BiginでGDPRに準拠しよう

お知らせ：当社は、お客様により充実したサポート情報を迅速に提供するため、本ページのコンテンツは機械翻訳を用いて日本語に翻訳しています。正確かつ最新のサポート情報をご覧いただくには、本内容の英語版を参照してください。

GDPRとは？

一般データ保護規則は、EU市民の個人情報を収集・取扱う際の新しいルールを定めています。

この法律は誰に適用されますか？

EU内に設立されており、個人データ（例：顧客）を処理する企業。
EU外に設立されているが、EU域内にいる個人のデータを処理する企業。

シンプルに言えば、組織がEUに拠点を置く場合や、EU居住者のデータを処理する場合はGDPRの対象となります。

会社の規模ではなく、活動内容によって適用が決まります。

データ収集者（Data Collector） - 個人データの処理目的や手段を決定します。

データ処理者（Data Processor） - コントローラーの指示に基づき個人データを処理します。

データ件名（Data 件名） - 個人情報を収集される本人がデータ件名です。

Biginのデータ処理者としての役割

Biginはデータ処理者としてGDPRに準拠しており、個人データの安全を確保するためのツールを完備しています。

データコレクション

GDPRでは、個人情報を収集する際に目的を明示し、同意を得ることが求められます。

データ処理の法的根拠

GDPRは、個人データを処理するための6つの法的根拠を定めています。

同意 - データ件名から個人データ処理の同意を得た場合。同意は、データ件名が自らオプトインや同意を行う明確な操作が必要です。
例：マーケティング目的やニュースレター配信のために個人情報を収集・処理する場合。
契約 - 個人との間で、要望に応じた物品やサービスの提供に関する契約がある場合。その契約を履行するためにデータを処理します。
例：契約期間中に顧客から追加情報をメールで求められた際、組織がその要望に対応するために個人データを処理する場合。
法的義務 - 法律遵守のためにデータを処理する必要がある場合。
例：従業員の給与詳細が行政機関に必要とされた場合や、調査のために個人データの処理が求められる場合。
重要な利益 - 誰かの生命を守る、または緊急時にデータ処理が必要な場合。
例：緊急事態や火災時に、安全確保のため個人の詳細情報を収集する場合。
公益の利益 - 公的機関や政治団体などが、公益のために業務を遂行する上でデータ処理が必要な場合。
例：税務署として、科学研究や調査、公共衛生の研究のためにデータを処理する場合。
正当な利益 - 組織が正当かつ合理的な理由でデータを処理し、その目的がデータ件名の権利を侵害しない場合。
例：顧客が請求書の支払いをしていないため、支払い回収を目的に顧客データを処理する場合。また、組織が従業員の給与計算など管理目的で個人データを処理する場合。

データ元

データ件名の情報はさまざまな方法でBiginに取り込むことができます。また、手動で入力することも可能です。データ元は、情報がどのようにBiginに登録されたかを記録します。

データが処理される前に、該当する個人から同意を取得する必要があります。データコントローラーは、同意取得の理由を明確に示さなければなりません。

Biginでは、データ件名から同意を取得する方法が2つあります。

同意書 - Biginで利用可能な同意書は、コミュニケーションに関する各種設定やデータ主体からの同意取得など、さまざまな項目をカスタマイズできます。このフォームへのリンクはメールテンプレート内で利用でき、送信先から同意を取得する際にも活用できます。
個別メールの送信者としてデータを指定したり、リストにあるデータへ一括メールを送信したりすることが可能です。
手動で更新する - 通話中や対面で同意を取得した場合、データのプライバシーセクションで手動更新が可能です。

データ件名の権利

アクセス権: 件名が管理者に対して、自身のデータが処理されているかどうかの確認および、個人情報へのアクセスを申請する権利です。
訂正権: 件名が自身の個人データの正確性を確保し、必要に応じて更新させる権利です。
消去権（忘れられる権利）: 件名が管理者に対して、不当な遅延なく個人データの消去を求める権利です。
異議申立ておよび処理制限権: 件名が自身のデータ処理に異議を唱えたり、処理を制限するよう求める権利です。
データポータビリティ権: 件名が自身の情報を構造化され機械判読可能な形式で取得したり、可能な場合は他の組織へデータを移動させる権利です。
通知を受ける権利: 件名が自身の個人データがどのように、またなぜ処理されているかについて通知を受ける権利です。また、データが第三者と共有されている場合、その事実についても知る権利があります。これはデータ処理の正当な法的根拠を明確にすることで対応できます。なお、同意が必要な場合は適切な取得が求められます。
侵害時の通知を受ける権利: データ侵害が発生した場合、最初に把握してから72時間以内にデータ主体へ通知する必要があります。