プライバシー影響評価
日本でPIAを実施するには、ISO22307を要求事項とし、ハンドブックおよびガイドラインの整備が必要である。また、PIAの実施を公的に明確にするための仕組みとPIAの結果を情報提供者の立場に立って、その内容を中立的・専門的にコミットメントする組織も必要である。
米国政府が構築するシステムに関しては、法律により、予算措置とリンクしてPIAの実施が義務付けられている。また、国土安全保障省では、専門的な組織としてチーフプライバシーオフィサーの設置が義務付けられている。
また、カナダおよびオーストラリアでは、PIAを実施する社会体制ができている。すなわち、中立的・専門的組織として、プライバシーコミッショナー制度が整備されており、プライバシーコミッショナーはガイドラインを発行するなどして、PIAの実施を推奨している。
日本では、
ハンドブック、ガイドラインでPIA実施の体制と手順を明確にする。
行政が構築するシステムに関しては、条例などでPIA実施を義務付ける。
組織内に中立的・専門的な組織を明確に設けるとともに、組織外の中立的組織を活用する。
といった対策が必要である。
プライバシー・フレームワークを元に、システムのデータフロー分析および評価シートなどを用いプライバシーに関する影響分析を行う。適用業務が、個人情報をどのように収集、利用、管理するかについて設計指標を評価し、ポリシーの策定や、トレーニング計画等、具体的な提案や問題の抽出が行われる。
カナダでは、PIA実施に関する法令は存在しないが、行政機関においては、予算承認プロセスの中にPIAの実施が組み込まれており、事実上、その実施が義務化されている。ガイドラインについては、 Treasury Board(予算審議会)が発行するほか、州単位で発行するものも存在する。PIAの実施は、評価対象となるシステムを構築・改修する組織および機関によって行われ、それに対し、連邦政府や州のプライバシーコミッショナーが第三者機関として助言を行う。PIA終了後、プライバシーコミッショナーは実施機関からの報告書の回付を受け、国民のプライバシー権を監督・擁護する立場から、その要約を公開している。なお、PIA報告書の承認自体は、PIA実施組織の責任者により行われる。
行政機関での事例としては、入国安全管理局や王立騎馬警察のシステム更新時の実施があり、また、民間部門では、Canada Health Infoway社などの実施報告がWebサイトで公開されている。