、消費者が自身のパーソナルデータを主体的に管理でき、同時に企業にとって必要な管理機能も強化していくために、本人が認めた範囲でのみデータ利用が可能となるシステム基盤が重要な役割を果たします。

システム基盤には、具体的にはおもに3つの機能があります。

①消費者に通知した利用目的や本人が同意したことの履歴が管理されること
②利用目的の範囲内に限ったシステム間のデータ連携や分析の実施、データの保管などが行われること
③登録されているデータの開示や訂正、利用停止、第三者へのデータ提供停止など、パーソナルデータに対する本人からの請求に対応できること

NRIセキュアでは、このようなシステム基盤の導入に向けた検討を支援するにあたり、改正個人情報保護法で求められるユーザへの対応や、デジタルIDの連携・認可に関する標準的技術（OpenID Connect / OAuth 2.0）の採用、本人同意の取得・撤回に関する履歴管理といったさまざまな機能の実装などを、既存のシステム基盤と比較したフィット＆ギャップ分析のもと、個別企業の事業や特性に合わせて提案・実行します。

３．パーソナルデータの適切な仮名化・匿名化のための「プライバシー保護技術 導入支援サービス」

NRIセキュアでは、企業が管理するパーソナルデータや秘密情報を対象として、仮名化・匿名化を行う技術を新たに開発しました（特許出願中）*。これに加えて、PETs（Privacy-Enhancing Technologies）と呼ばれるプライバシーに配慮した上でデータを加工・利用するための技術や、国内外のガイドラインに関する知見をもとに、保護対象のデータや通信経路、想定される外部からの脅威、運用リスク（結託や内部不正）といった観点を踏まえて、パーソナルデータをどの程度、どんな技術を用いていつ加工すべきかの検討を支援します。

データ加工・利用の流れと支援イメージ

*元のデータを維持したままプライバシーに配慮した形にデータを加工できるほか、これらのデータの不正利用が発覚した際には、不正行為の追跡調査ができる技術です。