Power Apps 顧客データに対するデータ主体の権利 (DSR) 要求への応答
DSR 要求の概要
欧州連合 (EU) の一般データ保護規則 (GDPR) は、データに関する重要な権利を個人に与えています。 GDPR の概要については、Microsoft Learn 一般データ保護規則の概要 を参照してください。これは、用語、アクション計画、準備チェックリストを含み、Microsoft の製品やサービスの使用にともなう GDPR に基づく義務を果たす際に役立ちます。
GDPR の概要と、それに Microsoft を活用して対応する方法、さらにその影響を受けるお客様への Microsoft のサポートについて解説します。
- Microsoft セキュリティ センター は、データ保護影響評価、データ サブジェクト要求、データ侵害の通知など、GDPR の説明責任を果たすうえで役立つ一般情報、コンプライアンスのベスト プラクティス、ドキュメントを提供します。
- サービス トラスト ポータル は、Microsoft サービスを活用して GDPR への準拠に対応する方法について、情報を提供します。
この記事では、 Power Apps、 Power Automate、 Microsoft Dataverse を使用する際のプライバシー コンプライアンスをサポートするために実行できる手順の例を示します。 コントローラーである顧客が DSR 要求に応じて Microsoft クラウド内の個人データを検索、アクセスして、操作できるように、 Microsoft 製品、サービス、および管理ツールを使用する方法を学習します。
以下のアクションについては、この記事に記載されています:
検出 — 検索および検出ツールを使用することによって、DSR 要求の主体になる可能性がある顧客のデータを簡単に検索できます。 応答性を高める可能性のあるドキュメントが収集されたら、次の 1 つ以上の DSR アクションを実行して要求に応答してください。 あるいは、当該要求が DSR の要求に対応するにあたっての組織のガイドラインに適合していないと判断することもできます。
アクセス — Microsoft クラウドに存在する個人データを取得し、必要に応じてデータ主体が使用できるようにデータのコピーを作成します。
修正 — 必要に応じて、個人データに変更を加えたり、他に必要なアクションを実行したりします。
制限する —さまざまなオンライン サービスのライセンスを削除するか、できれば、希望のサービスをオフにして、個人データの処理を限定的にします。 また、Microsoft クラウドからデータを削除しても、オンプレミスまたは別の場所で保持することができます。
削除 — Microsoft クラウドに有る個人データを完全に削除します。
エクスポート —データ主体に、個人データの電子コピー (機械可読フォーム) を提供します。
検出
DSR 要求に対応するにあたっての最初の手順は、要求の目的とされている個人のデータを検索することです。 この最初の手順「問題の個人データの検索および確認」により、DSR 要求を受け入れるか拒否するかの選択をするにあたって、DSR 要求が組織の要件を満たしているかどうかを判断することが容易になります。 たとえば、問題となっている個人データを特定および確認した後で、その要求が組織の要件を満たしていないと判断すると、他のユーザーの権利と自由に悪い影響を与える可能性があります。
ステップ 1: Power Apps ユーザーの個人データを検索する
以下は、特定のユーザーの個人データを含む Power Apps リソースの種類一覧です。
| 個人データを含むリソース | 目的 |
|---|---|
| 環境 | 環境とは、組織のビジネス データ、アプリ、フローを保存、管理、共有する場所を指します。 詳細 |
| 環境アクセス許可 | ユーザーは環境のロールに割り当てられ、環境内における作成および管理特権が与えられます。 詳細 |
| キャンバス アプリ / カスタム アプリ | プラットフォーム間のビジネス アプリは空のキャンバスを使用し、200 のデータ ソースに接続することができます。 詳細 |
| キャンバス アプリのアクセス許可 | キャンバス アプリは、組織内でユーザーと共有できます。 詳細 |
| Connection | コネクタにより使用され、API、システム、データベースなどへの接続に許可されます。 詳細 |
| 接続のアクセス許可 | 特定の種類の接続は組織内のユーザーと共有できます。 詳細 |
| カスタム コネクタ | Power Apps 標準コネクタを通してではなく、ユーザーが作成したカスタム コネクタによりデータ ソースにアクセスすることができます。 詳細 |
| カスタム コネクタのアクセス許可 | カスタム コネクタは、組織内でユーザーと共有できます。 詳細 |
| Power Apps ユーザーおよびユーザー アプリの設定 | Power Apps は、Power Apps ランタイムおよびポータル エクスペリエンスを配信するのに使用される、複数のユーザーの設定を保存します。 |
| Power Apps 通知 | Power Apps は、アプリが共有された時、および Dataverse のエクスポート操作が完了した時を含め、複数の種類の通知をユーザーに送信します。 |
| ゲートウェイ | ゲートウェイとは、ユーザーがインストールすることで、クラウド上にないデータソースと Power Apps 間で素早く安全なデータ転送を可能にするオンプレミス型のデータゲートウェイを意味します。 詳細 |
| ゲートウェイのアクセス許可 | ゲートウェイは、組織内でユーザーと共有できます。 詳細 |
| モデル駆動型アプリおよびモデル駆動型アプリのアクセス許可 | モデル駆動型アプリの設計は、アプリ開発へのコンポーネントを重視した手法です。 モデル駆動型アプリおよびユーザーのアクセス許可は、Dataverse データベース内のデータとして保存されます。 詳細 |
Power Apps は特定のユーザーの個人データを検索するために、次のエクスペリエンスを提供します。
- Web サイトのアクセス: Power Apps サイト、Microsoft 365 Service Trust Portal
- PowerShell アクセス: Power Apps のコマンドレット (アプリ作成者 および 管理者 用) および オンプレミス ゲートウェイのコマンドレット
このエクスペリエンスを使用し、これらの種類のリソースに対する特定ユーザーの個人データを検索する方法に関する詳細なステップについては、データ主体の権利 (DSR) 要求 (DSR) 要求に応答し、Power Apps 顧客データをエクスポートする を参照してください。
データを検索した後、データ サブジェクトによる要求を満たす特定のアクションを実行できます。
ステップ 2: Power Automate ユーザーの個人データを検索する
Power Apps ライセンスには、常に Power Automate 機能が含まれています。 Power Apps ライセンスに含まれていることに加えて、Power Automate はスタンドアロン サービスとしても使用できます。
Power Automate サービスによって保存された個人データを検出する方法のガイダンスについては、Power Automate に対するデータサブジェクト要求への応答 を参照してください。
重要
管理者が Power Apps ユーザーに対してこのステップを完了することをお勧めします。
ステップ 3: Microsoft Copilot Studio ユーザーの個人データを検索する
Microsoft Copilot Studio に構築された Power Apps 機能。 Microsoft Copilot Studio は、スタンドアロン サービスとしても利用できます。
Microsoft Copilot Studio サービスによって保存された個人データを検出する方法のガイダンスについては、Microsoft Copilot Studio に対するデータサブジェクト要求への応答 を参照してください。
重要
管理者が Power Apps ユーザーに対してこのステップを完了することをお勧めします。
ステップ 4: Microsoft 365 管理センターでユーザーの個人データを検索する
Power Apps の一部のフィードバック メカニズムは、Microsoft 365 管理センターに統合されています。
Microsoft 365 管理センターに保存されたフィードバック データを確認する方法については、ユーザーのフィードバックを確認するにはどうすればいいですか? を参照してください。 Microsoft Entra ユーザー管理者は、Microsoft 365 または Office ライセンスを必要とせずに、Microsoft 365 管理センター内でこのデータを管理できます。
重要
管理者が Power Apps ユーザーに対してこのステップを完了することをお勧めします。
ステップ 5: Dataverse 環境内のユーザーの個人データを検索する
特定の Power Apps 開発者プランを含む Power Apps ライセンスを使用すると、組織内のユーザーが Dataverse の環境を作成し、Dataverse でアプリを作成および構築できるようになります。 Power Apps 開発者プランは無料のライセンスで、ユーザーは個々の環境で Dataverse を試すことができます。 各 Power Apps ライセンスに含まれる機能については、Power Apps の価格設定 を参照してください。
Dataverse によって保存された個人データを検出する方法のガイダンスについては、Dataverse の顧客データに対するデータ主体の権利 (DSR) 要求への応答 を参照してください。
重要
管理者が Power Apps ユーザーに対してこのステップを完了することをお勧めします。
修正
データの対象者が組織のデータに存在する個人データの修正を依頼した場合、その依頼を受け入れることが適切であるかどうかは、あなたとあなたの組織が判断しなければなりません。 データの修正には、ドキュメントまたはその他の種類のアイテムの個人データを編集、編纂、または削除することが含まれます。
Microsoft Entra を使用して、Power Apps 内のユーザーの ID (個人データ) を管理できます。 企業のお客様は、特定の Microsoft サービスの性質に応じて、限定的な編集機能を使用して DSR の修正要求を管理します。 Microsoft はデータ処理の提供者として、ログを修正する機能を実装してしていません。これらのログは事実に基づいた処理を反映するものであり、Microsoft サービス内におけるイベントの履歴記録を構成しているためです。
制限
データ サブジェクトが個人データの処理を制限することを要求する場合があります。 既存のアプリケーション プログラミング インターフェイス (API) およびユーザー インターフェース (UI) を提供します。 これらのエクスペリエンスにより、企業顧客の Power Platform 管理者に、データ エクスポートとデータ削除を組み合わせた DSR 管理の機能が提供されます。 顧客の要求。
次を含むユーザーの個人データの電子コピーをエクスポートします。
- 取引先企業
- システムによって生成されたログ
- 関連ログ
Microsoft のシステム内に存在する取引先企業および関連データを削除します。
エクスポート
データ可搬性の権限では、対象となるデータが、他のデータ コントローラに送信できる個人データを電子フォーマットで要求することができます（電子フォーマットは、構造化され、一般的に使用され、機械可読で、相互運用可能なフォーマットであると定義されています）。
データ主体の権利 (DSR) 要求へ応答し、Power Apps 顧客データをエクスポートする を参照してください。
削除
組織の顧客データから個人データを削除することによる "忘れられる権利" は、プライバシーの重要な保護です。 個人データの削除には、システムによって生成されたログが含まれ、監査ログ情報は含まれません。
Power Apps を使用することで、ユーザーは組織の日常業務の重要な一部である基幹業務アプリケーションを構築できます。 ユーザーが組織から離職した場合、ユーザーが作成した特定のデータおよびリソースを削除するかどうかを手動で確認し、決定する必要があります。 ユーザー アカウントが Microsoft Entra ID から削除される際に、その他の顧客データも自動的に削除されます。
データ主体の権利 (DSR) 要求へ応答し、Power Apps 顧客データを削除する を参照してください。