第四回では、何百万もの問い合わせに対応できるスマートな顧客サービスを構築しました。そうした問い合わせの一つひとつが痕跡を残します。名前、携帯電話番号、予約、支払い、言語、位置情報です。2034年のシーズンが終わったとき、あなたは単に売上を伸ばしただけではありません。自社の歴史上で最も価値のあるデータベースを手にし、同時にそれは最も危険なデータベースにもなります。シリーズ最終回となる今回は、多くの人がチャンスに備える中で見落としがちな側面を扱います。そのデータをいかに合法的に収集し、漏えいから守り、最後のファンが去った後も残る資産に変えるか、ということです。

2034年にデータへの責任が高まる理由

普段の日と大会シーズンの違いは、データの種類ではなく、その量と機微性、そして集まる注目にあります。三つの要因が同時に重なります。

  • 量：わずか数週間で、これまで何年もかけて集めたよりも多くの顧客を登録することになるかもしれません。そして、すべての記録が新たな法的義務になります。
  • 機微性：ホテルの予約には身分証明書やパスポートが、販売には決済データが、アプリには位置情報が伴います。いずれも不注意が許されない種類のデータです。
  • 標的化：大規模イベントは攻撃者を引き寄せます。プレッシャーが大きく、チームは手一杯で、新しいシステムはテストされていないからです。繁忙期の情報漏えいは、平穏な日に比べて二倍のコストがかかります。

さらに、多くの事業者がめったに直面しない側面が加わります。こうした訪問者の大半は王国外から訪れ、そのデータは異なる国々のシステムやサービス提供者の間を移動する可能性があります。それだけでも、データは技術的な細部から経営判断へと変わり、シーズンの後ではなく前に注意を払うべきものになります。

実務における個人データ保護法

サウジアラビアには明確な個人データ保護法（PDPL）があります。勅令M/19によって制定され、2023年に改正され、施行規則も発効しており、猶予期間が2024年9月14日に終了してからは完全な遵守が求められています。監督するのはサウジデータ・人工知能庁（SDAIA）です。法律用語を離れてみると、2034年に向けて準備を進める企業にとっての実務上の意味は、次の六つの義務に集約されます。

  • 目的の特定：明示した目的のためにデータを収集し、法的根拠なしに後から別の目的に転用しないこと。
  • データの最小化：本当に必要のない項目は求めないこと。余分な項目が一つ増えるごとに、見返りのない責任が一つ増えます。
  • 明確な同意：マーケティングへの同意は独立した明示的なものでなければなりません。あらかじめチェックの入ったボックスや、予約手続きの中に紛れ込ませた条件は認められません。
  • データ主体の権利：顧客は自分のデータにアクセスし、訂正し、削除を求めることができます。それに応えるには、プライバシーページ上の約束ではなく、実際に機能するプロセスが必要です。
  • 漏えいの通知：漏えいが起きた場合には、規制当局の定めに従って通知する義務があります。これは、漏えいを検知し、何をすべきかを分かっている担当者がいることを前提としています。
  • 国境を越える移転：王国外のサービス提供者やサーバーへデータを移すことは管理措置の対象です。どのベンダーと契約する場合でも、その前にデータのホスティング場所を把握してください。

違反は形式上の問題ではありません。法律は最大五百万リヤルの罰金に及ぶ罰則を定めており、違反を繰り返した場合は倍額になることがあり、損害を与える意図で機微なデータを開示した場合にはさらに重い罰則が科されます。良い知らせは、中規模企業にとってコンプライアンスは巨大なプロジェクトではないということです。実効性のあるプライバシーポリシー、何を収集しどこに保存しているかの台帳、同意と削除の仕組み、そしてサービス提供者との適切に作成された契約です。今の数週間の作業は、シーズン半ばの危機よりもはるかに安く済みます。

繁忙期のサイバーセキュリティ

コンプライアンスはデータをどう扱うべきかを教えてくれます。サイバーセキュリティは、他者がそれを持ち去るのを防ぎます。そして、中規模企業を襲う情報漏えいの多くは、高度な攻撃からではなく、おろそかにされた基本から生じます。最大の効果をもたらすことに集中しましょう。

  • すべての管理者アカウント、ダッシュボード、決済システムで二要素認証を使い、もう必要のない人のアクセス権は取り消すこと。
  • 通信時と保存時の暗号化を行い、決済代行業者がカードデータを扱っている限り、自社でカードデータを保存しないこと。
  • 最小権限：受付の従業員が顧客データベース全体をエクスポートする必要はなく、広範なアクセスは文書化された例外であるべきです。
  • テスト済みのバックアップ：一度も復元したことのないバックアップはバックアップではなく、単なる思い込みです。シーズン前に復元をテストしてください。
  • パッチ適用と監視：古いシステムの既知の脆弱性は最初の侵入口になります。誰も読まないアクセスログがあるということは、漏えいに気づくのが遅すぎるということです。
  • ベンダーのリスク：自社のシステムはサービス提供者やミドルウェアとつながっており、そのいずれかで起きた漏えいは自社の漏えいでもあります。連携する前に、相手のセキュリティ上の約束事項を確認してください。

これらすべてよりも重要なのが、文書化され、訓練を重ねたインシデント対応計画です。誰が誰に連絡するのか、影響を受けたシステムをどう隔離するのか、顧客に何を伝えるのか、いつ規制当局に通知するのか。落ち着いて対処されたインシデントと、世間の話題を独占する危機との違いは、たいてい、その一枚のページが必要になる前に存在していたかどうかにあります。明確な参照枠組みを求める企業にとっては、国家サイバーセキュリティ庁（NCA）が公表している必須サイバーセキュリティ管理策が、実用的なチェックリストとしてよく機能します。

負債から資産へ

保護やコンプライアンスの話は守りの姿勢に聞こえますが、本当の勝利は攻めの側にあります。大会が終われば訪問者は帰国し、残るのはあなたが合法的に収集したものです。明示的な同意を得た顧客基盤、人々が実際に何を求めていたかを教えてくれる購買履歴、そして今後のシーズンの計画の立て方を示すピークのパターンです。それこそが、シーズンの恩恵を数週間だけ受けた企業と、何年にもわたって役立つ基盤を築いた企業との違いです。

まずは三つのことから始めましょう。顧客を自分の印象ではなく行動で分類すること、データを使って何を売るか、いつ営業するか、どれだけの在庫を用意するかを磨き込むこと、そして必要なものだけをあらかじめ定めた期間に限って保持することです。そうすれば、責任を減らしながら、保有するデータの質を高めることができます。この点についてはファンのデータとPDPLへの準拠で実践的に詳しく取り上げており、ここで論じている内容の自然な延長線上にあります。

Origamiの視点

Origamiは、保護とコンプライアンスを最後の最後に後付けするのではなく、システムに組み込むテクノロジー企業です。最小限の情報だけを収集するフォーム、別途取得して記録するマーケティング同意、役割ごとに範囲を限定した権限、暗号化とテスト済みのバックアップ、そして誰がいつ何にアクセスしたかを示すログです。データがどこにホスティングされているか、サービス提供者が実際に何を約束しているかを明らかにするお手伝いをし、収集したデータを業務上の意思決定に変えるダッシュボードを構築します。このシリーズのどの回でもそうだったように、その効果は2034年に始まるのではありません。今日、顧客のデータを尊重するシステムは、明日にはどんな規模にも対応できるシステムです。

まとめ

データは、スタジアムの照明が消えた後に残るものです。合法的に収集し、真剣に守る人は、商業的な資産を手にしてシーズンを終えます。手を抜く人は、稼いだ額よりも高くつく罰金と信頼の危機を抱えて終えることになるかもしれません。これをもって「2034年ワールドカップへの道」を締めくくります。私たちは、早く始めることがなぜ重要なのかから始め、続いてアクセス急増に備えたウェブサイトとアプリの準備、予約・決済・業務のシステム、スマートな顧客サービスを取り上げ、そして今回は集めたものを守ることを扱いました。五回すべてを貫く一本の糸は、シーズンに向けた準備のすべてが最初の一か月目からビジネスの役に立つということ、そして残された時間は見た目よりも短いということです。

出典

  • FIFA：サウジアラビアによる2034年ワールドカップ開催の発表（2024年12月11日）：https://www.fifa.com
  • サウジデータ・人工知能庁（SDAIA）：個人データ保護法とその施行規則：https://sdaia.gov.sa
  • 国家サイバーセキュリティ庁（NCA）：必須サイバーセキュリティ管理策：https://nca.gov.sa
  • サウジ・ビジョン2030：デジタルトランスフォーメーションと観光分野：https://www.vision2030.gov.sa