注: 以下の翻訳の正確性は検証されていません。AIPを利用して英語版の原文から機械的に翻訳されたものです。
Foundry は、データ製品を安全に共同で利用・共有しながら、企業全体でデータを統合、加工、分析し、業務に活用できるようにします。あらゆるデータ戦略や取り組みにおいて、データが合法的、正当、適合的かつ適切に利用されることを確実にすることが重要です。データ保護とデータガバナンスは、Foundry を利用するうえで中心となる概念です。
プライバシーに関する規制は世界各地で異なりますが、ほとんどの規制では、データを適切に利用・取り扱うために、組織が保有するデータを把握する体系的かつ計画的な手段が求められます。Foundry では、データ保護とデータガバナンスは密接に結び付いています。このドキュメントでは、機密データや個人データを含むデータを Palantir Foundry で処理する際に、十分かつ適切なデータ保護とデータガバナンスを実現するために顧客が利用できるベストプラクティスとツールの概要を説明します。
このドキュメントは、プラットフォームで機密データを扱い、そのデータを保護するための Foundry の機能を理解したいデータ管理者、データガバナンスの所有者、データ所有者、およびユーザーを対象としています。
Palantir は、データと AI のワークフローは、そのライフサイクル全体を通してプライバシーと市民的自由への配慮に基づいて設計されるべきだと考えています。このガイダンスの背景にある原則と、関連するプラットフォーム機能の全体像については、プライバシーと市民的自由の実践を参照してください。
プラットフォームの管理者とユーザーは、企業データ、特に個人データや機密データを、常に責任を持って取り扱うよう努める必要があります。公正情報取扱原則（FIPPs）は、プライバシー保護を徹底しながら個人データを扱う際の基本原則となる、有用な指針を示しています。
以下では、プライバシー保護と個人データの国境を越える流通に関する OECD ガイドライン ↗に基づいて、FIPPs の概要を説明します。
これらの FIPPs に共通するテーマの1つは、データ最小化の必要性です。データの収集（「収集制限の原則」）と利用（「利用制限の原則」）は、明示され、承認された目的（「目的明確化の原則」）に限定する必要があります。また、データは常にセキュリティの確保を念頭に置いて取り扱う必要があります（「安全保護の原則」）。
たとえば、次のシナリオを考えます。
金融機関（FI）は、銀行サービスの提供に必要な新しい顧客プログラムの運営方法を検討する際に、FIPPs を適用できます。
金融機関がプログラムを立ち上げる際には、参加する顧客から、プログラムの運営に必要な個人情報のみを収集するようにします（「収集制限の原則」）。この際、すべての目的を事前に示し（「目的明確化の原則」）、データの取り扱いの詳細と方法を公開します（「公開の原則」）。
ユーザーが利用できるようにデータを準備する際、データ所有者とデータの準備を担当する人は、データに関するあらゆる判断が正確で最新の情報に基づいて行われるように、データの定期的な保守と確認を徹底します（「データ品質の原則」）。同時に、すべてのデータが安全に保管されていることも保証します（「安全保護の原則」）。定期的な監査レビューなど、システム全体にわたるプロセスによって、データが事前に明確にされた目的にのみ利用されることを確実にします（「説明責任の原則」）。ユーザーが利用できる状態になったデータには、承認された目的のためにそのデータを扱う、権限を持つユーザーだけがアクセスできます（「利用制限」）。
一方、消費者に対しては、金融機関は情報へのアクセス、削除、訂正を定期的に求められるようにします（「個人参加の原則」）。さらに、FIPPs 以外にも、コンプライアンス上の理由でデータを保持する必要がある期間について、金融分野のほかの要件を遵守する必要がある場合があります。
この例だけでも、データの取り扱いには多くの複雑な事項や考慮事項が伴います。このドキュメントで説明するベストプラクティスでは、個人データを含む機密データを扱う際に、これらの基本原則を業務で実践するための Palantir Foundry の幅広い技術ツールについて、概要を説明します。
FIPPs は、個人情報や機密情報のプライバシーを評価するための出発点にすぎません。個人データの処理には、公平性、非差別、倫理の原則も関係する場合があります。法律、規制、行政上の要件は、法域、分野、一般的な規範によって異なる場合があります。関連する要件については、法律顧問またはプライバシーの専門家に相談してください。
機密データの特定は、重要な最初のステップです。特定のデータが機密とみなされるかどうかは、関連するプライバシー規制や規範によって異なるため、コンテキストが重要になります。
ここでは、機密データを、広く機密情報として区分されるデータ、および追加のセキュリティを必要とするデータと定義します。一部の法律では、特定のデータ要素を正式に機密として指定しています（たとえば、EU の一般データ保護規則）。一方、法律上の位置付けにかかわらず、データの所有者や一般的な認識によって機密と判断されるものもあります（社会保障番号など）。データが機密として区分されるかどうかは、一般に、データの種類や機密情報区分（個人を特定できるデータなど）、ワークフローの種類（特定の目的に限定されるものなど）、または制限付きアクセス制御の適用につながる内容（企業の機密情報など）に大きく依存します。
機密データの一般的な例の1つは、個人識別情報（PII） です。これには、直接的な識別子や、個人を再識別したり、ほかの人と区別して特定したりするために使用できる、個人に関するその他の情報が含まれます。
機密情報の例には、次のものがあります。
機密データは、法域や分野によって異なる区分が適用される場合があります。関連するデータ保護およびプライバシー規制における定義の例を以下に示します。
EU 一般データ保護規則（GDPR）は、個人データを明示的に定義している規制の1つです。要約すると、GDPR は、個人を特定できるあらゆるデータを個人データと定義し、人種や政治的見解などの特性も機密として区分しています。正式な定義は次のとおりです。
GDPR の第4条第1項 ↗では、個人データを次のように区分しています。
識別された自然人、または識別可能な自然人（「データ主体」）に関するあらゆる情報を指します。識別可能な自然人とは、直接的または間接的に、特に氏名、識別番号、位置データ、オンライン識別子などの識別子、またはその自然人の身体的、生理的、遺伝的、精神的、経済的、文化的、社会的な属性に固有の1つ以上の要素を参照することによって識別できる人を指します。
さらに、GDPR の第9条第1項 ↗では、次の種類の個人データを、追加の配慮と保護を必要とする個人データの特別なカテゴリーとして強調しています。
人種的または民族的出自、政治的見解、宗教的または哲学的信条、労働組合への加入状況を明らかにする個人データ、ならびに遺伝データ、自然人を一意に識別することを目的とした生体データ、健康に関するデータ、または自然人の性生活に関するデータの処理を指します。
HHS の詳細ガイダンス ↗に概要が示されている、米国の医療保険の相互運用性と説明責任に関する法律（HIPAA）は、米国で医療データを取り扱う際の一般的な枠組みです。HIPAA は、医療提供者や保険会社が保有するデータに適用されますが、同じデータを処理するほかの事業者に必ずしも適用されるわけではありません。確認するには、法律顧問またはプライバシーの専門家に相談し、関連する要件について助言を受けてください。
HIPAA では、次のように定義されています。
保護対象保健情報とは、人口統計情報を含む、次の事項に関する情報です。
- 個人の過去、現在、または将来の身体的・精神的な健康状態や病状
- 個人に対する医療の提供
- 個人に対する医療の提供に関する、過去、現在、または将来の支払い。これらの情報は、個人を識別するもの、または個人の識別に使用できると考える合理的な根拠があるものを指します。保護対象保健情報には、一般的な識別子（氏名、住所、生年月日、社会保障番号など）が、上記の健康情報と関連付けられる場合に、それらの識別子も含まれます。
たとえば、HIPAA の対象事業体が取り扱う医療記録、検査報告書、病院の請求書は PHI に該当します。これらの文書にはそれぞれ、健康データの内容と関連付けられた患者の氏名やその他の識別情報が含まれるためです。
組織やプロジェクトに適用される可能性がある、その他の関連する国際的なデータ保護の枠組みには、次のものがあります。
上記のリストは網羅的なものではなく、明示的な定義は、現地の法域、リージョン、または業種によって異なります。適用される規則や規制に基づく、関連するデータの機密情報区分と具体的な取り扱い指示を理解するために、法務、コンプライアンス、データ保護の担当チームに相談してください。
Palantir Foundry でデータを扱い始める前に、組織内でデータ保護とデータガバナンスに関わる専門家 (SME) と責任を負う担当者を必ず特定してください。個人データやその他の機密データを含む企業データを扱う際には、法的要件や規制要件への対応から、プラットフォームやデータの所有者が定めた組織のルールの運用に至るまで、さまざまな事項を考慮する必要があります。
以下は、Palantir Foundry でデータ処理を開始する前に、組織内で実施または確認すべき一般的な手順です。
ガバナンス委員会や専門家を特定するか、データガバナンスの責任者を指定する
それぞれのデータ所有者またはデータ管理者に相談し、適用される規制、利用契約、その他の要件に従ったデータの扱い方を理解し、承認できる関係者を特定してください。
必要なプライバシーレビューまたはプライバシー影響評価を完了する
法務およびコンプライアンスチームと連携する
社内の法務およびコンプライアンスチームと連携し、システムが機密データを扱い始めるために必要なドキュメントを特定してください。
個別の疑問が生じた場合や、より広範な認識のすり合わせが必要になった場合に備え、データ管理者またはユーザーとして、関連する法務およびコンプライアンスチームと連絡を取り、必要事項を把握できるようにしてください。
早い段階から法務およびコンプライアンスチームに関与してもらい、Foundry プラットフォームの用途と利用範囲を伝えてください。
Palantir のプライバシーおよび市民的自由チームに追加のガイダンスを依頼する
追加のガイダンスが組織にとって役立つ場合、Palantir のプライバシーおよび市民的自由 (PCL) チームは、組織のポリシーを Foundry で機密データを扱うための実務に結び付ける支援を行えます。PCL の概要を確認したうえで、Palantir の担当者または Palantir サポートに連絡し、この支援を依頼してください。
特定のユーザーグループやプロジェクトで機密データが不要な場合は、そのデータを含む列または行を削除して、下流での機密データへのアクセスを制限します。機密データへのアクセスは、データ所有者や関連するデータ保護およびデータガバナンスチームが定めた、明示的に承認された目的に限定されるようにしてください。
セキュリティをさらに強化するため、Cipher サービスを使用し、暗号処理（暗号化、復号、ハッシュ化）によってデータを難読化することを推奨します。Cipher は、ストレージレベルとネットワークレベルでの Foundry の高度な暗号化に加え、運用ワークフローにプライバシーとガバナンスの保護措置を設定するためのツールをユーザーに提供します。
Checkpoint は、特定の機密データに関するアクションを実行する前に、データガバナンスチームが正当な理由の提示を求められるようにすることで、説明責任と目的の制限を実現する Foundry アプリケーションです。詳細については、Checkpoint のドキュメントと、機密性の高いアクションについて正当な理由の提示を求めるワークフローを参照してください。
お使いの処理環境で機密性が高いと見なされるアクションを実行する前に、ユーザーに正当な理由の提示や確認を求める必要がある場合は、Checkpoint を導入してください。
Sensitive Data Scanner は、管理者が機密データ（PII など）の組織固有の定義と、その定義に一致するデータが検出された場合の対応ポリシーを作成できる Foundry アプリケーションです。Sensitive Data Scanner は手動で実行することも、バックグラウンドで実行してデータセット、プロジェクト、またはプラットフォームに新しく取り込まれるデータを監視するように設定することもできます。データセットに、事前に指定された機密データの定義に該当する情報が含まれていることを Sensitive Data Scanner が検出すると、設定された対応が実行されます。たとえば、Foundry が生成する Issue を作成して管理者にアラートを送信したり、セキュリティマーキングを適用してデータセットへのアクセスを事前に制限したりします。詳細については、Sensitive Data Scanner のドキュメントを参照してください。
データ保持とは、Foundry にデータを保存する期間と、Foundry からデータを削除する方法を管理するプロセスを指します。FIPP に沿って、PII などの機密データは、適用されるデータ保護規制を遵守するため、通常、処理目的が達成された時点で速やかに削除する必要があります。
契約上の合意やコンプライアンス上の必要性によっては、保持が必要なデータもあります。そのため、Foundry からの削除は、ある時点で取り消せなくなることに留意し、保持プロセス全体を通じて、適格性のレビューなどの関連する管理措置を事前に実施する必要があります。
保持要件はできる限り早く、理想的にはデータを取り込む前に決定することを強く推奨します。
詳細については、Foundry における保持の仕組みと、Data Lifetime でリネージを考慮した保持ポリシーを適用する方法を確認してください。