解説/ノウハウ389210286「GDPRなんて関係ない」と思っていたところ、突然Googleからデータ削除についての英語メールが届いて右往左往した人も多いと思います。AnalyticsのようなWebの分析ツールを利用しているアナリストやWeb担当者は実際にどうすべきか?という観点で、調べた結果をまとめました。以下は個人としての見解です。[1]」を、清水氏の許諾を得てWeb担の読者向けに転載しています。18:00同意を管理するソリューションのリストを見やすくして、タグマネ対応も明記。「データ取得ツールをオプトイン対応する」セクションの記載内容をわかりやすく整理し、参考リンクを追加(前バージョンでは「タグマネージャーをオプトイン対応する」というセクション名でした)。「顧客視点の積極的な対応を」セクションを追加し、「最後に」のセクションをシンプルにその他細かい表現の修正などEUに物理的に存在する個人のプライバシーを守るまずは原則から。[2]やGoogleで調べてください)対象は幅広い人種や国籍、市民権は無関係なので、日本からの駐在員や現地で日本語を話せる人も権利が保護される対象になります。EEA内に拠点や現地法人があるかどうかも無関係。ecid)も対象になります。昨今は分析に限らず、ターゲティングやA/Bテスト、接客、LPO、EFOなど多くのツールが固有IDをCookie保存するので、要注意ですね。Analytics(やCookieに固有IDを保存するマーケティングツール)を一つでも導入しているだけでGDPRの規制対象になる、というのが今のところの私の理解です。データ主体、つまりWebの訪問者に与えられる権利EU(EEA)内の個人は、企業へ提供する自分の個人データについて取得されることを拒否する権利(同意)アクセスする権利(内容確認・修正)消去する権利(削除)持ち運ぶ権利(エクスポート)が保障されます。対応すべき?立場によって異なります。(Controller)として、次の対応が必要になります(アナリティクス関連のみを抽出)。(Processor)として、次の対応が必要になります(アナリティクス関連のみを抽出)。利用規約をGDPR対応にするGoogleはデータ処理者としての責務を果たしているだけという状況の中で、GoogleはGoogleアナリティクスの自動データ削除を実装し、メールで管理者へ通知しました。それだけに反応して「データが消えると困るから無期限にしよう」「変えるのは危険だからデフォルトのままにしておこう」と近視眼的に対応するのは、どちらも不正解です。アナリストやコンサルタントがすべきこと分析を請け負ったアナリストやコンサルタントは、データ処理者として、委託を受けたデータやアカウントをセキュアに管理し、必要がなくなったら削除する必要があるのは当然として、要注意なのは、制作や集客などの受注ついでに無料だからとGAを導入した場合ですね。クライアント企業が状況やリスクを把握できていない可能性があるので、誰が導入して誰が利用しているのかに関わらず、運営企業にはGDPR対応の義務とリスクが生じることを説明する責任があります。コンサルタントとしては、「こうしないとダメ」という指摘だけではなく、法務と連携し、対応方針策定や必要なツール選定と実装、運用プロセスの構築まで踏み込んで提案や対応するケースもあるでしょう。対応できない、する価値がない場合は、タグやデータを削除する、という決断も必要です。Webの制作や分析を受託した企業や個人事業主がすべきことをまとめます。プライバシーポリシーやCookieポリシーの更新を手配する規約の文面は事業会社が主体となって法務部門や専門家に作成を依頼する必要がありますが、その必要性の説明や、ツールが取得するデータに関する情報提供、フッタからの確実なリンク設置の手配や確認は可能ですね。[3]で、導入企業はプライバシーポリシーにおいてGAについて追記することを求めています。使用していることを必ず通知するものとします。アナリティクスでデータが収集、処理される仕組みについても必ず開示するものとします。URL)へのリンクを目立つように表示することで実施可能です。その他の情報の保存や、そうした情報へのアクセスについて、そうした行為が本サービスに関連して発生する場合、およびかかる行為に関する情報の提供と訪問者からの同意が法律で求められている場合は、訪問者に明確かつ包括的な情報を提供し、同意を得るように商業上合理的な努力を払うものとします。Googleとしては責任を逃れられるように規約を定めているだけなので、違反しているからとGoogleから訴えられることはないと思いますが、GDPRをきっかけとして、主体的かつ本質的な対応をしたいところです。Cookieに関しては、個別のCookieごとに用途や内容、保管期間を列記した詳細表を含むCookieポリシーを別途定める企業も存在します。事業会社がこのCookieポリシーが必要と判断した場合、ツールのベンダーやその導入を提案した代理店、コンサルタントは、必要な情報をまとめて事業会社へ提供する必要があるでしょう。お問い合わせやメルマガ購読など、個人データを含む送信フォームを含むページを制作する場合は、どんなデータを何のために取得し、どう扱うのかの説明を入力フォーム付近に記載することも漏れなく提案し、実現しましょう。フッタからのリンクだけでは不十分です。オプトアウトの方法を説明するプライバシーポリシーの中でオプトアウト方法を説明し、それが可能なページにリンクすることが多いようです。ツールによって方法やリンク先が異なるので、その方法を整理して伝えましょう。[7]などデータ取得の同意を得るUIを実装する2018年に入ってから、英語のサイトは次々に導入を進めています。サイトを初めて訪問したときにページの上や下にオーバーレイ表示されるアレです。Manager)が数多くリリースされています。Launchアルファベット順です対応タグマネは、タグが事前定義されているか、という意味です。タグを手動で貼ればどのタグマネージャーでも対応できます。この中ではOneTrustとCIVICとiubendaが無料プランを提供しています。V8を試験導入しました。OneTrustは駆け込み需要で忙しいのか、審査待ちのまま2週間を過ぎてもアカウント発行の連絡がありません...。データ取得ツールをオプトイン対応する同意を得るUIを実装したら、その結果に応じてアナリティクスの計測を停止する必要があります。タグマネージャーで対応するのがおすすめ。詳しい方法は別途記事を書きます。不要な個人データは取得停止や匿名化するこれを機に、事業の運営や改善のために不要な個人データは取得をやめることを検討しましょう。IDや会員IDを取得している場合は、その必要性を再検討します。ページのURLやタイトル:ページのURLやタイトルにEmailや会員IDが含まれていないか確認し、サイトを修正します。サンクスページなどで動的にIDやEmailアドレスをURLクエリパラメータに付与していると、それがアナリティクスによって計測されてしまいます。知らない間に個人データを計測していることもあるので、今すぐ確認を。GA公式ヘルプIPアドレス:ドイツなど厳しい国では、GDPR施工の前からIPアドレスの取得がNGでした。AnalyticsにはIPアドレスを匿名化する機能があるので、それを有効にします。保管期間を過ぎたデータは削除する目的を達成するために合理的に必要となる保管期間をツールごとに定めて、それをプライバシーポリシーで訪問者へ説明してから、自動削除機能があるツールに関しては、その設定を行います。Googleアナリティクスの場合、まずは期限設定機能がリリースされましたが、細かい制御はできません。Analyticsの場合は、設定期限後の自動削除に加えて、どのデータが個人データに該当するのかを区別するためのラベル付け機能と、訪問者が自分のID(オンライン識別子)を調べるためのJavaScriptライブラリ、要求を受け付けた運営会社が特定IDの訪問者に関するデータをエクスポートや削除するためのAPIもリリースされました。APIなので、それを使った管理画面は自作する必要があります。Googleも追従して、このような機能をこの後リリースすると思われます。個人データの確認や修正、エクスポート、削除の依頼に対応する実はこれが一番難しいです。Facebookの場合、設定画面の中に、自分に関するデータを全てダウンロードしたり、全て削除する機能が含まれています。アナリティクスの場合は完全自動化が難しいので、プライバシーポリシーの中でリクエスト方法について説明し、そのリクエストを(書面やメールやフォームで)受け取った場合にデータの抽出・返信や削除を個別対応する運用プロセスを作ります。顧客視点の積極的な対応を結局、何をどこまで対応すべきか?については、企業の状況や経営方針、法務的な考え方にもよるので、Web運営主体である事業会社は、総合的かつ継続的に判断をし、方針策定、体制やプロセスを構築し運用していく必要があります。同様に、分析やマーケティングや制作を請け負うアナリストやコンサルタントも、データやツールに関する情報を調べて提供したり、サイトの改修やツールの設定変更、運用や管理プロセスの変更を行うなど、GDPR対策に関わる必然性があります。このGDPRが強化を目指すプライバシー保護の観点について、日本におけるレガシーな個人情報保護の延長として受け取ってしまうと、「法務に任せておけば良い」「マーケティングでは匿名データしか使わないから関係ない」と他人事になりがちです。昨今のプライバシー保護の流れは、アドテクノロジーが進化した結果、個人に関するデータが一人歩きし、個人の意図に反する形で利用されてしまうことへの大きな懸念に起因します。そのような背景から、個人の権利に立ち返り、自分のデータに関するコントロールを取り戻すという善意に基づいたプライバシー保護の流れは、世界的なものであり、そして今後止まることはないでしょう。GDPR施行の後も、日本の個人情報保護法が改正されたり、USの法律もきっと変わっていくはずです。「GDPR対策のため」「リスクを回避しないと」といった偏った受け身のスタンスではなく、お客様の視点で心地良い顧客体験を提供するためには、何が必要なのか、その方針や伝え方、要求への対応方法などを予め検討して実現することができれば、お客様からの信頼を高めることができるでしょう。最後に以上、調べて分かったことと現時点の私の見解をまとめました。このページは急いで作ったので、間違いや漏れがあるかもしれません。そもそも法律自体が曖昧なので、前例や判例が増えながら徐々に定義が固められていくはずです。随時修正や追記をしていきます。情報は圧倒的に英語のサイトの方が多いので、なるべく一次ソースに近い情報を英語で読むと良いでしょう。アナリティクスに関しては、GoogleよりもAdobeの方が丁寧で迅速な情報提供やサポートをしているので、GAしか使っていない場合でも、動向をチェックしておくのがおすすめです。[25]広告だけじゃ成果が出ない時代。http://b.hatena.ne.jp/entry/https%3A%2F%2Fwebtan.impress.co.jp%2Fe%2F2018%2F05%2F17%2F29253。