---
title: 海外（特にEU）ユーザーへのサービス提供とGDPR
description: EU居住者を対象にするとGDPRの域外適用がありうる。まず「自分が対象か」を切り分けるためのページ
sidebar:
  label: 海外ユーザー・GDPR
---

| 項目 | 内容 |
|---|---|
| **疑うべき法令** | GDPR（EU一般データ保護規則 / General Data Protection Regulation）ほか各国のデータ保護法 |
| **確認タイミング** | 対象ユーザー・提供地域を決める企画時 |

## このページの役割（先に読んでください）

このページは**GDPRの解説書ではありません**。海外法を網羅することは現実的でも安全でもなく、中途半端な要約はかえって「これを読んだから大丈夫」という一番危険な誤解を生みます。

ここでやるのは1つだけです。**「自分たちがGDPRの対象なのかどうか」を切り分けること。** そして対象だと分かったら、日本の個人情報保護法の感覚のまま進めると踏み抜くポイントに気づき、**そこから先は現地の専門家（EU域内の弁護士・代理人）につなぐ**——ここまでがこのページの守備範囲です。

多くの日本語サービスは、この後の判定で「対象外」に落ちます。それを確認できること自体が、このページの価値です。

## なにが問題になるか

GDPRは、EU域内に拠点がない事業者にも**域外適用**されることがあります（第3条）。日本の会社が日本のサーバーで運営していても、条件を満たせば適用対象になります。しかも制裁金の桁が日本法とは異なり、重大な違反類型では**最大で「2,000万ユーロ」または「全世界の年間売上高の4%」のいずれか高い方**とされています。「知らなかった」で済ませられる規模ではありません。

一方で、**単にサイトがEUからアクセスできる、というだけでは対象になりません。** ここを取り違えると、関係ないのに過剰に身構えることになります。判定の軸は「EU居住者を**能動的にターゲットにしているか**」です。

## まず適用されるか（切り分け）

以下のどれかに当てはまるなら、GDPRの対象になりうるので専門家確認へ進んでください（第3条2項）。

- EU域内の居住者に**モノ・サービスを提供している**（対価の有無は問わない）
- EU域内の居住者の**行動をモニタリングしている**（トラッキング・プロファイリング等）

「提供している」と言えるかは、**EU向けを意図しているか**で判断されます。目安になる兆候の例:

- EUの言語（ドイツ語・フランス語等）や**ユーロ建て決済**に対応している
- 配送先・利用地域としてEU諸国を明示的に受け付けている
- EUのユーザーや市場に向けた広告・言及をしている

逆に、**日本語のみ・円決済のみ・国内配送のみ**で、EU居住者を狙った要素がないサービスは、EUから偶然アクセスされても通常は対象外と考えられます。ただし境界事例は判断が割れるため、当てはまりそうなら断定せず確認してください。

## 対象だったときに「日本の感覚で踏む」差分

対象だと分かった場合、個人情報保護法の延長で考えると足元をすくわれる点があります。**差分だけ**を挙げます（網羅ではありません）。

| 論点 | 日本の個人情報保護法 | GDPR |
|---|---|---|
| 同意の取り方 | 利用目的の通知・公表が基本。黙示の同意が認められる場面もある | 自由・特定・事前説明・明確な意思表示が要件。**プリチェック（デフォルトON）や規約への埋め込みは同意として無効**とされうる（第7条） |
| 削除・消去 | 保有の必要がなくなった場合等に請求可能（第35条） | **消去権/忘れられる権利**が広く認められ、対応手続きの整備が求められる（第17条） |
| EU域内の窓口 | 規定なし | EU域内に拠点がない場合、原則として**EU域内に代理人を選任する義務**（第27条。例外あり） |
| 制裁金 | 命令違反等に対する罰則 | 違反類型により**最大2,000万ユーロ or 全世界売上の4%**（いずれか高い方） |

なお、**EUから日本への個人データの移転**については、日本はEUから**十分性認定**を受けているため（2019年発効）、原則として追加の移転手段なしにデータを日本に持ってくることができます。ここは日本の事業者にとって相対的に有利なポイントですが、補完的なルールもあるため、実際の設計時は専門家に確認してください。

## 確認すべきこと

- [ ] サービスが**EU居住者を能動的にターゲットにしていないか**を確認した（言語・通貨・配送地域・広告）
- [ ] 対象になりうる場合、**EU域内の専門家・代理人**への相談ルートを確保した
- [ ] 同意取得のUIが、GDPR基準（明確な意思表示・プリチェック不可）で問題ないか確認した
- [ ] 削除（消去権）に対応できるデータ設計になっているか確認した（→[退会機能の実装](/features/privacy/account-deletion)）
- [ ] EUの個人データを日本以外の第三国へさらに移転していないか確認した
- [ ] 「対象外」と判断した場合、その根拠（日本語のみ・円決済のみ 等）を記録した

## こんな仕様が出たらアラート

- 多言語対応・**ユーロ建て決済**・EU諸国への配送/提供の追加
- EUのユーザー・市場に向けた広告出稿やランディングページ
- 海外ユーザーの行動トラッキング・プロファイリング
- 「グローバル展開」「越境EC」「海外SaaSとして提供」といった企画の言葉

これらが出たら、実装を進める前に「うちはGDPRの対象になるのか」を一度立ち止まって判定してください。判定は法務・専門家の仕事ですが、**この兆候を検知して声を上げるのは作る側にしかできません。**

## あわせて確認

- 削除権に耐えるデータ設計は → [退会機能の実装](/features/privacy/account-deletion)（消すデータ・残すデータの分離）
- 外部サービスへデータを渡すなら → [外部CRM・メール配信サービスへのデータ連携](/features/privacy/external-data-sync)（国内法での越境移転＝移転先国名の公表）
- 企画段階での確認漏れは → [フェーズ1：機能企画・要件定義時](/checklist/phase-1-planning)

{/* 実務メモ: 書籍にない独自の追加情報はこの下に追記していく */}