direct-collection-notice

直接収集時に提供する情報

概要

GDPR 第 13 条では、個人データがデータ主体から直接収集される際に、管理者が特定の情報をデータ主体に提供することを義務付けています。この情報は収集時点で提供しなければならず、収集後の提供では認められません。このスキルでは、必須項目の完全なチェックリスト、階層化した通知の設計に関するガイダンス、および一般的な収集シナリオ向けのテンプレートを提供します。

法的根拠

GDPR 第 13 条 — データ主体から個人データを収集する場合に提供すべき情報

第 13 条第 1 項 — 第 1 層（収集時に必須）

データ主体に関する個人データをデータ主体から収集する場合、管理者は、個人データを取得する時点で、データ主体に以下のすべての情報を提供しなければなりません。

項目	条文	説明
管理者の身元	第 13 条第 1 項 a 号	管理者および該当する場合は管理者の代理人の身元と連絡先
DPO の連絡先	第 13 条第 1 項 b 号	該当する場合、データ保護責任者の連絡先
目的および法的根拠	第 13 条第 1 項 c 号	処理の目的と第 6 条に基づく法的根拠
正当な利益	第 13 条第 1 項 d 号	処理が第 6 条第 1 項 f 号に基づく場合、管理者または第三者が追求する正当な利益
受領者	第 13 条第 1 項 e 号	個人データの受領者または受領者のカテゴリー（該当する場合）
国際移転	第 13 条第 1 項 f 号	該当する場合、管理者が第三国または国際機関にデータを移転する予定であること、十分性認定の有無、または適切な保護措置への言及、およびその写しを入手する方法、または保護措置が利用可能となっている場所

第 13 条第 2 項 — 第 2 層（公正な処理に必要）

第 1 項に記載された情報に加え、管理者は、公正かつ透明性のある処理を確保するために必要な以下の追加情報を、個人データを取得する時点でデータ主体に提供しなければなりません。

項目	条文	説明
保存期間	第 13 条第 2 項 a 号	個人データを保存する期間、またはそれが不可能な場合は、その期間を決定するために用いる基準
データ主体の権利	第 13 条第 2 項 b 号	アクセス、訂正、消去、処理の制限、異議申し立て、およびデータポータビリティを請求する権利の有無
同意を撤回する権利	第 13 条第 2 項 c 号	処理が第 6 条第 1 項 a 号または第 9 条第 2 項 a 号に基づく場合、同意の撤回前に同意に基づいて行われた処理の適法性に影響を及ぼすことなく、いつでも同意を撤回する権利
苦情を申し立てる権利	第 13 条第 2 項 d 号	監督機関に苦情を申し立てる権利
法令上または契約上の要件	第 13 条第 2 項 e 号	個人データの提供が法令上もしくは契約上の要件であるか、または契約を締結するために必要な要件であるか、データ主体にデータの提供義務があるか、および提供しない場合に起こりうる結果
自動化された意思決定	第 13 条第 2 項 f 号	プロファイリングを含む自動化された意思決定の有無、そのロジック、重要性、および想定される結果に関する有意義な情報
さらなる処理	第 13 条第 2 項 g 号	管理者が当初とは別の目的でさらに処理する予定である場合、その別の目的および第 13 条第 2 項に基づく関連する追加情報

提供時期（第 13 条第 1 項第 1 文）

第 13 条に基づくすべての情報は、個人データを取得する時点で提供しなければなりません。つまり、収集前または収集の瞬間に提供する必要があり、収集後の提供では認められません。

免除（第 13 条第 4 項）

データ主体がすでに情報を有している場合、その範囲において第 13 条第 1 項から第 3 項は適用されません。

直接収集における階層化通知の設計

原則

EDPBの透明性に関するガイドライン（WP260 rev.01）では、情報の完全性と使いやすさのバランスを取るため、データを直接収集する際に段階的なアプローチを採用することが推奨されています。

レイヤー1：ジャストインタイム通知

データ収集の時点（例：フォーム上、送信ボタンの上、アプリ画面内）に直接表示します。

最低限必要な要素：

1. 管理者の身元（名称）
2. データを収集する具体的な目的それぞれ
3. 予期しない、または異議が生じる可能性のある処理
4. プライバシー通知全文（レイヤー2）へのリンク

形式に関するガイダンス：

• 150語以内
• データ収集画面でスクロールせずに表示されること
• 主要な情報を見るためにクリック操作を求めないこと
• 適切な場合はアイコンを使用すること（第12条第7項に基づく）

レイヤー2：プライバシー通知全文

レイヤー1からリンクし、第13条第1項(a)～(f)および第13条第2項(a)～(g)のすべての項目を含めます。

レイヤー3：詳細な補足情報

要望に応じて、または関連するリンクから確認できるようにします。

• 正当な利益に関する評価の全文
• 国際移転の仕組みに関する文書一式
• 自動意思決定のロジックに関する詳細な説明

収集シナリオのテンプレート

シナリオ1：オンライン登録フォーム

収集時点： アカウント登録ページ 収集するデータ： 氏名、メールアドレス、パスワード、会社名、役職 目的： アカウントの作成とサービスの提供

ジャストインタイム通知の文面：

Meridian Analytics Ltdは、ご提供いただいた情報をアカウントの作成と管理、および分析サービスの提供に使用します。また、サービスに関する連絡をお送りするために、メールアドレスを使用する場合があります。データの使用方法、共有先、およびお客様の権利については、プライバシー通知全文をご確認ください。

シナリオ2：ニュースレターの登録

収集時点： ニュースレター購読フォーム 収集するデータ： メールアドレス、氏名（任意） 目的： マーケティング関連の連絡

ジャストインタイム通知の文面：

登録すると、Meridian Analytics Ltdから製品やサービスに関するマーケティングメールを受け取ることに同意したものとみなされます。メール内のリンクをクリックすれば、いつでも配信を停止できます。マーケティング目的でメールアドレスを第三者と共有することはありません。プライバシー通知全文をご確認ください。

シナリオ3：お問い合わせフォーム／サポート依頼

収集時点： お問い合わせ／サポートフォーム 収集するデータ： 氏名、メールアドレス、会社名、メッセージの内容 目的： お問い合わせへの対応

ジャストインタイム通知の文面：

Meridian Analytics Ltdは、ご提供いただいた詳細情報をお問い合わせへの回答に使用します。サービス品質を維持するため、メッセージを3年間保存します。プライバシー通知全文をご確認ください。

シナリオ4：イベント登録

収集時点： イベント／ウェビナーの登録フォーム 収集するデータ： 氏名、メールアドレス、会社名、食事に関する要望（対面開催の場合） 目的： イベントの運営と事後連絡

ジャストインタイム通知の文面：

Meridian Analytics Ltdは、イベント登録の管理とイベントに関する連絡の送付に、お客様の詳細情報を使用します。食事に関する要望をご提供いただいた場合、この情報はお客様の明示的な同意に基づいて処理され、今回のイベントのケータリング事業者とのみ共有されます。プライバシー通知全文をご確認ください。

コンプライアンスチェックリスト

新たなデータ収集ポイントごとに、以下を確認してください。

• Art. 13(1)(a)：管理者の名称と連絡先が表示されている
• Art. 13(1)(b)：DPO の連絡先にアクセスできる（直接、または完全な通知へのリンク経由）
• Art. 13(1)(c)：各目的と法的根拠が記載されている
• Art. 13(1)(d)：正当な利益が明記されている（Art. 6(1)(f) に依拠する場合）
• Art. 13(1)(e)：受領者が特定されている（直接、または完全な通知へのリンク経由）
• Art. 13(1)(f)：国際移転に関する情報が提供されている（該当する場合）
• Art. 13(2)(a)：保存期間またはその基準が記載されている
• Art. 13(2)(b)：データ主体の権利とその行使方法が記載されている
• Art. 13(2)(c)：同意を撤回する権利が記載されている（同意に基づく場合）
• Art. 13(2)(d)：ICO に苦情を申し立てる権利が記載されている
• Art. 13(2)(e)：情報提供が義務付けられているかどうか、および提供しない場合の影響が記載されている
• Art. 13(2)(f)：自動化された意思決定に関する開示がある（該当する場合）
• 情報は収集時または収集前に提供されている
• 階層化されたアプローチ：適時の通知と完全な通知へのリンクを用意している
• 言葉遣いが明確で平易であり、対象者に適している
• 追加のクリックやスクロールをしなくても通知が見える