グローバル企業の多くは全社的な個人データの流れ（データフロー）を十分把握できていない。プライバシーガバナンスの面でも、この点が当該企業にとって大きなリスクになる。そこで今回（連載第4回）は、グローバル企業がプライバシーガバナンスで注意すべき点を示す。とりわけプライバシー保護組織は、国内外のルールの変更はもちろん、DX（デジタルトランスフォーメーション）の進展による自社のデータフローの大幅な変化・増加にも常に目配りし、これらをアップデートできる体制を構築する必要がある。

国境を越えてデータが行き交うイメージ（写真／Shutterstock）

［画像のクリックで拡大表示］

＜前回はこちら＞

国際化・複雑化するデータフローの把握が課題に

　国際化が急速に進展しつつある今日、企業のビジネス実態として、国内でビジネスが完結することは少なくなっている。顧客や取引先が海外にいる、拠点が海外にあるなど多様なパターンがあるが、筆者の個人情報保護に関する企業支援の経験から言えるのは、企業内でも全社的なデータの流れ（データフロー）を十分把握しておらず、結果として国際的なデータの流れを見逃してしまうリスクがあることだ。

　そして、このリスクはDXの進展で拡大を続けている。というのも、DXでは早期に事業を立ち上げるためクラウドサービスなどを利用することも多いが、例えばグローバルなクラウドサービスを使う場合には、日本語でサービスを利用していても、実は契約の相手方が米国や欧州にある外国企業だったという場合も多い。

　また、BPO（ビジネス・プロセス・アウトソーシング、バックオフィス系の業務など自社の業務の一部を外部企業に委託すること）の活用で中国やベトナムにパーソナルデータを移転している、という可能性もあるだろう。さらに、クラウドサービスの利用に関して言えば、単にストレージやマシンパワーを借りているだけなのか、SaaS（ソフトウエア・アズ･ア･サービス）のようにサービス自体を丸ごと借りているのかなどのレイヤー構造によっても責任の所在が異なってくるし、個別の契約における責任の所在も問題になってくる。

　DXにおいてはサービス開発のスピードアップやコスト低減のため、既成のクラウドサービスを複数のレイヤーで組み合わせることも多いが、これが、外国企業を含めた関係する組織の数を増やし、データフローを複雑にしているのである。