GDPR準拠のメール—知っておくべきこと

GDPRはマーケティングメールに同意を求めることを要求しています。どうやってそれを行いますか？同意を得る方法と、メールをGDPRに準拠させる方法について説明します。

メールはGDPRに準拠していますか？ 答えは通常、いいえです。メールはその性質上、個人情報を含んでおり、GDPRコンプライアンスの対象となります。準拠するためには、メール受信者が同意を与え、メールが暗号化される必要があります。

GDPRとは何か、そしてそれがメールとどのように関連しているのか？

一般データ保護規則（GDPR）フレームワークは、消費者とそのデータを保護することを目的とした欧州連合のセキュリティコンプライアンス規格です。より具体的には、GDPRは消費者が自分のデータと、メールのようなデジタルマーケティングチャネルを通じてどのように連絡を受けるかを管理するのを支援するために作成されました。

そのため、GDPRは企業がマーケティング目的で顧客にメールを送る方法に影響を与えます：

1. 顧客データを収集、保存、または使用する企業は、そのデータを保護しなければなりません。したがって、メールを使用して顧客からデータを収集する場合、またはメールを介して収集したデータを保存する場合は、それを保護する必要があります（通常は暗号化アルゴリズムを使用します）。
2. データを収集する企業は、個人データが処理される目的のために「必要以上に長く保持してはならない」とされています。つまり、企業は顧客データを永遠に保持することはできず、合理的に明確に定義されたビジネス目的のためにのみデータを保持しなければなりません。
3. GDPR第17条は、「忘れられる権利」を規定しており、消費者は企業のシステムから自分のデータの消去を要求し、管理する権利を持っています。GDPRによれば、これは拘束力があり、交渉の余地はありません。
4. 企業が消費者のデータを使用できる合法的な条件は6つだけです。同意、契約の履行、正当な利益、重要な利益、公共の利益、または法的要件です。

同意はGDPRとメールにおいて非常に重要な部分です。具体的には、GDPRは消費者データの使用に関する同意のいくつかの側面を定義しています：

• 消費者はそのデータの使用に対して自由で明確な同意を与えています
• 同意の要求は明確に定義され、他の通信（請求書など）とは異なる見た目でなければなりません
• 消費者はいつでも同意を撤回することができます
• 13歳未満の子供は親の許可なしに同意を与えることはできません

とはいえ、GDPRはメールマーケティングをブロックするものではなく、企業が個人のデータを使用してマーケティングを行う方法に対してより多くの保護を提供します。

マーケターにとってGDPRは何を意味するのか？

一般データ保護規則（GDPR）は、EU内で事業を行う企業だけでなく、EU市民の個人データを収集または処理するすべての組織に適用されます。そのため、マーケティング組織に広範な影響を与えます。

マーケティング組織は、個人データの収集と使用について透明性を持ち、顧客にデータのレビュー、更新、削除の機会を提供し、セキュリティとプライバシーの規制を遵守しなければなりません。また、健康、宗教、政治データなどの機密情報の収集に関するより厳しいルールにも従わなければなりません。GDPRに違反した場合、企業は高額な罰金やその他の影響を受ける可能性があります。

マーケティング組織は、データが責任を持って安全に共有されることを保証するためのデータガバナンスインフラを開発し、実施する必要があります。これには、データの正確性を確保し、必要な人だけがアクセスできるようにするプロセスを導入することが含まれます。さらに、顧客がデータの削除や修正を要求した場合に迅速に対応できる効率的なプロセスを持つ必要があります。

EUの住民は、マーケティング組織がGDPRに準拠している場合、いくつかの方法で利益を得ます。最も注目すべきは、顧客が自分のデータが安全であり、無許可または悪意のある目的で使用されていないことを信頼できることです。さらに、顧客は自分のデータが第三者に販売または共有されないことを保証され、データの使用方法に対するより多くのコントロールを持ち、いつでもデータの削除や修正を要求する権利を持っています。

GDPRに準拠したメール同意を維持する方法

同意はGDPRコンプライアンスにおいて重要な役割を果たします。すべての組織は、データを収集または処理する前にユーザーから明示的な同意を得なければなりません。これには、メール、連絡先情報、および個々のユーザーに関連するその他のデータが含まれます。有効な同意がない場合、組織は高額な罰金やその他のペナルティを受けるリスクがあります。ユーザーデータを安全に保ち、ユーザーがどのデータが収集され、どのように使用されるかを認識していることを確認することが重要です。

以下は、GDPRに準拠したメール同意を維持するために組織が考慮すべきいくつかの推奨事項です：

1. ユーザーがメールを受け取ることに同意していることを確認する：組織は、すべてのメールに対してユーザーが明示的な同意を提供するプロセスを確立する必要があります。この同意は明確で透明であり、どのデータが収集され、どのように使用されるかを明示する必要があります。
2. オプトアウトを簡単にする：組織は、ユーザーがメールをオプトアウトするのを簡単にする必要があります。すべてのメールには、ユーザーがメールをオプトアウトする方法と、オプトアウトした場合に何が起こるかを明確に示す解除オプションが含まれている必要があります。
3. ユーザーデータの要求を尊重する：企業は、ユーザーが保存したデータの表示、削除、または転送を要求する権利を尊重しなければなりません。これには、メール、連絡先情報、および個々のユーザーに関連するその他のデータが含まれます。
4. 安全なメールサーバーを使用する：組織は、ユーザーデータが保護され、無許可の第三者がアクセスできないようにするために、安全なメールサーバーを使用する必要があります。
5. 有効な同意を得る：組織は、メールを送信する前にユーザーから有効な同意を得ることを確認する必要があります。これには、ユーザーがどのデータが収集され、どのように使用されるかを認識していることを確認することが含まれます。
6. メール活動を監視する：組織は、ユーザーが同意なしにメールを受け取っていないことを確認するために、メール活動を監視する必要があります。これにより、組織はGDPRの要件を遵守することができます。

GDPRはCAN-SPAMとどのように関連しているのか？

非要請ポルノグラフィーおよびマーケティング（CAN-SPAM）法は、米国におけるメールマーケティングと消費者保護を規制する法律です。これらの法律には類似点がありますが、以下のような重要な違いもあります：

1. オプトインまたはオプトアウト。CAN-SPAMは「オプトアウト」法であり、企業は消費者が受信を拒否する方法を提供する限り、非要請のメールを送信することができます（通常はリンクやフォームを通じて）。一方、GDPRはメールを送信する前に同意を求めるだけでなく、その同意の明確に定義された形式または文書（または「オプトイン」）を必要とします。
2. オプトアウトの時間枠。CAN-SPAMの下では、企業はユーザーがオプトアウトした後、10日以内にユーザーをメーリングリストから削除する必要があります。対照的に、GDPRの下では、企業はユーザーを迅速にメーリングリストから削除しなければなりません。
3. 忘れられる権利。忘れられる権利はGDPRの一部です。米国法には忘れられる権利はなく、ほとんどの企業はユーザーのデータを削除する法的義務を負っていません。

一部の米国の法律はGDPRよりも厳しくない場合があります（カリフォルニア州消費者プライバシー法（CCPA）はGDPRとほぼ同等ですが）、そのため、EUのメールマーケターはユーザーデータを保護し、データをシステムから削除したいと望む消費者の要求に注意を払う義務があります。しかし、EUで事業を行う米国企業はGDPRに従わなければならず、これらの要件を満たすか、同じ罰則を受けることになります。

メールをGDPRに準拠させるにはどうすればよいですか？

この記事の目的のために、データの取り扱い方法と顧客に実際に連絡する方法の間で、メールとコンプライアンスへの影響を分解できます。

GDPRに準拠したメールを作成するための明らかな要素は同意です。明確な同意を得る方法を持ち、同意が自由に与えられたことを記録しておく必要があります。つまり、マーケティングに使用されるメール戦略やシステムが準拠を維持したい場合、ユーザーが同意を与えた時点からメールを送信する瞬間までの明確で途切れのない監査トレイルを持っている必要があります。

これはデータ削除の要求にも当てはまります。GDPRにおいて、企業は削除要求に迅速に対応しなければなりません。対応しない場合、最大2000万ユーロまたは年間世界収益の4％の罰金を受ける可能性があります。

データ保護に関しては、ビジネス目的でユーザーデータを転送または保存する際に暗号化を使用しなければなりません。これにより、メールを準拠させるためには、次のいずれかを行う必要があります：

• 個人情報を含むメールを暗号化する（つまり、送信されるすべてのメールを暗号化する必要があるかもしれません）、または
• 安全なサーバーとリンクを活用して、公開メールから個人情報を排除するメッセージングシステムを利用する。

後者のアプローチは暗号化の必要性を排除するものではありませんが、暗号化が必要な範囲を減らします（すべてのメールではなく、サーバーやクラウド環境）。これにより、受信者は適切な認証コントロールを備えた安全なサーバーに誘導されるだけであれば、あなたと同じ暗号化方法を使用する必要はありません。

KiteworksプラットフォームとメールのGDPRコンプライアンス

Kiteworksプラットフォームを使用すると、GDPRコンプライアンスを簡単かつ確実に維持できます。当社のプラットフォームは、消費者データを保護し、同意に関する重要な情報を記録するために必要な重要な監査とセキュリティを提供します：

1. 暗号化されたメールとストレージ：Kiteworksプラットフォームを使用すると、ユーザー向けにローカルで暗号化されたメールメッセージングを設定し、公開メールでリンクを送信できます。これにより、コストがかかり非効率的なメール暗号化を避けつつ、サーバー暗号化とユーザーアクセス管理コントロールを通じてユーザーデータに対する高度なセキュリティサポートを提供できます。
2. 途切れのない監査トレイル：ユーザーが同意を与えると、Kiteworksシステムは同意の時点から現在の日付までの明確で途切れのない監査トレイルを作成します。これにより、メール通信に対する同意がいつどこで与えられたかを文書化できます。さらに、この監査トレイルは、システム上でユーザーデータにアクセスしている人物を含むセキュリティ目的の証拠を提供することもできます。
3. 統合ダッシュボード：中央のダッシュボードから、消費者がデータ削除を要求したり同意を撤回したりする場合など、さまざまなセキュリティおよび記録の問題を監視し、対応できます。
4. 統合ツールとソフトウェア：Kiteworksは、デスクトップワークステーションに直接接続する統合されたMicrosoft O365ツールを利用しています。KiteworksプラットフォームとOfficeを使用すると、消費者のメールと保護を管理するための明確で準拠した同意フォームを作成できます。

KiteworksがどのようにしてGDPRに準拠したメールを確保するかを学ぶために、Kiteworksのカスタムデモを今すぐスケジュールしてください。