【弁護士解説】越境ECの「プライバシーポリシー」とCookie対策：個人情報の法律とトラブル回避術
越境ECでは、商品を海外へ販売することに目が向きがちですが、サイトを訪れた時点から顧客データの取得が始まっている場合があります。注文時の氏名・住所だけでなく、IPアドレスやCookie IDなども海外の法制度では個人データとして扱われることがあります。例えばGDPRでは、IPアドレスやCookie IDも個人データとなり得ます。 ここでは、越境ECの個人情報保護について企業から寄せられやすい疑問を3つ取り上げ、実務上のポイントを整理します。
Q1．越境ECの個人情報保護でよくある失敗・トラブルは何ですか？
よくある失敗の一つが、日本国内向けに作成したプライバシーポリシーをそのまま翻訳し、海外向けサイトへ掲載してしまうことです。国・地域によって、個人情報の定義や利用者に開示すべき事項、本人が行使できる権利などは異なるため、単純な翻訳だけでは現地法の要件を満たせない可能性があります。
また、Cookieバナーを設置していても、サイトを開いた時点で広告・解析用Cookieが作動していたり、「同意する」は簡単に選べる一方で「拒否する」が分かりにくくなっていたりするケースにも注意が必要です。EU・英国では、Cookieなどに関する同意について、利用者が自由かつ明確に選択できる仕組みが重要とされています。
さらに、顧客から個人データの開示・訂正・削除などを求められた際に、社内の担当者や対応手順が決まっていないこともトラブルの原因となります。「ポリシーを掲載して終わり」ではなく、実際のデータ処理と運用体制まで含めて確認しておきましょう。
Q2．個人情報・プライバシーポリシーで最も重要な注意点は何ですか？
最も重要なのは、「実際にどのデータを、何のために取得・利用しているのか」を把握し、それを販売先の法制度に合わせて適切に開示することです。例えば越境ECでは、氏名、住所、電話番号、メールアドレス、決済関連情報だけでなく、アクセス履歴、IPアドレス、Cookie ID、広告識別子など、さまざまなデータが取得される可能性があります。
GDPRでは、個人データを処理する企業等に対し、処理目的や法的根拠、保存期間、データの受領者、EU域外への移転の有無、本人が有する権利などについて情報を提供することが求められています。
そのため、まずは自社ECサイトで取得しているデータを洗い出し、決済サービス、アクセス解析、広告、SNS連携などを含め、「どのデータが、どこへ送られ、何に利用されているのか」を整理することです。その実態とプライバシーポリシーの記載内容が一致しているかを確認することが、海外対応の出発点となります。
Q3．個人情報関連のトラブルやペナルティを防ぐにはどうすればよいですか？
個人情報関連のトラブルを防ぐには、プライバシーポリシーの作成だけでなく、ECサイトの仕組みと社内運用を一体として整備することが重要です。まず、販売対象国を明確にしたうえで、GDPRやアメリカの州プライバシー法など、自社に適用される可能性のある法制度を確認します。そのうえで、取得するデータ、利用目的、第三者提供、保存期間、国外へのデータ移転などを整理し、実際の運用に沿ったプライバシーポリシーを整備します。
Cookieについても、必要に応じて同意管理の仕組みを導入し、利用者が適切に選択できるUIを設計することが必要です。また、顧客からデータの開示や削除などを求められた場合に備え、本人確認、社内での検索、削除の可否の判断、回答までの担当部署と手順を決めておきましょう。GDPRでは、権利行使の請求に対して原則1か月以内に回答することが求められています。
越境ECを開始する前から法務・EC・IT・マーケティングなどの関係部署が連携し、サイト上の表示だけでなく、データの取得から削除までを一貫して管理できる体制を構築することが、トラブルやペナルティを回避するための基本となります。
本記事では、越境ECにおける個人情報保護の基本的な考え方を整理したうえで、海外向けプライバシーポリシーの整備、Cookieの取得・同意の仕組み、越境データ移転、メルマガ等のオプトイン、ヨーロッパのGDPRやアメリカのCCPAへの対応、顧客からのデータ削除請求などの法的注意点について、越境ECに詳しい企業法務を扱う弁護士の視点からわかりやすく解説します。
-
弁護士 小野 智博（おの ともひろ）弁護士法人ファースト＆タンデムスプリント法律事務所 代表弁護士ECビジネス・Web 通販事業の法務を強みとし、EC事業立上げ・利用規約等作成・規制対応・販売促進・越境ECなどを一貫して支援する「EC・通販法務サービス」を運営している。EC企業からの相談に、法務にとどまらずビジネス目線でアドバイスを行っている。
著書「60分でわかる！ECビジネスのための法律 超入門」
目次
１．はじめに：なぜ越境ECで「個人情報・プライバシーポリシー」が最重要リスクなのか？
越境ECでは、商品を海外へ発送する前から、Webサイトを通じた個人情報・データの取得が行われています。購入者の氏名、住所、電話番号、メールアドレスなどはもちろん、CookieやIPアドレス、閲覧履歴、広告に関連する情報なども、国・地域によっては保護の対象となります。
特にヨーロッパのGDPRやアメリカの州ごとのプライバシー法など、日本とは異なる個人情報保護のルールが適用される可能性がある点には注意が必要です。プライバシーポリシーに何を記載するかだけでなく、Cookieの取得・同意方法、広告やアクセス解析サービスへのデータ提供、日本への顧客データの移転、顧客からの開示・削除請求への対応など、ECサイトの運営全体を通じた対策が求められます。
越境ECにおける個人情報対策は、「プライバシーポリシーを掲載すれば完了」というものではありません。自社がどのようなデータを取得し、どこで、何のために利用しているのかを把握したうえで、販売対象国の法規制に合わせてサイトの表示や仕組み、社内の運用体制まで整備しておくことが将来への安心につながります。
２．越境ECサイトに必須の「プライバシーポリシー」海外対応における基本事項
越境ECのプライバシーポリシーを整備する際は、日本国内向けの記載内容をそのまま翻訳するのではなく、販売対象国の法規制と実際のデータ利用状況を確認する必要があります。特に重要なのが、「どのようなデータを取得し、何の目的で利用するのか」「どこまでが保護対象となるのか」「取得したデータをどの国で処理・保存するのか」という3つの視点です。ECサイトで利用する決済、アクセス解析、広告などの外部サービスも含めてデータの流れを把握し、実態に合ったプライバシーポリシーを作成することが海外対応の基本となります。
2-1. 日本語の直訳はNG！海外特有の「データ利用目的」開示義務
日本国内向けのプライバシーポリシーを英語へ直訳しただけでは、海外の個人情報保護法に対応できない可能性があります。例えばEUのGDPRでは、個人データを取得する際、データを処理する目的だけでなく、処理の法的根拠、データの保存期間またはその決定基準、データの受領者、本人が有する権利など、さまざまな情報を本人へ提供することが求められています。
越境ECでは、「商品の発送」「問い合わせ対応」といった基本的な利用目的に加え、メールマーケティング、アクセス解析、広告配信、不正注文の防止など、複数の目的で顧客データを利用することがあります。さらに、決済会社や配送会社、広告事業者などの第三者がデータを取り扱う場合もあります。
そのため、まず実際のデータ利用状況を調査し、取得する情報、利用目的、第三者への提供などを整理することから始めます。日本語版を単に翻訳するのではなく、対象国の法律に照らして必要な開示事項を確認し、実際の運用と一致したプライバシーポリシーを整備する必要があります。
2-2. 「個人情報」の定義の違い：閲覧履歴やIPアドレスも保護対象に
越境ECでは、日本企業が一般的にイメージする「氏名や住所」だけを個人情報として管理していると、海外で必要な対応を見落とす可能性があります。国・地域によって保護対象となる情報の定義や範囲が異なるためです。
例えばGDPRの「personal data（個人データ）」は、識別された、または識別可能な自然人に関する情報を広く対象としており、氏名や住所、メールアドレスだけでなく、一定の場合にはIPアドレスやCookie IDなどのオンライン識別子も含まれます。ECサイトでは、アクセス解析や広告配信などによって、購入に至っていない訪問者のデータを取得しているケースもあります。
したがって、「注文時に入力された顧客情報だけを管理すればよい」と考えるのは適切ではありません。自社サイトに導入しているCookie、アクセス解析ツール、広告タグ、SNS連携などを確認し、どのようなデータが自動的に取得・送信されているのかを把握することが重要です。そのうえで、対象国の定義に従って必要な通知や同意などの対応を検討します。
2-3. 日本へ顧客データを持ち出す際の「越境データ移転」規制
海外の顧客から取得した個人データを日本の本社で確認・保存する場合、「海外で取得した情報だから日本企業が自由に利用できる」とは限りません。個人データを国外へ移転する際に、一定の条件を設けている国・地域があるためです。
代表的なのがGDPRにおけるEU域外への個人データ移転です。EUから第三国へ個人データを移転する場合、十分性認定や標準契約条項（SCC）など、GDPRが定める移転の仕組みを確認する必要があります。日本についてはEUから十分性認定を受けていますが、対象となる移転には一定の範囲や条件があるため、「日本への移転であればすべて自動的に問題ない」と考えるべきではありません。
また、実際の越境ECでは、日本本社だけでなく、海外のクラウドサービス、決済会社、広告サービスなど複数の事業者を経由してデータが処理されることもあります。どのデータが、どの事業者を通じて、どの国へ移転・保存されるのかを可視化し、必要な法的措置やプライバシーポリシー上の説明を確認しておきましょう。
3．売上や広告にも直結する「Cookie（クッキー）」同意の仕組みとUI設計
Cookieは、ログイン状態やショッピングカートの維持だけでなく、アクセス解析、広告配信、リターゲティングなど、越境ECの運営やマーケティングに広く利用されています。一方、Cookieを通じたデータの取得・利用には、販売対象国のプライバシー関連法規への対応が必要となる場合があります。特に広告・解析用Cookieについては、利用者への説明や同意取得の方法、拒否する選択肢などを確認します。法令遵守だけでなく、購入者の使いやすさや広告運用への影響も考慮しながら、適切なCookie管理とUIを設計する必要があります。
3-1. Cookieバナー（ポップアップ）設置の法的義務と「拒否権」の明示
海外向けECサイトでは、Cookieバナーを表示すれば、それだけで法的な対応が完了するわけではありません。どのようなCookieについて、どのような情報提供や同意取得が必要となるかを、販売対象国の法律に基づいて確認します。
例えばEUでは、ePrivacy指令とGDPRを踏まえ、オンラインサービスに不可欠ではないCookieについて、原則として利用者の事前同意が必要となります。そのため、広告やアクセス解析などにCookieを使用する場合には、必要な情報を示したうえで、利用者が自由に選択できる仕組みを整える必要があります。一方、ショッピングカートなどサービス提供に不可欠なCookieについては、同意が不要となる場合があります。
また、「同意する」ボタンだけを目立たせ、拒否や設定変更を極端に分かりにくくするなど、利用者の自由な選択を妨げるUIにも注意が必要です。Cookieの種類と目的を整理し、適用される法規制に応じて、同意・拒否・設定変更を適切に行えるCookieバナーを設計することが重要です。
3-2. 不適切なCookie取得が招く「広告アカウント停止」や「カゴ落ち」のリスク
Cookie対策は法令遵守だけの問題ではなく、広告運用やECサイトの売上にも影響する可能性があります。GoogleやMetaなどの広告・解析サービスには、それぞれデータ取得やユーザー同意に関するポリシーや利用条件が設けられています。適切な同意を取得せずに広告関連データを送信するなど、プラットフォーム側の要件に違反すれば、広告機能の制限などにつながる可能性があるため注意が必要です。
一方で、法的リスクを恐れるあまり、Cookieバナーを複雑にしすぎることにも問題があります。サイトを訪問するたびに大きなポップアップが表示されたり、選択肢が分かりにくかったりすれば、購入手続きへ進む前に利用者が離脱する原因となり、いわゆる「カゴ落ち」にもつながりかねません。
そのため、法令や広告サービスの要件を満たしながら、利用者が短時間で内容を理解して選択できるUIを設計することを心がけます。法務とマーケティングを別々に考えず、コンプライアンスと購入体験の両面からCookie管理を検討する必要があります。
3-3. メルマガ登録や会員登録時における「オプトイン（事前同意）」の徹底
越境ECでは、購入者や会員のメールアドレスを利用して、新商品やキャンペーン情報などを配信することがあります。しかし、商品購入や会員登録のために取得したメールアドレスだからといって、自由に広告・マーケティングメールを送信できるとは限りません。
例えばEUでは、GDPRだけでなくePrivacy指令なども関係するため、電子メールによるダイレクトマーケティングについて、原則として事前の同意（オプトイン）が求められる場面があります。一定の既存顧客に対する例外などもありますが、対象国のルールを確認する必要があります。また、同意を取得する場合には、何に同意するのかを利用者が理解できるようにし、後から同意を撤回できる仕組みも忘れてはなりません。
そのため、会員登録や商品購入への同意と、メルマガ・広告配信への同意を安易に一体化するのではなく、それぞれの目的に応じた適切な取得方法を検討する必要があります。チェックボックスの初期設定や配信停止方法など、実際の登録画面から配信後の運用まで確認することが、越境ECにおける個人情報トラブルの防止につながります。
４．【弁護士が解説】ヨーロッパやアメリカ特有の法的トラブルとペナルティ
越境ECでは、日本に拠点を置いているという理由だけで海外の個人情報保護法の影響を避けられるとは限りません。特にヨーロッパのGDPRやアメリカ・カリフォルニア州のCCPAなどは、一定の要件を満たす事業者に対して、個人データの取り扱いや消費者への情報開示、権利行使への対応などを求めています。違反した場合には、制裁金などの対象となる可能性もあります。海外販売を開始してから対応するのではなく、自社にどの法律が適用されるのかを確認し、プライバシーポリシーだけでなく実際のデータ管理や顧客対応まで整備しておきます。
4-1．巨額の制裁金が科される欧州「GDPR（一般データ保護規則）」の脅威
EUのGDPR（一般データ保護規則）は、EU域内に拠点を持つ企業だけを対象とした制度ではありません。EU域内の個人に対して商品・サービスを提供する場合などには、一定の条件のもと、日本企業にもGDPRが適用される可能性があります。そのため、EU向け越境ECでは特に注意が必要です。
GDPRでは、個人データの取得・利用に関する適法な根拠や情報提供、安全管理、本人の権利への対応など、幅広い義務が定められています。違反に対しては内容に応じて監督当局による警告やデータ処理の停止などがあり、重大な違反については最大2,000万ユーロまたは全世界年間売上高の4％のいずれか高い額までの制裁金が科される可能性があります。
したがって、「海外から注文が入ったから販売する」という段階でも、自社の販売活動がGDPRの適用対象となるかを確認することが重要です。EU市場を継続的に対象とする場合には、取得データ、Cookie、広告、越境データ移転などを含め、ECサイト全体のデータ処理を点検する必要があります。
4-2．アメリカ進出で壁となる「CCPA（カリフォルニア州消費者プライバシー法）」
アメリカ向け越境ECでは、「アメリカ全体で一つの個人情報保護ルールに対応すればよい」と考えないことです。州単位のプライバシー法が存在しており、その代表例がCCPA（カリフォルニア州消費者プライバシー法）です。CCPAでは、一定の要件を満たす事業者を対象として、カリフォルニア州の消費者に個人情報に関するさまざまな権利を認めています。
例えば、消費者には自分の個人情報について知る権利や削除・訂正を求める権利、個人情報の「sale」や「sharing」からオプトアウトする権利などがあります。2026年にはCCPA関連規則の更新も施行されており、一定の事業者に対するリスク評価やサイバーセキュリティ監査などの要件も追加されています。
ただし、CCPAはカリフォルニア州の消費者へ販売するすべての日本企業に一律に適用されるわけではありません。売上規模や取り扱う個人情報など一定の適用要件があるため、自社が対象となるかを確認したうえで、必要なプライバシー対応を整理しましょう。
4-3．万が一の顧客からの「データ削除請求（忘れられる権利）」に対する実務フローの欠如
越境ECの個人情報対策では、プライバシーポリシーを整備するだけでなく、顧客から実際に権利行使の請求が届いた場合に対応できる体制を構築する必要があります。例えばGDPRでは、一定の場合に本人が個人データの削除を求める「消去権」、いわゆる「忘れられる権利」が認められています。CCPAでも、一定の例外を除き、消費者が事業者に個人情報の削除を求める権利があります。
ただし、削除請求を受けたからといって、すべてのデータを無条件で削除すればよいわけではありません。GDPRでも、法的義務を果たすために保存が必要な場合や法的請求への対応に必要な場合など、消去権が適用されないケースがあります。
実務では、請求の受付、本人確認、対象データの特定、削除義務や例外の判断、外部サービスを含む削除処理、顧客への回答までのフローをあらかじめ決めておきます。EC・法務・ITなどの担当部署を明確にし、突然の削除請求にも適切に対応できる社内体制を構築すると安心です。
５．越境ECのプライバシーポリシー・個人情報対策について専門の弁護士へ相談すべき理由
越境ECの個人情報対策では、販売対象国によって適用される法律や求められる対応が異なるため、インターネット上のプライバシーポリシーのテンプレートを利用するだけでは十分とは限りません。まず、自社が取得する個人情報やCookie、利用目的、第三者への提供、データの保存・移転先などを整理し、実際の運用とプライバシーポリシーの内容が一致しているか確認する必要があります。
さらに、GDPRやアメリカの州プライバシー法への対応、Cookie同意の仕組み、広告・アクセス解析ツールの利用、顧客からの開示・削除請求への対応など、法務とEC運用の双方に関わる問題も少なくありません。専門の弁護士へ早い段階で相談することで、自社に適用される法規制と必要な対応を整理し、過不足のない対策を検討しやすくなります。
越境ECを継続的に成長させるためにも、販売開始後に問題が発覚して対応するのではなく、サイトの設計・運用段階から個人情報保護の体制を整備し、法改正や事業の拡大に応じて定期的に見直していくことが重要です。
６．弁護士法人ファースト&タンデムスプリント法律事務所が提供するサポート
弁護士法人ファースト＆タンデムスプリント法律事務所では、多くの企業様へのご支援を通じて、越境EC・海外向けECにおける個人情報保護やプライバシーポリシー、Cookie対応などに関する専門的な法律の課題を解決してきた実績があります。
- 越境ECサイトで取得・利用する個人情報やデータの整理
- 販売対象国の法規制に対応したプライバシーポリシーの作成・リーガルチェック
- GDPRやCCPAをはじめとする海外の個人情報・プライバシー関連法規の適用関係と必要な対応の整理
- CookieバナーやCookie同意、オプトインなど、ECサイト上の個人情報取得に関する仕組みの法的確認
- 海外で取得した顧客データを日本などへ移転する際の越境データ移転規制への対応
- 顧客からの個人データの開示・訂正・削除請求などに対応するための社内体制や実務フローの整備
- 個人情報の取り扱いやプライバシー対応をめぐるトラブルが発生した場合の初動対応の方向性
といった内容について、販売対象国、利用するECプラットフォーム、現在のプライバシーポリシーやCookieの運用状況など、現状の課題を簡潔に共有いただければ、必要となる個人情報・プライバシー対策を整理し、対応の方向性をご案内いたします。
当事務所では、問題解決に向けてスピード感を重視する企業の皆さまにご対応させていただきたく、「メールでスピード相談」をご提供しています。
初回の相談は無料です。２４時間、全国対応で受付しています。
問題解決の第一歩としてお問い合わせ下さい。
※本稿の記載内容は、執筆時点の法令・情報等に基づいています。
本稿は一般的な情報提供であり、法的助言ではありません。正確な情報を掲載するよう努めておりますが、内容について保証するものではありません。
