既存のワークフローを使ってWebやモバイルのアプリケーションを構築できる「Rocket API」。
一般データ保護規制（GDPR）に準拠したWebサービスの開発・運用にあたって、同APIで利用できる機能について、提供元のRocket社サイトで紹介されています。
（当ページでは、GDPRの解釈について「EU 一般データ保護規則（GDPR）」に関わる実務ハンドブック（入門編）｜日本貿易振興機構（JETRO）から一部引用して情報をまとめていますが、GDPRの解釈については法務部や顧問弁護士など専門家にご確認ください。）
GDPRでは、個人データの保護やデータへのアクセス権限について、次のように定められています。
- 個人データは、正確であり、必要な場合には最新に保たれなければならない。不正確な個人データが確実に、遅滞なく消去または訂正されるように、あらゆる合理的な手段が講じられなければならない。
- 個人データは、当該個人データの適切なセキュリティを確保する方法で取り扱われなければならない。当該方法は、無権限の、または違法な処理に対する保護および偶発的な滅失、破壊、または損壊に対する保護も含むものとし、個人データの適切なセキュリティが確保される形で処理されなければならない。
- 管理者は、処理システムの設計、および当該システムの運用において、データ主体の権利を保護し、GDPRを確実に遵守するために、適切な技術的および組織的な措置を実行しなければならない。また、個人データは、処理の目的の必要性に照らして、適切であり、関連性があり、最小限に限られていなければならない。
- 管理者および処理者は、リスクに見合ったセキュリティレベルを確保するために、処理システムおよびサービスの継続中の機密性、完全性、可用性および復旧を確保するための適切な技術的および組織的対策を実施しなければならない。
- 管理者が、暗号化のように個人データへのアクセスを許可されていないあらゆる人に対して、個人データが判読できないようにするといった対策を始めとする、適切な技術的および組織的保護対策を、個人データの侵害によって影響を受ける個人データに適用している場合、データ主体への通知は不要となる。
これに対しRocket APIは、同APIを使用したデータ転送全てにおいてTLS1.2やSSHv2などの暗号化されたプロトコルによって保護しているそうです。
データマスキングと匿名化の機能が備わっており、識別可能な個人データの公開を制限することもできます。
アクセス権限においては、バックエンド・メインフレームのアクセス権を継承するだけでなく、ユーザーやアクセスされるデータ等によって、APIの呼び出しを制限することも可能とのこと。
さらには、APIのインベントリーやAPIゲートウェイへのデプロイを管理するすることもできるそうです。
これにより、転送中のデータの整合性を保ち、技術的なエラーや悪意のある干渉を防ぐことができます。
また、個人データの保存においては、GDPRでは次のような制限が定められています。
- 個人データは、当該個人データの処理の目的に必要な範囲を超えて、データ主体の識別が可能な状態で保管してはならない。
Rocket APIは、API呼び出しに関連するデータをキャッシュとして保存することができます。ただし、上述の取り決めに準拠し、キャッシュはメモリにのみ保持され、Rocket APIサービスが停止した場合、もしくは設定した時間で消去する仕様となっているそうです。
GDPRでは、万が一侵害が起こった場合への監督機関への通知内容については、下記のように記されています。
- 管理者は、第5条第1項に定められた個人データの取り扱いに関する責務を負い、遵守を証明できなければならない。
- 個人データの侵害が起こった場合、 (a)個人データの侵害の性質に関する記述、可能であれば、関連するデータ主体の種類と概数。関連する個人データの記録の種類と概数 (b)の氏名および連絡先の詳細、または、さらなる情報が入手できるその他の連絡先 (c)個人データの侵害の結果、生じ得る結果に関する記述 (d)個人データの侵害に対処するために、管理者によって取られている対策、または取られることが予定されている対策の記述を、監督機関への通知において含めなければならない。
これに対しRocket APIは、監査ログ機能により、APIによる呼び出しをすべて記録し、アクセスしているユーザーの詳細や、読み書き中のデータ値などを表示できるようにしているとのことです。
GDPRは欧州経済領域（EEA）の個人データの取り扱いについて定められた規則ですが、日本でも、今後個人データの扱いに関するより厳格な取り決めが定められる可能性があります。
そのため、日本人の個人データを扱うAPIでも、Rocket APIの対応を参考に仕様を定めていく必要があるのではないかと考えられます。
