プライバシーポリシーにはどのサービスが該当するか？

個人データを処理する埋め込み型の第三者サービス — 分析、広告、フォント、地図、チャット、CDN、ホスティングなど — はすべてプライバシーポリシーに記載する必要があります。

プライバシーポリシーと同意バナーは、2 つの異なる問いに答えます。バナーはサービスがそもそも読み込んでよいかを規律します（TDDDG 第25条による同意）。プライバシーポリシーは GDPR 第13条の情報提供義務を果たすもので、同意以外の根拠で動作するサービス（ホスティング、CDN、サーバー側のスパムフィルター、フォント配信）も挙げる必要があります。バナーが不要なサービスでも、プライバシーポリシーには含めるべき場合があります。

各サービスの記載は決まった枠に従います。提供者の名称と住所、処理の目的、法的根拠（同意、契約、正当な利益）、処理されるデータの種類、保存期間、データが第三国に移転されるか、どこへ、どの根拠で移転されるか、そして撤回を含む本人の権利です。これらのいずれかが欠けると、その範囲でポリシーは不完全であり、組み込み自体が適法だったかにかかわらず、それは独立した、制裁金の対象となる違反です。

最も多い誤りは古いリストです。サービスはプラグイン、タグマネージャー、テーマの更新で追加されますが、プライバシーポリシーが追随しません。逆に、とうに削除されたツールがまだ記載されていることもよくあります。実用的な照合方法：ページをプライベートウィンドウで開き、ネットワークタブですべての外部ホストを控え、プライバシーポリシーと突き合わせます。少なくとも大きなサイト変更のたびに行います。

これはリスクですか？

GDPR第13条は、目的、法的根拠、受領者、保存期間、第三国への移転に関する情報を求めています。不完全なプライバシーポリシーは、埋め込み自体が許可されているかどうかにかかわらず、独立した違反となります。

対応方法

• 埋め込まれているすべてのサービス（プラグインやタグマネージャー経由のものも含む）の完全なリストを作成してください。
• 各サービスについて：提供者、目的、法的根拠、保存期間、受領者の国を記載してください。
• サイトに変更があるたびに、プライバシーポリシーを最新の状態に保ってください。
• 実際に読み込まれているサービスがプライバシーポリシーと一致しているか、定期的に確認してください。

よくある質問

ホスティングや CDN もプライバシーポリシーに書く必要がありますか？

はい。ホスティング事業者と CDN は訪問者の IP アドレスを処理し、GDPR 第13条の意味での受領者です。同意バナーは不要ですが、目的、法的根拠、必要に応じて第三国移転とともにポリシーに含める必要があります。

プライバシーポリシー生成ツールで十分ですか？

出発点としては十分です。生成されるテキストは標準的なサービスをカバーしますが、実際に使用しているツールに合わせて調整し、最新の状態に保つ必要があります。生成ツールは棚卸しも法的確認も代替しません。

プライバシーポリシーが不完全だとどうなりますか？

それは GDPR 第13条による独立した違反であり、データ処理自体が適法でも、監督機関が制裁金を科すことができます。実務上は、まず指摘や要請が中心になります。

プライバシーポリシーはどのくらいの頻度で確認すべきですか？

サービスを追加または削除する変更のたびに、加えて一定の周期（例：半年ごと）で確認します。日常的なチェックには、ネットワークタブで読み込まれた外部ホストをポリシーと突き合わせるだけで十分です。

consentglassがどう役立つか

無料チェックでは配信されたHTMLを解析し、どのサービスが埋め込まれているか、Cookieバナーが検出されるか、プライバシーおよび運営者情報へのリンクがあるかを、各所見の分類付きで表示します。法的助言に代わるものではありません。