GDPR
よみ: ジーディーピーアール
EU(欧州連合)が 2018 年に施行した「EU 一般データ保護規則」という個人情報保護法です。
最大の特徴は罰則の重さで、違反時の制裁金は「最大で全世界の年間売上の 4%、または 2,000 万ユーロ(数十億円規模)のいずれか高い方」という、企業にとって致命傷になりかねない厳しい基準が設けられています。
Web 担当者が絶対に知っておくべき「適用範囲」
「うちは日本企業だから関係ない」は大きな間違いです。日本国内向けのサービスであっても、「EU 居住者にサービスを提供している実態」があれば対象になる可能性があります。対象になるかどうかの判断は Web 担当者だけで行わず、必ず法務部門に確認して決定するのが鉄則です。
実務で求められる具体的な Web 対応
- Cookie(クッキー)の厳格な同意取得：サイト訪問時に表示する Cookie バナーは、「同意」だけでなく「拒否」のボタンも同等にわかりやすく表示しなければなりません。
- 同意前の計測禁止：ユーザーが「同意」を押すまでは、アクセス解析や広告などのトラッキング(追跡)を動かしてはいけません。
- ユーザーの権利対応：「自分のデータを削除してほしい」といったユーザー本人の要求に応える窓口や仕組みが必要です。
- 迅速な報告義務：万が一データ漏洩などの事故が起きた場合、72 時間以内に当局へ通知する必要があります。
初心者が陥りがちな落とし穴
海外向け・多言語サイトを立ち上げる際、デザインや翻訳ばかりに気を取られ、法務・セキュリティの確認を後回しにしてしまうこと。GDPR 違反は会社を揺るがす大事故になるため、海外向けサービスは企画の初期段階から法務や専門家を巻き込む体制が不可欠です。
言葉をよく利用する人
- 法務 / 契約担当
- Web 担当者(発注側)
- 情シス
- アクセス解析担当
会話上での使用例
海外向けサービスの展開を検討する場面
-
経営層
海外向けにもサービスを広げたいんだが、何か気をつけることは。
-
Web担当者
EU が対象に入るならGDPRへの対応が必須になります。Cookie の同意取得や、削除・移植といったデータ主体の権利対応、侵害時の 72 時間以内通知まで体制が必要なので、法務と詰めさせてください。
-
経営層
そこは自己判断せず、専門家と進めた方がよさそうだね。
Cookieバナーの仕様を法務と確認する場面
-
法務
Cookie バナーの仕様って、どう作ればいいですか。
-
Web担当者
GDPR準拠だと、同意と同じ大きさで拒否も選べるように見せるのが基本です。同意をもらってから初めてトラッキングを始める、という順番を徹底しますね。