EU 一般データ保護規則（GDPR）とは？
別称: GDPR、EU GDPR、一般データ保護規則（EU）
GDPR は、欧州連合に拠点を置く組織だけでなく、一定の状況では EU 域外の組織にも適用されます。これには、EU 域内の個人に商品やサービスを提供する場合や、その行動をモニタリングする場合が含まれます。
GDPR は、適法な処理、透明性、同意、データ最小化、セキュリティ、データ主体の権利、国際的なデータ移転、説明責任に関する要件を定めています。
ウェブサイトにとって、GDPR の要件のうち最も目に見えやすいものの一つが Cookie とトラッカーに関する同意です。同意が適切な法的根拠となる場合、その同意は自由に与えられ、特定され、十分な情報に基づき、明確なものでなければならず、組織は同意を取得したことを示せる必要があります。
GDPR とは何を意味しますか？
GDPR は EU 一般データ保護規則の略称です。
正式名称は Regulation (EU) 2016/679 です。2016 年に欧州連合で採択され、2018 年 5 月 25 日に適用が開始されました。
この規則は EU の Data Protection Directive 95/46/EC に代わるものであり、欧州経済領域全体でより一貫したデータ保護の枠組みを作り出しました。
GDPR は、個人データに関する個人の基本的権利を保護するとともに、そのデータを処理する組織に一貫した義務を定めることを目的としています。
GDPR は誰に適用されますか？
GDPR は、欧州連合の域内・域外を問わず組織に適用され得ます。
一般に、次のような場合に適用されます。
- 組織が EU 域内に拠点を置き、その活動の一環として個人データを処理している場合。
- EU 域外の組織が、EU 域内の個人に商品やサービスを提供している場合。
- EU 域外の組織が、EU 域内の個人の行動をモニタリングしている場合。
つまり、GDPR が関係してくるために、企業が必ずしも欧州にオフィスを持っている必要はありません。他の地域に拠点を置く事業者であっても、提供する内容や EU 域内の個人との関わり方によっては、その適用範囲に含まれることがあります。
GDPR における個人データとは何ですか？
GDPR は個人データを広く定義しています。
個人データとは、識別された、または識別可能な自然人に関する情報です。
状況によっては、次のような情報が含まれ得ます。
- 氏名
- メールアドレス
- 電話番号
- 住所
- IP アドレス
- オンライン識別子
- Cookie 識別子
- デバイス識別子
- 位置に関する情報
- アカウント情報
- 広告識別子
- 個人の行動や嗜好に関するデータ
一定の健康、生体、遺伝、人種・民族、宗教に関する情報その他の機微な情報など、一部のカテゴリーの個人データは、GDPR のもとで追加的な保護を受けます。
GDPR における処理とは何ですか？
処理もまた、GDPR では広く定義されています。
たとえば次のような行為が含まれ得ます。
- 個人データの収集
- 情報の記録
- データの整理
- データの保存
- データへのアクセス
- データの利用
- データの共有
- データの分析
- データの結合
- データの削除
そのため、GDPR 対応はデータの収集時だけに限られません。個人データのライフサイクル全体に及び得ます。
GDPR の主な原則は何ですか？
GDPR は、個人データの処理に関するいくつかの中核的な原則を定めています。
具体的には次のとおりです。
適法性、公正性および透明性
組織は、個人データを適法に、公正に、かつ透明性をもって処理しなければなりません。
目的の限定
個人データは、特定され、明示的で、正当な目的のために収集されるべきであり、その後にこれと相容れない方法で処理されるべきではありません。
データ最小化
組織は、その目的のために必要な範囲に限られた、十分かつ関連性のある個人データのみを処理すべきです。
正確性
個人データは正確であるべきであり、必要な場合には最新の状態に保たれるべきです。
保存の制限
個人データは、その目的のために必要な期間を超えて保持されるべきではありません。
完全性および機密性
組織は、個人データを保護するために適切なセキュリティ対策を講じなければなりません。
説明責任
組織は、GDPR を遵守する責任を負い、その遵守を示せる必要があります。
これらの原則は、プライバシー通知やデータの保持期間から、同意管理やセキュリティ管理策に至るまで、あらゆる場面に影響します。
GDPR における適法な根拠とは何ですか？
GDPR は、あらゆる種類の個人データの処理に同意を求めているわけではありません。
第 6 条は、個人データを処理するためのいくつかの適法な根拠を定めており、次のものが含まれます。
したがって同意は、複数ある適法な根拠のうちの一つにすぎません。
組織は、すべての処理行為を自動的に同意にもとづくものとして扱うのではなく、処理活動ごとに適切な法的根拠を判断すべきです。
GDPR の同意とは何ですか？
処理の法的根拠として同意を用いる場合、GDPR の同意は特定の要件を満たす必要があります。
同意は次のようなものでなければなりません。
また、明確な積極的行為を伴う必要があります。
沈黙、無操作、あらかじめチェックされた選択肢は、有効な GDPR の同意にはなりません。
同意のお願いはあわせて、他の情報とはっきり区別でき、分かりやすい言葉を使い、本人が何に同意するのかを説明するものであるべきです。
GDPR は同意記録について何を求めていますか？
同意に依拠する組織は、本人が同意したことを示せる必要があります。
そのため、同意記録は GDPR 対応の重要な要素となります。
有用な同意記録には、たとえば次のような情報を残せます。
- 同意の状態
- 日時
- 一つまたは複数の利用目的
- 同意の取得方法
- 該当する通知またはプライバシーポリシーのバージョン
- 処理のカテゴリー
- 撤回の状態
- 該当する識別子または同意レシート
組織が保持すべき具体的な情報は、その処理活動とコンプライアンス上の要件によって決まります。
重要な原則は、同意を証明するために、組織がユーザーの記憶や検証できないデータベースのフラグだけに頼らずに済むようにすることです。第 7 条は、処理が同意にもとづく場合に、データ管理者が同意を示せることを明確に求めています。
GDPR の同意は撤回できますか？
はい。
処理が同意にもとづく場合、個人はいつでも同意を撤回する権利を有します。
GDPR はまた、同意の撤回が同意の付与と同じくらい簡単であることを求めています。撤回は、それ以前の同意にもとづく処理を遡って違法にするものではありませんが、組織は、他に適用される適法な根拠がない限り、将来の処理について同意に依拠することをやめなければなりません。
ウェブサイトにおいて、同意の仕組みがプライバシー設定を見直して変更できる導線を用意すべきなのは、このためです。
GDPR の Cookie 同意とは何ですか？
GDPR の Cookie 同意とは、Cookie や類似技術が同意を必要とする処理を伴う場合に、有効な同意を取得することを指します。
よくある例は次のとおりです。
- 広告トラッカー
- 行動分析
- ソーシャルメディアのトラッキング
- マーケティングピクセル
- 一部の埋め込み型サードパーティ技術
- その他の必須でないトラッキング技術
Cookie バナーを出しただけで、そのサイトが自動的に GDPR に適合するわけではありません。
適合した同意の実装であれば、必要な同意が得られる前に、対象となる技術が該当する処理を行わないようにすべきです。
ここで事前同意と事前ブロッキングが重要になります。
GDPR における事前ブロッキングとは何ですか？
事前ブロッキングとは、訪問者が必要な同意の選択を行うまで、必須でない Cookie・スクリプト・トラッカーを実行させないことをいいます。
これは、単に同意バナーを表示することとは異なります。
たとえば、ユーザーが選択を行う前に分析や広告のスクリプトが読み込まれてしまえば、その後にバナーを表示しても、すでに起きたことを取り消すことはできません。
そのため、技術的に担保された同意の仕組みは、ユーザーの判断と、処理を行う技術とを結びつけるべきです。
ConsentX はこのアプローチを事前スクリプトブロッキングと呼び、適切な選択が行われるまで必須でないトラッカーをブロックしたままにします。
GDPR のもとで個人にはどのような権利がありますか？
GDPR は、自身の個人データに関するさまざまな権利を個人に与えています。
状況に応じて、次のような権利が含まれます。
- 情報提供を受ける権利
- アクセスの権利
- 訂正の権利
- 消去の権利
- 処理の制限を求める権利
- データポータビリティの権利
- 異議を述べる権利
- 自動化された意思決定およびプロファイリングに関する権利
これらの権利は GDPR 対応の重要な要素であり、組織にはデータ主体からの請求を受け付け、本人確認を行い、評価し、対応するためのプロセスが求められます。
GDPR におけるデータ管理者とは何ですか？
データ管理者とは、個人データの処理の目的と方法を決定する組織または個人をいいます。
データ管理者は、処理が適用される GDPR の要件に適合するようにする責任を負います。
たとえば、EC サイトを運営する企業は次のことを決定することがあります。
- どの顧客情報を収集するか
- なぜそれを収集するか
- どのように利用するか
- どのくらいの期間保持するか
- どのサービス提供者がそれを受け取るか
したがって、その企業はこれらの処理活動についてデータ管理者として行動することになります。
GDPR におけるデータ処理者とは何ですか？
データ処理者とは、データ管理者に代わって個人データを処理する者をいいます。
たとえば、次のような事業者が含まれ得ます。
- クラウドサービス提供者
- メール配信プラットフォーム
- 顧客関係管理システム
- 分析サービス提供者
- ホスティング事業者
- 決済・フルフィルメント事業者
データ管理者は、適切なデータ処理者を選定し、自らの GDPR 上の義務を果たす責任を負い続けますが、データ処理者もまたこの規則のもとで義務を負います。
データ管理者とデータ処理者の関係は明確に文書化し、適切な契約によって規律されるべきです。
GDPR コンプライアンスとは何ですか？
GDPR コンプライアンスとは、適用される GDPR の要件を満たすために必要な組織的・法的・技術的措置を実施することをいいます。
GDPR のコンプライアンスプログラムには、次のような取り組みが含まれ得ます。
- 個人データの処理のマッピング
- 適法な根拠の特定
- プライバシー通知の整備
- Cookie 同意の管理
- 同意の記録
- データ主体請求のプロセスの実装
- 保持ポリシーの策定
- データ処理者の管理
- セキュリティ対策の実施
- 高リスクな処理の評価
- 国際的なデータ移転の管理
- コンプライアンス文書の整備
- 説明責任の証明
したがってコンプライアンスは、Cookie バナーを設置することよりも広い取り組みです。
GDPR とウェブサイトのコンプライアンス
ウェブサイトにおける GDPR 対応では、複数の仕組みが連携することが少なくありません。
ウェブサイトには次のような対応が必要になる場合があります。
- Cookie、スクリプト、サードパーティ技術を特定する。
- どの処理活動に同意が必要かを判断する。
- 同意を取得する前に明確な情報を表示する。
- 実質的な選択肢を提供する。
- 同意前に、対象となる必須でない処理を行わせない。
- ユーザーの判断を記録する。
- 変更や撤回に従う。
- 同意の判断に関する証跡を保持する。
- スクリプトやサードパーティサービスの変更を継続的に見直す。
そのため、同意管理プラットフォームとあわせて、自動スキャンと継続的なモニタリングが役立ちます。
ConsentX は、訪問者が同意する前にウェブサイト上で読み込まれる Cookie、トラッカー、スクリプト、サードパーティ技術を特定するために設計されたスキャナーを提供しています。
GDPR とプライバシー・バイ・デザイン
GDPR は、プライバシーに対する先回りのアプローチも促しています。
組織は、コンプライアンスを公開後に付け足すものとして扱うのではなく、製品・ウェブサイト・アプリケーション・処理システムを設計する段階からデータ保護の要件を考慮すべきです。
同意管理においてこれは、プライバシー設定がウェブサイトの技術的な挙動に反映されるべきだということを意味します。
「Do Not Track」と表示しながらトラッカーが読み込まれ続けるバナーは、ユーザーの選択を実際に実行する仕組みと同じレベルのコントロールを提供するものではありません。
GDPR の制裁金
GDPR は、一定の違反に対して多額の制裁金を定めています。
違反の類型に応じて、制裁金は次の金額に達することがあります。
一定の違反については、最大 €10 million または全世界年間売上高の 2% のいずれか高い方。
より重大な違反については、最大 €20 million または全世界年間売上高の 4% のいずれか高い方。
適用される上限額は、問題となる具体的な GDPR の規定によって決まります。
制裁金は執行の枠組みの一部にすぎません。したがって組織は、制裁金の上限を GDPR 対応の定義そのものと捉えるのではなく、持続可能なコンプライアンス管理策を構築することに注力すべきです。
ConsentX は GDPR の同意管理をどのように支援しますか
ConsentX は、組織がウェブサイト全体でプライバシーと同意の要件を実務に落とし込めるように設計された同意管理プラットフォーム（CMP）です。
同意管理に関する機能には次のものがあります。
ウェブサイトのスキャン
同意バナー
事前スクリプトブロッキング
細かな同意の選択肢
同意の撤回
改ざん検知可能な同意レシート
地域を判別するプライバシールール
監査用のエクスポート
データ主体請求のワークフロー
ConsentX は自社のプラットフォームについて、企業が同意前に必須でないトラッカーをブロックし、改ざん検知可能な同意記録を保持できるよう支援するものだと説明しています。
このテクノロジーは、組織自身の法的評価や、より広い GDPR コンプライアンスプログラムに取って代わるものではありません。そうではなく、同意の選択を実効性のある、監査可能なものにするために必要な技術的レイヤーを提供します。
GDPR コンプライアンスチェックリスト
実務的な GDPR のウェブサイトチェックリストは次のとおりです。
- 自社のウェブサイトが処理する個人データを特定する。
- Cookie、トラッカー、サードパーティ技術をマッピングする。
- 対象となる処理活動ごとに適法な根拠を判断する。
- 明確なプライバシー情報を提供する。
- 同意が適用される法的根拠である場合、有効な同意を取得する。
- あらかじめチェックされた同意の選択肢を使わない。
- 同意前に、対象となる必須でないトラッカーをブロックする。
- 拒否と撤回の導線を分かりやすくする。
- 同意の証跡を記録し保存する。
- データ主体の権利を行使するための仕組みを用意する。
- サードパーティのデータ処理者と契約を見直す。
- 適切なセキュリティ管理策を維持する。
- ウェブサイトを定期的にスキャンして変更を確認する。
GDPR の要点
EU 一般データ保護規則（GDPR）は、世界で最も影響力のあるデータ保護法の一つです。
最も重要な点は次のとおりです。
- GDPR は個人データの処理を規律しています。
- EU 域外の組織にも適用され得ます。
- 同意は、処理のための複数ある適法な根拠のうちの一つにすぎません。
- GDPR の同意は、自由に与えられ、特定され、十分な情報に基づき、明確なものでなければなりません。
- あらかじめチェックされた選択肢や無操作は、有効な同意にはなりません。
- 同意に依拠する組織は、それを示せる必要があります。
- 個人はいつでも同意を撤回できます。
- 撤回は、同意の付与と同じくらい簡単であるべきです。
- GDPR は、データ主体に幅広い権利を認めています。
- ウェブサイトのコンプライアンスには、Cookie バナーを表示するだけでは足りません。
- 技術的な実行と同意記録は、監査可能な同意の仕組みにおける重要な要素です。
関連用語
同意が必要な場合における、必須でない Cookie とトラッカーの利用に対する許諾です。
ユーザーが同意を与える前に、対象となる必須でないトラッカーが発火しないようにする技術的な実務です。
ユーザーの同意を収集・管理し、実際に反映させ、記録するソフトウェアです。
関連する利用目的や同意に関する情報を含め、ユーザーが何に同意したかを示す構造化された記録です。
GDPR において、個人データの処理の目的と方法を決定する組織です。
データ管理者に代わって個人データを処理する組織です。
その個人データが関係する本人です。
ブレグジット後の英国における GDPR の枠組みです。
インドの Digital Personal Data Protection Act です。