フランスEコマースのRGPD 2026：CNILコンプライアンス、Cookie同意、データ保護義務

1. RGPDの概要 — フランスのEコマース事業者が知っておくべきこと

そもそも Reglement General sur la Protection des Donneesは、国際的には EU GDPRとしてよく知られている、欧州議会および理事会の規則（EU）2016/679です。 2018年5月25日 に全27加盟国で直接適用されるようになり、2026年においても、フランスに販売するEコマース事業者が習得すべき最も重要な規制です。フランス語の略称 RGPD は、CNILの決定、業界別の行動規範、破毀院（Cour de cassation）の判例を含め、行政・司法・商取引の実務全般で使われています。

他の加盟国と比べてフランスが特に厳しいのは、3つの法的階層が組み合わさっている点です。第一に、RGPD自体が実体的なルールを定めています。適法な根拠、目的の限定、データの最小化、正確性、保存の制限、完全性と機密性、そしてそれらを包括するアカウンタビリティの原則です。第二に、 Loi Informatique et Libertes （1978年1月6日の法律第78-17号。2018年に法律第2018-493号で、さらに2019年にオルドナンス第2018-1125号で大幅に改正）は、RGPDをフランスの実情に合わせて調整しています。デジタル同意年齢（15歳）、健康データや司法データに関する追加手続き、そしてCookieとトラッカーを規律する有名な第82条などです。第三に、CNILの決定、勧告、レファレンシエル（referentiels）、Sandboxの成果物が分厚い運用ガイダンスの層を形成しており、フランスの裁判所はこれを準拘束的なものとして扱っています。

なぜEコマースがCNILの注目を集めるのか

オンライン事業者は、CNILが精査するほぼすべての処理カテゴリーを併せ持っています。識別情報・連絡先データの大規模処理、決済データ、パーソナライズのための行動プロファイリング、米国のアドテク事業者へのデータ越境移転、再エンゲージメントキャンペーンのための長期にわたるCRMデータ保存です。CNILの2024〜2027年戦略計画では、 Eコマース、モバイルアプリ、デジタル広告 が重点執行分野として明記されています。2026年だけでも、CNILは小売業者に対する複数の注目案件を処理しました。不適法なCookieバナー（「同意」側に偏ったデザイン）、過剰なCRM保存（3年を超える休眠見込み客データ）、第30条記録の欠如や更新漏れなどです。

月間数千件の注文がある典型的な中小規模のショップにとって、コンプライアンスの負担は現実的なものですが、十分に対処可能です。CMP（CookiebotまたはOneTrust）、記録のテンプレート、明確なエスカレーション手順書に支えられた、数週間の集中的な作業で対応できます。数十万件のレコード、サーバーサイドのアドテク、海外倉庫を抱える大規模事業者には、体系的なRGPDプログラムと、ほぼ必ず専任のDPOが必要です。

実際に使用する適法な根拠

• 契約の履行（第6条1項b） — 注文、配送、返品、請求書、アフターサポートの処理における主要な根拠です。同意は不要で、データは契約の履行に必要なものです。
• 法的義務（第6条1項c） — 会計記録の保存（Code de commerceに基づき10年）、請求書発行要件、税務記録、マネーロンダリング対策のチェックが該当します。
• 正当な利益（第6条1項f） — 不正防止、ITおよびネットワークのセキュリティ、一部構成における基本的なWeb分析、事業者向けのB2B営業活動。文書化された比較衡量テスト（LIA — Legitimate Interest Assessment）が必要です。
• 同意（第6条1項a） — マーケティングCookie、行動ターゲティング広告のトラッカー、非顧客へのB2CメールやSMSによる営業、プッシュ通知、任意のパーソナライズ機能のすべてに必要です。

Eコマース事業者が誤解しがちな基本原則

CNILの監査報告書は、毎年同じ間違いを指摘し続けています。必須項目が多すぎる登録フォーム（データの最小化 違反）、いつまでも有効なまま放置される顧客アカウント（保存の制限 違反）、個人データを漏えいさせる無秩序なSlackやNotionのエクスポート（完全性と機密性 違反）、不要な識別子を含むダッシュボードやレポート（目的の限定 違反）です。これらのパターンはいずれもプラットフォーム設計の段階で修正可能であり、それこそがRGPD 第25条（データ保護バイデザインおよびバイデフォルト） が求めていることです。

2. CNIL — フランスのデータ保護機関

CNILとは何か

フランスの Commission Nationale de l’Informatique et des Libertes は、現在の形の欧州連合が誕生するはるか前、1978年1月6日のLoi Informatique et Libertesによって設立されました。これはSAFARIスキャンダル — 1974年に、全フランス国民の行政ファイルを単一の国民識別番号のもとで相互接続しようとした計画 — に対するフランスの回答であり、世界で最も歴史の古い独立データ保護機関の一つです。

CNILは 独立行政機関（autorite administrative independante、AAI）であり、国から資金提供を受けながらも、政府の指揮系統から独立して権限を行使します。2026年の職員数は約 290名で、強力な技術チーム（CNIL LINCラボ）、分野別の検査部隊、法律専門家、そして制裁を決定する委員会（formation restreinte）を擁しています。

CNILがオンラインショップに対して行使できる権限

• 現地調査、オンライン調査、書面調査 — CNILの職員は倉庫を訪問し、サーバーログを要求し、CMSの設定を調査できます。オンライン調査（audit a distance）は2022年以降急増しており、Cookieバナーやアドテクのタグが対象となっています。
• 正式な是正命令（mises en demeure） — 定められた期限内に是正するよう求める行政命令です。現在では多くの命令が 公表されるため、評判に大きな圧力がかかります。
• 行政制裁金 — 最も重大な違反については、RGPD第83条に基づき最大で EUR 20 millionまたは全世界年間売上高の4% のいずれか高いほうが科されます。2022年に導入された簡易手続きによるCookie違反については、最大で 売上高の2% が科されます。
• 履行強制金付きの差止命令（astreintes） — CNILは具体的な是正措置を命じ、従わない場合に1日あたりの強制金を科すことができます（例：1日あたりEUR 5,000）。
• 社名の公表 — 決定は事業者名とともにcnil.frで全文公開されることが増えており、報道でも必ず取り上げられます。

CNILの執行はどのように変化してきたか

CNILの2024〜2027年戦略計画は、 より多く、より速く、より焦点を絞った 執行へと明確に舵を切ることを打ち出しました。2022年3月24日のデクレで導入された簡易制裁手続きでは、制限委員会の委員1名だけで、明白な違反 — 特にCookie同意の不備 — について中小企業に最大 EUR 20,000 の制裁金を科すことができます。2026年までに、この手続きだけで小規模事業者に対する執行措置が年間数百件処理されるようになりました。

DPOとCNIL：選任届出の手続き

データ保護責任者（DPO）を選任する場合は、CNIL専用ポータルから 正式に届け出る 必要があります。届出にはDPOの連絡先が含まれ、それは公開検索が可能になります。CNILは調査においてDPOを主要な窓口として扱います。DPOが不在、名ばかり、または活動していない場合は、制裁決定において繰り返し加重要素とされています。

3. Cookie同意 — バナーは必須

法的根拠：Loi Informatique et Libertes第82条

フランスにおけるCookieおよびその他のトラッカーは、 Loi Informatique et Libertes第82条によって規律されています。これはePrivacy指令（2009/136/ECにより改正された2002/58/EC）第5条3項を国内法化したものです。ルールはシンプルです。 ユーザーが明示的に求めたオンライン通信サービスを提供するために厳密に必要とされる場合を除き、ユーザーの端末への情報の保存または端末上の情報へのアクセスには、事前の同意が必要です.

CNILは運用ルールを 決定第2020-091号 （2020年9月17日付の勧告）および付随するガイドラインで明確にし、2026年までの執行実務によってそれを補完してきました。主な要件を以下にまとめます。

2026年の適法なCookieバナーが満たすべき要件

• 同意前に、必須でないすべてのCookieをブロックする。 ユーザーが「同意」をクリックする（または項目ごとに選択する）前に、分析ツール、広告タグ、Hotjar/Clarity、Facebook Pixelを一切作動させてはなりません。
• 「すべて同意」と「すべて拒否」を同じ階層で提示する。 拒否は同意と同じくらい簡単でなければならず、両方のボタンは同等の視覚的な重み（色のコントラスト、サイズ、位置）を持たなければなりません。
• 目的を明確に列挙する — 利用状況の測定、広告、ソーシャル共有、パーソナライズなどの目的ごとに、同意または拒否を選べるようにします。
• いつでも撤回できるようにする — 常に再表示できる仕組み（一般的にはフッターにある小さなCookieアイコン）を設けます。
• 同意の証拠を保管する — 同意ID、タイムスタンプ、CMPのバージョン、目的、ベンダーリスト、一部を切り詰めたIPを、同意の有効期間に加えて合理的な証拠保全期間（CNILは撤回後最長6か月を目安としています）にわたり保管します。

禁止されていること

• 事前にチェックが入ったボックス — 同意は能動的なものでなければなりません。
• 代替手段のないCookieウォール — コンテンツへのアクセスをCookieの受け入れを条件とすることは、CNILの2022年のCookieウォールに関するガイダンスにおいて、実質的に同等の代替手段（一般的には合理的な価格設定の有料「pay or consent」モデル）が提供される場合にのみ適法とされています。
• 視覚的な誘導 — 色付きの「同意」ボタンとグレーの「拒否」ボタンという組み合わせは、複数のCNIL制裁で指摘された典型的な違反です。
• 「Continuer la navigation」型の黙示の同意 — 単にスクロールしたり別のページに移動したりするだけでは、同意とはみなされません。
• 一括同意 — 個別の選択肢なしに30社の異なるベンダーをまとめてカバーする1つの「同意」ボタンは、特定性を満たしません。

Cookiebot、OneTrustなど — CMPの選び方

同意管理プラットフォーム（CMP）は、バナーの表示、同意の取得、ベンダー管理、証拠の保管を自動化します。フランスで最も広く使われているCMPは Cookiebot （Usercentricsグループ、デンマーク）と OneTrust （米国、EU域内データ保管オプションあり）の2つです。どちらもIAB TCF v2.2フレームワークに対応し、CNILのガイダンスに合わせて設定済みのフランス向けテンプレートを提供し、Google Tag Managerを介したサーバーサイドでの表示も可能です。

検討に値するフランスの代替製品： Axeptio （パリ、「French Tech」ラベル取得）、 Didomi （パリ、Euronext Growth上場）、 Sirdata Choice、そしてオープンソースの Tarte au Citronです。どのCMPを選んでも、コンプライアンスの責任は管理者であるお客様にあります。CMPは第28条に基づく処理者です。

4. プライバシーポリシー — すべてのショップが公開すべき文書

RGPD第13条・第14条：情報提供義務

RGPD第13条および第14条は、データ主体に提供しなければならない情報を網羅的に列挙しています。データを直接収集する場合（第13条）は 収集時に 、間接的に収集する場合（第14条、例：マーケティングデータブローカーによるデータ補完）は合理的な期間内（最長1か月）に提供しなければなりません。

フランスのEコマース向けプライバシーポリシーの必須記載事項

• 管理者の身元と連絡先 — 正式な法人名、SIREN、登記住所、電子的な連絡先。
• DPOの連絡先 （選任している場合。例： rf.pohsruoy@opd).
• 処理の目的と適法な根拠 — 目的ごとに記載します。注文処理（契約）、会計記録の保存（法的義務）、ニュースレター（同意）、不正防止（正当な利益）など。
• 受領者または受領者のカテゴリー — 配送業者（Colissimo、Chronopost、Mondial Relay、DPD France）、決済代行業者（Stripe、Adyen、PayPal、PayTR）、CRMツール、アドテクベンダー。
• 越境移転 — データがEEA域外に出る場合は、移転先の国、保護措置（DPF、SCC、BCR、例外規定）、および写しの入手先を明記します。
• 保存期間 — 汎用的な「必要な期間」ではなく、データのカテゴリーごと・目的ごとに記載します。
• データ主体の権利 — アクセス、訂正、削除、処理の制限、データポータビリティ、異議申立て、自動化された意思決定に関する権利、CNILへの苦情申立権。
• データの取得元 — データ主体から直接収集していない場合。
• 自動化された意思決定の有無 — プロファイリングを含み、そのロジックと影響に関する有意義な情報（例：不正スコアによるブロック、ダイナミックプライシング）を記載します。

作成の実践的なヒント

CNILは、特に2022年の「明確でアクセスしやすい情報提供のための具体的なステップ」ガイダンスにおいて、プライバシーポリシーは 簡潔で、透明性があり、理解しやすく、容易にアクセスできるものでなければならず、 明確で平易な言葉で書かれていなければならないと明言しています。法律用語だらけの何ページもの文書は準拠していません。2026年に一般的に認められているのは二層構造の通知です。上部に短く目を通しやすい要約（表、アイコン、平易なフランス語）を置き、その下で目的ごとの詳細にアクセスできるようにします。

プライバシーポリシーへのリンクは、すべてのフッター、同意チェックボックスの近くにあるすべてのフォーム、そしてすべての取引メール（注文確認、発送通知、アフターサービス）に設置します。ポリシーは バージョン管理され、日付が記載されている必要があり、実質的な変更を行う場合はデータ主体への通知が必要です。

5. 第30条記録とデータ保護責任者（DPO）

第30条記録：アカウンタビリティの基盤

RGPD 第30条に基づき、すべての管理者とすべての処理者は、処理活動に関する書面の記録（Registre des activites de traitement、RAT）を維持しなければなりません。これはフランスのEコマースDPOが最新の状態に保つべき最も有用な文書です。CNILの調査官があらゆる監査の冒頭で提出を求める入口となる文書だからです。

記録に含める内容

• 管理者、共同管理者、代理人、DPOの名称と連絡先。
• 処理の目的 — 目的ごとに1行（注文管理、顧客アカウント、ニュースレター、営業活動、ロイヤルティ、不正対策など）。
• データ主体のカテゴリーと個人データのカテゴリーの説明。
• データが開示された、または開示される予定の受領者のカテゴリー（第三国の受領者を含む）。
• 該当する場合、第三国または国際機関への移転と、文書化された保護措置。
• 可能な場合、データのカテゴリーごとに想定される削除期限 — いわゆる「保存期間」の列です。
• 可能な場合、技術的・組織的なセキュリティ対策の概要。

DPOの選任が義務となる場合

RGPD第37条は、DPOの選任が義務となる3つの条件を定めています。Eコマース事業者に最も関係が深いのは次のものです。

• 中核的な活動が、データ主体の定期的かつ体系的な大規模監視を必要とする処理業務で構成されている場合。 これには通常、大規模なロイヤルティプログラム、行動ベースのレコメンドエンジン、継続的な見込み客スコアリング、大規模なリターゲティングが該当します。
• 中核的な活動が、特別な種類のデータの大規模処理で構成されている場合 （健康、生体、宗教、政治）、または刑事上の有罪判決に関するデータ。一般消費財のみを扱うEコマースは通常この条件に該当しませんが、パラファルマシー（薬局関連商品）、度付き眼鏡、生体情報によるサイズ測定などの分野は該当します。

義務でない場合でも、CNILは従業員数がおおよそ50名以上、オンライン年間売上高がEUR 10M以上、またはCRM上で有効な顧客レコードが100,000件を超える場合には、DPOを選任することを強く推奨しています。DPOは社内でも社外（共同利用）でもよく、経営トップに直接報告しなければなりません。

DPOの独立性とリソース

RGPD第38条および第39条はDPOの独立性を保護しています。DPOは職務の遂行を理由に不利益を受けたり解任されたりしてはならず、必要なリソースを提供され、個人データに関するすべての問題に適切かつ適時に関与させなければなりません。破毀院（Cour de cassation）は（2023〜2024年の複数の判決で）、DPOに対する報復 — たとえば批判的な意見を述べた後に職務から外すこと — は違法行為であると確認しています。

6. データ主体の権利 — アクセス、訂正、削除、データポータビリティ

8つの権利の一覧

• アクセス権（第15条） — 処理が行われているかの確認と、データの写しを入手する権利。
• 訂正権（第16条） — 不正確なデータを訂正し、不完全なデータを補完する権利。
• 削除権・忘れられる権利（第17条） — 定められた場合（同意の撤回、データがもはや必要でない、違法な処理など）に削除を求める権利。
• 処理の制限を求める権利（第18条） — 係争中に処理を凍結する権利。
• データポータビリティの権利（第20条） — 個人データを構造化され、一般的に利用され、機械可読な形式で受け取り、技術的に可能な場合は他の管理者へ移転させる権利。
• 異議申立権（第21条） — 特にダイレクトマーケティングに対する異議申立ては絶対的かつ無償です。
• プロファイリングを含む、自動化された個人に関する意思決定に関する権利（第22条） — 法的効果またはそれと同様の重大な影響を生じさせる、自動処理のみに基づく決定の対象とされない権利。
• 監督機関に苦情を申し立てる権利（第77条） — フランスではCNILです。

実務でのDSAR対応方法

なお、 データ主体アクセス請求（DSAR） には、受領から 1か月以内 に回答しなければなりません。複雑な請求の場合は2か月延長できます。請求が明らかに根拠のないものや過剰なもの（まれです）である場合を除き、回答は無償でなければなりません。本人確認書類の提示を求めることができるのは、請求者の身元に合理的な疑いがある場合に限られます。CNILは、パスポートのスキャンを一律に要求していた複数の事業者に制裁金を科しました。これは過剰な要求とされます。

堅牢なDSARワークフローには、受付窓口（Webフォーム＋ rf.pohsruoy@opdのような専用メールアドレス）、リスクに応じた本人確認ステップ、あらゆるシステム（CRM、ERP、注文データベース、チケット管理、マーケティングプラットフォーム、アドテクのID統合）にわたる体系的な検索、第三者のデータを黒塗りするレビューステップ、そして安全なダウンロード（暗号化ZIP、有効期限付きリンク）による提供ステップが含まれます。

Eコマースにおける削除権：現実のエッジケース

完全な削除が絶対的に認められることはまれです。オンラインショップでの典型的なパターンは次のとおりです。

• CRMとマーケティングツールから削除 — 完全に削除します。
• 5年（商事時効）を超えた注文記録を匿名化 — 氏名と住所をハッシュ化した仮名識別子に置き換えますが、会計のために請求金額と商品参照情報は保持します。
• 請求書はCode de commerce第L.123-22条に基づき、 10年間 中間保管します — 法的義務は削除請求に優先します。
• 不正スコアリングの判定は、AML/CTFポリシーで定めた保存期間 — 通常は取引関係の終了から5年 — にわたり保持します。

データポータビリティの形式と範囲

データポータビリティの対象は、 データ主体が提供した データ（アカウント項目、住所、本人が入力した注文履歴）であり、 構造化され、一般的に利用され、機械可読な形式 — 実務上はJSONまたはCSV — で提供されます。不正スコア、顧客生涯価値の計算、RFMクラスターなどの派生データは対象外です。技術的に可能な場合は、データ主体が指定した別の管理者へデータを直接移転しなければなりません（第20条2項）。

7. データの越境移転 — SCC、DPF、Schrems II

Schrems II以降の法的な全体像

欧州司法裁判所（CJEU）の Schrems II 判決（事件番号C-311/18、2020年7月16日）は、EU-US Privacy Shieldを無効とし、EUから十分性認定のない第三国への個人データ移転の条件を大幅に厳格化しました。その後に再構築された枠組みには3つの柱があります。

• 十分性認定（第45条） — 欧州委員会が、第三国が本質的に同等の保護水準を提供していると認定するものです。2026年時点では、英国、スイス、日本、韓国、カナダ（商業部門）、ニュージーランド、イスラエル、アルゼンチン、ウルグアイ、アンドラ、フェロー諸島、ガーンジー、マン島、ジャージー、そして2023年7月10日以降は米国（ EU-US Data Privacy Framework（DPF） の認証を受けた輸入者に限る）が対象です。
• 適切な保護措置（第46条） — 十分性認定のない国に対して最も一般的な手段は、新しい 標準契約条項（SCC） （2021年6月4日の欧州委員会実施決定2021/914）であり、EDPB勧告01/2020に基づく 移転影響評価（TIA） と、保存時および転送時の暗号化、仮名化、政府によるアクセス要求に対する契約上の異議申立てといった補完的措置を組み合わせて使用します。
• 例外規定（第49条） — 明示的な同意、契約の履行、公共の利益など。臨時的かつ非体系的な移転にのみ使用します。

自社のシステム構成にとっての意味

個人データを扱うすべてのベンダーを洗い出し、移転ごとにラベル付けします。

• Stripe、PayPal、Adyen — EU法人が存在します。DPA（データ処理契約）で契約主体を確認してください。
• Google Workspace、Google Analytics 4、Google Ads — DPFに基づく米国への移転です。バックアップとして通常モジュール2（管理者から処理者へ）のSCCが適用されます。
• AWS、Cloudflare、Datadog — 移転ルールは選択したリージョンによって異なります。EUリージョンでの運用＋DPFによる補強が現時点での最善の方法です。
• Meta（Facebook、Instagram）ピクセル、TikTokピクセル — 米国・中国への移転です。同意＋SCC＋TIAに文書化したリスク受容が必要です。
• メールツール（SendGrid、Mailchimp、Klaviyo） — 契約主体、EU域内保管オプション、DPFのステータスを確認してください。

30分でできるTIA

移転影響評価は、次の事項を記録する構造化された文書です。データの性質、受領者、輸入国、その国の法的枠組み（政府によるアクセス、国家安全保障上の例外）、アクセスの現実的な可能性、実施している補完的措置、そして結果としての残存リスクです。EDPBの6ステップの手法が事実上の標準です。ベンダーごとに、TIAを第30条記録の該当行と一緒に保管しましょう。

8. 侵害通知 — 72時間のカウントダウン

個人データ侵害に該当するもの

RGPD第4条12項は、個人データ侵害を 送信、保存、またはその他の方法で処理された個人データの偶発的または違法な破壊、紛失、改変、無権限の開示、またはアクセスにつながるセキュリティ侵害と定義しています。Eコマースで繰り返し起こるシナリオは、乗っ取られた管理者アカウントによる顧客リストの流出、設定ミスのあるS3バケットによる請求書の流出、フィッシングを起点とした倉庫での詐欺による配送先住所の漏えい、暗号化されていないCRMデータを保存したノートPCの盗難、攻撃者が顧客アカウントに侵入できるクレデンシャルスタッフィング攻撃などです。

72時間以内の通知義務

法律上、 RGPD第33条に基づき、管理者は、自然人の権利と自由に対するリスクを生じさせる可能性が低い場合を除き、 侵害を認識してから不当な遅滞なく、かつ可能な場合は72時間以内にCNILへ通知しなければなりません。通知が72時間を過ぎた場合は、遅延の理由を添えなければなりません。

通知はCNILのオンラインポータル notifications.cnil.frから行います。侵害の性質、関係するデータ主体とレコードのカテゴリーおよびおおよその件数、DPOの連絡先、想定される影響、講じた措置または講じる予定の措置を記載しなければなりません。

データ主体にも通知しなければならない場合

また、 第34条に基づき、侵害が自然人の権利と自由に対して 高いリスクを生じさせる可能性がある 場合は、影響を受ける個人に対して、不当な遅滞なく、明確で平易な言葉で連絡しなければなりません。一般的に、金融データ、身分証明書、健康データ、または大量の連絡先データが流出した場合は高リスクに該当します。

適用除外もあります。データを無権限者にとって判読不能にする強力な暗号化や仮名化を講じていた場合、高いリスクが現実化する可能性がなくなるような措置をその後に講じた場合、あるいは個別の通知が過大な労力を要する場合（その場合は公表で代替します）です。

72時間プレイブック

1. 0時間目 — アラート発生。SOCまたはシステム管理者がインシデントチケットを起票し、直ちにDPOに連絡します。
2. 0〜4時間目 — トリアージ。個人データは実際に関係しているか？どのカテゴリーで、どれだけの量で、どの時間帯か？ローテーションされる前にログとIOCのスナップショットを取得します。
3. 4〜24時間目 — 封じ込めとフォレンジック証拠の保全。認証情報の変更、トークンの失効、IPのブロック、データエクスポートの凍結を行います。
4. 24〜48時間目 — 個人データ侵害通知の事例に関するEDPBガイドライン9/2022を用いたリスク評価。CNILに通知するか？データ主体に通知するか？を判断します。
5. 72時間目まで — notifications.cnil.frからCNILへの通知を行います。事実関係がまだ明らかになりつつある段階であれば、部分的な通知を行い、後で更新します。
6. インシデント後 — 根本原因分析、是正計画、社内の侵害記録への登録（第33条5項）、経営陣への報告を行います。

侵害記録の維持

RGPD第33条5項は、管理者に対し、事実関係、その影響、講じた是正措置を含め、すべての個人データ侵害を文書化することを求めています。この記録は、CNILの要請に応じて提供できるようにしなければなりません。（リスクが低いと評価されたために）通知しなかった侵害も、その理由とともに記録しなければなりません。これはCNILの調査官が最初に確認する事項の一つです。

9. Cookieレス分析 — CNILのガイダンスとツール

なぜCNILはCookieレスを推進するのか

CNILはこの5年間、フランスのパブリッシャーと事業者に対し、 Cookieレス、または適用除外の対象となる分析への移行を積極的に奨励してきました。理由は単純です。厳格に設定された利用状況の測定は第82条の同意の適用除外に収まるため、Cookieバナーによる離脱がなく、すべてを拒否する30%以上のユーザーのデータも失われず、コンプライアンス上の立場もずっとすっきりします。

CNILによる利用状況測定の適用除外基準

• 管理者自身の利益のためにWebサイトの利用状況を測定することに厳密に限定されていること。
• 他の処理との照合を行わないこと（クロスサイトのプロファイリングなし、行動ターゲティング広告のオーディエンスなし）。
• 第三者にデータを送信しないこと — 処理者としての関係のみ認められます。
• IPアドレスを切り詰めること（IPv4では少なくとも最後のオクテット）、および短い識別子を使用すること。
• 保存期間を限定すること — CNILはCookieまたは識別子について最長13か月、生データについて最長25か月を認めています。
• プライバシーポリシーでユーザーに明確な情報を提供し、文書化されたオプトアウトを用意すること。

適用除外に適合するツール

• Matomo（セルフホストまたはMatomo Cloud EU） — 定番のツールで、CNILが承認した設定ガイドがあります。
• Piwik PRO Core Plan — EU域内でのデータ保管（フランクフルト、ワルシャワ）、CNILの適用除外に対応した設定が文書化されています。
• AT Internet Analytics Suite（現在はPianoの一部） — 大手メディアグループが使用する、フランスの企業向け標準ツールです。
• Plausible（EU内ホスティング） — 軽量で、Cookieを一切使用しません。
• Fathom Analytics、Simple Analytics — ミニマルなCookieレスツールです。

Google Analytics 4はどうか？

EU-US Data Privacy Frameworkの十分性認定（2023年7月10日）以降、GA4は管理された構成であれば再び利用可能になりました。サーバーサイドタグ、IPの匿名化、同意なしのUser-ID不使用、同意なしのGoogle Signals不使用、そして理想的にはファーストパーティドメインでのプロキシです。ただし、CNILは引き続き、可能な限り ファーストパーティまたは完全にCookieレスの代替ツールへの切り替え を推奨しています。特に、重いGA4の構成を維持するエンジニアリングリソースを持たない中小企業にはなおさらです。

10. CRMコンプライアンス — 営業活動、保存期間、マーケティングに関する権利

CNILの商業的勧誘に関するレファレンシエル

CNILの Referentiel relatif aux traitements de donnees a caractere personnel mis en oeuvre aux fins de gestion des activites commerciales （2022年更新、2026年を通じて適用）は、フランスにおけるCRMコンプライアンスの実務上のバイブルです。目的、保存期間、データ品質、セキュリティに関する基準を定めており、CNILは調査の際にこれを基準として用います。

B2Cの営業活動：事前のオプトイン

法律上、 Code des postes et des communications electroniques第L.34-5条 （CPCE）に基づき、自然人を対象としたメール、SMS、ファクス、自動音声電話による商業的勧誘には、 事前の、自由な、特定された、情報を与えられたうえでの同意が必要です。有名な例外が一つあります — 顧客向けのソフトオプトイン:

• メールアドレスが販売時に収集されたこと。
• 営業の対象が類似の商品またはサービスであること。
• 見込み客が収集時に通知を受け、簡単かつ無料で拒否する方法を提示されたこと。
• 以降のすべてのメッセージに、明確かつ無料の配信停止リンクが含まれていること。

事業者の業務用アドレス（例： rf.ynapmoc@tcatnoc）宛てに、その職務に関連する商品やサービスについてB2Bの営業を行う場合は、第13条の情報提供要件を満たすことを条件に、オプトアウト方式が適用されます。

CRMの保存期間の目安

• アクティブな見込み客 — 最長で 見込み客が最後に自ら接触してから3年 （開封、クリック、問い合わせ、最終購入）。3年間まったく動きがない場合は、アーカイブまたは削除します。
• アクティブな顧客 — 取引関係の継続期間に、該当する時効期間を加えた期間。
• 請求書 — Code de commerceに基づき10年間、中間アーカイブで保管。
• マーケティングのオプトイン／オプトアウト — 同意の有効期間に、証拠保全のための3年を加えた期間。
• 休眠中のニュースレター購読者 — 18〜24か月間まったく反応がない場合は再エンゲージメントキャンペーンを推奨し、36か月後に削除します。

ロイヤルティプログラム、プロファイリング、スコアリング

購入履歴と行動データを組み合わせてセグメント（RFM、類似オーディエンス、解約スコア）を作成するロイヤルティプログラムは、通常第35条に基づくDPIAが必要です。プロファイリングの目的、使用するデータのカテゴリー、データ主体への影響（セグメンテーション、プロモーションの対象可否、ダイナミックプライシングの許容範囲）、そして保護措置（オプトアウト、境界的な判断に対する人による確認、バイアスの定期的な監査）を文書化できるよう準備しておきましょう。

CRMツール：CNILと相性の良いベンダーは？

2026年にフランスのEコマースで広く使われているCRMには、 Brevo （旧Sendinblue、パリ本社）、 Splio、, Actito （ベルギー、EU内ホスティング）、 Salesforce Marketing Cloud （米国、EU域内データ保管オプション＋DPF）、 HubSpot （米国、DPF）、 Klaviyo （米国、DPF）、そして Customer.ioがあります。どのツールを選ぶ場合でも、 データ処理契約（第28条） が締結されていること、データがEU域外に出る場合はSCCモジュール2に署名していること、そして保存ルールがプラットフォームに直接組み込まれていること（N か月間動きがない場合の自動削除）を確認してください。

よくある質問（FAQ）

まとめ — 競争優位としてのRGPD

フランスにおけるRGPDコンプライアンスは、もはや一度きりの法務対応ではなく、継続的な運用上の規律です。CNILは2024〜2027年戦略計画と加速する制裁の流れを通じて、2026年はオンライン事業者がギャップを埋めなければならない年であることを明確にしました。幸いなことに、必要な要素は十分に文書化されています。厳格なCookieバナー（Cookiebot、OneTrust、Axeptio、Didomi）、明確なプライバシーポリシー、最新の第30条記録、実質的な権限を持つDPO、1か月以内に回答できるDSARワークフロー、EU域外のすべてのベンダーに対するSCCとTIA、72時間侵害対応プレイブック、そして可能な場合のCookieレス分析です。

RGPDを後付けではなくプラットフォームに組み込まれたインフラとして扱う事業者は、一貫して2つの副次的効果を報告しています。同意バナーがすべてをブロックしなくなることによる分析シグナルの25〜40%の回復と、顧客からの信頼度の向上です。後者はメールエンゲージメントの改善と解約率の低下につながります。正しく取り組めば、RGPDは成長のてこになります。Zunaproのフランスハブは、エンジニアリングのロードマップを止めることなく、そうしたコンプライアンス体制を実現するためのテンプレート、自動化、監査証跡を提供します。