GDPRの仕組み
GDPRは1995年のデータ保護指令に代わるもので、組織自体がどこに所在するかにかかわらず、欧州連合および欧州経済領域の人々の個人データを処理するあらゆる組織に適用されます。この域外適用の効力により、EU居住者をターゲットにしたり、その行動を監視したりする企業は、世界のどこにあっても本規則の対象となり得ます。
その中核として、本規則は個人データを処理するすべての行為が6つの適法な根拠、すなわち同意、契約、法的義務、重大な利益、公共の任務、正当な利益のいずれかに基づくことを求めます。また、目的の限定、データの最小化、保存の限定、正確性、説明責任といった原則を定め、個人にアクセス、訂正、消去、ポータビリティ、異議申立てを含む権利を付与します。
執行は各国の監督機関（データ保護当局）が担い、欧州データ保護会議を通じて調整されます。重大な違反に対する制裁金は最大2,000万ユーロ、または企業の全世界年間総売上高の4パーセントのいずれか高い方に達し得るため、コンプライアンスはグローバル企業にとって取締役会レベルの関心事になっています。
デバイスフィンガープリンティングや分析といった技術については、GDPRはePrivacy指令（いわゆる「クッキー法」）と相互に関係します。ユーザーのデバイス上の情報を読み書きすることは、ユーザーが求めたサービスに厳密に必要な場合を除き、一般に同意を必要とします。一方、その結果生じる個人データのその後の処理は、依然としてGDPRの適法根拠および透明性の要件を満たさなければなりません。
不正防止においてGDPRが重要な理由
GDPRは、欧州においてあらゆる不正防止システムがどのように動作できるかを形づくります。デバイスインテリジェンスとフィンガープリンティングは個人データを処理し得るため、運用者は有効な適法根拠（多くの場合、セキュリティと不正防止のための正当な利益。本規則はこれを正当な目的として明示的に認めています）を特定し、比較衡量の評価を文書化し、ユーザーに対して透明であらねばなりません。これを正しく行うことは、規制上の制裁から企業を守ると同時に、不均衡または隠れた監視から個人を守ることになり、GDPRを当該地域におけるプライバシーに配慮したデータ取扱いの中心的な参照点にしています。
TRACIOでの扱い方
TRACIOはGDPRを意識した導入のために設計されています。セキュリティと不正防止に焦点を当てたファーストパーティのデバイスインテリジェンスサービスとして動作し、保持するシグナルを最小化し、顧客が自らの適法根拠とデータ取扱いポリシーを文書化するために必要な制御を提供します。ただし、TRACIOはいかなる顧客も自動的にコンプライアンス適合にするわけではありません。コンプライアンスは、各顧客が自らの具体的な文脈において目的、通知、保持、同意をどのように構成するかに依存し、その評価に対する法的責任は顧客に残ります。TRACIOは顧客自身の法的判断を置き換えるのではなく、この作業を支援します。