注: 以下の翻訳の正確性は検証されていません。AIPを利用して英語版の原文から機械的に翻訳されたものです。
Foundry では、データ製品を安全に共有して共同作業を行いながら、企業全体のデータを統合、加工、分析し、業務に活用できます。あらゆるデータ戦略や取り組みにおいて重要なのは、データの利用が合法的かつ正当で、コンプライアンスに準拠し、適切であることを確保することです。データ保護とデータガバナンスは、Foundry を利用するうえで中心となる概念です。
プライバシー規制は世界各地で異なりますが、ほとんどの規制では、データを適切に利用および取り扱うために、組織がどのようなデータを保有しているかを把握する体系的かつ計画的な手段が求められます。Foundry では、データ保護とデータガバナンスは密接に連携しています。このドキュメントでは、機密データや個人データを含むデータを Palantir Foundry で処理する際に、十分かつ適切なデータ保護とデータガバナンスを実現できるよう、お客様が利用可能なベストプラクティスとツールの概要を説明します。
このドキュメントは、プラットフォーム上で機密データを扱い、そのデータを保護するための Foundry の機能について理解したいデータ管理者、データガバナンス責任者、データ所有者、およびユーザーを対象としています。
Palantir は、データと AI のワークフローのライフサイクル全体を通して、プライバシーと市民的自由への配慮を反映すべきだと考えています。このガイダンスの背景にある原則と、関連するプラットフォーム機能の全体像については、プライバシーと市民的自由の実践を参照してください。
プラットフォーム管理者とユーザーは、企業データ、特に個人データや機密データを常に責任を持って取り扱うよう努めるべきです。公正情報取扱原則（FIPPs）は、プライバシー保護を徹底しながら個人データを扱うための基本原則となる、有用なガイドラインです。
以下に、プライバシー保護と個人データの国際流通についての OECD ガイドライン ↗に基づく FIPPs の概要を示します。
これらの FIPPs に共通するテーマの1つが、データ最小化の必要性です。データの収集（「収集制限の原則」）と利用（「利用制限の原則」）は、明示され、承認された目的（「目的明確化の原則」）にのみ限定すべきです。さらに、データは常にセキュリティの確保を念頭に置いて取り扱う必要があります（「安全保護の原則」）。
たとえば、次のシナリオを考えてみます。
金融機関（FI）が、銀行サービスの提供に必要な新しい顧客向けプログラムの運用方法を検討する際に、FIPPs を適用する場合があります。
金融機関はプログラムを立ち上げる際、参加する顧客から、プログラムの運営に必要な個人情報のみを収集するようにします（「収集制限の原則」）。また、すべての目的を事前に提示し（「目的明確化の原則」）、データの取り扱いの詳細と方法を公表します（「公開の原則」）。
ユーザー向けにデータを準備する際、データ所有者とデータの準備担当者は、データに関するあらゆる意思決定に正確かつ最新の情報が使われるよう、データを定期的に保守および確認し（「データ内容の原則」）、すべてのデータが安全に保管されることを確保します（「安全保護の原則」）。定期的な監査レビューなど、システム全体のプロセスにより、事前に明確にされた目的にのみデータが利用されることを確保します（「責任の原則」）。ユーザー向けのデータの準備が整うと、承認された目的でそのデータを扱う権限のあるユーザーのみが、そのデータにアクセスできます（「利用制限」）。
一方、消費者側では、金融機関は消費者が情報へのアクセス、削除、訂正を定期的に要求できるようにします（「個人参加の原則」）。さらに、FIPPs 以外にも、コンプライアンス上の理由からデータを保持すべき期間について、金融分野のほかの要件に従う必要がある場合があります。
この例だけでも、データの取り扱いには多くの複雑な事項や考慮事項が関わっています。このドキュメントで説明するベストプラクティスでは、個人データを含む機密データを扱う際に、これらの基本原則を実務に適用するために役立つ、Palantir Foundry の幅広い技術ツールの概要を説明します。
FIPPs は、個人情報や機密情報のプライバシーを評価するための出発点にすぎません。個人データの処理には、公平性、非差別、倫理の原則も関係する場合があります。法的、規制上、行政上の要件は、法域、分野、一般的な規範によって異なる場合があります。関連する要件については、法律顧問またはプライバシーの専門家に相談してください。
機密データを特定することは、重要な最初のステップです。特定のデータが機密と見なされるかどうかは、関連するプライバシー規制や規範によって異なるため、コンテキストが重要です。
ここでは、機密データを、広く機密扱いとされるデータ、または追加のセキュリティを必要とするデータと定義します。一部の法律（たとえば、EU の一般データ保護規則）は、特定のデータ要素を機密として正式に指定しています。一方、法的な位置付けにかかわらず、データ所有者や一般的な認識によって機密と判断されるもの（社会保障番号など）もあります。データが機密として分類されるかどうかは、一般に、データの種類や分類（個人を特定できる情報など）、ワークフローの種類（特定の目的に限定されるものなど）、またはアクセス制限が必要となり得る内容（企業の機密情報など）に大きく依存します。
機密データの一般的な例として、個人を特定できる情報（PII） があります。これには、直接識別子に加えて、個人の再識別や特定の個人の識別に使用できる、その個人に関するその他の情報が含まれます。
機密情報の例には、次のようなものがあります。
機密データの分類は、法域や分野によって異なる場合があります。関連するデータ保護およびプライバシー規制における定義の例を以下に示します。
EU 一般データ保護規則 (GDPR) は、個人データを明示的に定義している規制の1つです。要約すると、GDPR は個人を特定できるあらゆるデータを個人データと定義し、人種や政治的意見などの特性も機密として分類しています。正式な定義は次のとおりです。
GDPR の第4条第1項 ↗では、個人データを次のように分類しています。
識別された、または識別可能な自然人（「データ主体」）に関するあらゆる情報を指します。識別可能な自然人とは、特に、氏名、識別番号、位置データ、オンライン識別子などの識別子、または当該自然人の身体的、生理的、遺伝的、精神的、経済的、文化的もしくは社会的な属性に固有の1つ以上の要素を参照することにより、直接的または間接的に識別できる者を指します。
さらに、GDPR の第9条第1項 ↗では、次の種類の個人データを、追加の配慮と保護を必要とする特別なカテゴリーの個人データとして挙げています。
人種的もしくは民族的出自、政治的意見、宗教的もしくは哲学的信条、または労働組合への加入を明らかにする個人データ、および遺伝データ、自然人を一意に識別することを目的とする生体データ、健康に関するデータ、または自然人の性生活に関するデータの処理を指します。
HHS の詳細なガイダンス ↗で概要が説明されている、米国の医療保険の携行性と責任に関する法律 (HIPAA) は、米国で医療データを取り扱うための一般的な枠組みです。HIPAA は医療提供者や保険会社が保有するデータに適用されますが、同じデータを処理するほかの事業者に必ずしも適用されるわけではありません。確認するには、法律顧問またはプライバシーの専門家に相談し、関連する要件について助言を受けてください。
HIPAA では、次のように定義されています。
保護対象保健情報とは、人口統計情報を含む、次の事項に関連する情報を指します。
- 個人の過去、現在、または将来の身体的もしくは精神的な健康や状態
- 個人に対する医療の提供
- 個人に対する医療の提供に関する過去、現在、または将来の支払いであって、当該個人を識別するもの、または当該個人の識別に使用できると考える合理的な根拠があるもの。保護対象保健情報には、一般的な識別子（氏名、住所、生年月日、社会保障番号など）が、上記の健康情報と関連付けられる場合に、それらの識別子も含まれます。
たとえば、HIPAA の対象事業体が取り扱う診療録、検査報告書、または病院の請求書は、各文書に患者の氏名や、健康データの内容に関連付けられたその他の識別情報が含まれるため、保護対象保健情報 (PHI) に該当します。
組織やプロジェクトに適用される可能性がある、その他の関連する国際的なデータ保護の枠組みには、次のものがあります。
上記の一覧は網羅的なものではなく、具体的な定義は現地の法域、地域、または分野によって異なります。適用される規則や規制に基づく、関連するデータの分類と具体的な取り扱い手順を理解するために、法務、コンプライアンス、データ保護を担当するチームに相談してください。
Palantir Foundry でデータを扱い始める前に、組織内のデータ保護とデータガバナンスに関する専門家（SME）および説明責任を負う責任者を必ず特定してください。個人データやその他の機密データを含む企業データを扱う際には、法律や規制の要件から、プラットフォームやデータの所有者が定めた組織のルールの運用まで、さまざまな事項を考慮する必要があります。
以下は、Palantir Foundry でデータ処理を開始する前に、組織内で実施または確認すべき一般的な手順です。
ガバナンス委員会や専門家を特定する、またはデータガバナンス責任者を任命する
それぞれのデータ所有者またはデータ管理者に相談し、適用される規制、利用契約、その他の要件に従ったデータの取り扱い方法について知識を持ち、承認できる関係者を特定してください。
必要なプライバシーレビューまたはプライバシー影響評価を実施する
法務およびコンプライアンスチームと連携する
社内の法務およびコンプライアンスチームと連携し、システムで機密データの取り扱いを開始するために必要なドキュメントを特定してください。
随時生じる疑問や、より広範な調整が必要になる場合に備え、データ管理者またはユーザーとして、関連する法務およびコンプライアンスチームと連絡を取り、必要な事項を把握できるようにしてください。
早い段階から法務およびコンプライアンスチームと連携し、Foundry プラットフォームの用途と利用範囲を伝えてください。
Palantir のプライバシーと市民的自由チームに追加のガイダンスを依頼する
組織で追加のガイダンスが役立つ場合は、Palantir のプライバシーと市民的自由（PCL）チームが、組織のポリシーを Foundry での機密データの取り扱いに関する実務につなげるための支援を行えます。PCL の概要を確認したうえで、Palantir の担当者または Palantir サポートに連絡し、支援を依頼してください。
特定のユーザーグループやプロジェクトで機密データが不要な場合は、そのデータを含む列または行を削除して、下流での機密データへのアクセスを制限します。機密データへのアクセスは、データ所有者や関連するデータ保護およびデータガバナンスチームが定義した、明示的に承認された目的に限定されるようにしてください。
セキュリティをさらに強化するために、Cipher サービスを使用して、暗号処理（暗号化、復号、またはハッシュ化）によってデータを難読化することを推奨します。Cipher は、ストレージおよびネットワークレベルでの Foundry の高度な暗号化に加え、運用ワークフローにプライバシーとガバナンスの保護措置を設定するためのツールをユーザーに提供します。
Checkpoints は、データガバナンスチームが、特定の機密性の高いデータ操作を実行できるようにする前にその理由の提示を求められるようにすることで、説明責任の確保と目的の制限を促進する Foundry アプリケーションです。詳細については、Checkpoints のドキュメントと、機密性の高い操作の理由の提示を求めるワークフローを参照してください。
お使いの処理環境で機密性が高いと見なされる操作を実行する前に、ユーザーに理由の提示や確認を求める必要がある場合は、Checkpoints をデプロイしてください。
監査ログは、Foundry 全体でユーザーが行う操作を記録します。Audit Explorer は、audit.3 監査ログを検索して確認するための Foundry アプリケーションです。データガバナンスチームは、これを使用して活動を調査し、承認された目的でのみデータが使用されていることを確認できます。Audit Explorer は検索のたびに監査ログも記録するため、レビュー担当者自身による監査データの利用も監査できます。詳細については、Audit Explorer のドキュメントを参照してください。
Sensitive Data Scanner は、管理者が機密データ（PII など）の組織固有の定義と、その定義に一致するデータが検出された場合の対応に関するポリシーを作成できる Foundry アプリケーションです。Sensitive Data Scanner は手動で実行することも、バックグラウンドで実行し、データセット、プロジェクト、またはプラットフォームに入る新しいデータを監視するように設定することもできます。事前に指定した機密データの定義に該当する情報がデータセットに含まれていることを Sensitive Data Scanner が検出すると、設定された対応が実行されます。たとえば、Foundry が生成する Issue を作成して管理者にアラートを通知したり、セキュリティマーキングを適用してデータセットへのアクセスを予防的に制限したりします。詳細については、Sensitive Data Scanner のドキュメントを参照してください。
データ保持とは、Foundry にデータを保存する期間と、Foundry からデータを削除する方法を管理するプロセスを指します。FIPPs に沿って、PII などの機密データは通常、適用されるデータ保護規制に準拠するために、処理目的が達成され次第、削除する必要があります。
契約上の合意やコンプライアンス上の必要性によっては、一部のデータを保持する必要もあります。そのため、Foundry からの削除は、ある時点を過ぎると元に戻せなくなることに留意し、保持プロセス全体を通じて、適格性のレビューなどの適切な管理措置をあらかじめ実施してください。
保持要件は、できるだけ早い段階で、理想的にはデータを取り込む前に決定することを強く推奨します。
詳細については、Foundry での保持の仕組みと、Data Lifetime でリネージを考慮した保持ポリシーを適用する方法を確認してください。