gdpr-ecommerce

GDPR 対応の e コマース

概要

GDPR（一般データ保護規則）では、EU／英国の顧客にサービスを提供する e コマースストアに対し、データ処理について十分な説明に基づく同意を得ること、データポータビリティ（第20条）を提供すること、消去権（第17条）に対応すること、個人データの処理カテゴリーごとに適法な根拠を維持することが求められます。違反した場合、最大2,000万ユーロ、または全世界の年間売上高の4％の罰金が科される可能性があります。主要なプラットフォームにはGDPR対応ツールが組み込まれています。主な不足点は、Cookieの同意管理と、データ主体アクセス要求（SAR）への対応です。

このスキルを使用する場面

• EU、EEA、または英国（英国GDPR）の顧客にサービスを提供するストアの場合
• 個人データを処理する分析、マーケティング、またはパーソナライズのツールを追加する場合
• 顧客からデータ主体アクセス要求（SAR）または削除要求が送信された場合
• サードパーティの連携機能のGDPR準拠を確認する場合
• データ保護監査またはDPA（データ処理契約）のレビューに備える場合

基本的な手順

ステップ1：データ処理活動を整理する

ツールを設定する前に、個人データのすべてのカテゴリーと、それぞれの適法な根拠を記録します。この処理活動記録（RoPA）は、第30条に基づき大規模なデータ処理者に義務付けられており、すべての事業者に推奨されています。

データカテゴリー	適法な根拠	保持期間
注文データ（氏名、住所、商品）	契約（第6条1項(b)）	7年間（税法）
アカウントデータ（メールアドレス、パスワードのハッシュ）	契約	アカウント削除後30日まで
分析データ（ページビュー、セッション時間）	正当な利益／同意	13か月
マーケティングメール	同意（第6条1項(a)）	配信停止まで
不正防止（IP、デバイスフィンガープリント）	正当な利益	90日

ステップ2：Cookieの同意を導入する

---

Shopify

Shopifyには、Privacy & ComplianceアプリによるCookie同意バナーが標準で用意されています（無料）。

1. Apps → Shopify Privacy & Complianceに移動します（またはApp Storeで検索します）。
2. バナーのテキスト、位置、確認するCookieカテゴリーを設定します。
3. このアプリはShopifyのConsent APIと連携するため、分析用およびマーケティング用ピクセルは顧客の選択を尊重します。
4. または、CookieYesやCookiebotなどの専用CMP（同意管理プラットフォーム）をインストールします。どちらもShopifyアプリと連携できます。

同意を考慮した分析の有効化：

• Google Analytics／GA4の場合：ShopifyのCustomer Events（Settings → Customer events）を使用します。これにより同意が自動的に尊重されます。
• カスタムPixelトラッキングの場合：Shopify Customer Privacy APIを使い、トラッキングコードを読み込む前に同意を確認します。

---

WooCommerce

WooCommerceにはバージョン3.4以降、基本的なGDPR機能が含まれていますが、Cookieの同意には専用プラグインが必要です。

GDPR Cookie Consent（WebToffee製）をインストール — 無料／プレミアム：

1. WordPressプラグインディレクトリからインストールします。
2. Cookie Law Info → Settingsに移動します。
   • バナーのテキスト、色、ボタンのラベルを設定します。
   • Cookieカテゴリーを設定します：必須（常に有効）、分析、マーケティング
   • インストール済みのプラグイン／スクリプトをカテゴリーに割り当てます（Google Analytics → 分析、Facebook Pixel → マーケティング）。
3. 同意が得られるまで、プラグインがサードパーティのスクリプトをブロックします。

WordPress標準のGDPRツール：

• Settings → Privacyに移動し、プライバシーポリシーページを設定します。
• Settings → Privacy → Data Erasure Requestsに移動します。顧客はMy Accountから消去要求を送信できます。WordPressが確認メールを生成し、その後、手動で処理します。

---

BigCommerce

BigCommerce App MarketplaceからCookieYesまたはCookiebotをインストールします。どちらも次の機能を提供します。

• GDPRに準拠した同意バナー
• 同意が得られるまでのスクリプトのブロック
• 監査目的での同意記録

BigCommerceはScript Manager（Storefront → Script Manager）によるカスタムCookie同意にも対応しています。CookiebotまたはCookieYesのスクリプトを全体に追加できます。

ステップ 3：データアクセス請求（SAR）に対応する

GDPR 第 20 条に基づき、顧客は自身のすべての個人データを機械可読形式で 30 日以内に受け取る権利があります。

---

Shopify

1. 顧客からデータの開示請求があったら、Shopify 管理画面で該当する顧客の顧客プロフィールを開きます
2. データをリクエストをクリックします。Shopify は次の情報を含むデータエクスポートファイルを生成します。
   • 顧客プロフィールデータ
   • 注文履歴
   • 住所
3. Shopify はダウンロードリンクを顧客に直接メールで送信します

顧客のプライバシー設定：

1. 設定 → 顧客のプライバシーに移動します
2. データリクエストの Webhook を設定します。顧客が自身のデータをリクエストすると、Shopify はインストール済みのすべてのアプリに customers/data_request Webhook を送信するため、アプリ側でもデータを提供できます

---

WooCommerce

WordPress には個人データをエクスポートする組み込みツールがあります。

1. ツール → 個人データをエクスポートに移動します
2. 顧客のメールアドレスを入力して、リクエストを送信をクリックします
3. 顧客に確認メールが届きます。顧客が確認すると、管理画面にリクエストが表示されます
4. エクスポートファイルを生成をクリックします。WordPress が WooCommerce と、データエクスポーターを備えたすべてのプラグインからデータを収集します
5. 機械可読形式のデータを含む zip ファイルが顧客に届きます

---

BigCommerce

BigCommerce には SAR に対応する組み込みツールがありません。データ開示請求に対応するには、次の手順を実行します。

1. BigCommerce Customers API と Orders API を使用して、顧客のすべてのデータを抽出します
2. データを JSON または CSV のエクスポートとしてまとめます
3. 請求から 30 日以内に顧客へ提供します

データ開示請求への対応を自動化するため、Transcend や Mine などのサードパーティサービスの構築または利用を検討してください。

ステップ 4：消去権（第 17 条）に対応する

消去権を行使する際は、削除と法的な保存義務（税務記録は 5～7 年間保存する必要があります）のバランスを取る必要があります。

---

Shopify

1. Shopify 管理画面で顧客のプロフィールを開きます
2. その他のアクション → 個人データを消去をクリックします
3. Shopify は顧客の PII を匿名化します（名前、メールアドレス、電話番号を匿名化されたプレースホルダーに置き換えます）。会計処理のため、注文記録は保持されます
4. Shopify はインストール済みのすべてのアプリに customers/redact Webhook を送信します

---

WooCommerce

1. ツール → 個人データを消去に移動します
2. 顧客のメールアドレスを入力し、本人確認リクエストを送信します
3. 顧客が確認すると、WordPress と WooCommerce は次の情報を匿名化します。
   • 顧客アカウント（メールアドレスを匿名化されたプレースホルダーに置き換えます）
   • 注文（顧客名、請求先／配送先の詳細を「削除済みユーザー」／匿名化された情報に置き換えます）
4. 注文の財務記録は保持されます

---

BigCommerce

Customers API を使用して顧客レコードを更新し、PII を匿名化されたプレースホルダーに置き換えて、顧客アカウントを削除します。顧客への参照は削除されますが、注文記録は保持されます（財務データは保持されます）。

ステップ 5：マーケティングへの同意が適法であることを確認する

明示的にオプトインした顧客にのみ、マーケティングメールを送信します。GDPR では、チェック済みのチェックボックスをあらかじめ表示することは禁止されています。

すべてのプラットフォームで：

1. 登録フォームとチェックアウトに、ラベルを明記した未チェックのチェックボックスを追加します：「はい、マーケティングメールを受け取りたいです」
2. 同意のタイムスタンプ、IP アドレス、フォームのバージョンをデータベース（またはメールプラットフォーム）に記録します
3. すべてのマーケティングメールに、ワンクリックで配信停止できるリンクを含めます
4. 配信停止の申し出は直ちに処理します。標準的な要件では、10 営業日以内です

メールプラットフォーム：

• Klaviyo：同意を個別に追跡します。Klaviyo に組み込まれたオプトインフォームと同意プロパティを使用します
• Mailchimp：デフォルトでダブルオプトインを使用します（GDPR への対応に推奨）。オーディエンス設定で構成します
• Omnisend：同意記録機能が組み込まれた GDPR モードがあります

ステップ 6：データ処理契約（DPA）を締結する

顧客データをお客様に代わって処理するサードパーティーツールとは、すべてDPAを締結する必要があります。

1. Stripe：DPAはstripe.com/legal/dpaで確認できます
2. Klaviyo：Klaviyoのアカウント設定のアカウント → プライバシーからDPAを確認できます
3. Google Analytics：GA4の管理画面でGoogleのDPAに同意します
4. Shopify：Shopifyはお客様の顧客データのデータ処理者です。DPAはShopifyの法的契約に含まれています
5. 各ベンダーのプライバシー／法務関連ドキュメントでDPAを確認し、締結します

ベストプラクティス

• すべての同意をデフォルトで拒否にする — GDPRでは、同意は自由に与えられ、曖昧でないものでなければなりません。事前にチェックされたボックスは明示的に禁止されています
• 同意の監査証跡を保持する — 同意の付与、撤回、変更をすべて、タイムスタンプとユーザーに表示した同意文面の正確なバージョンとともに記録します
• SARには30日以内に対応する — データのエクスポートを自動化し、セルフサービスのポータルからすぐに利用できるようにします。手動でのエクスポートは時間がかかり、規模が大きくなるとエラーが発生しやすくなります
• サービスの利用前にすべてのベンダーとDPAを締結する — Stripe、Klaviyo、Google Analyticsなど、顧客データを処理するすべてのツールにはDPAが必要です
• 同意とアカウント作成を分ける — マーケティングへの同意を利用規約への同意と一括にしないでください。処理目的ごとに個別で詳細な同意が必要です
• 削除パイプラインを定期的にテストする — 四半期ごとにテスト用アカウントで消去リクエストを実行し、データベース、検索インデックス、分析ツール、サードパーティーの処理者からすべてのデータが削除されることを確認します

よくある落とし穴

問題	解決策
Cookieバナーで分析用のボックスが事前にチェックされている	GDPRではオプトインによる同意が必要です。事前にチェックされたボックスは前文32で明示的に禁止されています
顧客が消去を求めた際に注文を削除する	注文は法定の税務保存期間（5～7年）にわたり保持する必要があります。注文レコードを削除するのではなく、注文内のPIIを匿名化します
メールプラットフォームや分析ツールからの削除を忘れる	Shopifyのcustomers/redactウェブフックはアプリに通知します。Klaviyo、Mailchimp、分析ツールにも削除リクエストが届くようにしてください
同意の記録なしにマーケティングメールを送信する	マーケティングへのオプトインごとに、IPアドレス、タイムスタンプ、同意文面のバージョン、方法（チェックボックス、登録フォーム）を保存します
主要なベンダーとのDPAが未締結	ベンダーリストを毎年監査します。Google、Stripe、Klaviyo、ホスティングプロバイダーがEUの顧客データを処理する場合は、すべてDPAが必要です

関連スキル

• @data-retention-policies
• @account-security
• @analytics-integration
• @fraud-detection