GDPRは米国企業にも適用されるか:第3条の解説(2026年版)

GDPR(EU規則2016/679)は、第3条(2)項に基づき、EU域内の人々に商品またはサービスを提供する、あるいはEU域内におけるその行動を監視する米国企業に適用される。EU域内に事務所、従業員、拠点を有している必要はない。本稿では、米国企業が理解しておくべきすべての適用トリガー、義務、そして制裁金のリスクを解説する。

GDPRが求める内容の全体像(7つのデータ処理原則と6つの適法根拠を含む)については、姉妹解説記事であるGDPRとは何かを参照されたい。

EU域内に拠点のない米国企業にも、GDPRの域外適用は本当に及ぶのか

適用される。EU規則2016/679の第3条(2)項は、GDPRの適用範囲をEUの国境の外にまで拡張している。この規定は、EU域内に拠点を有しない管理者または処理者であっても、その個人データの処理が次のいずれかに関連する場合に適用される。(a)対価の有無を問わず、EU域内にいるデータ主体に対して商品またはサービスを提供すること。(b)EU域内で行われる限りにおいて、データ主体の行動を監視すること。

ここで鍵となるのは「EU域内に拠点を有しない」という文言である。第3条(2)項は、まさにEU域外の事業体を対象とするために書かれた規定である。オースティンのソフトウェア企業、シカゴのメディア出版社、フェニックスのEコマース小売業者は、いずれも、処理の時点で物理的にEU域内にいる人々に関する情報をどのように処理しているかによって、GDPRの適用範囲に含まれうる。これは米国企業がしばしば見落とす核心的な点である。GDPRの管轄権の根拠は、処理の時点におけるデータ主体の所在地に基づくものであり、企業やそのサーバーの所在地に基づくものではない。

第3条(2)項とは別に、GDPRの適用を受けるもう一つの経路が存在する。第3条(1)項は、EU域内に拠点を有する管理者および処理者を対象とする。これは、EU加盟国に支店、子会社、あるいは安定的な販売体制を有する米国企業にとって重要な意味を持つ。そのEU拠点が個人データの処理に関与している場合、実際のデータ処理が米国のサーバー上で行われていたとしても、そのEU拠点の活動という文脈における処理には第3条(1)項が適用される。ドイツに営業所を、フランスに販売子会社を、あるいはオランダにカスタマーサービスのチームを有する米国企業は、第3条(2)項の分析とは別に、そのEUでの事業活動について第3条(1)項の適用を受ける可能性が高い。

第3条(1)項の「拠点」の判断基準は、EU司法裁判所(CJEU)のGDPR以前の判例であるGoogle Spain v AEPD事件(事件番号C-131/12、2014年)に由来する。同判決は、米国の親会社のスペイン子会社がEU拠点に当たると判断し、親会社のデータ処理活動をEUデータ保護法の適用対象とした。同様の論理が、GDPR第3条(1)項のもとでも適用される。

第3条(2)項による二つの適用トリガー:ターゲティングとモニタリング

トリガー1:第3条(2)(a)項のターゲティング基準

最初のトリガーは、米国企業がEU域内にいるデータ主体に対して商品またはサービスを提供している場合に適用される。「提供」には、意図的なターゲティングの要素が必要である。GDPR前文23項は、この線引きを明確に示している。「管理者、処理者、または仲介者のウェブサイト、メールアドレス、その他の連絡先が単にEU域内でアクセス可能であるということ、あるいは管理者が拠点を置く第三国で一般的に使用されている言語を用いているということだけでは、そのような意図を確認するには不十分である。」

平易に言えば、英語はヨーロッパで広く話されているため、ウェブサイトが英語であるというだけで米国企業が自動的にEU居住者をターゲットにしているとはみなされない。EDPB(欧州データ保護会議)の「域外適用に関するガイドライン3/2018」(バージョン2.0、2019年11月12日採択)は、この境界線について詳しく説明している。EDPBは、まとめてまたは個別に考慮した場合にEUのデータ主体への商品・サービス提供の意図を示す、非網羅的な要素の一覧を示している。

前文23項およびEDPBガイドライン3/2018のもとでターゲティングを示す要素:

• 1つ以上のEU加盟国で一般的に使用されている言語または通貨を用い、かつその言語で商品・サービスを注文できること(たとえば、ドイツ語の商品ページでユーロ建ての決済ができるショッピングカートなど)。
• EUまたは特定の加盟国の顧客・ユーザーに直接言及していること。
• EU加盟国の住所への配送オプションを提供していること。
• EU加盟国の国別コードトップレベルドメイン(たとえば.de、.fr、.nlなど)を使用していること。
• EU加盟国に地域を限定した有料広告キャンペーンを実施していること。
• EU固有のVAT(付加価値税)情報を含めている、またはEU法域向けに税込み価格を表示していること。
• EUの言語またはタイムゾーンに対応したカスタマーサポートの窓口を提供していること。

これらの要素はいずれも意図を示す証拠であり、単独で自動的に決定的となるものはない。EDPBガイドラインは、複数の要素の組み合わせが分析上の重みを増すことを認めている。EUの住所への配送を行い、ユーロ建ての決済を受け付け、フランス語のGoogle広告を運用している米国企業は、ターゲティングを示す強い兆候を三つ積み重ねていることになる。

ターゲティングがほぼ確実に該当する具体例:

重要な区別は、意図と実行可能性の組み合わせである。ターゲティングの意図を伴わない単なるアクセス可能性は、第3条(2)(a)項の対象外である。EUのユーザーに対応するために構築された、意図的な働きかけやインフラは、その一線を越える。

トリガー2:第3条(2)(b)項のモニタリング基準

第二のトリガーは、行動のモニタリングである。GDPR前文24項は、これがEU居住者をオンライン上で追跡すること、とりわけ個人の嗜好、行動、態度を分析または予測するためのプロファイリング技術の利用を対象とすると説明している。モニタリングのトリガーは、見かけ以上に広範である。EUのユーザーを意図的にターゲットにすることは要件ではない。自社の技術インフラが、たまたまEU域内にいる人々から個人レベルのデータを収集し、そのデータを用いてその人々に関する意思決定を行っている場合、ターゲティングの分析とは独立して、モニタリングのトリガーが適用されうる。

EDPBガイドライン3/2018は、「モニタリング」には、個人の行動を時間の経過とともに追跡または継続的に把握する要素が必要であることを強調している。プロファイリングやその後の利用を伴わない、アクセスログにおけるIPアドレスの一回限りの収集は、モニタリングに該当する可能性は低い。クッキー、ピクセル、デバイスフィンガープリンティング、クロスサイトトラッキング技術による継続的な追跡は、通常これに該当する。

米国企業にとって一般的にモニタリング基準のトリガーとなる活動:

• EUのユーザーが訪問するウェブサイトに、第三者の広告用またはリターゲティング用ピクセル(Google広告のコンバージョンタグ、Meta Pixel、LinkedIn Insight Tagなど)を設置し、それらのピクセルがオーディエンスセグメントを構築するためにIPアドレスや閲覧行動を収集していること。
• EUからの訪問者について、個人レベルのIPアドレスやデバイス識別子を長期間にわたって取得・保持するよう設定された、ウェブ解析ツール(自社ホスト型の解析ツールを含む)を運用していること。
• EUのユーザーの閲覧履歴、購買パターン、メール開封データを組み合わせて行動プロファイルを構築し、その後のターゲティングやパーソナライズに用いる顧客データプラットフォーム(CDP)を利用していること。
• EUのユーザーの位置情報やアプリ内行動を長期間にわたって記録するモバイルアプリを運営していること。
• EU会員の購買履歴を追跡し、その履歴に基づいてターゲットを絞ったオファーを送るリワード・ロイヤルティプログラムを運用していること。
• EU域内の個人の連絡先データと第三者の行動データを組み合わせるCRMエンリッチメントツールを利用していること。

モニタリングのトリガーが適用されるために、米国企業が特定のユーザーがEU域内にいることを認識している必要はない。使用している技術がEU居住者から個人レベルのデータを収集し、そのデータがその人々に関する意思決定のために処理されている場合、このトリガーの要件は満たされる。EDPBは、「EU域内で行われる限りにおいて」データ主体の行動を追跡するという要件は、処理が行われる場所ではなく、追跡対象の行動が行われる場所に着目するものであると明確に述べている。

シナリオ別の適用判断表

第27条:EU代理人の選任義務

第3条(2)項によって米国企業がGDPRの適用範囲に含まれると、第27条(1)項は構造的な義務を課す。すなわち、その企業は、自社のデータ主体が所在するEU加盟国のいずれかに拠点を置く代理人を、書面により選任しなければならない。

EU代理人の役割は形式的なものではなく、実質的なものである。代理人は、データ主体と監督機関の双方にとって、その企業の現地窓口として機能する。EU居住者は、代理人を通じて直接、GDPR上の権利(開示、訂正、削除、データポータビリティ、異議申立て)を行使できる。EUのいずれのデータ保護当局(DPA)も、執行に関する連絡、行政命令、手続きを代理人宛てに送付することができる。第27条(4)項のもとでは、代理人の選任によって管理者または処理者がGDPR上の責任を免れることはない。代理人は、米国企業に代わるものではなく、それに加えて機能するものである。

代理人は、単なるEEA(欧州経済領域)ではなく、EU加盟国に(登録住所だけでなく実際の拠点として)設立されていなければならない。この区別は重要である。ノルウェー、アイスランド、リヒテンシュタインはEEA加盟国としてGDPRを採用しているが、EEAのみの拠点(たとえばノルウェーの代理人)は、EUの監督機関との関係では第27条の要件を厳密には満たさない。ただし、EDPBは実務上、EEA各国がGDPRを実施していることを踏まえ、EEA拠点の代理人も一般に容認されうると指摘している。米国企業は、自社の具体的な状況においてEEA加盟国が要件を満たすかどうかを、法律顧問に確認すべきである。

第27条代理人の氏名(または名称)と連絡先は、企業のプライバシー通知の中で開示しなければならない。データ主体は代理人に連絡できなければならない。この目的のために、主要なEU加盟国のすべてで商業的な代理人サービスが提供されており、その費用は通常、年間数百ユーロから数千ユーロ程度であり、この義務を怠った場合に科されうる制裁金のリスクをはるかに下回る。

第27条(2)項の限定的な例外

第3条(2)項の要件を満たす米国企業のすべてが代理人を選任しなければならないわけではない。第27条(2)(a)項は、次の条件を同時に満たす処理を適用除外としている。(a)臨時的であること(日常的または継続的でないこと)。(b)第9条(1)項に基づく特別カテゴリーのデータ(健康データ、生体データ、遺伝データ、人種的・民族的出自、宗教的・思想的信条、政治的見解、労働組合への加入、性的指向、または有罪判決)の大規模な処理を含まないこと。(c)処理の性質、状況、範囲、目的を考慮したうえで、自然人の権利および自由にリスクを生じさせるおそれが低いこと。また、公的機関は第27条(2)(b)項により適用除外となる。

この例外は、実務上は限定的なものである。広告用クッキーを備えたウェブサイト、マーケティング用のメールリスト、モバイルアプリ、行動解析を運用するほとんどの米国企業は、この例外に該当しない。それらの処理は継続的であり(臨時的ではなく)、個人レベルの継続的な追跡を伴うためである。EUの参加者を対象に一回限りの匿名調査を実施した米国の学術研究者は該当しうるが、継続的なEU顧客基盤を持つ米国のSaaS企業は該当しない。

必要とされる第27条代理人を選任しなかった場合、それは第一階層(第83条(4)項)の制裁金の対象となる違反であり、企業は最大1,000万ユーロまたは全世界年間売上高の2%のいずれか高い方の制裁金のリスクにさらされる。

GDPRと米国州法のプライバシー規制との関係

GDPRの適用を受ける米国企業の多くは、米国の州法によるプライバシー規制、とりわけカリフォルニア州消費者プライバシー法(CCPA、カリフォルニア州プライバシー権法(CPRA、2023年1月1日施行)により改正・強化)の適用も受ける。CCPA/CPRAの制度とGDPRは、概念的な共通性(いずれもプライバシー通知、データ主体の権利、データフローのガバナンスを要求する)を有しているが、いくつかの重要な点で異なっており、単一の統合プログラムではなく、それぞれ別個のコンプライアンス対応が必要となる。

適法根拠モデルとオプトアウトモデル。 GDPRは、処理を開始する前に、すべての処理活動について適法根拠を要求する(オプトインを原則とする)。CCPA/CPRAは異なるモデルを採用しており、処理は原則として許容されるが、消費者には自己の個人情報の販売・共有をオプトアウトする権利が認められる。GDPR第7条の同意の基準は、自由な意思に基づき、特定的で、十分な情報を与えられたうえでの、明確な同意の意思表示を要求する。CCPAでは、機微データについてはオプトインの同意が必要とされるが、一般的な「販売・共有」の仕組みは目立つ形でのオプトアウトを用いる。米国企業は、CCPAのオプトアウトの仕組みを提供するだけでは、GDPRの適法根拠の要件を満たすことはできない。

データ主体の権利の範囲。 両制度はいずれも、開示、削除、データポータビリティの権利を認めている。GDPRはさらに、第21条に基づく異議申立ての権利と第18条に基づく処理制限の権利を定めており、これらにはCCPA/CPRAに直接対応する規定がない。GDPRはまた、第22条に基づき、CCPAのプロファイリングに関するオプトアウトを超える、自動化された意思決定に関する権利も認めている。

機微データの定義。 CPRAは、一定の用途についてオプトインの同意を要求する「機微な個人情報(SPI)」という区分を新たに設けた。GDPR第9条の特別カテゴリーはこれと類似しているが、完全に一致するものではない。たとえば、CPRAは政府発行のID番号、正確な位置情報、労働組合への加入をSPIに含めるが、GDPRは人種的・民族的出自、宗教的信条、健康データを含める。企業は、自社が保有するデータの種類を、両方の定義に照らして別々に整理する必要がある。

適用の閾値。 CCPA/CPRAは、次の三つの基準のいずれかを満たす営利事業者に適用される。年間総収入が2,500万米ドルを超えること。年間10万人以上の消費者・世帯の個人情報を売買または共有していること。年間収入の50%以上を個人情報の販売・共有から得ていること。これに対しGDPRには収入や取扱件数の閾値は存在せず、第3条(2)項の基準を満たす企業であれば、規模を問わず適用対象となる(一部の条項では小規模な処理者に対して義務が軽減される場合がある)。

処理者とサービス提供者。 GDPR第28条は、管理者に代わってデータを処理する委託先を「処理者」と呼ぶ。CCPA/CPRAは「サービス提供者」という用語を用いる。いずれも、処理の範囲を定めた書面による契約を要求するが、契約に必要な条項は異なる。両方の要件を満たす統合的なデータ処理契約・サービス提供者契約を作成することは可能だが、慎重な起案が必要である。

実務上の含意。 EUのユーザーとカリフォルニア州の顧客・従業員の双方を有する中堅の米国企業は、GDPRとCCPA/CPRAを、データマッピングと委託先管理の基盤を共有しつつも、単一の取り組みとしてではなく、並行する二つのコンプライアンスプログラムとして扱うべきである。監査のステップ(データの棚卸し、委託先契約、プライバシー通知の更新、権利対応の手続き)は重なり合うが、実体的な法的基準は、適法根拠と同意の層において分岐する。

詳細な比較については、GDPRとCCPAの比較ガイドを参照されたい。

EU・米国間のデータ移転:DPFと2021年版SCC

米国企業がEUの事業体(顧客、パートナー、委託先)から個人データを受領する場合、別個の法的論点が生じる。GDPR第5章(第44条から第49条)は、EUから米国を含む第三国へ流れる個人データについて、適法な移転の仕組みを要求している。EU司法裁判所によるSchrems II判決(Data Protection Commissioner v. Facebook Ireland事件、事件番号C-311/18、2020年7月16日)は、それ以前のPrivacy Shieldの仕組みを無効とし、現行のDPFが採択されるまでの間、空白期間が生じることとなった。

現在、主に二つの手段が利用可能である。

EU・米国データプライバシーフレームワーク(DPF)

欧州委員会は2023年7月10日、GDPR第45条(3)項に基づき、EU・米国データプライバシーフレームワークについての十分性認定を、欧州委員会実施決定(EU)2023/1795として採択した。この十分性認定は、米国がDPF認証を受けた米国組織に移転される個人データについて十分な水準の保護を確保していると結論付けるものである。これにより、EUの企業や個人は、その個別の移転について別途の移転契約を締結したり、移転影響評価(TIA)を実施したりすることなく、認証を受けた米国企業に個人データを移転できる。

DPFは米国商務省が運営している。米国企業は毎年、商務省に対して自己認証を行い、通知、選択、二次移転に関する説明責任、セキュリティ、データの完全性と目的の制限、アクセス、そして救済・執行・責任という7つのDPF原則の遵守を約束する。この認証は公開されており、商務省はdataprivacyframework.govにおいて検索可能な認証組織の一覧を維持しており、EUの企業は米国パートナーの認証状況をそこで確認できる。

DPF認証の対象資格は、連邦取引委員会(FTC)または米国運輸省の管轄下にある米国組織に限られる。これは米国の民間企業の大半をカバーする。しかし、GLBA(グラム・リーチ・ブライリー法)のみによって規制される金融機関、FCC(連邦通信委員会)の管轄下にある電気通信事業者、および一部の非営利組織は対象とならない場合がある。自社の資格の有無に確信が持てない企業は、DPFを移転の仕組みとして採用する前に、商務省または法律顧問に確認すべきである。

DPFの十分性認定のもとでは、データがDPF認証済みの米国企業に移転されるEU域内の個人には、四段階の救済手段が用意されている。(1)認証組織への直接の苦情申立て(組織は45日以内に対応しなければならない)。(2)DPFが承認する独立紛争解決機関を通じた解決。(3)未解決の残余請求についてのDPFパネルによる拘束力のある仲裁。(4)移転されたデータへの米国政府によるアクセスに関する苦情については、プライバシー・市民的自由監督委員会(PCLOB)への申立て。この最後の仕組みは、CJEUがPrivacy Shieldを無効とする根拠となった国家安全保障上の懸念に対応するために、特別に設けられたものである。

DPFの長期的な安定性については、法的な検証が続いている。フランスのデータ保護当局(CNIL)などは、EUと米国の監視法制の間には構造的な違いが依然として残っていると指摘しており、将来的にCJEUで異議が申し立てられる可能性もある。十分性認定は、欧州委員会による定期的な見直しの対象となる。単一の十分性認定という政治的な持続性への依存度が低い移転の仕組みを望む米国企業は、念のための対策として、2021年版SCCも併せて締結すべきである。

DPFの訴訟リスクとPCLOBの仕組みについての詳細は、GDPR国際データ移転ガイドを参照されたい。

2021年版標準契約条項(SCC)

DPF認証を受けていない、または契約による移転の仕組みを選好する米国企業は、2021年6月4日の欧州委員会実施決定(EU)2021/914により定められた2021年版標準契約条項を用いる。2021年版SCCは、GDPR以前の2001年および2010年のSCC決定に代わるものであり、これらの旧条項は新規の移転にはもはや使用できない。

2021年版SCCは、異なる移転関係に対応する四つのモジュール構造を採用している。

• モジュール1(管理者から管理者へ): 米国企業がEUの管理者からEUの個人データを受領し、自社の目的のために処理する場合。例:EUのブランドから顧客セグメンテーションデータを受領し、独自に分析する米国のデータ解析企業。
• モジュール2(管理者から処理者へ): 米国企業が、もっぱらEUの管理者に代わってEUの個人データを処理する場合。例:EU企業のために処理者として機能する米国のクラウドホスティング事業者、メール配信プラットフォーム、マーケティングオートメーションツール。
• モジュール3(処理者から再委託先へ): 米国企業が、EUの処理者から委託を受けた再委託先として機能する場合。例:EUのクラウド事業者が利用する米国のデータセンター。
• モジュール4(処理者から管理者へ): 米国企業が処理者として、EUの管理者にデータを送り返す場合。これは最も稀なシナリオである。

モジュールの選択を誤ること自体が、コンプライアンス上の不備となる。EUの取引先からEUのデータを受領する米国企業は、SCCを締結する前に、その処理活動について自社が管理者として行動しているのか、処理者として行動しているのかを正しく判断しなければならない。

2021年版SCCはまた、当事者に対し、移転影響評価(TIA)の実施を求めている。この評価では、米国のデータ輸入者が、米国の法律(FISA(外国諜報監視法)第702条や大統領令12333号などの国家安全保障当局の権限を含む)がSCC上の義務と抵触しないかどうかを評価する。輸入者は、SCCを遵守できない場合はEUの輸出者に通知しなければならず、米国法が保護の隙間を生じさせる場合には補完的措置(暗号化、仮名化、契約上のアクセス制限)に合意しなければならない。データ主体はSCCの第三受益者であり、いずれの当事者に対しても条項を執行することができる。

多国籍グループのための拘束的企業準則(BCR)

第三の移転の仕組みである拘束的企業準則(BCR)は、グループ内で国境を越えてデータを移転する多国籍企業グループが利用できる。BCRは主導的なDPAの承認を必要とし、取得までに数か月を要する。実務上、これはグループ内で継続的かつ大規模な国境を越えた移転を行う大規模多国籍企業にのみ現実的な選択肢である。ほとんどの米国企業にとっては、DPFの自己認証または2021年版SCCが実務上の選択肢となる。

米国企業に対するGDPR執行の実例

GDPR第83条に基づく制裁金は、EU域外の企業に対しても、EU域内に拠点を置く事業体と同じ条件で適用される。いくつかの画期的な執行事例は、米国に本社を置く、または米国発祥の企業を直接の対象としてきた。

Meta Platforms(アイルランドDPC、2023年5月): アイルランドのデータ保護コミッション(DPC)は、Meta Platforms Irelandに対し、SCCのもとでEUユーザーのデータをMetaの米国サーバーに移転した際、Schrems II判決で指摘された米国監視法制の隙間に対処するための十分な補完的措置を講じていなかったとして、12億ユーロの制裁金を科した。これは2026年半ば時点で記録に残る単一のGDPR制裁金として最大のものであり、EU拠点(アイルランド子会社を通じて第3条(1)項が適用された)を有する米国発祥の企業が対象となった事例である。DPCはまた、MetaにEU・米国間のデータ移転の停止を命じた。

WhatsApp Ireland(アイルランドDPC、2021年9月): DPCは、WhatsAppに対し、透明性に関する違反、具体的にはEUユーザーに対して自己のデータがWhatsAppと他のMeta系企業の間でどのように共有されているかについて十分に明確な情報を提供していなかったとして、2億2,500万ユーロの制裁金を科した。この事件は、Metaの主導的管理者としてのEU拠点を通じた、ワンストップショップの仕組みのもとで処理された。

Amazon Europe(ルクセンブルクCNPD、2021年7月): ルクセンブルクの国家データ保護委員会(CNPD)は、Amazonに対し、有効な適法根拠なくEUユーザーの行動ターゲティング広告データを処理した、具体的にはユーザーの閲覧履歴・購買履歴に基づいて構築された広告ターゲティングを理由に、7億4,600万ユーロの制裁金を科した。AmazonはEUの事業体を通じて事業を行う米国企業であり、AmazonのEU本部がルクセンブルクにあることから、CNPDが主導的当局として対応した。

Google LLC(フランスCNIL、2022年1月): CNILは、Google LLC(米国の親会社)に対し、有効な同意なくユーザーの端末に広告用クッキーを設置し、かつクッキーの拒否手続きを受諾手続きよりも困難にしたことを理由に、1億5,000万ユーロの制裁金を科した。この制裁金は、EU子会社だけでなく、米国の親会社そのものを対象としたものである。

Google Ireland(アイルランドDPC、複数件): DPCは、Google Irelandに対し、解析データの保持やターゲティング広告の慣行に関する複数の調査を行ってきた。

これらの執行事例は、米国企業が理解しておくべきいくつかの点を示している。第一に、制裁金は米国の親会社を含む企業全体に対して算定される。第二に、EU域外の事業体に対する執行の仕組みには、EU代理人を通じた執行のほか、EUの事業体に対して法令を遵守しない米国のパートナーへの移転を停止するよう命じることによる、商業上の圧力の行使が含まれる。第三に、ワンストップショップの仕組みのもとでは、米国企業がどこにEU拠点を置くかによって、どのDPAが国境を越えた調査を主導するかが決まり、アイルランドDPCとルクセンブルクCNPDは、大手テクノロジー企業にとって特に活発な主導的当局となっている。

米国企業のための完全なGDPRコンプライアンスチェックリスト

GDPRが適用されると判断することは、出発点であって、ゴールではない。第3条(2)項の適用範囲に含まれる米国企業は、GDPR上の管理者としての義務のすべてを満たさなければならない。

ステップ1:第27条のEU代理人を選任する。 書面による選任、EU加盟国における拠点、プライバシー通知における氏名(名称)の開示。例外:第27条(2)項の限定的な適用除外が真に該当する場合に限る。

ステップ2:データマッピングを実施する。 処理するEU個人データのすべてのカテゴリー、各処理活動の目的、依拠する適法根拠、保有期間、そして第三者の処理者・受領者を特定する。これが第30条の処理記録の基礎となる。

ステップ3:すべての処理活動について適法根拠を確立する。 第6条(1)項のもとでは、各処理活動は、同意、契約、法的義務、生命に関する利益、公共の任務、正当な利益(比較衡量テストを要する)という六つの適法根拠のいずれかに基づかなければならない。マーケティング活動には通常、同意が必要である。契約の履行という根拠は、データ主体との契約を履行するために処理が必要な場合に適用される。正当な利益には、その利益が正当であること、処理がそのために必要であること、データ主体の利益・権利がそれを上回らないことという、文書化された三段階のテストが必要である。

ステップ4:プライバシー通知を更新する。 第13条・第14条の情報通知は、管理者(および該当する場合はEU代理人)の氏名(名称)と連絡先、各処理活動の目的と適法根拠、第三国への移転の有無とその際に用いる仕組み、保有期間、そしてデータ主体の権利(開示、訂正、削除、処理制限、データポータビリティ、異議申立て、監督機関への苦情申立ての権利)を開示しなければならない。

ステップ5:データ主体の権利(DSR)対応の手続きを構築する。 GDPRは、EU居住者に対し、自己のデータへの開示請求権(第15条)、訂正権(第16条)、削除権(第17条)、処理制限権(第18条)、データポータビリティの権利(第20条)、異議申立て権(第21条)を認めている。請求には、原則として暦月で1か月以内に対応しなければならず、複雑な請求については2か月の延長が可能である。年に1回目の請求については、費用を請求することはできない。

ステップ6:クッキーと同意の監査を実施する。 米国企業のウェブサイトの多くは、有効なGDPR上の同意(自由な意思に基づき、特定的で、十分な情報を与えられ、明確であり、撤回が同意と同じくらい容易であること)を必要とする広告用・解析用のクッキーを、稼働前に導入している。EDPBおよび複数のDPAは、あらかじめチェックが入ったボックス、包括的な同意、そして(サイトへのアクセスに同意を条件とする)「同意の壁」は、GDPR上の同意の要件を満たさないことを確認している。規則に適合した同意管理の手法には、細分化されたオプトインを備えた階層的な通知と、いつでも同意を撤回できる仕組みが必要である。

ステップ7:第28条の処理者契約を締結する。 自社に代わってEUの個人データを処理する委託先または再委託先(クラウドストレージ、メール配信、CRM、解析ツール、サポートツールなど)にはいずれも、処理の範囲、指示内容、セキュリティ上の義務、再委託先に関する規定、監査権、契約終了時のデータ返却・削除義務を定めた、第28条(3)項に基づく書面によるデータ処理契約が必要である。

ステップ8:データ移転の仕組みを選択する。 自社がEUの事業体または個人からEUの個人データを受領する場合、自社がDPF認証を受けているか、あるいは各移転関係について2021年版SCCが締結されているかを確認する。

ステップ9:侵害通知の手続きを確立する。 第33条は、個人データの侵害が自然人にリスクを生じさせるおそれが低い場合を除き、その事実を認識してから72時間以内に、管轄の監督機関に通知することを要求している。72時間のカウントは、フォレンジック調査が完了した時点ではなく、企業内のチームが侵害を認識した時点から開始する。72時間以内に予備的な通知を提出し、詳細情報を追って提供することも可能である。

ステップ10:データ保護責任者(DPO)の要否を評価する。 GDPR第37条は、公的機関、中核的な活動が大規模かつ定期的・組織的な個人のモニタリングを必要とする企業、そして中核的な活動が特別カテゴリーのデータ(健康、生体情報、遺伝情報、犯罪関連)の大規模な処理を伴う企業に対し、DPOの選任を要求している。標準的なSaaS、Eコマース、専門サービスを提供するほとんどの米国企業は、DPOの基準に該当しないが、大規模な広告技術、ヘルステック、人事解析プラットフォームを運営する企業は、慎重に評価すべきである。

ステップ11:必要な場合はデータ保護影響評価(DPIA)を実施する。 第35条は、大規模なプロファイリング、公衆がアクセス可能な場所の組織的なモニタリング、特別カテゴリーのデータの大規模な処理など、自然人に高いリスクを生じさせるおそれのある処理を開始する前に、DPIAを実施することを要求している。

ステップ12:第30条の処理活動の記録を維持する。 管理者は、すべての処理活動について書面による記録を維持し、監督機関の求めに応じて提供できるようにしなければならない。従業員250人未満の企業に対する第30条(5)項の適用除外は限定的であり、処理が継続的である場合、データ主体にリスクを生じさせる場合、または特別カテゴリーのデータを伴う場合には適用されない。

免責事項: 本稿は、GDPRの域外適用と米国拠点企業への適用に関する一般的な法律情報を提供するものである。これは法的助言ではなく、弁護士・依頼者関係を生じさせるものでもない。GDPR上のコンプライアンス判断は個別の事実に依存するものであり、貴組織が個人データをどのように処理しているかによって異なる。個別の状況に応じた助言については、貴組織の法域で資格を有する弁護士またはデータ保護の専門家に相談されたい。本稿の情報は2026年6月時点で確認済みである。