1つのツール、3つの法的枠組み
プライバシーチームは月曜日にGDPRに基づいてEU顧客ファイルを処理します。火曜日はHIPAAに基づいて医療記録を。水曜日はCCPAに基づいてカリフォルニア州の消費者データを処理します。
各法律にはそれぞれ異なるルールがあります。各ドキュメントには異なる設定が必要です。
毎日3つのルールセットを切り替えると、エラーが発生します。誤った設定を誤ったファイルに適用すると、過剰な匿名化（データ損失）または不十分な匿名化（コンプライアンス違反）が生じます。
名前付きコンプライアンスプロファイルがこの問題を解決します。法律ごとに1つの保存設定。手動での再設定は不要です。
GDPRが対象とする範囲
GDPRはすべての個人データを対象とします。識別可能なEU個人に適用されます。対象となるデータ型の固定リストはありません。個人に関連するあらゆる情報が対象になります。
特殊カテゴリ — 健康データ、宗教的信条、政治的見解 — は第9条に基づいて追加の保護を受けます。
ドキュメント処理で一般的なエンティティタイプ：氏名、住所、国民識別番号、メールアドレス、電話番号、IPアドレス、クレジットカード番号。
正しい判断はコンテキストに依存します。GDPRに固定リストはありません。
HIPAAが対象とする範囲
HIPAA セーフハーバーは正確に18のID識別カテゴリを定義しています。18つすべてを医療記録から削除する必要があります。
2つのルールがチームを驚かせます：
- 日付は年のみに短縮されます。月と日は削除されます。年は残ります。
- 州より小さい地理的区分は削除する必要があります。
これらのルールは適用対象事業体とビジネスアソシエイトにのみ適用されます。
CCPAが対象とする範囲
CCPAはカリフォルニア州居住者の個人情報を対象とします。適用範囲は広範です。直接識別子、インターネット活動、購入履歴、位置情報データ、生体認証データ、プロファイル推定が含まれます。
ドキュメント処理では直接識別子に焦点を当てます：氏名、社会保障番号、運転免許証番号、パスポート番号、メールアドレス、口座番号、IPアドレス、デバイスIDです。
購入履歴やブラウジングログは通常、ドキュメント内のプレーンテキストとして表れません。
手動切り替えが失敗する理由
手動切り替えはエラーを生みます。HIPAA設定でGDPRファイルを処理すると、GDPRには必要ない日付ルールが適用されます。GDPR設定でHIPAAファイルを処理すると、セーフハーバーが要求する地理的ルールが抜け落ちます。
研究によると、手動のフレームワーク切り替えは約15%の確率でエラーを生むとされています。各エラーはコンプライアンス違反またはデータ損失です。
チームは3つのルールセットを頭に入れ、毎回正しいものを適用する必要があります。それはプロセスではありません。毎日の推測です。
3つの名前付き設定
「GDPR標準 — EUのお客様」
検出対象：氏名、住所、国民識別番号、メールアドレス、電話番号、IPアドレス、クレジットカード番号。
方法：黒塗り。
生年月日が関連しない限り、日付は除外します。オンラインデータにはIPアドレスを含めます。
「HIPAAセーフハーバー — 医療分野」
検出対象：氏名、日付、州未満の地域情報、電話番号、FAX番号、メールアドレス、社会保障番号、医療記録番号、健康保険ID、口座番号、証明書番号、車両ID、デバイスID、URL、IPアドレス、生体認証ID。これで18のセーフハーバータイプをすべてカバーします。
方法：黒塗り。日付は年を保持し、月と日を削除します。
施設固有の医療記録番号形式に対応したカスタムパターンを追加してください。
「CCPA — カリフォルニア州の消費者」
検出対象：氏名、住所、電話番号、メールアドレス、社会保障番号、運転免許証番号、パスポート番号、クレジットカード番号、IPアドレス、URL、口座番号、デバイスID。
方法：置換（分析に最適）または黒塗り。
各保存設定はコンプライアンス判断を一度だけ行います。オペレーターはドキュメントの法的コンテキストに合ったプロファイルを選択します。エンティティリストの構築も、方法の選択も不要です。
名前付きプロファイル導入前後のエラー率
導入前： チームは各法律に対して手動で再設定します。エラー率は約15%です。年次監査でフレームワーク適用に関する指摘が毎年見つかります。
導入後： チームは保存済みプロファイルを選択します。設定は固定されています。エラー率は2%未満に低下します。残るエラーは誤ったプロファイルの選択から生じます。QAレビューで検出されます。監査で指摘事項なしに合格します。
重要な変化：コンプライアンスの判断が日常業務からプロファイル作成の段階に移ります。専門家が一度決断します。各オペレーターは考えなくても適用できます。
マルチフレームワークチームの運営
責任の割り当て： 法律ごとに1人の担当者を置きます。GDPRの担当者はGDPRプロファイルを管理します。HIPAAオフィサーはHIPAAの設定を管理します。各担当者は四半期ごとにプロファイルを見直します。
ソースに基づくルーティング： EUのお客様データにはGDPRプロファイルを使用します。米国の医療データにはHIPAAプロファイルを使用します。カリフォルニア州の消費者データにはCCPAプロファイルを使用します。
各処理の記録： 処理ログは各バッチに使用したプロファイルを記録します。監査担当者がファイルの処理方法を確認した場合、回答はプロファイル名、日付、設定ログです。
更新の配布： EDPBが新しいガイダンスを発行した場合、GDPR担当者が共有設定を更新します。以降のすべての処理に自動的に反映されます。
プロファイルガバナンスと監査証跡の詳細については、匿名化プリセットとGDPR監査の一貫性をご覧ください。HIPAAセーフハーバーのエンティティカバレッジの詳細については、医療研究向けHIPAAセーフハーバー脱識別化をご覧ください。
結論
3つの法律。3つの保存プロファイル。1つのツール。
複雑さはプロファイル定義の段階にあります。日常のワークフローにはありません。オペレーターはHIPAAの日付ルールを知る必要はありません。目の前のドキュメントに合うプロファイルを知っていればいいのです。
名前付き設定は認知負荷を軽減します。エラーを減らします。コンプライアンスを証明可能にします。