⚠ 本書式は弁護士監修前の草稿である。監修完了まで販売・配布・公開を禁止する。 本書式は一般的な情報提供を目的としたものであり、個別・具体的な法律相談に代わるものではない。

海外向けプライバシーポリシー(GDPR対応・和文)

第1部: 書式本文

【会社名】(以下「当社」という)は、当社が提供するサービス「【サービス名】」(以下「本サービス」という)において取得する個人データの取扱いについて、以下のとおりプライバシーポリシー(以下「本ポリシー」という)を定める。当社は、日本の個人情報保護法に基づく義務に加え、欧州経済領域(EEA)内に所在するデータ主体の個人データを取り扱う場合には、EU一般データ保護規則(以下「GDPR」という)上の義務を負う。

第1条(管理者の情報) 本ポリシーにおける個人データの管理者(データコントローラー)は【会社名】(所在地:【住所】)とする。個人データの取扱いに関する問い合わせ窓口は第10条のとおりとする。

第2条(取得する個人データの種類) 当社は、氏名、連絡先情報、アカウント識別子、利用履歴、決済に関連する情報その他本サービスの提供に必要な範囲の個人データを取得する。

第3条(利用目的) 当社は、取得した個人データを、本サービスの提供、本人確認、契約の履行、カスタマーサポート、法令上の義務の履行、及び本人の同意を得た場合のマーケティング目的で利用する。

第4条(GDPRにおける適法根拠) 当社は、EEA内のデータ主体の個人データを取り扱うにあたり、GDPR第6条に定める以下のいずれかの適法根拠に基づき処理を行う。 1. 契約の履行に必要な場合(GDPR第6条第1項(b)) 2. 法令上の義務を履行するために必要な場合(同項(c)) 3. 当社または第三者の正当な利益のために必要であり、データ主体の基本的権利・自由がこれに優越しない場合(同項(f)) 4. データ主体から明示的な同意を取得した場合(同項(a))

第5条(データの保存期間) 当社は、利用目的の達成に必要な期間、または適用法令が定める保存期間に限り個人データを保存し、当該期間経過後は遅滞なく消去または匿名化する。

第6条(第三者提供および委託) 1. 当社は、法令に基づく場合を除き、本人の同意なく個人データを第三者に提供しない。 2. 当社は、業務委託に伴い個人データの取扱いを外部の事業者に委託する場合、委託先との間で適切な契約を締結し、監督を行う。

第7条(EEA域外への移転) 当社が取得したEEA内のデータ主体の個人データを日本その他EEA域外の国に移転する場合、当社は欧州委員会の標準契約条項(SCC)の締結、十分性認定その他GDPR第5章に定める適法な移転手段を確保したうえで移転する。

第8条(データ主体の権利) GDPRの適用を受けるデータ主体は、GDPR第15条以下に定める以下の権利を行使できる。 1. 個人データへのアクセス権(第15条) 2. 訂正を求める権利(第16条) 3. 消去を求める権利(いわゆる忘れられる権利、第17条) 4. 取扱いの制限を求める権利(第18条) 5. データポータビリティの権利(第20条) 6. 取扱いに異議を述べる権利(第21条) 権利行使の請求は第10条の窓口宛てに行うものとし、当社は本人確認のうえ法令が定める期間内に対応する。

第9条(EU域内代理人) 当社がEEA域外に所在し、GDPR第3条第2項に定める域外適用の要件を満たす場合、当社はGDPR第27条に基づきEU域内における代理人(EU代表者)として【代理人名・所在地】を選任する。データ主体は、当社に代えて当該代理人に対しても問い合わせを行うことができる。

第10条(問い合わせ窓口・監督機関への申立て) 個人データの取扱いに関する問い合わせは【問い合わせ窓口】まで連絡するものとする。データ主体は、居住国の個人データ保護監督機関に対しても苦情を申し立てる権利を有する。

第11条(個人情報保護法上の公表事項) 当社は、日本の個人情報保護法に基づき、利用目的の公表、安全管理措置の概要、開示等請求への対応手続その他法令が定める事項を本ポリシーにおいて公表する。

第12条(本ポリシーの改定) 当社は、法令の改正その他必要に応じて本ポリシーを改定することができる。改定後の内容は本サービス上での掲示をもって効力を生じる。

第2部: 立場別・場面別の書き換えパターン

A. 日本企業(管理者)向け

本サービスの主な利用者が日本国内向けであり、EEA居住者からのアクセスが限定的な場合は、第9条のEU域内代理人選任義務の適用可否をまず検討する必要がある。GDPR第27条2項は、処理が偶発的である場合等に代理人選任義務を免除する例外を定めているため、実際の利用者属性を確認し、該当する場合は第9条を「当社は現時点でEU域内代理人を選任していないが、GDPR第3条第2項の適用対象拡大が確認された場合は速やかに選任する」のように修正することが考えられる。

B. EU向けサービス提供者向け

EEA居住者を主要な顧客層とする場合は、第4条の適法根拠をサービス類型ごとに細分化し、たとえばマーケティング用クッキーの利用については同意(GDPR6条1項(a))を明記したうえで、同意の撤回手続を第8条に追加することが望ましい。また第7条の域外移転についても、SCCのどのモジュールを採用しているか(管理者間移転か管理者・処理者間移転か)を具体的に記載する修正が実務上求められる。

第3部: 書き方と法的ポイント解説

本書式は、日本企業がEEA内に所在するデータ主体の個人データを取得・利用する場面、たとえば越境ECサイトの運営、EU拠点の従業員データの本社での一元管理、EU顧客向けSaaSの提供などを想定した和文プライバシーポリシーである。もっぱら国内利用者のみを対象とし、EEA域外適用の可能性がないサービスについては、GDPR固有の条項(第4条・第7条・第9条)を含める必要性は乏しく、通常の個人情報保護法準拠のポリシーで足りる場合が多い。

根拠法令としては、個人情報保護法に加え、GDPR第6条(適法根拠)、GDPR第15条以下(データ主体の権利)、GDPR第27条(EU域内代理人)、GDPR第5章(第三国移転の規律)を中心に構成した。特にGDPR第3条第2項は、EEA域外に所在する事業者であっても、EEA内のデータ主体に対する商品・サービスの提供やその行動のモニタリングを行う場合に域外適用される旨を定めており、日本企業であっても適用対象となり得る点に留意が必要である。

実務でよくある失敗として、第一に、GDPRの適用可能性を検討せずに国内向けポリシーをそのまま英訳・和文流用してしまい、適法根拠や域内代理人の記載が欠落する例が挙げられる。第4条・第9条のように、適法根拠の類型と代理人選任の要否を明示的に検討する構成とすることで防止できる。第二に、データ主体の権利行使への対応期限や手続を定めずに「適切に対応します」とのみ記載し、GDPRが定める期間内の対応義務を看過する例がある。第8条のように、権利の種類を条文番号とともに列挙し、社内対応フローと連動させることが望ましい。第三に、第三国移転の手段(SCC締結の有無等)を曖昧にしたまま「適切な措置を講じます」とだけ記載する例があるが、第7条のように移転手段を具体的に特定する記載が求められる。GDPRの適用範囲や適法根拠の選択は事業の実態により異なるため、個別事案については専門家に確認のうえ最終化することが望ましい。

第4部: 使用前チェックリスト・確認事項

• [ ] 本サービスがEEA居住者を対象に含むか(GDPR第3条2項の域外適用要件)を確認したか
• [ ] 取得する個人データの項目を網羅的にリストアップしたか
• [ ] 利用目的ごとにGDPR第6条の適法根拠を特定したか
• [ ] マーケティング利用等、同意を根拠とする場合の撤回手続を定めたか
• [ ] データの保存期間の基準を明記したか
• [ ] EEA域外(日本)への移転手段(SCC、十分性認定等)を特定したか
• [ ] GDPR第27条に基づくEU域内代理人選任の要否を検討したか
• [ ] データ主体の権利(第15条以下)の行使窓口と対応期限を定めたか
• [ ] 監督機関への申立て権について記載したか
• [ ] 個人情報保護法上の公表事項(利用目的等)を併せて満たしているか確認したか