gdpr-compliance

マーケティングにおける GDPR コンプライアンス

同意、データ処理、プライバシーの権利に関する GDPR の要件をマーケティング活動が確実に遵守できるようにします。

このスキルを使う場面

• 同意取得フローの設計
• プライバシー通知の作成
• マーケティングデータの取り扱いの監査
• データ主体からの請求への対応
• 適法性の根拠の文書化

方法論の基盤

GDPR 第 6 条、第 7 条、第 12～23 条およびEDPB ガイドラインに基づき、以下を扱います。

• 適法性の根拠の決定
• 同意要件
• 透明性に関する義務
• データ主体の権利
• 文書化要件

Claude が行うことと、あなたが決めること

Claude が行うこと	あなたが決めること
GDPR の要件を説明する	ビジネスリスクの許容度
要件に準拠した文言を作成する	実装の優先順位
不備を特定する	法的解釈
文書を作成する	DPO への相談の要否
管理策を提案する	リソースの配分

手順

Step 1: 適法性の根拠の評価

6 つの適法性の根拠（第 6 条）：

根拠	マーケティングでの用途	必要な文書
同意	メールマーケティング、Cookie、トラッキング	同意記録
契約	顧客との連絡	契約条件
正当な利益	ソフトオプトイン、B2B マーケティング	LIA 文書
法的義務	規制関連の連絡	法的根拠の参照
重大な利益	該当することはまれ	-
公共の利益に基づく任務	該当することはまれ	-

マーケティング活動の対応付け：

活動	一般的な根拠	要件
メールニュースレター	同意	ダブルオプトイン、簡単な配信停止
既存顧客へのアップセル	正当な利益	LIA、オプトアウトが可能
未接点の B2B 顧客へのアプローチ	正当な利益	LIA、明確な身元表示
ウェブサイトの Cookie	同意	バナー、詳細な選択肢
リターゲティング広告	同意	Cookie の同意
リードマグネット	同意	明確な目的、個別の同意

Step 2: 同意要件

有効な同意の基準（第 7 条）：

要件	意味	例
自由に与えられている	同意を一括させず、拒否による不利益がない	利用規約とは別にする
特定されている	明確な目的を示す	「[X] に関するマーケティングメール」
十分な情報に基づいている	誰が、何を、なぜ行うかを説明する	プライバシー通知へのリンク
曖昧でない	明確な肯定的行動がある	未選択のチェックボックス
撤回できる	簡単に撤回できる	ワンクリックで配信停止

同意記録の要件：

Record for each consent:
- Who consented (identifier)
- When (timestamp)
- What they consented to (purpose)
- How (mechanism)
- What they were told (notice version)

Step 3: プライバシー通知の要件

必須項目（第 13～14 条）：

項目	直接取得データ	第三者から取得したデータ
管理者の身元	必須	必須
DPO の連絡先	該当する場合	該当する場合
目的	必須	必須
適法性の根拠	必須	必須
受領者	必須	必須
移転	該当する場合	該当する場合
保持期間	必須	必須
権利	必須	必須
撤回	同意に基づく場合	同意に基づく場合
苦情を申し立てる権利	必須	必須
情報源	該当なし	必須

Step 4: データ主体の権利

権利の枠組み：

権利	期限	マーケティングへの影響
アクセス権（第 15 条）	1 か月	すべてのマーケティングデータを提供する
訂正権（第 16 条）	1 か月	設定を更新する
消去権（第 17 条）	1 か月	リストから削除する
処理の制限を求める権利（第 18 条）	1 か月	処理を一時停止する
データポータビリティ権（第 20 条）	1 か月	機械可読な形式でエクスポートする
異議を申し立てる権利（第 21 条）	マーケティングの場合は即時	ダイレクトマーケティングを停止する

Step 5: 文書化と記録

必要な文書：

1. 処理活動の記録（ROPA）
2. 正当な利益の評価
3. 同意記録と取得の仕組み
4. プライバシー通知（バージョン管理されたもの）
5. データ主体からの請求の記録
6. 侵害通知の手順

例

例 1：マーケティングメールの同意フロー

入力：

Design a GDPR-compliant consent flow for:
- SaaS product newsletter
- Product updates
- Promotional offers
- Third-party partner offers

出力：

## GDPR-Compliant Email Consent Flow

### Consent Collection UI

---

**Signup Form Fields:**

メールアドレス：[________________]

[ ] 業界の最新情報を含む月刊ニュースレターの受信に同意します [ ] 製品の更新情報や新機能のお知らせの受信に同意します [ ] プロモーション特典や割引の受信に同意します [ ] 信頼できるパートナーからの関連オファーの受信に同意します

[登録]

登録することで、[プライバシー通知]を読んだことを確認したものとします。 配信停止リンクから、または当社に連絡することで、いつでも同意を撤回できます。

**Design Requirements:**
- All checkboxes unchecked by default
- No "select all" option
- Each purpose separate
- Privacy notice linked, not buried
- No dark patterns

---

### Consent Record Structure

```json
{
  "email": "[email protected]",
  "consents": [
    {
      "purpose": "newsletter",
      "granted": true,
      "timestamp": "2026-01-31T10:30:00Z",
      "source": "signup_form_v3",
      "notice_version": "privacy_v2.1"
    },
    {
      "purpose": "product_updates",
      "granted": true,
      "timestamp": "2026-01-31T10:30:00Z",
      "source": "signup_form_v3",
      "notice_version": "privacy_v2.1"
    },
    {
      "purpose": "promotional",
      "granted": false,
      "timestamp": null,
      "source": null,
      "notice_version": null
    },
    {
      "purpose": "third_party",
      "granted": false,
      "timestamp": null,
      "source": null,
      "notice_version": null
    }
  ],
  "ip_address": "192.168.1.1",
  "user_agent": "Mozilla/5.0..."
}

---

メールのフッター（必須）

---
You're receiving this because you subscribed to our [newsletter/updates].

Manage preferences: [link]
Unsubscribe from this list: [link]
Unsubscribe from all: [link]

[Company Name]
[Address]
[Contact Email]

---

設定センター

配信登録	状態	内容
月刊ニュースレター	[ON/OFF]	業界の最新情報とヒント
製品の更新情報	[ON/OFF]	新機能と改善
プロモーション特典	[ON/OFF]	割引や特別オファー
パートナーからのオファー	[ON/OFF]	関連する第三者からのオファー

[設定を更新] [すべての配信を停止]

---

コンプライアンスチェックリスト

• すべての同意項目が個別になっている（チェックボックスを分ける）
• チェックボックスはデフォルトで未選択
• 各目的が明確に説明されている
• プライバシー通知にアクセスできる
• 同意撤回の方法が明確
• 同意記録が保存されている
• ダブルオプトインが実施されている
• すべてのメールに配信停止方法がある
• 設定センターを利用できる

### Example 2: Legitimate Interest Assessment

**Input:**

既存顧客に関連製品についてメールを送りたいと考えています。 同意を得る必要がありますか。それとも正当な利益を根拠にできますか？

**Output:**

正当な利益の評価：顧客へのクロスセル

概要

既存顧客に類似する製品についてメールを送る場合は、同意ではなく正当な利益を根拠にできる可能性があります。ただし、この評価を完了し、簡単にオプトアウトできるようにする必要があります。

---

正当な利益の3段階テスト

1. 目的テスト：正当な利益はありますか？

利益： 既存顧客に関連製品を案内すること 正当性： はい。顧客開拓は、認められた事業上の利益です メリット： 収益の増加、顧客との関係強化

✅ 合格

---

2. 必要性テスト：処理は必要ですか？

質問	回答
利益を実現するためにメールが必要ですか？	はい。直接連絡できる手段です
より侵襲性の低い方法はありますか？	アプリ内通知も可能ですが、効果は低くなります
処理は適切な範囲に収まっていますか？	はい。頻度を抑え、関連性のある内容に限定します

✅ 合格（条件付き）

条件：

• 真に関連する製品に限定する
• 適切な頻度にする（毎日は送信しない）
• オプトアウトを直ちに反映する

---

3. 比較衡量テスト：個人の権利と自社の利益

要素	評価
データの性質	基本的な連絡先情報であり、機微性は低い
合理的な期待	顧客は販売事業者からマーケティング情報が届くことを想定しています
関係性	既存の顧客関係
個人への影響	わずらわしさは軽微で、簡単にオプトアウトできます
保護措置	すべてのメールにオプトアウト方法を記載

✅ 合格

---

結論

適法な根拠： 正当な利益（第6条第1項(f)）

コンプライアンス要件：

1. このLIAを文書化し、保管する
2. プライバシー通知に次の内容を含める： 「当社は、正当な利益に基づき、既存顧客に類似製品についてご連絡する場合があります。いつでもオプトアウトできます。」
3. 簡単にオプトアウトできるようにする： すべてのメールに配信停止方法を記載する
4. 設定を尊重する： オプトアウトされたら、直ちに配信対象から除外する
5. 類似製品に限定する： 関連性のない商品に対象を広げない
6. 適切な頻度にする： 週1回を超えない

---

メールフッターのテンプレート

You're receiving this as a valued [Company] customer.

Not interested in product updates?
[Opt out of marketing] | [Manage preferences]

This email was sent based on our legitimate interest in keeping
customers informed about relevant products. See our Privacy Notice
for details and your rights.

---

この方法が適用されない場合

次の場合は、代わりに同意を使用してください。

• 製品が大きく異なる
• 顧客が2年以上前に一度だけ購入した
• 第三者からデータを取得した
• 顧客が以前にオプトアウトした
• メールが主にプロモーション目的である（情報提供が目的ではない）

## Skill Boundaries

### What This Skill Does Well
- Explaining GDPR requirements
- Drafting compliant language
- Creating documentation templates
- Identifying compliance gaps

### What This Skill Cannot Do
- Provide legal advice
- Know your specific jurisdiction nuances
- Guarantee regulatory acceptance
- Replace DPO consultation

### When to Escalate to Human
- Complex cross-border transfers
- Regulatory investigation
- Data breach response
- Novel processing activities

## Iteration Guide

**Follow-up Prompts:**
- "Draft the privacy notice section for [activity]"
- "How do we handle a right to erasure request?"
- "What documentation do we need for [processing]?"
- "Is this cookie banner compliant?"

## References

- GDPR Text (Regulation 2016/679)
- EDPB Guidelines on Consent
- ICO Direct Marketing Guidance
- CNIL Cookie Guidelines

## Related Skills

- `terms-analyzer` - Terms of service review
- `contract-review` - DPA analysis
- `nda-generator` - Confidentiality

## Skill Metadata

- **Domain**: Legal / Marketing
- **Complexity**: Intermediate
- **Mode**: centaur
- **Time to Value**: 1-2 hours per assessment
- **Prerequisites**: Basic GDPR familiarity