米国では、従業員を監視するためにテクノロジーを使用する場合、データ保護影響評価 (DPIA) または同様の評価を実施することがベスト プラクティスであり、一部の州では必須となっています。このプラクティスは、従業員のプライバシーへの潜在的な損害を最小限に抑えながら、監視プラクティスが適切で、必要かつ合法であることを保証することを目的としたプライバシー原則と一致しています。
従業員を監視する際に DPIA を実施する理由
* 従業員のプライバシー リスク: ビデオ監視、キーストロークの記録、位置追跡などの監視テクノロジは、従業員のプライバシーに重大な影響を及ぼす可能性があります。評価は、これらのリスクを評価し、適用されるプライバシー法に準拠していることを確認するのに役立ちます。
* 州固有の要件: カリフォルニア州消費者プライバシー法 (CCPA) およびカリフォルニア州プライバシー権利法 (CPRA) に基づくカリフォルニア州などの一部の州では、機密データに関連する高リスク活動の評価を含むプライバシー保護策を実施することを企業に義務付けています。
* ベスト プラクティス: 法的に義務付けられていない場合でも、DPIA を実施することで説明責任が示され、従業員のプライバシー侵害に関連するリスクを軽減するのに役立ちます。
オプションの説明:
* A. 採用プロセスの一環として身元調査が行われる場合: 身元調査には機密データや公正信用報告法 (FCRA) などの法律への準拠が関係しますが、このプロセスでは通常 DPIA は必要ありません。代わりに、同意と通知が重視されます。
* B. 企業が情報を処理する場合: これは範囲が広すぎます。DPIA は一般に、機密データやテクノロジーに関連する高リスクのアクティビティにのみ適用され、すべてのデータ処理アクティビティに適用されるわけではありません。
* C. 企業秘密を第三者と共有する場合: 企業秘密の共有には契約および機密保持措置が含まれますが、個人データも含まれていない限り、通常はデータ保護評価は必要ありません。
* D. 従業員を監視するためにテクノロジーが使用される場合: 正解です。テクノロジーを使用して従業員を監視すると、プライバシーに重大なリスクが生じるため、プライバシーへの影響を評価し、州法および連邦法への準拠を保証することがベストプラクティス (場合によっては必須) となります。
CIPP/US 資料からの参照:
* カリフォルニア州プライバシー権法 (CPRA): 特定のデータ処理活動に対するリスク評価を導入します。
* IAPP CIPP/US 認定テキスト: 従業員の監視に関連するプライバシーのリスクと影響評価の重要性について説明します。

州の侵害通知法では、個人情報は通常、個人のファーストネームまたはファーストネームの頭文字と姓に、社会保障番号、州識別番号、口座番号、医療情報などの 1 つ以上の他のデータ要素を加えたものと定義されています。ただし、ファーストネームと姓のみは、個人を特定したり、セキュリティやプライバシーを侵害したりする可能性のある他のデータ要素と組み合わせない限り、通常は個人情報とは見なされません。したがって、オプション B は、州の侵害通知法の下での個人情報の定義に通常は含まれていないため、正解です。参考文献: https://www.ncsl.org/technology-and-communication/security-breach-notification-laws
https://iapp.org/resources/article/state-data-breach-notification-chart/

グラム・リーチ・ブライリー法 (GLBA) に基づく年次プライバシー通知要件は、例外要件を満たさない限り、顧客から非公開の個人情報を収集し、それを非関連第三者に開示する金融機関に適用されます。金融機関とは、1956 年銀行持株会社法第 4 条 (k) の定義に従い、本質的に金融的な活動またはそのような活動に付随する活動に従事する事業体です。キング郡貯蓄貸付金は、金銭の貸付と預金の受け入れを行っていることから、この定義に基づく金融機関です。したがって、例外要件を満たさない限り、顧客に年次プライバシー通知を提供する必要があります。フォー ウィンズ トライバル カレッジ、ゴールデン ガベル オークション ハウス、およびブリージー シティ住宅委員会は、本質的に金融的な活動またはそのような活動に付随する活動に従事していないため、GLBA に基づく金融機関ではありません。
したがって、GLBA に基づいて顧客に毎年プライバシー通知を提供する必要はありません。参考:
* グラム・リーチ・ブライリー法第 I 条に基づく年次プライバシー通知要件の改正。
背景、第2段落。
* 17 CFR § 248.5 - 顧客への年次プライバシー通知の要求、パラグラフ (a) (1)。
* IAPP CIPP/US 学習ガイド、65 ページ。