海外サイトのコンプライアンス対応：GDPR、Cookie、データ越境の実装方法

海外サイトのコンプライアンス基盤：GDPR、Cookie、データ越境をどう実装するか

本記事はエンジニアリング実践の観点からの整理であり、法的助言を構成するものではありません。具体的な法適用やリスク評価については、専門の法律顧問にご相談ください。

一、まず3つの役割を区別する

コンプライアンスの議論で最も曖昧になりやすいのは「自分は誰か」という点です。GDPR の体系には3つの役割があり、あなたの義務はどの立場に立つかによって決まります：

この区別は海外展開する企業にとって特に重要です。なぜなら、まったく異なる2つのシナリオを決定するからです：

2行目がポイントです。クライアントのサイトを制作する立場なら、あなたの義務は「クライアントの代わりに準拠すること」ではなく、「準拠できる仕組みを提供すること」です。たとえばトラッキングのオフスイッチ、Cookieのカテゴリ別制御、データエクスポート機能などが該当します。私たちがプラグイン設計で「技術データと個人データを別テーブルに分ける」ことをデフォルトにしているのも、このためです。

2. 必ず対応が必要な4つの法規制シナリオ

海外向けサイトは通常、4つの要求に同時に直面します。それぞれ着目する層が異なります。

4つの要求には共通点があります。いずれも「実行できる」仕組みを求めているのであり、宣言文ではありません。ユーザーが本当に拒否でき、本当にオプトアウトでき、本当に削除できる必要があります。

3. Cookieの分類と処理方法

ここが最もよくある、かつ最も間違えやすいポイントです。

3種類のCookieの処理

最も間違えやすいポイント

「拒否したら止める」とは、スクリプトを読み込まないという意味であり、読み込んだ上でデータを送信しないという意味ではありません。

「拒否ボタンの見えやすさ」は規制当局が注目するポイントです。「すべて同意」が目立つボタンで、「拒否」がグレーの小さな文字だったり、設定を開いて項目ごとにオフにしなければならない場合、実務上「有効な同意が得られていない」と判断されます。

実装チェックリスト

四、データ収集の段階

フォームは個人データを収集する最も直接的な場所であり、コンプライアンス要件が最も集中する場所でもあります。

具体的な判断問題：「なぜこのフィールドが必要なのか？」——答えが「後で役立つかもしれない」だけなら、そのフィールドは収集すべきではありません。最小限の必要性の実践基準は、現在の用途を説明できるものだけを収集することです。

五、データの保存と流通

この層はページ上に現れないため、最も見落とされやすいです。

5.1 サーバーとデータの場所

「バックアップはどこに保存されているか」は頻出の見落としポイントです。主データベースはドイツにあるが、自動バックアップがデフォルトで米国リージョンのクラウドに同期されている——これは越境移転に該当しますが、ほとんどの企業は気づいていません。

5.2 サードパーティツール

最後の行は特に注意が必要です：多くのサイトが「読み込みを速くする」ために、サードパーティ CDN が提供する Web フォントや地図コンポーネントを使っています。これらのリクエストは訪問者の IP を第三者に送信します——EU ではこれが個人データの移転に該当するとした判例があり、コンプライアンスの根拠が必要です。解決策は、フォントと重要リソースのローカル自社ホスティングです。

5.3 データ主体の権利を技術的に実現する

GDPR はデータ主体の権利請求への対応を求めています。アクセス、訂正、削除、可搬性、異議申し立ての5つです。技術面ではそれぞれに対応する仕組みが必要になります。

「削除」が技術的に最も厄介な項目です。データは通常、複数のシステム（サイトのデータベース、CRM、メール配信、分析ツール）に分散しているからです。おすすめの進め方は次のとおりです。「データ分布一覧」を作る。個人データを保存しているシステムと削除方法をすべて書き出しておけば、削除請求が来たときの調査工数を大幅に削減できます。

6. よくある誤りとセルフチェックリスト

よくある6つの誤り

第6条が最も一般的です。海外向けサイトの多くはテンプレートで生成したプライバシーポリシーを使っており、記載されているツールと実際に導入しているツールが一致していません（そもそも実際のツールに触れていないこともあります）。規制当局の目から見ると、「書いてあることとやっていることが違う」ほうが「記載が1項目足りない」よりも深刻です。

公開前のセルフチェックリスト

FAQ よくある質問

最後に

コンプライアンスは海外事業では「法務の問題」や「公開前にポップアップを付ける作業」と捉えられがちです。しかしエンジニアリングの視点で見ると、実態は3つの経路の実装品質：

• 収集：必要な分だけ集め、用途を明示し、撤回できるようにする
• 保存：データがどこにあり、いつまで残し、誰がアクセスできるかを把握する
• 移転：データを誰に渡し、どの国に送り、根拠は何かを明確にする

この3つの経路が整理できていれば、プライバシーポリシーを実態と一致させられ、問われたときにも証拠を示せます。

コンプライアンスの価値は「罰則を避けること」だけではありません。信頼の一部でもあります。海外のB2B顧客がサプライヤーを評価する際、データ処理の適切さは入札やサプライヤー審査のチェックリストに載ることが増えています——Cookieの同意すら偽っているサプライヤーが、他の約束を守れると信じるのは難しいでしょう。