データフローと法域
誰の法律が自社のデータと、 利用者のデータを規律するのか
データはアプリケーションとその利用者から生まれます。サードパーティと再委託先がそれを受け取ります。ISP、ホスティング、CDNの所在地がデータの最終的な保存場所を決めます。そしてそれらの所在地を対象とする法的枠組みが、誰がそのデータへのアクセスを強制できるかを決めます。
アプリケーションと利用者のデータは、最初のベンダーで止まりません。再委託先を経由して、直接の関係があるどのサプライヤーよりも何段階も先まで移動していきます。ISPとホスティングの所在地は、GDPRやCPRAから、サーバーがどこにあってもその企業に及ぶ各国の枠組みまで、関与する法制度を明らかにします。
統合レポート
-
データフローとフローダウン
情報の移動を方向性のある図で示します。アプリケーションから何が出て、どのサードパーティが受け取り、その受領者が次にどこへ渡すのかです。トラッキングスクリプトがそのスクリプトのベンダーへデータを送り、ベンダーがそれを広告取引所へ転送し、広告取引所がパートナーと共有する。こうして生まれる管理の連鎖は、実際に関係を持っているベンダーのはるか先まで伸びていきます。これにより、データ保護影響評価を、ベンダー質問票ではなく観測された証拠から組み立てられるようになります。
-
データのホスティングと保存
データが経由する場所ではなく、最終的に留まる場所です。送信先ごとに、その背後にあるホスティングの形態と、お客様が定義した境界の内側か外側かを示します。プライバシー規制は移送中のデータと保存中のデータを異なる形で扱うため、このレポートは両者を分けて扱います。
-
所在地
サプライチェーンの物理的な地理情報です。サーバーの所在地、関係する事業体の企業所在地、その背後にある登記上の事務所を、地図付きの1つの一覧にまとめます。抽象的な技術的フットプリントを、技術者でないレビュー担当者が行動に移せるものへと変換します。自社のポリシーが禁じている国にある所在地は、単なるデータではなく、判断を迫るポイントだからです。
-
準拠法と法域
サプライチェーン内の各事業体と各ホスティング所在地について、どの法制度が自社のデータに対して権限を主張し得るのかを示します。これには、データが物理的にどこにあるかにかかわらず、自国の管轄が及ぶ企業が保有するデータへの政府アクセスを認める制度も含まれます。検出結果は法域サマリーに集約され、アプリケーションに関わるすべての法制度と、サプライチェーンのどれだけがそれぞれの下にあるかを示します。