データ・マッピングとはその名の通り、組織内にある個人データの所在地をマッピングする作業です。目的は、組織内にある個人データの所在地を把握することです。逆に言えば、組織内にある個人データの所在地を把握できるのであれば、どんな方法で行っても良いのがデータ・マッピングです。
とはいえ、物事にはコツというものがあります。データ・マッピングも然りです。当社でお勧めしている方法は、まずデータ・フロー図を作成してからマッピングしていく方法です。
データ・フロー図の作り方の詳細はデータ・フロー図のテンプレートのページに譲りますが、ここではデータ･フロー図からはじめるという点を覚えておきましょう。これには理由があります。データがデジタル化している現代、個人データは組織内・組織外のさまざまな関係者と共有されています。あまりに手軽に共有されるため、データを取得した人でさえ、そのデータがどのような動きをしているのか理解していないことがほとんどなのです。
欧州個人データ調査票で洗い出した関係部門の人と集まり、自分たちのデータがどのように移動して、何に利用しているのか、誰が管理しているのかを再確認することが必要です。私がコンサルティングでかかわってきた組織では、ほとんどすべての組織で「発見」がありました。「そんな風にもつかっているの？！」というコメントを聞くのは、コンサルタントにとっては少し楽しい瞬間です。
データ･フロー図で取得しているデータの流れを整理できれば、各処理についての「目的」や「保管場所」、「保管期間」といったことを確認します。自分の組織外、つまり第三者への開示（データの受け渡し）があるかも確認しておきましょう。各処理の目的語とに取得しているデータも確認しておくと良いでしょう。
今述べたような情報をエクセルにまとめているのがデータ・マッピングのシートです。現代ではデータはビジネスの資源・素材となっていますので、まさしくデータの在庫（data inventory）を作成するのがデータ・マッピングの作業です。
もう１つヒントを言うならば、GDPR Art.30 では処理の記録(record keeping)の要求があります。どうせ記録をとるのであれば、データ・マッピングを作る際に一緒に作ってしまえばいいですね。
当社のテンプレートは、私がこれまで数十社をコンサルティングする中でこれが一番合理的かなという形で情報を整理しています。ぜひご活用ください。
なお、データ・マッピングは前提となる知識がないと難しいと思いますので、テンプレートを購入していただけた方には無料で１時間分メールサポートを差し上げます。
