データマッピングは個人情報の安全管理措置の一つに位置付けられた

個人情報保護委員会が2022年10月13日に公表した文書²では、データマッピングは個人情報保護法ガイドライン（通則編）の組織的安全管理措置における「個人データの取扱状況を確認する手段の整備」の一手段として明確に位置付けられました。なお、これはプライバシーマークの要求事項である「個人情報管理台帳の整備」に相当します。
データマッピングは、個人情報を管理する社内の各部署において、どのようなデータを保有し、どのように保管しているか、部署内や委託先でのデータの利用やアクセスの状況、第三者への提供状況等をデータごとに整理する作業のことです。これにより、自社が保有する個人情報について、各部署での取扱状況を一覧化し、全社的に把握することが可能となります。
個人情報保護委員会は、データマッピングの意義として、①個人情報保護法を含む、保有するデータに適用される法令の遵守状況の確認、②保有するデータの取扱状況等に起因するリスクに応じた必要な対応の実施、の2つを挙げています。
マッピングする項目は各企業が独自に設定することが可能ですが、個人情報保護委員会は推奨項目として38項目（利用目的、保存期間、サーバ所在国、再委託の有無等）を公表しており、これは、企業が抜け漏れのないようにマッピング項目を設定するうえで、参照すべき信頼のおける有益な情報といえます。

OneTrustで担当者間のやり取りをシステム化し、業務を効率化

個人情報保護委員会が公表したデータマッピング表はExcel等の表形式ですが、OneTrustを利用すればシステム上でマッピングが実施できます。Excelファイルを用いるデータマッピングでは、通常、個人データの取扱状況を回答する現場担当者と、その内容を確認するデータ保護部門（総務・法務・情報セキュリティ部門等）の担当者との間でファイルのやり取りが多く発生し、煩雑になる傾向があります。OneTrustでは、現場の責任者・担当者とデータ保護部門の責任者・担当者をワークフローの中で事前に設定し、回答依頼、現場での入力、回答内容の確認、修正依頼、バージョン管理など、マッピングに関わるやり取りの大半をシステムで自動化し、責任者・担当者の負担を大幅に軽減できます（下図を参照）。

OneTrustを用いたデータマッピングの業務イメージ

法令保護の対象となる個人情報について、データマッピングを行うことによって社内における法令遵守状況の確認が容易となり、自社のコンプライアンス向上が期待されます。また、データマッピングの結果は、データ活用に伴う個人情報漏洩や企業イメージ低下等のリスクを事前に把握し、対処するためのプライバシー影響評価（PIA）を実施するかどうかの判断基準として活用できます。OneTrustでは、データマッピングの結果に連動させてPIAを実施する機能も提供しています。

NRIは、プライバシーテック（個人情報の管理・保護を目的とした技術）の導入にあたって、各企業におけるデータ活用とプライバシー保護を両立するための取り組み（プライバシーガバナンス）を支援します。NRIは今後も、コンサルティングとソリューションの両機能を一気通貫で提供し、安全・安心にデータを活用できる社会づくりに貢献していきます。

• ¹

  OneTrust：米国のOneTrust, LLC.が提供する個人情報を適切に管理するためのツール。世界で1万2,000社以上の導入実績を誇ります。NRIは2021年11月にパートナー契約を締結し、国内代理店として販売しています。詳細は以下をご参照ください。
  OneTrust社HP：https://www.onetrust.com/
  NRI発表資料：https://www.nri.com/jp/news/info/cc/lst/2021/1119_1（2021年11月19日公表）

• ²

  個人情報保護委員会「データマッピング・ツールキット（個人情報保護法関係）」（2022年10月13日公表）
  https://www.ppc.go.jp/files/pdf/data-mapping_tool-kit.pdf

• ³

  NRIがOneTrustの導入にあたり提供するサービスの詳細は以下をご参照ください。
  https://aslead.nri.co.jp/products/onetrust/partner.html