国際的なサイトで無視できない、WordPressのGDPRに対する取り組み – Capital P

WordPressは全世界で使われているツールだが、その中でも一大勢力である欧州の新法GDPRに関連した取り組みをお伝えしたい。

GDPRとは？

GDPR(General Data Protection Regulation)とは、2018年5月25日（3ヶ月後！）からEUで施行される法律である。日本語にするとEU一般データ保護規則、Wikipediaからの引用は次の通り。

EU一般データ保護規則(GDPR) (規則 2016/679) は欧州議会、欧州理事会および欧州委員会が欧州連合 (EU) 内の全ての個人のためにデータ保護を強化し統合することを意図している。EU域外への個人データの輸出も対象としている。GDPRの第一の目的は、市民と居住者が自分の個人データをコントロールする権利を取り戻すこと、および、EU域内の規則を統合することで、国際的なビジネスのための規制環境を簡潔にすることである。

この法制の画期的な——ユニークと言ってもいい——点は、EU圏内に拠点を持つ事業者だけではなく、EU内の個人のデータを利用するEU外の企業もGDPRを無視できない点にある。GDPRの詳細については筆者の不勉強により正確を期すことは難しいのだが、最近はやりの越境ECなどを行っている事業者は無縁ではない。また、なんらかのオンラインサービスを提供している場合も、該当する。

事業者250名以下の企業には免除項目があること、日本のように欧州委員会から見たら個人情報保護レベルが低い国は免除されないことなど、様々な適用条件があるのだが、目を引くのはその罰則の厳しさだ。

初回かつ意図的でない違反の場合は、書面による警告

規則に基づく定期的なデータ保護監査

企業の場合、10,000,000ユーロ、または、前会計期間の全世界の売上高の2%のうち、いずれか大きい方の過料 (第83条4項[16])

企業の場合、20,000,000ユーロ、または、前会計期間の全世界の売上高の4%のうち、いずれか大きい方の過料 (第83条5項および6項[16])

筆者は10,000,000ユーロを持っていないので、なんとしても従わなければならなそうだ。「日本だから関係ないでしょ」で済めばハッピーなのだが、このサイトCapital Pのように有料会員制度を備えたサイトに欧州人が一人でも登録したらGDPRに対応しなければならないのだろう。GDPR対応は各国のユーザーにとって急務となっており、時間を表示してあせらせるサイト The GDPR count down clock も存在する。

ヨーロッパはアジアやアメリカに比べて人権意識が強く、忘れられる権利の判決が出たのもフランスである。そもそも「人権」が発明されたのがヨーロッパだ。GDPRはそんなヨーロッパらしさが十全に表れた法律だといえるだろう。

WordPressの対応状況

GDPRに対応するためには、個人情報収集の拒否ができるようになっていなければならないし、「忘れられる権利」のために個人情報をあとから削除／仮名化できるようになっていなければならない。たとえば、WordPressはデフォルトだとユーザー登録はできても退会はできないが、これは場合によってはGDPR違反になりうるというわけだ。

こうした動きに対応すべく、すでにコアチームでは GDPR Compliance に関する議題が上がっており、大方針としてはコアに必要な機能を実装するようだ。EU限定の法制度ではあるが、ユーザーがヨーロッパに多いことと、影響が世界中に及ぶことが関係しているのだろう。WooCommerceのように、GDPR対策を推進する強いモチベーションを持つ企業も多い。

場合によっては、ログイン・登録フローが大幅に変わったり、サイトの下部になんらかの同意を促すバナーが表示されるようになったりするかもしれないので、UIにこだわりのある方は動向を追っておいた方がよいだろう。

WooCommerceのブログでは早速GDPRに対する反対意見（ユーザーの0.5%しかヨーロッパ人がいないアメリカのサイトが費用をかけてまでGDPR対策をすべきなのか？）は出ており、あとは実際の運用がどのようになるのかというせめぎ合いがしばらく続くだろう。「あなたのサイトがGDPR対策をすべきか判定するサービス」も登場しており、めざとい商売人はすでにアップを始めている。

余談：国際的な影響力を持つ法律の制定は増えていくか？

繰り返しになるが、GDPRは欧州に拠点を持たない企業も罰則の対象になるユニークな法律である。ターゲットとしているのは、GoogleやFacebookといったその本拠地を米国（EU域外）におく超巨大Web企業であることは明らかだ。

日本でもベストセラーとなったトマ・ピケティ『21世紀の資本』では、税金逃れでタックス・ヘイブンに本社を移す巨大企業から税金を搾り取るために、国際的な法整備の必要性が訴えられていた。GDPRはその個人情報保護バージョンとして世界に受け入られるのか、それとも単なる一地域（EU）の主張として形骸化されるのか、今後の世界情勢を占う上で興味深い事案である。