データプライバシーは、個人情報の不正利用から保護するものです。これは、誰があなたのデータを収集し、それをどのように利用し、誰と共有するかに関わるものです。プライバシー法は、個人にデータに関する権利、すなわち知る権利、削除する権利、販売を拒否する権利を与えています。ヨーロッパのGDPRとカリフォルニア州のCCPAが最もよく知られています。他の法域もこれに倣い、独自の規則を制定しています。

プライバシーはセキュリティとは異なります。セキュリティは攻撃者からデータを保護します。プライバシーは、正当な組織が過剰なデータを収集することから人々を保護します。企業は優れたセキュリティ対策を講じていても、同意なしにユーザーデータを販売することでプライバシーを侵害する可能性があります。その逆もまた真です。プライバシーは設計上の選択です。必要なものだけを収集し、なぜそれが必要なのかを明確に述べ、必要な期間だけ保持し、ユーザーにコントロール権を与えます。これらの原則は簡単に述べられますが、大規模に実装するのは困難です。データはシステム、バックアップ、サードパーティベンダーに分散しています。削除要求はあらゆる場所に伝播する必要があります。ほとんどの組織はまだ追いついていません。罰則は現実のものです。GDPRの罰金は数億ユーロに達しています。規制当局は企業が理解するのを待ってはいません。

プライバシーに関する原則

• データ最小化 ― 必要な情報のみを収集する
• 目的制限 — データは明示された目的にのみ使用する
• ストレージ容量の制限 — 不要になったデータは削除してください
• ユーザーの権利 — アクセス、訂正、削除、データポータビリティ
• 同意 ― 明確で、十分な情報に基づき、かつ撤回可能

プライバシーとは、尊重の問題です。データは、それが記述する個人に属するものであり、収集した組織のものではありません。