GDPRの影響を受けるのは誰か
EU GDPRはヨーロッパの組織だけでなく、EU在住者および海外在住のEU市民の個人データを処理・保持するすべての組織にも適用されます。つまり、ヨーロッパからの顧客を想定するなら、注意が必要です。
遵守しないとどうなるか
GDPRは2018年5月25日から施行されます。非遵守のペナルティは重大です。
- 罰金は年間グローバル売上の最大4%または2,000万ユーロのいずれか高い方まで課される可能性があります。
- 個人は、個人データの管理喪失や権限制限、差別、金銭的損失、評判の毀損、職業上の秘密で保護される個人データの機密性喪失などの損害について補償を求める権利を有します。
- 個人はデータ管理者、処理者、または両方、場合によってはサプライチェーン上の誰に対しても訴えを起こすことができます。
選択肢は何か
EC事業を所有または運営している場合、選択肢は不十分です。実質的には2つの選択肢しかありません。
選択肢1 - 受け入れる（良い考え！）
友人がかつて言いました：「行く方向がわからなければ、すでに迷子だ」。EU GDPRでは特にその通りだと思います。学ぶべきことは多く、まだ明確化が必要な部分もあります。しかし、EU GDPRへの準備は遵守する決断から始まります。状況を評価し、非遵守の領域を特定できます。その後、責任を最小化する戦略を立てられます。
選択肢2 - ヨーロッパやその市民への販売をやめる（悪い考え！）
EU GDPRに準拠したくない場合、ヨーロッパの誰とも取引しない計画を強くお勧めします。ヨーロッパの個人は海外に住んでいる場合もあることを忘れないでください。EC事業を米国国内に限定しても、遵守が保証されるわけではありません。非遵守のリスクは重大で、「罰則の痛み」で説明できます。非遵守は選択肢ですが、推奨されません。
規則の5つの主要分野
EU GDPRへの準備には、規則の5つの主要分野（同意、個人の権利、ポリシー、説明責任）に慣れることが含まれます。
1. 正当な利益（Legitimate Interest）
GDPR規則第6条は、データ収集者がデータを合法的に処理できるのは、正当な利益または同意がある場合などに限られると定めています。正当な利益があるかどうかは、収集するデータの期待と文脈について「慎重な評価」が必要です。
同意の必要性を克服するために、正当な利益を広く解釈したくなる誘惑があります。データ収集を正当化する手段として、正当な利益を漠然と解釈することはお勧めしません。GDPRは、詐欺防止、従業員とクライアントに関する内部管理目的、ネットワークセキュリティの確保、犯罪行為や公共安全への脅威の報告などの例を示しています。
正当な利益の周辺には依然としてグレーゾーンがあり、定義は時間とともに明確になるでしょう。短期的な推奨は、「個人データを処理せずに同じ目的を達成できるか？」と尋ねる習慣をつけることです。答えがはいなら、データ処理の根拠として正当な利益から離れ、同意を得るのがベストプラクティスです。
2. 同意
受動的な同意はもう認められません。データを何に使うか明示する必要があります。同意を求める方法の例を2つ示します。
3. 個人の権利
GDPRの下では、個人には忘れられる権利があります。たとえば、マーケティング目的でデータの使用に同意した場合、「忘れてほしい」と求める権利があります。主体アクセス、処理への異議、データポータビリティ、プロファイリングへの異議など、新たな権利が導入されています。
4. ポリシー
規則第13条は、法律用語ではなく明確な言葉で消費者に伝えるべき12の主要分野を定めています。顧客データの管理方法を説明する標準的なプライバシーポリシーを策定してください。
プライバシーポリシーには、指定の連絡担当者と組織の連絡先情報が必要です。
5. 説明責任
従業員を教育し、説明責任を全社で推進するツールを提供してください。この規則だけでなく、受け取るすべての個人データについてもです。データ保護は組織全体の責任です。データに触れるすべての人が、その意味と非遵守のペナルティを理解する必要があります。
越境ECテクノロジーのリーダーであるZonosは、引き続き主導し、世界中に商品を販売する課題を小売業者を通じて案内します。FAQや内部プライバシーポリシーとプロセスの例を継続的に提供し、採用できるようにします。チーム向けの内部トレーニング資料も共有します。Zonosはデータプライバシーを真剣に受け止め、EU GDPRへの準備に取り組んでいます。詳細は定期的にお知らせします。
なぜGDPRに注目すべきか
ECのあらゆる場所で、EU GDPRまたは欧州連合一般データ保護規則について議論している人が見られます。技術記事からSNSの憶測までさまざまな情報があります。私たちはそれが自分にどう影響するか知りたいと思っています。どんな変更が必要になるのでしょうか？本当の意味は何でしょうか？
この記事では、EU GDPRとは何か、どう準備するか、オンラインビジネスへの影響について簡単に見ていきます。