自社サイトのGDPR対応：完全チェックリスト

GDPRに対応していないサイトはどのようなリスクを負うか

対応していないサイトは、CNILから最大2,000万€または全世界売上高の4%に達する制裁を受けるリスクを負います。GDPRは2018年5月から、個人データを収集するあらゆる企業に適用されます。お問い合わせフォームを通じたメールアドレス1件の収集だけでも対象です。規模の大小は保護にはなりません。顧客、従業員、あるいは競合からの1件の申し立てだけで調査が始まります。制裁金の前に、CNILは公に是正勧告を行うことがあり、これは地域企業の評判に長く傷をつけます。重要な補足として、本記事は経営者向けの実務チェックリストであり、個別の状況に応じた法的助言に代わるものではありません。

GDPRチェックリストの8項目とは

対応済みのサイトは、8つの基本要素の上に成り立っています。法定表記、プライバシーポリシー、実質的な選択肢を提供するクッキーバナー、最小限かつHTTPSで保護されたフォーム、処理台帳、下請け業者との契約、保存期間の設定、そして開示請求や削除請求への対応手順です。下の表は、それぞれについて求められる具体的なアクションをまとめたものです。

法定表記とプライバシーポリシー、その違いとは

法定表記はサイトの発行者を特定するもので、プライバシーポリシーはデータをどう扱っているかを説明するものです。前者はあらゆる事業用サイトに義務づけられており、商号、住所、ホスティング事業者、連絡手段を記載します。後者は、処理ごとに目的、法的根拠、保存期間、訪問者の権利を詳しく説明します。他サイトからコピー&ペーストした文章は要注意です。自社が行っていない処理を説明していたり、実際に行っている処理が抜け落ちていたりします。簡潔に、分かりやすい言葉で書き、新しいツールを導入するたびにページを更新してください。

クッキーと同意：実務上どう対応すればよいか

ルールはシンプルです。アクセス解析や広告のクッキーは、訪問者が同意する前に一切設置してはいけません。同意は自由意思に基づき、十分な説明を受けた上でのものでなければなりません。「すべて拒否」ボタンは「すべて承諾」と同じくらい見やすく配置し、あらかじめチェックが入った項目はなく、いつでも常設リンクから設定を変更できるようにします。閲覧を続けることは同意にはなりません。動作に厳密に必要なクッキー（カート、セッション）のみが例外です。公式な推奨事項はCNILが公開しており、これこそが従うべき基準であり、CMSの初期設定ではありません。

中小・零細企業で最もよくある失敗とは

最も多い失敗は、拒否ボタンのないクッキーバナー、要求項目が多すぎるフォーム、削除請求への未対応です。次に多いのは、一部がまだHTTPに残っているサイト、名刺から集めたメールアドレスで運用される、同意のないニュースレター、汎用的なプライバシーポリシー、処理台帳の不在、そして際限なく保存され続ける見込み客データです。これらの修正はどれも高額ではなく、多くは数時間の作業で解決します。本当のリスクは、GDPRは大企業だけの話だと思い込み、何もしないことです。

開示請求や削除請求にはどう対応すればよいか

開示、訂正、削除のいずれの請求にも、1か月以内に対応する義務があります。実務としては、プライバシーポリシーに連絡先を明記し、請求者の本人確認を行い、データの写しを渡すか削除を確認します。各請求とその対応について、書面での記録を残してください。バックアップ、メール配信ツール、CRMなど、データの複製先も忘れずに確認しましょう。中小・零細企業であれば、1ページにまとめた手順で十分ですが、実際に運用されていることが条件です。

公開時点から対応済みのサイトを作るには

最も経済的な方法は、後から修正するのではなく、設計段階から対応を組み込むことです。Ready2GEOのウェブサイトは、標準で対応済みの状態で納品されます。HTTPS、実質的な選択肢を提供するクッキーバナー、法定表記、プライバシーポリシー、最小限のフォームが、仕様確定から5日で公開される490€のEssentielプランから含まれ、予約と決済まで含む990€のBusinessプランでは最大8ページまで対応します。月額29€からのホスティングには保守が含まれ、対応状況を長期的に維持できます。無料見積もり、24時間以内に返信します。そしてもう1つの法令対応も忘れないでください。デジタルアクセシビリティについては、ウェブアクセシビリティのガイドで詳しく解説しています。