データ保護影響評価（DPIA）
GitLabは、グローバルな包括的データプライバシー法に従い、顧客、従業員、サプライヤー、その他のステークホルダーの個人データを保護することに完全にコミットしています。私たちは個人データのプライバシーを非常に重視しており、収集・保有するデータの把握とその適切な保護を確保するためにさまざまな方法とコントロールを導入しています。
このコミットメントの一環として、GitLabは適切な場合に、プロジェクトと個人データ処理活動が「プライバシー・バイ・デザイン」アプローチの主要コンポーネントとしてプライバシーレビューとデータ保護影響評価（DPIA）の対象となることを確保しています。
プライバシー・バイ・デザインアプローチは、処理目的の制限、データ最小化、公正かつ適法な処理、ユーザーがアクセス、削除、制限、ポータビリティの権利を行使できる製品とサービスの設計、データ品質の原則に基づいています。
プライバシーレビューとDPIAは、この分野での義務が確実に果たされるよう使用されるべきです。
DPIAとは
データ保護影響評価（DPIA）は、処理を体系的かつ包括的に分析し、データ保護リスクを最小化する方法です。DPIAはコンプライアンスリスクを考慮するだけでなく、身体的、物質的、非物質的であるかを問わず、差別、個人情報の盗難や詐欺、経済的損失、評判の損害、その他の重大な経済的または社会的不利益につながる可能性のある重大な社会的または経済的不利益の可能性を含む、個人の権利と自由へのより広範なリスクも考慮する必要があります。最終的に、DPIAは自然人の権利と自由に対するリスクのレベルが「高い」と判断された場合に必要です。
リスクのレベルを評価するために、DPIAは個人への影響の可能性と重大性の両方を考慮する必要があります。DPIAはリスクを完全に排除する必要はありませんが、リスクを最小化し、残存するリスクが正当化されるかどうかを評価するのに役立つべきです。DPIAはリスクが高い可能性があるデータ処理に対しては法的要件です。しかし、効果的なDPIAはより広いコンプライアンス、財務、評判上のメリットをもたらし、説明責任を示し、個人との信頼とエンゲージメントを構築するのに役立ちます。
DPIAは単一の処理活動または類似した処理活動のグループをカバーでき、早期に問題を特定して修正するためにプロジェクトの開発と実施全体を通じて使用され、時間と金銭的リソースを節約します。リスクと緩和策のレビューは、特に処理活動の方法や理由に何か変化がある場合は、継続的に行われる可能性があります。
DPIAが必要な場合
処理活動にDPIAが法的に必要かどうかを判断するにあたり、GitLabは以下のハイリスク基準を考慮します。
- 処理は、法的効果をもたらすか個人に重大な影響を与える可能性のある決定を行うために、プロファイリングを含む自動化を使用していますか？
- 処理は機密データを含むか、または大規模にデータを処理しますか？
- 処理は大規模な公共エリアのモニタリングを含みますか？
- 処理は別々の処理操作からのデータセットを照合または組み合わせますか？
- 処理は革新的な使用を考慮しているか、新しい技術的または組織的ソリューションを適用していますか？
- 処理自体がデータ主体が権利を行使したりサービスを使用したりするのを妨げますか？
- 処理はプライバシー通知を提供せずに個人以外のソースから個人データを収集しますか（「不可視の処理」）
- 処理は個人の位置情報または行動を追跡しますか？
DPIAはどのように実施されますか？
プロジェクトの初期段階、新しいベンダー/サービスプロバイダーが検討されているとき、プロジェクトのライフサイクル中またはベンダーやサービスの使用中の定期的な間隔で、プライバシーレビューが実施されます。このレビューは計画・開発プロセスまたは新しいベンダーとテクスタックツールの選択と並行して、主要な更新日に行われます。プライバシーレビューの結果は、完全なDPIAが必要かどうかを判断します。プライバシーチームはセキュリティと協力してこれらのレビューを実施し、リスクがGitLabのセキュリティリスク管理プロセスに従って特定、評価、管理されることを確保します。高いリスクレベルが特定された場合、プライバシーチームは関連するステークホルダーと協力してDPIAを開始・完了します。これには通常、プロダクトマネージャー、ビジネス/技術オーナー、そのチームの適切なリスクオーナーが関与します。
GitLabチームメンバーはDPIAとその実施方法についての追加の詳細を（ワークフロープロセスの詳細を含む）こちら（内部限定）で確認できます。
