海外（特にEU）ユーザーへのサービス提供とGDPR

EU居住者を対象にするとGDPRの域外適用がありうる。まず「自分が対象か」を切り分けるためのページ

このページの役割（先に読んでください）

このページはGDPRの解説書ではありません。海外法を網羅することは現実的でも安全でもなく、中途半端な要約はかえって「これを読んだから大丈夫」という一番危険な誤解を生みます。

ここでやるのは1つだけです。「自分たちがGDPRの対象なのかどうか」を切り分けること。 そして対象だと分かったら、日本の個人情報保護法の感覚のまま進めると踏み抜くポイントに気づき、そこから先は現地の専門家（EU域内の弁護士・代理人）につなぐ——ここまでがこのページの守備範囲です。

多くの日本語サービスは、この後の判定で「対象外」に落ちます。それを確認できること自体が、このページの価値です。

なにが問題になるか

GDPRは、EU域内に拠点がない事業者にも域外適用されることがあります（第3条）。日本の会社が日本のサーバーで運営していても、条件を満たせば適用対象になります。しかも制裁金の桁が日本法とは異なり、重大な違反類型では最大で「2,000万ユーロ」または「全世界の年間売上高の4%」のいずれか高い方とされています。「知らなかった」で済ませられる規模ではありません。

一方で、単にサイトがEUからアクセスできる、というだけでは対象になりません。 ここを取り違えると、関係ないのに過剰に身構えることになります。判定の軸は「EU居住者を能動的にターゲットにしているか」です。

まず適用されるか（切り分け）

以下のどれかに当てはまるなら、GDPRの対象になりうるので専門家確認へ進んでください（第3条2項）。

• EU域内の居住者にモノ・サービスを提供している（対価の有無は問わない）
• EU域内の居住者の行動をモニタリングしている（トラッキング・プロファイリング等）

「提供している」と言えるかは、EU向けを意図しているかで判断されます。目安になる兆候の例:

• EUの言語（ドイツ語・フランス語等）やユーロ建て決済に対応している
• 配送先・利用地域としてEU諸国を明示的に受け付けている
• EUのユーザーや市場に向けた広告・言及をしている

逆に、日本語のみ・円決済のみ・国内配送のみで、EU居住者を狙った要素がないサービスは、EUから偶然アクセスされても通常は対象外と考えられます。ただし境界事例は判断が割れるため、当てはまりそうなら断定せず確認してください。

対象だったときに「日本の感覚で踏む」差分

対象だと分かった場合、個人情報保護法の延長で考えると足元をすくわれる点があります。差分だけを挙げます（網羅ではありません）。

なお、EUから日本への個人データの移転については、日本はEUから十分性認定を受けているため（2019年発効）、原則として追加の移転手段なしにデータを日本に持ってくることができます。ここは日本の事業者にとって相対的に有利なポイントですが、補完的なルールもあるため、実際の設計時は専門家に確認してください。

確認すべきこと

• サービスがEU居住者を能動的にターゲットにしていないかを確認した（言語・通貨・配送地域・広告）
• 対象になりうる場合、EU域内の専門家・代理人への相談ルートを確保した
• 同意取得のUIが、GDPR基準（明確な意思表示・プリチェック不可）で問題ないか確認した
• 削除（消去権）に対応できるデータ設計になっているか確認した（→退会機能の実装）
• EUの個人データを日本以外の第三国へさらに移転していないか確認した
• 「対象外」と判断した場合、その根拠（日本語のみ・円決済のみ 等）を記録した

こんな仕様が出たらアラート

• 多言語対応・ユーロ建て決済・EU諸国への配送/提供の追加
• EUのユーザー・市場に向けた広告出稿やランディングページ
• 海外ユーザーの行動トラッキング・プロファイリング
• 「グローバル展開」「越境EC」「海外SaaSとして提供」といった企画の言葉

これらが出たら、実装を進める前に「うちはGDPRの対象になるのか」を一度立ち止まって判定してください。判定は法務・専門家の仕事ですが、この兆候を検知して声を上げるのは作る側にしかできません。

あわせて確認

• 削除権に耐えるデータ設計は → 退会機能の実装（消すデータ・残すデータの分離）
• 外部サービスへデータを渡すなら → 外部CRM・メール配信サービスへのデータ連携（国内法での越境移転＝移転先国名の公表）
• 企画段階での確認漏れは → フェーズ1：機能企画・要件定義時