DPIA（データ保護影響評価） とは？

個人データの処理が、人の権利や自由に及ぼすリスクを事前に評価し、対策を検討すること。GDPRでは、高いリスクを生じるおそれのある処理について実施が求められる。

ひよこ

DPIAって何の略？なんだか難しそう…

ペンギン先生

Data Protection Impact Assessment、データ保護影響評価だよ。個人データをどう使うか、その使い方が人の権利や自由にどんなリスクをもたらすかを、事前に評価するんだ

ひよこ

どんなときにやらなきゃいけないの？

ペンギン先生

GDPRでは高いリスクが生じるおそれのある処理が対象だよ。大規模な機微データ処理や、公共空間の組織的な大規模監視などが例になる。AIを使うかどうかだけで決めるものではないんだ

ひよこ

具体的にはどんなことを評価するの？

ペンギン先生

処理の内容と目的に加え、その処理が必要で、目的に見合った範囲かを評価するよ。人へのリスクと、それを減らす措置も記録する。集めるデータを減らす方法も考えよう

ひよこ

評価書を作れば、そのまま始めていいの？

ペンギン先生

書類を作るだけでは足りないよ。対策後も高いリスクが残る場合は監督機関への事前相談が必要になる。運用が変われば評価も見直し、対策が機能しているか確かめるんだ

ひよこ

日本にも似た取り組みはあるの？

ペンギン先生

個人情報保護委員会は、民間の自主的な取組としてPIAを紹介しているよ。また、マイナンバーを含む特定個人情報ファイルには「特定個人情報保護評価」という別の制度がある。GDPRのDPIAと、日本の各制度の対象・条件は分けて確認するんだ

まとめ：ざっくりこれだけ覚えればOK！

「DPIA」って出てきたら「個人データを使う前に、人へのリスクと対策を評価すること」と思えばだいたいOK！

誤り・わかりにくい説明を報告する