一般データ保護規則（GDPR）の施行から、個人データ保護コンプライアンスは、欧州連合（EU）の領域内で活動する企業や公的機関にとって主要な要件となっています。これは、データの管理者や処理者に無視できない法的・財務的なリスクをもたらします。

Europrivacyは、GDPR及び補完的なデータ保護規制の遵守を評価、文書化、認証及び有価値化するために、欧州研究プログラムを通じて研究・開発された認証スキームです。これは、データ保護の国際専門家委員会の監督の下、ルクセンブルクの欧州認証・プライバシーセンター（ECCP）によって維持されています。

Europrivacyは、「管理者及び処理者による取扱業務が本規則を遵守することを証明する目的のために」、ISO/IEC 17065及びGDPR第42条に基づき開発されました。

Europrivacyは単なる認証スキームにとどまりません。データ保護コンプライアンスを効果的に実施、強化及び証明するための包括的なオンラインリソースとサービスを提供します。公式パートナーのコミュニティ、オンラインアカデミー、コミュニティウェブサイト及びオンラインツールによって支援されています。数多くの利点とメリットを提供します。

適用範囲と対象

目的: Europrivacyは、GDPR及び補完的なデータ保護規制の遵守の評価、文書化、証明及び有価値化を可能にします。特に、企業及び事業体による以下の活動を支援します。

1. コンプライアンスを確認・文書化することで、法的・財務的リスクを軽減すること。
2. コンプライアンスを資産や価値創造の源泉に変えることで、コミュニケーションと評価を行うこと。
3. Europrivacy認証とオンラインリソースにより、コンプライアンスを享受・維持すること。
    

対象: ハイブリッドモデルにより、Europrivacyは、AI、ブロックチェーン、eヘルス及びIoTなどの革新的な技術を含む、ほとんどすべてのデータ処理活動に適用可能です。バイオメディカルデータなど、いくつかの特定の除外事項があります。

Europrivacyの方法論は多様な評価対象に適用可能ですが、GDPR第42条に基づき認証の対象となるのはデータ処理活動に限られます。その結果、EU管轄区域では、GDPRに基づき、企業全体を一括で認証すること、その管理システム全体を認証することはできません。この要素の良い点は、優先度の高いデータ処理活動から開始し、段階的に認証範囲を拡大することで、段階的なコンプライアンスの認証が可能である点です。

誰が: Europrivacyは、データ管理者及びデータ処理者の両方に適用されます。

どこで: Europrivacyは、GDPRの遵守を評価するため、どこであっても利用できます。ただし、認証の発行は、データ主体の権利及び自由に対する十分かつ適切な保証を提供しない管轄区域には適用されません。

拡張性: Europrivacyは、EU以外の規制を含む補完的な国内データ保護規制、並びに分野及び技術固有の規制に容易に拡張できるように開発・設計されています。

有効性: 認証は、3年間の更新可能な期間、有効です。

認証プロセス

認証手続は、以下の主要なステップに分けられます。

1. リスクを軽減するために、Europrivacyのウェルカムパックリソース及びツール、並びに公式パートナーの支援を受けて、Europrivacy基準への遵守を準備し、文書化します。追加のEU又は国内規制への遵守を認証するため、拡張基準を利用可能です。
2. コンプライアンスのための努力を評価し、コミュニケーションを行うため、認定認証機関からデータ処理のコンプライアンスの認証を受けます。認定認証機関は、ECCPによって認定され、国内の所管官庁から有効な認定を取得している必要があります。認証は、第三者による認証を可能にし、偽造を防止するため、公式のEuroprivacy認証レジストリに公開されます。
3. コミュニケーションガイドライン及びテンプレート、コンプライアンス要件の継続的な更新、並びに年次監査などのオンラインリソースとツールを活用して、コンプライアンスを維持、コミュニケーション及び評価します。

Europrivacyの革新的な認証モデル

Europrivacyは、評価対象の性質に応じ、ユニバーサルな認証スキームの利点と、補完的な分野・技術固有の基準を組み合わせた革新的なハイブリッド認証モデルを提供します。

GDPRコア基準：認証プロセスは、常に、以下のGDPRの様々な義務を網羅するEuroprivacyのGDPRコア基準リストから始まります。

C - 補完的なチェックとコントロール： コア基準は、評価対象に適用され得る分野・技術固有の義務への遵守を評価するため、補完的なチェックとコントロールによって完成します。

T - 技術的・組織的措置：技術的・組織的措置のチェックとコントロールは、処理されるデータを保護するための措置の十分性を評価することを目的としています。ハイリスクのデータ処理を除き、評価対象を包含する有効なISO/IEC 27001認証で置き換えることができます。

S - 監査チェックリスト： 時間の経過にもかかわらず継続的なコンプライアンスの評価・確保するため、監査のためのいくつかの追加基準が指定されます。

N - 国内義務： Europrivacyは、以下の2つのツールにより、補完的な国内義務の遵守評価を支援します。

• 欧州経済領域（EEA）加盟国ごとに設定された国内義務のプロファイル。これらのリソースは、国内義務遵守評価報告書（NOCAR）を作成するために利用可能です。
• 評価対象がデータ保護に関する補完的な国内規制に準拠していることを評価・認証するため、Europrivacy国内拡張基準を利用できます。これらの拡張は任意であり、対応する非EU管轄区域にEuroprivacy認証を拡張するために自主的に利用されます。