スタートアップのためのGDPR遵守ガイド

一般データ保護規則（GDPR）は、欧州経済領域（EEA）の個人の個人データを取り扱う企業向けの一連の規則です。EEAには、すべてのEU加盟国に加えて、アイスランド、リヒテンシュタイン、ノルウェーが含まれます。GDPRは2018年5月25日に施行されました。

GDPRは、世界で最も厳格なデータ保護法と考えられています。個人が自分の個人データをより適切に管理できるようにし、企業がデータを収集、使用、保護する際に従うべき、より厳しい規則を定めています。

企業がこれらの規則に従わない場合、罰金その他の制裁を受ける可能性があります。罰金の上限は、2,000万ユーロまたは前年の全世界年間売上高の4%のいずれか高い方です。

GDPRに基づく義務

EEA市民の個人データを収集・処理する際、企業が従うべき義務と責任は多数あります。

1. 新しい製品やサービスを開始する前に、EEA市民の個人データをどのように収集、保存、使用するかを検討してください。必要に応じて、データ保護影響評価を実施し、個人データ保護に対する潜在的なリスクを特定・軽減します。
2. 暗号化や安全な保管など、個人データを保護するための適切な技術的・組織的措置を講じてください。システムやサービスに最新のセキュリティパッチとアップデートを適用し、常に最新の状態に保ちます。
3. 個人データを収集する際は、使用目的に厳密に必要な情報だけを尋ねてください。これにより、収集するデータ量を最小限に抑え、データ侵害のリスクを低減できます。
4. 収集する個人データ、その収集理由、使用方法について顧客に透明性をもって説明してください。データ保護に関する明確な情報を提供し、別の法的根拠がない限り、個人データを収集する前に明示的な同意を取得します。
5. 顧客が自分の個人データの処理に異議を申し立てる権利を尊重し、その権利を顧客が認識できるようにしてください。
6. 20人以上が定期的に個人データを処理する場合、またはデータ保護影響評価を必要とするデータ処理業務を行う場合、あるいは送信、匿名化された送信、市場調査・世論調査のために個人データを処理する場合は、データ保護責任者を任命してください。
7. EEA域外の第三者と個人データを共有する場合は、EEA標準契約条項やプライバシーシールドなど、適切な保護措置を講じてください。
8. メールを送信する際は、受信者がメール受信に同意したことを確認するため、ダブルオプトインの手続きを使用してください。
9. すべての個人データを正確かつ最新の状態に保ち、データが変更された際に更新する手続きを整備してください。
10. データの紛失やセキュリティ侵害が発生した場合は、直ちに対応して事案を封じ込め、さらなる被害を防いでください。このような事案への対処方法や、顧客および関係当局への通知方法について、あらかじめ計画を立てておきます。
11. データ侵害が発生した場合は、できるだけ速やかに監督当局と顧客へ通知してください。
12. 監督当局による監査が行われた場合に遵守を証明できるよう、すべてのデータ処理活動の記録を保存してください。

このリストには、EEA市民の個人データを収集・処理する際に、GDPRに基づいて企業が守るべき最も重要な義務と責任が含まれています。

ただし、場合によっては追加要件も考慮する必要があります。たとえば、特定の業界で事業を行う企業や、特定の種類の個人データを処理する企業には、固有の要件が適用されることがあります。

そのため、適用されるすべての規制を遵守していることを確認するため、データ保護の専門家に助言を求めるか、監督当局に問い合わせることを常におすすめします。

EEA域外企業のGDPR

EEAに拠点を置く企業がGDPRを遵守する必要があることはよく知られていますが、一定の状況ではEEA域外の国の企業もGDPRを遵守する必要があることを、誰もが知っているわけではありません。EEA域外企業がGDPRを遵守する必要があるさまざまなケースを以下に説明します。

欧州経済領域での個人データの収集

EEA域外に拠点を置く企業が、EEA内の個人に商品やサービスを提供したり、その行動を監視したりする場合、EEAの個人の個人データを収集、使用、保護する際にGDPRの要件を遵守しなければなりません。

EEA域外に拠点を置く企業がGDPR違反と判断された場合、EU当局にはGDPR遵守を確保するための複数の手段があります。

たとえば、米国企業がGDPR違反と判断された場合、違反の性質や企業が所在する州の法律によっては、EU当局が米国の裁判所において当該企業に対する判決の執行を求める可能性があります。

さらにEU当局は、EU市場への企業のアクセスを遮断したり、企業を公に糾弾したりするなど、欧州経済領域外の企業にGDPR遵守を迫る他の手段を講じることもあります。

ただし、EUがGDPRに違反した小規模企業に対して直ちに制裁を科す可能性は低いでしょう。それでも、EEA域外の小規模企業にとっても、GDPRを遵守することは有益です。GDPRを遵守することで、GDPRに準拠している他の企業と取引できるなど、スタートアップにより良いビジネス機会がもたらされる可能性があるためです。

罰金その他の制裁のリスクに加えて、スタートアップはGDPR違反と判断された場合、評判を損なう可能性もあります。その結果、EEAでの事業が難しくなるだけでなく、国際的な事業にも影響が及ぶ可能性があります。

GDPRを遵守する企業は、個人データの保護と個人のプライバシー尊重への取り組みを示すため、顧客やパートナーにとってより魅力的な存在となる可能性があります。

全体として、GDPRはEEAの個人の個人データを取り扱うスタートアップにとって重要な進展であり、これらのスタートアップがデータを収集、使用、保護する方法に大きな影響を与えます。

EEA域外のスタートアップは、罰金その他の制裁や評判の低下を避けるため、GDPRに基づく義務を特に意識し、遵守を確保するための措置を講じる必要があります。

EEAでデータを収集していない場合は？

EEA域外のスタートアップが現在、EEAの個人に商品やサービスを提供したり、その行動を監視したりしていない場合でも、GDPRを導入することが望ましい場合があります。

これは、GDPRがデータ保護に関する世界的な基準であり、GDPRを導入することで、スタートアップは顧客やパートナーのプライバシーを重視する、評判と信頼性の高い企業としての地位を確立しやすくなるためです。

英国（UK）におけるGDPR

英国が2021年1月1日にEUを離脱した後、GDPRは英国では適用されなくなりました。しかし、GDPRの規則はUK-GDPRとして英国法に直接組み込まれたため、上記で説明したGDPRに関する内容はすべて英国にも適用されます。

MaildroppaアプリでGDPRに対応した登録フォームを作成する方法

Maildroppaはメールマーケティングアプリであり、見込み顧客があなたから定期的な情報やニュースレターを受け取るために登録できるカスタマイズされた登録フォームを作成できます。

登録に必要な情報は自由に定義できます。たとえば、見込み顧客の姓名、誕生日、国籍などを設定できます。もちろん、これらは個人データです。

欧州の人々がウェブサイトを訪問して登録フォームに入力することを技術的に除外していない場合、企業が欧州経済領域外に所在していてもGDPRの対象となります。

ただし、Maildroppaを使えばGDPRを簡単に遵守できます。リストへの登録を希望する顧客に対して、データ処理契約書を必ず表示して署名してもらうか、表示・署名を一切求めないかを設定できます。また、EU、英国、スイスの顧客だけにGDPR同意フォームへの同意を求める設定も可能です。

企業は、収集するデータの種類、収集理由、保存・処理方法について顧客に知らせる必要があります。企業ごとに異なるため、収集するデータとその利用方法も異なります。事業主であるあなたがデータの取り扱いについて顧客に透明性をもって説明し、GDPR規制を遵守することが重要です。

サービスプロバイダーとして、Maildroppaはこの責任を理解しています。そのため、個々の要件に合わせてGDPR同意フォームをカスタマイズできる機能を提供しています。また、購読者が同意したGDPR同意フォームの文言も保存されるため、数年後でも同意の証拠を提示できます。

GDPRのもう一つの要件は、顧客がニュースレターにダブルオプトインすることです。これにより、GDPRに関する声明に従って、あなたからの情報受信に明示的に同意した顧客だけが受信することになります。ダブルオプトインはMaildroppaのデフォルト動作であるため、追加の対応は必要ありません。

まとめ

まとめると、GDPRはEEAの個人の個人データを取り扱う企業に適用される一連の規則です。GDPRは個人が自分の個人データをより適切に管理できるようにし、企業がデータを収集、使用、保護する方法に、より厳しい規則を課しています。

EEAのスタートアップは、罰金その他の制裁や評判の低下のリスクを避けるため、GDPR遵守を確保するための措置を講じる必要があります。

EU域外のスタートアップも、EUの個人に商品やサービスを提供したり、その行動を監視したりする場合は、GDPRの遵守を確保する必要があります。EUがGDPRに違反したすべての小規模企業に直ちに制裁を科す可能性は低いものの、EU当局には遵守を確保するための複数の手段があります。

スタートアップが顧客やパートナーのプライバシーを重視する、評判と信頼性の高い企業としての地位を確立したい場合、EUに所在していない、またはEU内の個人と関わっていない場合でも、GDPRを導入することが有益です。最後に、英国がEUを離脱した後も、GDPRはUK-GDPRという形で英国に引き続き適用されていることを覚えておくことが重要です。