海外のお客様を扱う小さな事業が確かめたい、GDPRの基本
公開日
日本の事業にも、GDPRが関わることがある
GDPR（General Data Protection Regulation、一般データ保護規則）は、EUが定めた個人データ保護の規則で、2018年5月から適用されています。EUの外にある事業でも、EU域内にいる人に商品やサービスを提供している場合や、その人たちの行動を追跡している場合には、対象になりえます。日本から海外のお客様に向けて販売する個人や小さな会社が、一度は確かめておきたい規則です。
以下は一般的な整理です。自分の事業が対象になるか、どこまで対応が要るかは、事情によって変わります。判断は、個人データ保護に詳しい弁護士などの専門家に相談してください。
対象になるかを考える
見るべきは、「EU域内の人を相手にしているか」です。日本語だけのサイトで、たまたまEUから注文が入る程度なら、直ちに対象とは言い切れません。一方、次のような事情があると、EU向けに提供していると見られやすくなります。
- サイトがEUの言語で用意されている
- EUの通貨で価格を表示し、EUへの発送を案内している
- EU域内のお客様向けと分かる広告や案内を出している
また、サイトに入れたアクセス解析や広告のタグが、EU域内の人の行動を追跡している場合も、関わる可能性があります。「個人データ」は広い概念で、氏名やメールアドレスのほか、IPアドレスやCookieの識別子も含まれうる点に注意します。
GDPRの基本的な考え方
GDPRは、個人データを扱う側に、次のような考え方を求めます。
- 適法な根拠：データを扱うには、同意、契約の履行、法的義務、正当な利益など、定められた根拠が要る
- 目的の限定と最小限：集める目的を決め、必要な分だけ集める
- 透明性：何を、何のために、誰に渡して、いつまで持つかを、本人に分かる言葉で伝える
- 本人の権利：自分のデータの閲覧、訂正、削除、持ち出しなどを求める権利が、本人にある
- 安全管理と漏えい時の対応：漏えいが起きたとき、一定の場合は監督機関へ、原則として発覚から72時間以内に通知する
違反した場合の制裁金は、重い場合で最大2,000万ユーロ、または世界売上高の4％のうち高いほどの額と定められています。これは上限であり、実際の額は事案によります。
小さな事業が点検する項目
専門家に相談する前に、自分で状況を整理しておくと話が早く進みます。
- 集めている個人データの棚卸し：注文フォーム、問い合わせ、メール配信リスト、アクセス解析で、何を集めているか
- 渡している先の一覧：決済、配送、メール配信、解析ツールなど、データを預けている外部サービス
- プライバシーポリシーの内容：集める目的、保管期間、問い合わせ先が書かれているか
- 同意の取り方：メール配信やCookieの利用で、本人が選べる形になっているか
- 削除・閲覧の依頼への備え：依頼が来たとき、誰がどう対応するか
- 漏えいが起きたときの連絡手順
EU域内の人を相手にする事業が域外にある場合、EU内に代理人を置く義務が生じる場合があります。従業員が少ない事業には記録義務の一部を緩める定めもありますが、例外が付いているため、自己判断は避けます。
日本の法律との関係
日本の個人情報保護法は、GDPRとは別の法律です。GDPRに対応したから日本の法律も満たす、あるいはその逆、とは言えません。両方の観点で点検します。
対応は、事業の規模に見合った範囲で考えます。小さな店に大がかりな体制は通常要りません。持っているデータを正確に把握すること、実態に合ったポリシーを置くこと、削除の依頼が来たときに動ける担当者を決めておくこと。この3つの抜けのうち、どれが自分の事業で優先かは、専門家に見てもらうと分かります。
専門家に相談するときは、事業の概要、売っている商品、顧客の所在国、使っている外部サービスの名前を一枚にまとめて持っていくと、確認が早く進みます。
次にやること
- EU域内のお客様がいるか、サイトの言語・通貨・発送先から確認する
- 集めている個人データと、預けている外部サービスを一覧にする
- プライバシーポリシーに、目的・保管期間・問い合わせ先があるかを読み直す
- 一覧とポリシーを持って、個人データ保護に詳しい専門家に相談する
- 削除や閲覧の依頼を受けたときの担当と手順を、1ページで書いておく