GDPRとは？アプリを作る人のための分かりやすい解説

GDPR（EU一般データ保護規則）は、EUの主要な個人データ保護法です。組織が個人データ（特定できる生存する個人に関するあらゆる情報）を収集、利用、保存、共有する方法についてのルールを定め、人々に自分のデータに対する権利（閲覧や削除を求める権利など）を与えています。2018年5月25日から適用されており、EU内の人々にサービスを提供していれば、EU域外の企業にも適用される場合があります。

法的助言ではありません。 このガイドは、基本を理解し、より良い質問をするための一般的な解説です。ご自身の状況に関する助言の代わりにはなりません。正確な詳細については、欧州委員会のデータ保護のページと、欧州データ保護委員会の中小企業向けガイドをご覧ください。

AIでアプリを作るときにGDPRが重要な理由

AIビルダーを使うと、データの収集はとても簡単になります。1回のプロンプトで、会員登録フォーム、お問い合わせフォーム、アクセス解析、ファイルのアップロード、利用者全員が並ぶ管理画面が作れてしまいます。これらはどれも個人データを収集しており、GDPRはそのすべてを対象にしています。

良い知らせとして、GDPRが求めることの多くは、良い製品づくりのやり方と同じです。

• 本当に必要なデータだけを集める。
• そのデータを何に使うかを、利用者に伝える。
• 安全に保管する。
• 必要がなくなったら削除する。
• 利用者が自分のデータを確認、訂正、削除できるようにする。

これらは、最初から設計に組み込むほうがずっと簡単です。公開後に後付けすると大規模な作り直しが必要になります。AIビルダーに適切な質問を早めにしておけば、後の大きな手戻りを防げます。

身近なたとえ

個人データは、人が預けていく持ち物のようなものだと考えてください。ただし、クロークに預けられるのは情報です。GDPRは、そのクロークの決まりごとです。

• 預けられたものは、預けた人が同意した理由に沿ってだけ扱う。
• 目的外に中身をあさらない。
• 部屋には鍵をかけておく。
• 返却を求められたら、または必要がなくなったら、返すか捨てる。
• 盗難があったら、適切な相手にすぐ知らせる。

クロークの運営を別の業者に任せていても、預かっている間の持ち物については、あなたが責任を負います。

中心となる考え方

個人データとは何か

欧州委員会は、個人データを「特定できる、または特定可能な生存する個人に関係するあらゆる情報」と定義しています。その範囲は広く、名前、メールアドレス、自宅住所、IPアドレス、Cookie ID、写真などが含まれます。名前をコードに置き換えるといった「仮名化」をしたデータでも、元の人物と結びつけられるなら、個人データのままです。

健康データ、生体データ、人種や民族の出身、政治的意見など、特に保護が必要な種類のデータもあります。

適用対象

欧州委員会によると、GDPRは、EU域内に拠点を置く組織と、EU域内の人々に（有料でも無料でも）商品やサービスを提供する、または行動を監視するEU域外の組織に適用されます。EUの顧客を持つ米国やUAEのスタートアップも、対象になる可能性があります。英国には、それを基にした独自の法律であるUK GDPRがあります。

原則

GDPRは、いくつかの基本原則の上に成り立っています。やさしく言い換えると、次のとおりです。

法的根拠

あなたが個人データを使うそれぞれの方法には、「法的根拠（適法な根拠）」が必要です。GDPRには6つ挙げられています。同意、契約の履行、法的義務、重大な利益、公共の任務、正当な利益です。同意はそのうちの一つにすぎません。たとえば、注文を届けるために注文情報を処理するのは、通常、同意ではなく契約が根拠になります。どの根拠が適切かは、公式のガイダンスに照らして判断すべきことです。

人々の権利

欧州委員会は、個人に次の権利があるとしています。

• 自分のデータがどのように使われているかについて、知らされる権利
• 自分のデータにアクセスする権利
• 訂正してもらう権利
• 削除してもらう権利
• 処理を制限してもらう権利
• データのポータビリティ（利用可能な形式で受け取る権利）
• 異議を申し立てる権利
• 自動化された意思決定やプロファイリングに関する権利

データ漏えい

個人データが漏えいし、その漏えいが人々の権利や自由を危険にさらすおそれがある場合、組織は原則として、不当な遅延なく、可能な限り気づいてから72時間以内に、データ保護当局へ通知しなければなりません。場合によっては、影響を受ける人々にも知らせる必要があります。

具体例：ヨガスタジオの予約アプリ

ドイツに顧客がいるヨガスタジオのために、予約アプリを作っているとします。GDPRが、このアプリの設計をどのように形作るかを見てみましょう。

集めるデータを減らす。 会員登録フォームでは、名前、メールアドレス、任意の電話番号を尋ねます。最初の案では、生年月日と自宅住所も尋ねていましたが、アプリでは使わないので削除しました。

健康データには注意が必要。 スタジオは、ケガについて尋ねたいと考えています。それは健康データであり、より厳しいルールが適用される特別な種類のデータです。スタジオは、その情報は対面で扱うことにしたので、アプリでは収集しません。

透明性を確保する。 プライバシーポリシーには、何を集めるか、なぜ集めるか、どれくらい保存するか、ほかに誰がデータを処理するか（ホスティング業者、メール配信サービス、決済サービス）、そしてスタジオへの連絡方法が書かれています。

マーケティングは別扱い。 クラスを予約しても、自動的にニュースレターに登録されることはありません。マーケティング用の同意は、別のチェックボックスで、初期状態ではオフにしておきます。

アプリ内での権利。 顧客は、プロフィールを閲覧して編集したり、予約履歴をダウンロードしたり、アカウントページから削除を依頼したりできます。

保存期間。 利用されていないアカウントは、一定期間の後にフラグが立てられ、顧客が応答しなければ削除されます。その期間はスタジオが決めます。

Cookie。 ログインのCookieは必要なものです。アクセス解析は、訪問者が同意した後にだけ読み込まれます。Cookieとはをご覧ください。

セキュリティ。 パスワードはハッシュ化して保存され、管理画面では二要素認証が必要で、顧客リストの書き出しはオーナーだけができます。

よく使われる用語

よくあるミスと誤解

• 「私たちはEUにいないので、GDPRは適用されない」。 利用者がどこにいるかによって、適用される場合があります。
• 「GDPRは、何でも同意が必要ということ」。 同意は6つの法的根拠の一つにすぎず、多くの場合、適切な根拠ではありません。
• 「Cookieバナーを付ければ対応できる」。 Cookieは小さな一部にすぎません。データの収集、セキュリティ、権利、保存期間の方がずっと重要です。
• 「ホストがGDPRに対応しているから、私たちも対応している」。 提供元は助けてくれますが、アプリが何を集めて何をするかを決めるのはあなたです。
• 「念のため」で集める。 項目が増えるほど、守り、説明し、削除しなければならないものが増えます。
• 他のサイトのプライバシーポリシーをコピーする。 書かれている内容は、あなたのアプリが実際に行っていることを表している必要があります。
• 削除できないようにしてしまう。 開発者に頼まなければ利用者を削除できないと、権利の請求がそのたびに緊急事態になってしまいます。

AIビルダーに頼むときの依頼例

• 「このアプリが集める個人データをすべて挙げて、それぞれの保存場所と、必要な理由を教えて。」
• 「使っていないフォーム項目は削除して。」
• 「利用者が自分のデータを閲覧、編集、ダウンロードでき、削除を依頼できるアカウントページを追加して。」
• 「利用者を、関連するレコードも含めて完全に削除する管理者の操作を作って。ただし、保存が義務づけられているレコードは匿名化して。」
• 「マーケティング用の登録は、初期状態でオフになっている別のチェックボックスにして。」
• 「同意の前に、アクセス解析やマーケティング用のスクリプトを読み込まないで。」
• 「利用者のデータを受け取るサードパーティのサービスをすべて挙げて、プライバシーポリシーに追記できるようにして。」
• 「管理者による書き出しはオーナーの役割だけに制限して、誰がいつ何を書き出したかをログに残して。」

そのうえで、利用規約とプライバシーポリシーの書き方と、Cookie同意の追加方法もお読みください。

GDPRとMythex

Mythexは、GDPR対応の証明書ではなく、構成要素を提供します。有効にすると、アプリのデータはプロジェクト専用のデータベースとファイルストレージに保存されます。コードはあなたのものであり、Proプランでは必要に応じてプロジェクトをエクスポートして移行できます。アプリが何を収集し、どれくらい保存し、利用者がどのように権利を行使できるかは、あなたが決めることであり、エージェントに組み込むよう頼むことです。Mythexがホストしているものについては、データの所有権のページで説明しています。また、作成したアプリのセキュリティでは、持っていない対応を主張することへの注意をしています。データの保存場所やデータ処理契約など、具体的な内容が必要な場合は、公開前にMythexのサポートにご確認ください。

よくある質問