ほとんどのGDPRガイドは規制を抽象的に説明しますが、これはより具体的なものに焦点を当てています。オンラインフォームを通じてデータを収集する際にGDPRが実際に要求すること、そして公開する前に確認すべきことを説明します。
あなたの組織がEU内の個人からデータを収集する場合、たとえ組織がどこに本社を置いていても、GDPRが適用される可能性があります。これは、コンタクトフォーム、リードジェネレーションフォーム、イベント登録、または個人データに触れるその他のフォームを通じて行われます。
この記事は情報提供のみを目的としており、法的助言を構成するものではありません。組織に特化した指導を受けるには、資格のあるデータ保護専門家に相談してください。
このページで
GDPRが適用される対象
一般データ保護規則（GDPR）は、次のいずれかに該当する組織に適用されます。
- EU内に設立されている組織で、データ処理がどこで行われるかに関わらず、または
- EU内の個人のデータを処理する組織で、EU内の個人に商品やサービスを提供する、またはその行動を監視することに関連する場合、組織自体がEU外にあっても適用されます。
これは、EU内の個人が提出可能なリードジェネレーションフォームを運営する米国拠点の企業が、条件が第3条で満たされる場合、GDPRの対象となる可能性があることを意味します。オンボーディングフォームを通じてデータを収集するヨーロッパの顧客を持つSaaS企業も同様にGDPRの対象となる可能性があります。この規制の地域的範囲は広く、EU内の個人に商品やサービスを提供する、またはその行動を監視する場合、組織がどこに本社を置いていてもGDPRが適用される可能性があります。
フォームの文脈で個人データとされるもの
GDPRの下では、個人データとは、自然人を直接または間接的に識別できる情報を指します。オンラインフォームの文脈では、これには以下が含まれます。
- 直接識別可能なデータ: 名前、メールアドレス、電話番号、住所、生年月日
- 間接的に識別可能なデータ: IPアドレス（提出時に収集された場合）、デバイス識別子、位置情報
- センシティブデータ（特別なカテゴリ）: 健康情報、宗教的信念、政治的意見、人種または民族的出自、生体認証データ. これらは第9条の下でより厳しい規則の対象となり、処理が合法であるためには第9条(2)リストから特定の条件を満たす必要があります。
あなたのフォームが上記のいずれかを収集する場合、そのデータにはGDPRコンプライアンス要件が適用されます。
合法的根拠: あなたのフォームに適用されるものはどれか?
GDPRは、個人データ処理の各インスタンスに合法的根拠を要求します（第6条）。オンラインフォームの場合、最も関連性のある根拠は次のとおりです。
承諾. データ主体が明確で具体的、情報に基づいた、曖昧でない承諾を与えた場合。これはマーケティングフォーム、ニュースレターのサインアップ、オプションのデータ収集に適しています。承諾は自由に与えられ、与えるのと同じくらい簡単に撤回できなければなりません。
契約. 処理が契約の履行のために必要である場合、または契約締結前にデータ主体の要求に応じて措置を講じるために必要である場合。これは注文フォーム、予約フォーム、サービス契約に適用されます。
正当な利益. 処理が管理者または第三者の正当な利益のために必要である場合。ただし、その利益がデータ主体の権利と利益によって上回られない場合に限ります。これは三部構成のバランステスト（目的、必要性、バランス）の文書化を必要とします。これは包括的なものではなく、データ主体はこの根拠に基づく処理に対して異議を申し立てる権利を保持しています（第21条）。ただし、管理者がデータ主体の利益を上回る強力な正当な理由を示すことができる場合、その異議を覆すことができます。
法的義務. 法律によって処理が要求される場合。コンプライアンスフォーム、税務書類、規制上の提出書類に適用されます。
実践的ガイダンス: ほとんどのマーケティングおよびリードジェネレーションフォームは、合法的根拠として承諾を必要とします。ほとんどの取引フォーム（購入、予約、契約）は、契約に基づく根拠に依存しています。間違った合法的根拠を使用すること、またはユーザーに実際の選択肢がない場合に承諾を主張することは、GDPR違反の最も一般的な例の一つです。
承諾フィールド: GDPR準拠にするための要件は?
合法的根拠が承諾である場合、その承諾を得るためのメカニズムが重要です。GDPRは特定の要件を設定しています。
有効な承諾の例:
- 明確な肯定的行動. ユーザーが積極的にチェックを入れる必要がある未チェックのチェックボックス、事前にチェックされていないもの
- 目的に特化. 別々の目的に対して別々のチェックボックス（例: フォーム提出の処理用、マーケティングメール用の別々のもの）
- 情報に基づいた. データがどのように使用されるかの簡単な説明と、完全なプライバシーポリシーへのリンクが付随する
- 自由に与えられる. ユーザーは、関連しない処理への承諾を強制されずにフォームを提出でき、権力の不均衡や承諾を拒否することによる不利益があってはならない
無効な承諾の例:
- 事前にチェックされたチェックボックス
- 承諾が利用規約の受諾に組み込まれている
- 「このフォームを送信することにより、あなたは…に同意します」といった、別々の明示的な承諾メカニズムなし
- マーケティングへの承諾と問い合わせの処理への承諾が組み合わされている. これらは別々でなければならない
- 承諾を促す非対称なビジュアルデザイン. 例えば、目立つ「承諾」ボタンと、グレーアウトされたまたは隠された「拒否」または「設定」オプションの組み合わせ。GDPR当局は一貫して、そのようなダークパターンが「自由に与えられる」という要件を損なうと判断しています。技術的なオプトアウトが存在する場合でも
承諾の撤回: GDPRは、撤回が承諾を与えるのと同じくらい簡単であることを要求します。フォームで収集されたデータの場合、これは明確なオプトアウトメカニズムを提供し、承諾が唯一の合法的根拠である場合には削除要求を尊重することを意味します。
データ最小化: 必要なものだけを収集する
GDPRのデータ最小化原則（第5条(1)(c)）は、適切で関連性があり、目的に必要な範囲に限定された個人データのみを収集するべきであると述べています。
フォームデザインにおいて、これは次のことを意味します。
- フィールドを監査する. 各フィールドが目的に役立っているか? 連絡先フォームに生年月日は必要ありません。ウェビナー登録に電話番号は必要ありません。参加者に電話をかける予定がない限り。
- 非必須フィールドをオプションにする. フィールドが有用であるが必須ではない場合、それをオプションとしてマークし、フォーム提出のために必須にしない。
- 処理しないデータを収集しない. フィールドを収集しても使用しない場合、それは不必要なコンプライアンスのリスクを生み出します。
データ最小化は実用的な利点もあります。短いフォームは完了率が高いです。GDPRと良いUXは同じ方向を指しています。
データ保持: フォームの回答をどれくらいの期間保持できるか?
GDPRの保存制限原則（第5条(1)(e)）は、個人データが収集された目的のために必要以上に長く保持されないことを要求します。
GDPRが義務付ける単一の保持期間はありません。適切な期間は目的、適用される業界規制、加盟国の法律に依存します。以下の表は一般的な考慮事項を示していますが、具体的な保持期間はデータ保護責任者または法務顧問と相談して決定する必要があります。
| フォームタイプ | 一般的な保持考慮事項 |
|---|---|
| 連絡先/サポートフォーム | サポート関係の期間 + 合理的なフォローアップ期間 |
| リードジェネレーションフォーム | アクティブな営業活動の期間; 延長保持のための文書化された根拠 |
| イベント登録 | イベントまでの期間 + 法的に必要な記録保持期間 |
| 契約/サービスフォーム | 契約の期間 + 適用される法定制限期間 |
| 雇用応募フォーム | 加盟国の雇用法により異なる. 例として、ドイツのAGG（一般平等待遇法）は、差別訴訟に対する防御のために約6ヶ月間記録を保持する実用的なケースを作り出しますが、他の管轄区域では異なります。保持期間を設定する前にDPOまたは法務顧問に相談してください |
実際にはどういう意味か: データ保持ポリシーを文書化し、保持期間が終了したらフォーム提出データを削除または匿名化する必要があります。
PlatoFormsは、アカウントレベルでのデータ保持を設定可能にしています. 0日（クラウドドライブに同期後すぐにデータが削除される）から永遠まで、7日、30日、3ヶ月、6ヶ月、1年、3年のオプションがあります。設定の詳細については、データ保持ポリシーのドキュメントをご覧ください。
消去の権利: 提出されたフォームに対する意味
GDPRの下では、データ主体は個人データの削除を要求する権利を持っています（第17条）。フォームで収集されたデータの場合、これは次のことを意味します。
- 誰かが連絡先フォームを提出し、その後データの消去を要求した場合、その提出を特定して削除できる必要があります。
- 承諾が撤回された場合、その承諾に基づいて収集されたデータは削除されなければなりません（他の合法的根拠が適用されない限り）。
- 消去要求は不当な遅延なく処理され、いかなる場合でも1ヶ月以内に処理されなければなりません（複雑なケースの場合、記事12(3)に基づき2ヶ月の延長が可能です）。
実践的な要件:
- 個人ごとに提出を特定できる必要があります（メールや名前で検索可能）。
- 特定の提出を削除できる必要があります。データベースを一括削除するだけではありません。
- 提出データが他のシステム（CRM、クラウドドライブ、メール）にエクスポートされた場合、それらのコピーも削除または匿名化されなければなりません. そのシステムで保持するための別の合法的根拠が存在しない限り。
PlatoFormsは、ダッシュボードから提出を検索し、個々の記録を削除することを可能にします。必要に応じて一括削除を行うすべての提出を消去機能があります。
データプロセッサとしてのフォームビルダー: 求めるべきこと
GDPRの下では、個人データを収集するためにサードパーティのフォームビルダーを使用する場合、そのフォームビルダーはあなたの代理としてデータプロセッサとして機能します。あなたはデータコントローラです。これは第28条の下で特定の義務を生じさせます。
フォームビルダーとデータ処理契約（DPA）を締結している必要があります。DPAは次のことを指定する契約です。
- プロセッサが扱うデータ
- 処理の目的と期間
- 技術的および組織的なセキュリティ対策
- サブプロセッサの開示と承認要件
- データ侵害が発生した場合の義務
技術的に安全であっても、DPAなしでEUの個人データを収集するためにフォームビルダーを使用することは、第28条の下でGDPR要件に違反する可能性があります。
国境を越えたデータ転送: フォームビルダーがEU/EEA外でデータを保存または処理する場合、GDPR第V章の下で追加の要件が適用されます. 標準契約条項（SCC）や適合性決定の利用など。提出データがどこに保存されているか、どの転送メカニズムが使用されているかを確認してください。
フォームビルダーに求めるべきこと:
- レビューと署名のためのDPAが利用可能であること
- データが既知の、開示された場所に保存されていること（関連する場合はEUデータ居住オプションを含む）
- サブプロセッサの透明性（フォームビルダーがどの第三者とデータを共有しているか、それらの使用を承認しているか）
- 転送中および保存中の暗号化
- アクセス制御と監査ログ
- 文書化された侵害通知プロセス
PlatoFormsは、ダウンロード可能なデータ処理契約（DPA）と、セキュリティインフラストラクチャ、サブプロセッサ、認証の完全な概要をTrust Centerで提供しています。
オンラインフォームのためのGDPRコンプライアンスチェックリスト
EUの個人データを収集するフォームを公開する前に:
合法的根拠
- 処理の合法的根拠を特定する（承諾、契約、正当な利益、法的義務、または他の第6条の根拠）
- 合法的根拠を文書化する. 記憶に頼らない
- 正当な利益を使用する場合: バランステストを完了し文書化する. データ主体が異議を申し立てる権利を行使できることを確認する（第21条）
特別カテゴリデータ
- センシティブデータ（健康、宗教、民族など）を収集する場合、第9条(2)の特定の条件を特定する. 明示的な承諾は一つの選択肢ですが、唯一のものではありません
- 特別カテゴリデータに対する適切な追加の技術的保護策を適用する（例: 暗号化、アクセス制御の制限）
承諾（承諾が合法的根拠である場合）
- 未チェックのチェックボックスを使用する. 事前にチェックされたものではない
- 別々の目的に対して別々の承諾を得る（提出処理対マーケティング）
- 簡単な目的の説明とプライバシーポリシーへのリンクを含める
- 承諾の撤回が承諾を与えるのと同じくらい簡単であることを確認する
データ最小化
- 各フィールドを監査する. 各フィールドが目的に役立っているか?
- 非必須フィールドをオプションにする
- 実際に処理しないフィールドを削除する
データ保持
- このフォームのデータの保持期間を文書化する（必要に応じて法務/DPOの入力を得て決定）
- 自動削除を設定するか、古い提出を削除するためのカレンダーリマインダーを設定する
- フォームビルダーが設定可能な保持をサポートしていることを確認する
消去の権利
- 個人ごとに提出を特定できる
- 要求に応じて個々の提出を削除できる
- 不当な遅延なく、1ヶ月以内に消去要求を処理するプロセスを持っている
プロセッサおよび転送要件
- フォームビルダーと署名済みのDPAがある
- フォーム提出データがどこに保存されているかを知っている
- フォームビルダーが使用するサブプロセッサを知っており、その使用を承認している
- データがEU/EEA外に転送される場合、有効な転送メカニズム（SCC、適合性決定など）がある
フォームのGDPRコンプライアンスは、法的理論よりも運用上の決定に関するものです。何を収集し、どのように承諾を得て、どれくらいの期間保持し、ツールとどのような契約を結んでいるか。
上記のチェックリストは実用的な最低限をカバーしています。複雑な処理シナリオ. 特別カテゴリデータ、大量のリード収集、国境を越えたデータ転送、または正当な利益の評価がある場合、資格のあるデータ保護責任者または法務顧問があなたの特定のセットアップをレビューするべきです。
PlatoFormsのコンプライアンスドキュメント、ダウンロード可能なDPA、およびセキュリティアーキテクチャの概要については、Trust Centerをご覧ください。
