プライバシー成熟度モデル｜🇫🇷CNIL「データ保護マネジメント成熟度の自己評価」

こんにちは！

海外の文献を勝手に翻訳病の今日この頃（笑）

先日のIAPP用語集にあった「プライバシー成熟度モデル」を調べる中で、いちばん新しく、シンプルでわかりやすそうだったフランスの規制当局CNILが2023年に作成した文書の機械翻訳を公開します。

PDF形式でCNILロゴ入りで全公開するのもちょっと気がひけるので、翻訳の最後の３枚は本当に見たい人だけ見てね、ということで、全文PDFも公開する前提で有料を初めて試してみたいと思います！

きっかけ

「プライバシー成熟度モデル」って何？

先日、IAPPの用語集を眺めたことをきっかけに、CIPMというプライバシーマネジメントに関する資格試験に必要な用語を翻訳して見てみました。

その際、気になった用語が、
Privacy Maturity Model（プライバシー成熟度モデル）でした。

ことばを補うと、

企業がプライバシーを組織に展開する上で、
・標準的な業務（何をすればいいか）
・その成熟度レベル（その業務のプロセス化、組織化の程度）

を確認する上での参考資料
ということです。

「プライバシー成熟度モデル」はひとつなのか？

興味をもって、調べてみると、
ひとつではなく、あちこちから出ていることがわかりました。

古くからあり著名なのは、米国とカナダ公認会計士協会のものである一方、ISOの規格にもあり、企業内で独自に作成している場合もあるものの、近年フランスの規制当局が作成したものが、（項目が多すぎず）初心者向けにおすすめとIAPPの記事にありました。

各「プライバシー成熟度モデル」はどう違うか？

いくつか見てみたところ、
プライバシー成熟度モデルの構造は、以下の縦軸と横軸のマトリックスという点は同じ。

⚫︎縦軸：プライバシー・個人情報保護の業務
⚫︎横軸：業務成熟度

２軸のうち、
横軸の成熟度は、ほぼ共通。
(ISOの規格（ISO/IEC 21827）に準拠しているケースが多い)

一方、
縦軸のプライバシー・個人情報保護の業務については、その定義されている標準業務と数にも大きく差があります。

　◼︎少ない標準業務数：8業務　（フランスCNILのモデル  2021)→今回の翻訳対象です

　◼︎多い標準業務数：73業務　（米国とカナダの公認会計士協会のモデル 2011）

何事もまずは基本から！

いちばんシンプルなフランスの成熟度モデルの標準的な横軸５段階、業務をサマった結果の８つは何なのか見てみたいと思います。　　

翻訳版🇫🇷CNIL 「データ保護マネジメント 成熟度の自己評価」

元の文書

元文書はこちら
Autoévaluation de maturité en gestion de la protection des donn ées Un modèle pour se positionner et choisir les actions à mener
現時点では、英語版はなく、フランス語のみのようです。

全部で８ページの構成で、２までを全公開します。

・表紙
・目次
・成熟度の概念の説明
１. ５つの成熟度レベルの説明
２. ８つの標準アクティビティの説明
３. ８つの標準アクティビティごとの成熟度レベル　
Appendix

では、各パートごとにみてみましょう。

表紙

目次

個人データの保護に適用される成熟度の概念

文書でよいと思ったのは以下の3点です。

・３つの目的が明確で、特に典型的な活動の明確化が、企業の準備に役立つこと
・各データの取り扱いのコンプライアンスそのものと、活動の成熟度は異なる質であるものの補完的であること
・（日本のGLに比べて）簡潔に説明されていること

1. データ保護プロセスの管理状況を評価するための５つの成熟度レベル

５つの成熟度レベルは、データ保護分野に特有なものではなく、品質管理やセキュリティ等他の分野に標準的なもので、理解しやすい印象です。

ベタにいえば、全く対応がなければ０、散発的・属人的だと１、組織内でプロセスが標準化され、継続的な改善が行われていれば成熟度が５になるという考え方です。

２. データ保護に関連する活動を構造化するための８つの標準活動

データ保護に関する標準活動を簡潔に8つにまとめています。

具体的には、以下の８つ、それぞれのタスクの主な責任者・関係部署が対応づけられていています。

• データ保護手続きと実施

• データ保護ガバナンスの推進

• 処理リストの識別と更新

• 処理の法的コンプライアンスの確保

• トレーニングと意識向上

• 社内外ユーザーからの権利請求への対応

• セキュリティリスクの管理

• データ侵害の管理

シンプルで実務的に納得感がありました。
個人情報・プライバシー本では、意外とこういう整理をしている書籍・ガイドラインは多くない気がします。（あるの知ってるよ！という方、ぜひおしえてください〜）

次に少し寄り道して、日本の２つの関連文書と比較してみます。

参考） 🇯🇵個人情報保護委員会　中小企業等向け個人情報保護法１０のチェックポイント

近いものとしては、個人情報保護委員会が主に中小企業向けに公表している１０のチェックポイントかもしれません。

CNLでの「処理の法的コンプライアンスの確保」が、法の場面ごとに細分化されていますが、ツールや責任者、教育、セキュリティ、請求対応、漏えい報告などがシンプルにまとめられています。

最低限守るべき事項については、中小企業向けに限らず、普及啓発を行なってもよいのではないかな？と個人的には考えます。

参考) 🇯🇵経産省・総務省 プライバシーガバナンスガイドブック

その他、関連としては、DX時代におけるプライバシーガバナンスガイドブック　で示された

・経営者が取り組むべき３要件は、CNILモデル「データ保護ガバナンスの推進」に

・プライバシーガバナンスの５つの重要項目は、CNILモデルの「データ保護ガバナンスの推進」「データ保護手続きと実施」「トレーニングと意識向上」に関連するように思えます。

このプライバシーガバナンスガイドブックは、経営層向けということから「データ保護ガバナンスの推進」の体制寄り、社外コミュニケーションに力点が置かれています。

一方、CNILでいうところの「処理リストの識別と更新」や「処理の法的コンプライアンスの確保」すなわち、個人情報保護法等法的遵守の泥くさい実務については、その標準的業務の整理・書き下しが弱い印象です。


下図のイメージでいえば、下段の事業プロセスのリスク管理に該当する部分、

ガイドライン本文での解説でも、
5（参考）プライバシーリスク対応の考え方として、参考として、トピック的に紹介するにとどまっています。

この点、結局、個人情報・プライバシーガバナンスの業務って何？が、定まっておらず、この領域がわかりにくいものというイメージを持ちがちな風潮につながっているのでは？という気がしています。

この点については、来月12/10に投稿を予定している法務系アドベントカレンダー2024に、これまでの実務経験で感じたことをふまえ、続きの記事を書きたいと考えています！

3. データ保護活動に適用される成熟度レベル

では、CNILの翻訳に戻りまして、８つの標準業務ごとの５段階の成熟度とは具体的にどういうイメージ？かのご紹介です。