webfreex 
GDPR（一般データ保護規則）は、EUに拠点を持たない企業であっても、EU圏内の個人データを取り扱う場合には適用される規則です。つまり、日本国内に拠点を置く中小企業でも、EUの顧客やユーザーを対象にサービスを提供している場合（海外向けのEC通販サイトや多言語サイトなど）は、GDPRへの対応が必要です。本記事では、ホームページ上で中小企業がGDPRに適切に対応するための具体的な方法について解説します。（この記事はそもそもウチは多言語サイトでもないし、日本人向けの日本語サイトという方には関係があまりないです。）
データ収集方法の明確化
GDPRは、データ収集においてどのように行っているかを予め閲覧者に示す必要があり、以下のような対応を行う必要があります。
- プライバシーポリシーの更新: ホームページ上に、個人情報の収集方法や目的を明確に記載したプライバシーポリシーを掲載します。具体的には、何のためにどのデータを収集しているのか、どのように利用されるのか、データ保持期間や第三者への提供の有無などを詳細に説明します。これにより、ユーザーは自分のデータがどう扱われるかを把握することができます。
- クッキーの使用に関する通知: クッキーを使用してユーザー情報を取得している場合、クッキーポリシーを提示し、クッキー利用の同意を得る仕組みを設置します。多くのウェブサイトで見られるような「クッキーの使用について同意するか否かのポップアップ」を導入することが推奨されます。
同意の取得
GDPRでは、個人データを収集する際に、データ主体（ユーザー）の明確な同意が必要です。以下の手順を踏むことで、適切な同意を取得できます。
- 同意の詳細を説明: 同意を求める際には、何に対して同意しているのかをユーザーに分かりやすく説明します。例えば、「当社はお客様の氏名やメールアドレスをサービス向上のために使用します。詳細はこちらのプライバシーポリシーをご覧ください。」といった具体的な案内をポップアップなどで表示します。
- オプトイン方式の導入: データの収集や利用に関しては、ユーザーが自ら同意を明示的に行うオプトイン方式が必要です。例えば、ニュースレターの購読やお問い合わせフォームでの個人情報収集時には、事前にチェックが入っているボックスを使わず、ユーザー自身がチェックを入れる形式を導入しましょう。
データアクセス権や削除権の対応
GDPRでは、ユーザーには自分のデータへのアクセスや削除を要求する権利が与えられています。ホームページやウェブサービスにおいて、これに対応する仕組みを整備する必要があります。
- 個人データのアクセス機能: ユーザーが自分の個人情報を確認したい場合、どのようにデータにアクセスできるかを案内します。例えば、登録アカウントを持つユーザーには、管理画面から自分のデータを確認できるようにしたり、問い合わせフォームを通じてリクエストを受け付けたりします。
- データの削除リクエストに対応: ユーザーから「個人データの削除」リクエストがあった場合、適切に対応できる仕組みを用意しましょう。これは、データベースからの削除手続きを明確にしておくことが求められます。
データ漏洩対策と報告体制の整備
GDPRでは、データ漏洩が発生した場合、72時間以内に報告する義務があります。日本の中小企業にとっても、以下の対策を講じておくことが重要です。
- セキュリティ強化: 個人データを扱うサーバーやシステムに対して、暗号化や二重認証などのセキュリティ対策を実施し、データ漏洩を防ぎます。SSL証明書の導入など、セキュリティ基盤を強化することも重要です。
- データ漏洩発生時の対応計画: 万が一データ漏洩が発生した際には、迅速な報告体制を整備しておく必要があります。誰が責任を持って対応するのか、どのような手順で対応するのかを事前に決めておくことが推奨されます。
第三者へのデータ提供の適切な管理
GDPRは、第三者にデータを提供する場合、その提供先でもGDPRに準拠した管理が行われることを求めています。
- 外部サービスの確認: ホームページで利用する外部のマーケティングツールや分析ツールがGDPRに対応しているかを確認します。例えば、Google Analyticsやメール配信サービスが適切にGDPRに準拠しているかを確認し、適宜データ処理契約を締結することが重要です。
- 第三者提供の通知: 個人情報が第三者に提供される場合、その旨をプライバシーポリシーや利用規約で明示し、ユーザーの同意を得ます。
データ保護担当者（DPO）の任命について
GDPRでは、特定の状況下でデータ保護担当者（DPO: Data Protection Officer）の任命が必要となります。日本の中小企業では、必須ではない場合もありますが、大量のデータを扱う場合や特にセンシティブなデータを取り扱う場合には、DPOの任命を検討することが推奨されます。
対応が必要とされるサイトについて
GDPRは、企業がEEA（欧州経済領域）内に拠点を持っていなくても、以下の条件に該当すれば適用されます。見落とさないように注意しましょう。
1.EEA内の人に商品やサービスを提供する場合
2.EEA内の人の行動を監視する場合
たとえば、EUにいるユーザーのウェブ上での行動データを取得する場合、GDPRが適用されます。
さらに、インバウンド向けの多言語サイトで意図せずCookieを取得している場合でも、規定に従わないと罰せられる可能性があります。
さらに、短期間の出張や旅行でEU域内に滞在した日本人のCookieデータもGDPRの範囲に含まれます。このように、自分では気づかないうちにGDPRの対象となることがありますので、今一度確認をおすすめします。
対応が必要ないとされるサイトについて
日本語のみで構成され、多言語翻訳がされていないサイトであれば、日本人を対象としていることが明確なため、GDPRの適用対象外となります。しかし、デジタルデータが個人情報として扱われる流れは、世界的に広がっていますので、日本を含めた今後のグローバルな動向に注目していくことが重要です。
まとめ
日本国内の中小企業でも、EU圏内の顧客や従業員、取引先などの個人データを扱う場合には、GDPRに対応する必要があります。GDPRに違反した場合、巨額の罰金や法的リスクを負う可能性があるため、特にグローバルな取引やサービスを行っている企業は注意が必要です。
我が町の多言語対応の行政サイト、観光情報ポータルサイト、宿泊施設のサイトでも、GDPR対応をしっかり行っているところは多くないですが、果たして…。（そもそもアナリティクスを含めたアクセス解析ツールを使用していなければ問題じゃありませんが。）
適切なプライバシーポリシーの作成、ユーザーの同意取得の仕組み、データ保護体制の整備などを通じて、GDPRに対応した企業運営を心がけることが求められます。