mcpField
G
gdpr-valid-consent

gdpr-valid-consent

github.com/mukul975セキュリティ32343 回インストール32 週間前に更新
リポジトリ

gdpr-valid-consent について

GDPRに基づく同意フローを設計・確認するチーム向けの実務ガイドです。有効な同意の要件、監査チェックリスト、実装手順を、CloudVault SaaS Inc.の例とともに説明します。

主な機能

  1. 01有効な同意の5要件
  2. 02同意フォームの監査チェックリスト
  3. 03目的別同意の設計ガイド
  4. 04同意記録の手順
  5. 05撤回と再監査のワークフロー

活用シーン

  1. 01同意フォームのGDPR適合性確認
  2. 02目的別の同意コントロール設計
  3. 03同意記録と撤回手段の計画
  4. 04同意フロー変更の監査

インストール

コマンドをコピーしてターミナルで実行します。

$npx skills add https://github.com/mukul975/privacy-data-protection-skills --skill gdpr-valid-consent

インストール後、Claude Code で/gdpr-valid-consentを入力して読み込まれたか確認します。

同梱ファイル

SKILL.md と一緒にインストールされる参考資料やスクリプト。

assets/
template.md
references/
standards.md
workflows.md
scripts/
process.py

詳細

GDPR に準拠した同意の実装

概要

GDPR における有効な同意は、第4条第11項で「データ主体が、自由意思に基づき、特定され、十分な情報を与えられたうえで、曖昧さのない意思表示を行い、陳述または明確な積極的行為によって、自身に関する個人データの処理に同意すること」と定義されています。第7条では同意の条件が定められており、前文第32項では、沈黙、あらかじめチェックされたボックス、または無作為は同意を構成しないと明確にされています。

欧州連合司法裁判所（CJEU）は、事件 C-673/17（Planet49 GmbH、2019年10月1日）においてこれを補強し、あらかじめチェックされたチェックボックスは Cookie の設置に対する有効な同意を構成せず、同意は処理目的ごとに必要であると判断しました。

有効な同意の5つの要件

1. 自由意思に基づく（第7条第4項、前文第42～43項）

以下の場合、同意は自由意思に基づくものではありません。

  • データ主体と管理者の間に明らかな力の不均衡がある（例：雇用主と従業員の関係、公的機関と市民の関係）
  • サービスの譲れない条件として同意が組み込まれている（第7条第4項に基づく「条件付けテスト」）
  • 同意を拒否または撤回したことで、データ主体が不利益を被る
  • 真の選択肢がない、または本人が同意を強制されていると感じる

CloudVault SaaS Inc. の実装： CloudVault SaaS Inc. は、コアとなるクラウドストレージサービスへの同意と、分析およびマーケティングへの同意を分けています。マーケティングへの同意を拒否したユーザーも、ストレージ機能をすべて利用できます。登録フローでは、「任意のデータ処理を拒否しても、CloudVault のストレージサービスへのアクセスには影響しません」と明示しています。

2. 特定されている（第6条第1項(a)、前文第32項）

同意には、以下が求められます。

  • きめ細かであること：目的ごとに個別の同意を得る
  • 名称が明示されていること：管理者および第三者の管理者を具体的に特定する
  • 目的が限定されていること：明確に定められた処理目的と関連付ける

CloudVault SaaS Inc. の実装： CloudVault SaaS Inc. は、オンボーディング中に以下3つの個別の同意要求を提示します。

  • 「ストレージの最適化を提案するため、CloudVault SaaS Inc. にファイル使用パターンの分析を許可する」（目的：サービスの改善）
  • 「CloudVault SaaS Inc. から製品の更新情報をメールで受け取ることを許可する」（目的：ダイレクトマーケティング）
  • 「業界ベンチマークのため、CloudVault SaaS Inc. が匿名化した使用統計を Datalytics Partners Ltd. と共有することを許可する」（目的：第三者による分析）
3. 十分な情報を与えられている（第13条、前文第42項、第60項）

同意する前に、データ主体には少なくとも以下を伝える必要があります。

  • 管理者の身元（CloudVault SaaS Inc.、登記住所：42 Innovation Drive, Dublin, D02 YX88, Ireland）
  • 同意を求める各処理の目的
  • 収集するデータの種類
  • いつでも同意を撤回する権利
  • プロファイリングを含む自動意思決定に関する情報（第22条第2項(c)）
  • 十分性認定または適切な保護措置がない第三国へのデータ移転に伴うリスク（第49条第1項(a)に基づく明示的な同意が適用される場合）

CloudVault SaaS Inc. の実装： 各同意要求には階層化された通知が含まれます。すぐに確認できる簡潔な概要と、第13条に関するすべての情報を記載した、展開可能な「詳細を見る」セクションです。文面は平易な英語で、Flesch-Kincaid の学年レベルは8以下です。

4. 明確な意思表示

データ主体の意思が明確でなければなりません。前文32によると：

  • 同意には、明確な積極的行為が必要です
  • 沈黙、あらかじめチェックされたボックス、または何もしないことは、同意とはみなされません（CJEU C-673/17 Planet49で確認されています）
  • ウェブサイトをスクロールしたり、閲覧を続けたりすることは、この基準を満たしません（EDPB Guidelines 05/2020、第86項）

CloudVault SaaS Inc. による実装： CloudVault SaaS Inc. は、同意の目的ごとに、チェックが入っていないチェックボックスを使用しています。「アカウントを作成」ボタンは、同意の選択内容にかかわらず有効です。デフォルトでオンになる切り替えスイッチは使用していません。ユーザーが各切り替えスイッチを実際に操作したことを示すため、UI の状態を記録しています。

5. 明確な積極的行為（第4条(11)、前文32）

積極的行為として認められる例：

  • チェックが入っていないチェックボックスにチェックを入れる
  • 情報社会サービス上で技術的な設定を選択する
  • 同意文を入力する
  • 書面による宣言に署名する（eIDAS規則（EU）No 910/2014に基づく電子署名を含む）

CloudVault SaaS Inc. による実装： CloudVault SaaS Inc. は、タイムスタンプ、ユーザーのセッション ID、IP アドレス、表示された同意文のバージョン、ユーザーエージェント文字列とともに、具体的な UI 操作（チェックボックスへのチェック、切り替えスイッチの有効化）を記録しています。

同意フォームの監査チェックリスト

#監査項目GDPR の参照箇所合格／不合格の基準
1同意が利用規約と分離されている第7条(2)同意の要求が他の事項と明確に区別されている
2あらかじめチェックされたボックスや、デフォルトでオンになる切り替えスイッチがない第4条(11)、前文32、CJEU C-673/17すべての同意取得方法が「オフ」の状態から開始する
3目的ごとに細分化された同意前文32、EDPB Guidelines 05/2020処理目的が異なるごとに、個別のオプトインが用意されている
4管理者の身元が明記されている第7条(2)、第13条(1)(a)データ管理者の正式名称と連絡先が表示されている
5目的が明確に記載されている第13条(1)(c)各目的が法律用語を使わず、平易な言葉で説明されている
6データの種類が指定されている第13条(1)(d)各目的について個人データのカテゴリーが記載されている
7第三者の受領者が明記されている第13条(1)(e)第三者がカテゴリーではなく、具体的な名称で特定されている
8撤回方法が説明されている第7条(3)同意はいつでも撤回できることが明確に示され、手順が説明されている
9拒否しても不利益を受けない第7条(4)、前文42オプションの同意をサービス利用の条件としていない
10同意の付与と同じくらい簡単に撤回できる第7条(3)撤回に必要な手順が、当初の同意と同じか、それより少ない
11年齢確認がある第8条子どもを対象とするサービスに、年齢制限または年齢確認がある
12平易で明確な言葉が使われている第7条(2)、前文42Flesch-Kincaid の学年レベルが8以下で、法律用語を使用していない
13同意の記録が保存されている第7条(1)タイムスタンプ、バージョン、目的、取得方法、本人が記録されている
14目的変更時に再同意を得る仕組みがある第13条(3)目的が変更された際に、新たな同意を取得するプロセスがある
15クッキーウォールでアクセスを妨げていないEDPB Guidelines 05/2020 para 39クッキーへの同意の選択にかかわらず、コンテンツにアクセスできる

実装ワークフロー

  1. 処理活動の整理 — 第6条第1項(a)に基づく適法な根拠として、同意を依拠するすべての処理活動を特定します。それぞれについて、目的、データの種類、受領者、保存期間を記録します。

  2. 同意メカニズムの設計 — 目的ごとに細分化された、初期状態で選択されていない同意コントロールを作成します。UI では各目的が明確に区別されるようにします。同意に関する EDPB ガイドライン 05/2020 に従います。

  3. 同意文言の作成 — 各目的について、簡潔でわかりやすい説明を作成します。第13条に記載されたすべての情報を、階層化した形式で含めます。Flesch-Kincaid のグレードレベルが8以下になるよう、読みやすさをテストします。

  4. 記録管理の実装 — 次の情報を記録する同意レシートシステムを構築します：タイムスタンプ（ISO 8601）、同意バージョンのハッシュ、目的の識別子、メカニズムの種類（チェックボックス／トグル／署名）、データ主体の識別子、提示した正確な文面。

  5. 撤回メカニズムの構築 — ユーザーのアカウントダッシュボードからアクセスできる、ワンクリックの撤回機能を実装します。撤回後24時間以内に、下流の処理が停止されるようにします。

  6. 監査の実施 — 上記のチェックリストを使って、同意の実装を監査します。調査結果と是正措置を記録します。

  7. 再監査のスケジュール設定 — 定期的な監査の頻度（四半期ごとを推奨）を設定し、同意フローに影響する UI の変更後にも監査を実施します。

主な規制上の参照先

  • GDPR 第4条第11項 — 同意の定義
  • GDPR 第6条第1項(a) — 適法な根拠としての同意
  • GDPR 第7条 — 同意の条件
  • GDPR 第8条 — 子どもの同意に適用される条件
  • GDPR 前文第32項、第33項、第42項、第43項 — 同意要件に関するガイダンス
  • CJEU 事件 C-673/17（Planet49 GmbH）— 事前選択済みチェックボックスに関する判決
  • 規則2016/679に基づく同意に関する EDPB ガイドライン 05/2020
  • eIDAS 規則（EU）No 910/2014 — 同意に関する電子署名

コメント

Markdown 対応