改正個人情報保護法が来年の4月に施行されることになりました。個人情報以外にも第三者提供に同意が必要となるデータが定義されるなど、対象となるデータの範囲が広がっています。またこの法律は継続的に見直しが進められ、定期的に時代に合わせて（場合によっては世界的な流れも意識しながら）更新されていきます。グローバル企業ではGDPRなど、すでにより厳格な対応に取り組んでいるところもあるでしょう。

こういったものへの取り組みは単に個人情報云々だけではなく、企業の持つすべてのデータに対するデータガバナンスを考える機会になっています。自社では個人情報にならなくても、個人情報として取得していなくても、第三者提供したら個人情報になるシナリオも想定しなければなりません。そのため企業の持つすべてのデータを洗い出したうえで検討する必要が出てきています。特に計測ツールやデジタル広告やパブリックDMPあたりでタグを使って簡単に実装できてしまう種類のものが厄介です。

データをきちんと継続的に管理することが必要なのです。具体的には以下のようなことを考えていきます

– データが個人情報なのかそうでないのか
– データの生成から破棄までのライフサイクル
– どこで保管されているのか、セキュリティ対策はどうなっているのか
– アクセス権限の体系
– データを他社に渡す場合、それがどのような使われ方をするのか（第三者提供しているのか、それとも業務委託の範囲内なのか）
– 通知や同意取得の文章やオペレーション
– 照会削除対応のオペレーションと仕組み

など、これらは一部ですが、幅広いです。

データの管理といえば、データ定義の問題もあります。同じような目的で使う指標なのだが、定義（算出式）が微妙に異なる「似たような指標」が乱立している会社もあるでしょう。そういったものを統一するのも重要な役割です。

このようなデータ管理はある程度大きな会社になると専門のデータの管理部門が担うケースはありますし、同意オペレーションなど法律がかかわる部分は法務部門が対応します。しかしこれからの時代、データを使うユーザ部門、分析者なども専門チームに丸投げというのは許されない時代になっているのではないかと思うのです。

ユーザ部門がある程度こういったことを理解したうえで管理部門に協力するのでないと管理に漏れが発生するリスクが大きくなりますし（管理部門が知らないデータとフローが存在していたなど）、ともすると管理部門は売上よりも管理のしやすさを優先することがあります。そのような場合にユーザ部門、事業部門もある程度管理部門と話ができるよう、データ管理の趣旨を理解しておく必要があります。これはデータに限った話ではないですが、データについても同様に言えることなのです。

この読者にはデータに携わる方、CDPのような個人に関するデータに触れる機会がある方も多いと思いますが、普段自分が扱っているデータについて、一度こういった観点でも意識するといいと思います。何気なく使っているツールにおいてもデータがどのように扱われているのか。

個人情報保護法を含むプライバシー法規制というのは単に法務担当に任せてプライバシーポリシーの文章を作るのではなく、社内全体をあげてすべてのデータを棚卸する、データガバナンスを構築する機会をもたらしているのです。そこではみんなが当事者です。お勤めの企業でプライバシーマークやISMS研修を受けた経験のある方も多いでしょう。大半は「決まったルールに従わないといけない」など受け身の姿勢で受講していると思いますが、もうそれではダメで、自分たちが主役、能動的に考えることが求められていく時代に転換してきているのです。