オランダにおけるプライバシーポリシー：GDPRに基づき記載すべき事項

GDPR第12条、第13条、第14条に基づき、あなたは、自分が誰であるか、なぜ、どのような法的根拠に基づいてデータを処理するのか、誰がデータを受け取るのか、どのくらいの期間データを保持するのか、そしてどのような権利を持っているのかを人々に知らせなければなりません。ウェブサイトでは、プライバシーステートメント（privacyverklaring）が、これを実現する実際的な方法です。競合他社やジェネレーターからコピーしたステートメントは通常機能しません。2026年、欧州データ保護委員会は、これらの透明性義務を、各国の監督機関による協調的な執行活動のテーマとして選びました。オランダでは、その監督機関はAutoriteit Persoonsgegevens（AP）です。

プライバシーポリシーを公開する義務はどこから生じるのか？

GDPRのどの条項にも「プライバシーポリシー」という見出しはありません。この声明は、GDPRが「情報提供を受ける個人の権利」として異なる形で規定する義務を履行するための、ごく一般的な方法にすぎません。透明性はGDPR第5条の原則であり、第12条、第13条、第14条は、人々に伝えなければならない具体的な事項のリストと、その方法に関する基準を定めています。

第13条と第14条の間の分裂は、ほとんどの企業が認識している以上に重要である。

• GDPR第13条 個人データの収集に適用される 個人から —お問い合わせフォーム、チェックアウト、ニュースレター登録。情報を提供する必要があります。 当時の データは、フォーム送信後ではなく、送信前に取得されます。
• GDPR第14条 この規定は、データが他の場所（データブローカー、公的登録簿、スクレイピングされた情報源、パートナー、雇用主など）から取得された場合にも適用されます。合理的な期間内、遅くとも1か月以内、または本人との最初の連絡時、もしくはデータが他の受信者に初めて開示された時のいずれか早い時点で、当該個人に通知する必要があります。

第14条には、ごく少数の例外が規定されている。すなわち、個人が既にその情報を保有している場合、本人に通知することが不可能または過大な労力を要する場合、情報の取得または開示が法律で明示的に定められている場合、あるいは当該データが職業上の秘密保持義務の対象となる場合である。これらの例外は限定的である。「不便」は過大な労力には当たらない。連絡先データを購入または収集し、誰にも通知しない企業は、存在しない例外に依拠していることになる。

GDPR第12条は、簡潔で、透明性があり、理解しやすく、容易にアクセスでき、明確で平易な言葉で表現される方法を規定している。

プライバシーポリシーには何を含めるべきか？

これはメニューではありません。これらの項目のいずれかが欠けている陳述書は、法律上不完全です。

AP通信の注目が集まっている3つの項目は、詳しく見てみる価値がある。

受取人について「当社のパートナー」という回答では不十分なのはなぜですか？

GDPR第13条および第14条では、受信者または受信者のカテゴリーを指定することが認められています。これは正当な選択ですが、カテゴリーには意味がなければなりません。「当社のパートナー」はカテゴリーではなく、回答を拒否していることになります。「当社の決済サービスプロバイダー、ドイツのホスティングプロバイダー、米国のメールマーケティングプラットフォーム、およびクッキーステートメントに記載されている広告ネットワーク」はカテゴリーです。受信者を曖昧さなく説明できない場合、おそらく誰がデータを持っているのかが分からないでしょう。これはより大きな問題です。

固定の保存期間を設定できない場合はどうすればよいでしょうか？

GDPRは、日数を常に明示できるとは限らないことを認めており、そのため第13条では、代わりに期間を決定するための基準を認めている。しかし、回答を拒否することは認めていない。2023年にUber Technologies Inc.とUber BVに1,000万ユーロの罰金を科した判決で、APはまさにその点を指摘した。声明ではデータは必要な期間保持されるとされていたが、これはあまりにも一般的すぎると判断された。実用的な基準としては、「オランダの税法に従い、契約期間中および最後の取引から7年間」とすべきである。

EEA域外へのデータ移転については、どのような点を考慮すべきでしょうか？

データが「欧州経済領域外に転送される可能性がある」と述べるだけでは、読者には何も伝わりません。同じUberのケースで、AP通信は、転送先の国名を明記し、データ保護措置（十分性認定、標準契約条項、拘束力のある企業規則など）とコピーの入手方法を明示すべきだと主張しました。米国の分析、CRM、クラウドホスティングを利用している企業はデータを転送しています。問題は、声明でそれを認めるかどうかだけです。

声明はどのような形式をとるべきか？

GDPR第12条は、簡単に述べられるものの、しばしば失敗に終わる基準を定めている。

• 簡潔かつ透明性がある — 効率的かつ明確に、利用規約とは切り離して提示する。一般利用規約の中に埋もれさせるのは不適切である。
• わかりやすい ―対象となる読者層の平均的な人が理解できる内容であること。アメリカの弁護士向けに書かれた声明はオランダの消費者には理解できないし、オランダ語のウェブサイトに英語のみで書かれた声明も同様である。
• 簡単にアクセス可能 読者が情報を探し回る必要がないようにすべきだ。欧州のガイドラインでは、情報はすぐに目につくようにする必要があるとされている。つまり、すべてのページから直接リンクがあり、情報収集箇所には文脈に沿ったリンクがあり、アプリではせいぜい数回タップするだけでアクセスできる必要がある。
• 明確でわかりやすい言葉 ―抽象的ではなく、具体的かつ明確な表現を用いるべきである。欧州の指針では、「～かもしれない」「～する可能性がある」「～かもしれない」といった曖昧な表現を特に避けるべき例として挙げ、「お客様の個人データを新しいサービスの開発に利用する場合があります」や「研究目的のために利用する場合があります」といった表現を、使用すべきでない例として扱っている。

サービスが子供向けである場合、または子供が頻​​繁に利用することがわかっている場合は、第12条では、子供が理解できるように語彙、トーン、スタイルを調整する必要があると規定されています。オランダでは、この規定は早い段階から適用されます。オランダのGDPR実施法であるUitvoeringswet AVGの第5条では、子供に直接提供される情報社会サービスについて親の同意が必要となる年齢は16歳未満であり、これはGDPRで認められている最高年齢です。14歳の子供が利用するサービスについて大人向けに書かれた説明では不十分であり、親に知らせたとしても子供自身の情報提供を受ける権利は果たされません。

階層型プライバシーポリシーはどのように機能するのでしょうか？

階層化は、完全性と可読性の間の葛藤に対する推奨される解決策であり、APと欧州のガイダンスの両方で支持されています。適切に行われた場合、最初の階層には、管理者の身元、目的、最も大きな影響または予期せぬ事態を引き起こす可能性のある処理、および権利の行使方法が記載され、全文は単一の文書としてワンクリックでアクセスできます。

不適切な方法で行うと、情報を隠す手段となってしまう。レイヤーは互いに矛盾してはならず、すべての情報は一箇所に集約され、都合が悪いからといって重要度を下げるべきではない。もし処理操作によって読者が驚くようなことがあれば、それは第4レイヤーではなく第1レイヤーで処理すべき理由となる。

プライバシーポリシーはどこで誤りを犯すのか？

繰り返し発生する不具合は少なく、予測可能である。

• 目的が不明確で、共有内容が明らかにされていない。 「サービス向上のため」という文言は何も説明しておらず、「お客様のデータを厳選されたパートナーと共有する場合があります」という文言は最もよくある欠陥で、通常は広告技術を隠蔽している。重要なのは、読者が自分のデータがどのように扱われるかを理解し、それを気にするかどうかを判断できるかどうかだ。
• サイトの内容と矛盾する記述。 これにより、事務手続き上の問題が執行上の問題へと発展する。声明では、ページ読み込み時にタグマネージャーが起動する一方で、同意なしにトラッキングクッキーは設置されないと述べられている。また、サポートデスクは米国プラットフォーム上で稼働する一方で、データはEU域内に留まるとも述べられている。規制当局は、この事実を確認するために声明を注意深く読む必要はない。ネットワークタブを開けばよいのだ。
• コピーされた声明文。 競合他社から拝借したポリシーは、競合他社のデータ処理方法を記述しているに過ぎません。つまり、自社では使用していない受信者を列挙し、使用している受信者を省略し、自社では遵守していないデータ保持期間を記載しているのです。これは、自社の事業に関する虚偽の記述の集まりです。

プライバシーポリシーとクッキーに関する通知は同じものですか？

いいえ。これらは2つの文書に基づく2つの義務であり、これらを混同することはどちらの義務にも違反する確実な方法です。

クッキーおよび類似の技術は、オランダでは電気通信法第11条7項a号（eプライバシー指令を施行）によって規制されています。ユーザーの端末機器に情報を保存したり、保存された情報にアクセスしたりする者は、明確かつ完全な情報を提供し、同意を得なければなりません。ただし、通信の送信または要求されたサービスの提供に厳密に必要な場合は例外となります。これは、個人データが関係するか否かにかかわらず、デバイス上での読み取りまたは書き込み行為を規制します。GDPRは、その結果得られた個人データをどのように扱うかを規制します。

つまり、バナーは同意を与えるか拒否するかを示す場所であり、クッキーに関する声明にはクッキーの種類、目的、有効期間が記載され、プライバシーに関する声明には個人データの処理方法が説明されています。プライバシーに関する声明は同意を得るものではなく、バナーは第13条および第14条を免除するものではありません。これらを相互参照し、一貫性を保つようにしてください。

APは2025年以降、オランダのクッキーバナーの監視を強化しており、あらかじめチェック済みのボックスを使用している組織、拒否するよりも同意する方が容易な組織、または選択肢を見つけにくい組織に対して書簡を送っている。連絡を受けた組織のほとんどはその後バナーを修正したが、APは修正していない組織について調査を開始した。

他人の発言をそのままコピーするのではなく、正確な発言を作成するにはどうすればよいでしょうか？

GDPR第30条は、ほとんどの組織に対し、処理活動の記録簿（verwerkingsregister）の維持を義務付けています。この記録簿には、各活動について、目的、データ主体および個人データのカテゴリー、第三国を含む受領者、移転時の保護措置、および保存期間が記録されます。受領者が処理者である場合、同じ事実が既に当該当事者とのデータ処理契約に記載されているはずなので、記録簿と声明の整合性を保つことがはるかに容易になります。

上の表と比較してみてください。両者の重複はほぼ完全です。登録簿は事実の目録であり、プライバシーに関する声明はその公開表現です。この順序で作成されるため、声明は構成上正確であり、登録簿を更新することで情報源も更新されるため、正確さが維持されます。逆の順序で作成されると、両者は乖離してしまい、登録簿を要求してウェブサイトを閲覧する規制当局は、そのギャップに気づくことになります。

声明を最新の状態に保つにはどうすればよいですか？

プライバシーに関する声明は、稼働中のシステムを説明するものであるため、システムに変更が生じるたびに陳腐化します。例えば、新しい分析ツール、新しいCRM、海外の新しいデータ処理業者、既に保有しているデータの新しい利用目的などが挙げられます。

2つのルールがあります。処理方法の変更は声明の変更であり、変更が有効になる前に声明を改訂する必要があります。また、重要な変更は積極的に周知する必要があります。欧州のガイドラインでは、個人が改訂されたポリシーに自ら気づくのを待つだけでは不十分であると明確に示されています。実質的な変更（新しい目的、管理者の変更、権利行使方法の変更など）は、同意を撤回したり異議を申し立てたりできる十分な時間的余裕をもって、電子メールまたは現地での通知によって人々に知らせる必要があります。誤字脱字は告知する必要はありませんが、新しい目的の場合は告知が必要です。

明細書にはバージョン日付を付与し、以前のバージョンも保存しておきましょう。2024年に顧客に伝えた内容を示す必要がある場合、日付のないライブページでは対応できません。

この義務は、EU域外に設立された企業にも適用されますか？

EU域内に拠点を持たない企業であっても、EU域内の人々に商品やサービスを提供したり、EU域内での行動を監視したりしている場合は、GDPR第3条の対象となります。ウェブサイトが単にアクセス可能であるだけでは不十分で、オランダ語版、ユーロ建て価格設定、オランダへの配送、.nlドメイン、オランダ語広告など、ターゲット設定の証拠が重要となります。EU域内からの訪問者の行動監視は、独立したトリガーとなります。

第3条が適用される場合、GDPR第27条は一般的に、関連するデータ主体が存在する加盟国に設立されたEU域内の代表者を必要とし、その身元と連絡先情報はプライバシーに関する声明に記載されるべきである。例外は限定的で、処理が一時的なものであり、大規模な特別カテゴリーのデータを含まず、リスクが生じる可能性が低い場合に限る。オランダ市場に継続的に販売しているウェブショップは、一時的な処理には該当しない。

欧州委員会は、EU代表者を指定しなかったとして、Locatefamily.comに対し52万5000ユーロの罰金を科すという、この措置を単独で執行した。違反はGDPR第27条および第3条に該当する。同サイトはEU域内に事業所を持たず、事業所所在地も明確に特定されなかったが、罰金は科せられた。これは、EU域外の事業者が距離を置けば免責されると考えることへの警告となる。

AP通信はこれらの規則をどのように施行しているのですか？

オランダの個人データ保護法（Uitvoeringswet AVG）第6条に基づき、オランダの個人データ保護機関（Autoriteit Persoonsgegevens）が監督機関となります。同機関の権限は、GDPR第58条（警告、叱責、命令、処理制限）およびGDPR第83条（第12条、第13条、第14条違反に対する行政罰金の上限は20万ユーロまたは全世界年間売上高の4%のいずれか高い方）に由来します。

AP通信は、情報開示義務を脚注ではなく、独立した違反として扱っている。Uberに対する1,000万ユーロの罰金は、GDPR第12条および第13条（データ保持情報が一般的すぎる、転送先が明記されていない、データポータビリティの権利が明記されていない）に基づいている。これは、プライバシーに関する声明に記載されていない事項に対する罰金である。また、AP通信は、有効な転送ツールを使用せずにドライバーのデータを米国に転送したとして、Uberに2024年に2億9,000万ユーロの罰金を科した。

短期的なリスクは通常よりも高い。欧州データ保護委員会による2026年の協調執行措置は、GDPR第12条、第13条、第14条を直接対象としており、参加当局は調査や事実確認を通じて各分野のデータ管理者にアプローチし、調査結果に基づいて必要に応じてフォローアップを行う。

企業として確認すべきことは何ですか？

あなたの声明と、あなたのウェブサイトやシステムが実際に行っていることを比較してください。AP通信はそうやってテストを行います。

• すべての目的がGDPR第6条に基づく法的根拠を明示していること、および正当な利益に依拠する場合は、その正当な利益が明記されていることを確認してください。
• 受取人名または意味のあるカテゴリ名を指定し、「当社のパートナー」といった表現は避け、それらを処理契約と照合してください。
• 各データカテゴリごとに、保持期間または使用可能な基準を指定してください。
• EEA域外の送金先国と、それぞれの国で使用されている保護措置を明記してください。
• 声明がクッキーバナーと、電気通信法第11.7a条に基づいて実際に発火するタグと一致していることを確認してください。
• ステートメントにバージョン日付を付与し、新しいツールや目的が本格的に稼働する前に更新してください。

プライバシーポリシーに関して、弊社ではどのようなお手伝いができますか？

当事務所のIT弁護士は、オランダ企業および外国企業に対し、GDPR（一般データ保護規則）に基づく情報提供義務について助言を提供しています。

• お客様の現在のプライバシーに関する声明をGDPR第12条、第13条、第14条に照らし合わせてレビューし、不足している点をリストアップします。
• お客様の処理活動登録簿に基づいて声明を作成します（GDPR第30条）。
• お客様のクッキーバナーとクッキーステートメントが、プライバシーポリシーと整合しているかどうかを確認します。
• 当社は、GDPR第27条に基づき、お客様がEU代理人を必要とするかどうかを評価します。
• 行政機関から質問が届いたり、調査が開始されたりした場合に、弊社がサポートいたします。

製品概要

• GDPRでは「プライバシーポリシー」という言葉は使われていませんが、第12条、第13条、第14条では、情報提供義務を果たすための唯一の現実的な方法として、プライバシーポリシーの公開を規定しています。
• 第13条は個人から収集されたデータに適用され、第14条はそれ以外の場所で取得されたデータに適用され、独自のタイミング規則と限定的な例外が設けられています。
• 声明は簡潔で、理解しやすく、容易にアクセスでき、平易な言葉で書かれていなければならない。受領者、保管、移転に関する曖昧な表現は、法執行の対象となる。
• 競合他社のポリシーや生成ツールではなく、自社の処理活動登録簿（GDPR第30条）に基づいて声明を作成し、基礎となる処理内容が変更されるたびに改訂してください。
• EU域内に事業所を持たないがオランダ市場をターゲットとする場合は、GDPR第27条に基づきEU代理人が必要かどうかを確認してください。

よくある質問