ポルトガルEコマースのためのRGPDとCNPD 2026：データ保護、Cookie同意、コンプライアンスガイド

2026年のポルトガルにおけるデータ保護の全体像

ポルトガルのあらゆるEコマースにおける個人データは、3つの法的文書と1つの監督機関によって規律されています。以下のカード一覧を、各詳細セクションを読む間、手元に置いてください。

1. RGPDとLei 58/2019 — ポルトガルの2層構造の枠組み

RGPD：1つの規則、27か国

まず、 Regulamento Geral de Proteção de Dados（RGPD） は、 EU規則2016/679のポルトガル語での名称で、2016年4月27日に採択され、 2018年5月25日から適用されています。RGPDは（指令ではなく）EU規則であるため、ポルトガルで直接効力を持ちます。その99の条文は、ポルトガルに拠点を置くすべての管理者と処理者、さらにポルトガルの人々に商品やサービスを提供するEU域外の管理者をも拘束します（第3条(2)の域外適用）。

事業者がリスボンの個人事業主であっても、ポルトのsociedade por quotas（Lda）であっても、ポルトガルに出荷するドイツ企業であっても、ポルトガルの消費者をターゲットにする米国のShopify事業者であっても、同じ義務が適用されます。この規則は技術中立かつリスクベースであり、高リスクの処理（プロファイリング、特別カテゴリー、大規模なモニタリング）にはより重い義務が課されます。

Lei 58/2019：ポルトガル独自の層

RGPDは加盟国のために、意図的に 50を超える「開放条項」 を残しています。ポルトガルはこれらの選択肢を Lei n.º 58/2019, de 8 de agosto 、すなわち Lei de Proteção de Dados Pessoais（LPDP） によって行使しました。この法律はRGPDの適用開始日から1年以上経って公布され、従来のLei 67/98に取って代わりました。LPDPは、RGPDに加えてポルトガル独自のルールを定めています。

• 同意年齢 — 13歳 （LPDP第16条。RGPDの既定値である16歳より低く設定）。13歳未満の子どもには、検証可能な保護者の同意が必要です。
• ビデオ監視制度 （LPDP第19〜22条）— 防犯カメラの掲示、保存期間（既定30日）、公共空間についてのCNPDへの届出。
• 報道・学術・芸術目的の処理 （LPDP第24条）— データ保護と表現の自由のバランスを取るための限定的な適用除外。
• 行政違反 （LPDP第37〜50条）— RGPD第83条の制裁金を補完するポルトガル独自の手続き規定。

Lei das Comunicações Eletrónicas — Cookieの層

3つ目の法的文書がこの枠組みを完成させます。それが Lei n.º 41/2004で、EUのePrivacy指令2002/58/ECをポルトガル国内法化したものです。第5条(3)はCookie同意要件の法的根拠であり、Cookie、ピクセル、フィンガープリンティング、ローカルストレージの技術には、個人データを処理するかどうかにかかわらず、 事前の、自由な意思による、十分な情報に基づく同意 が必要です。ポルトガルのすべてのEコマースサイトにCookieバナーが必要なのは、RGPDそのものではなく、ePrivacy法によるものです。

2. CNPD — ポルトガルのデータ保護機関

組織の概要

現在の Comissão Nacional de Proteção de Dados（CNPD） は、ポルトガルの独立した監督機関です。 Lei n.º 10/91 de 29 de abrilによって設立され、1995年のデータ保護指令より4年早く誕生した、EUで最も歴史の長いDPAの1つです。CNPDは Assembleia da República の監督下で活動し、機能面でも意思決定の面でも完全な独立性を持っています（RGPD第52条）。

CNPDは 7名の委員で構成されます。議会が選出する任期5年（再任不可）の委員長と、6名の委員（議会選出2名、政府任命2名、互選2名）です。本部は Avenida D. Carlos I, n.º 134, 1200-651 Lisboaにあります。.

CNPDの権限

RGPD第57〜58条およびそれを補完するLei 58/2019に基づく権限は次のとおりです。

• 調査権限 — 情報の要求、監査・立入検査の実施、処理施設や記録へのアクセス
• 是正権限 — 警告、懲戒、DSRへの対応命令、訂正、消去、処理の禁止、越境データフローの停止
• 行政制裁金 — 最大€20 millionまたは全世界の年間売上高の4%
• 承認・助言権限 — BCR、SCC、認証制度の承認、議会および政府への助言

CNPDへの連絡方法

• ウェブサイト — cnpd.pt （決定登録簿、苦情申立フォーム、侵害通知フォーム）
• 一般メール — tp.dpnc@lareg
• 侵害通知 — cnpd.ptの専用オンラインフォーム
• DPOの登録 — オンラインフォーム。任命から30日以内に連絡先の登録が必要

CNPDと他のEU DPAの比較 — ポルトガル流

CNPDの執行スタイルは 穏健ながら技術的に厳格です。スペインのAEPD（非常に訴訟志向で、年間数千件の決定）やフランスのCNIL（大規模な制裁金を公表）と比べると、CNPDが出す決定は少ないものの、構造的な違反に焦点を当て、EDPBの一貫性メカニズムを通じて緊密に連携しています。ポルトガルのEコマースがCNPDの注目を集める経路は、通常3つあります。データ主体からの苦情、義務的な侵害通知、そしてメディアや政治的な関心をきっかけとした監査です。

3. Cookie同意バナー — ポルトガルのすべてのサイトで必須

法的根拠

ポルトガルにおけるCookie同意の義務には、互いに補完し合う2つの法的根拠があります。 EUのePrivacy指令2002/58/EC第5条(3)（ Lei n.º 41/2004により国内法化）と、 RGPD第7条の同意要件です。両者を合わせた効果として、ユーザーが明示的に要求したサービスを提供するために 厳密に必要ではない Cookie、ピクセル、SDK、フィンガープリンティングスクリプト、ローカルストレージのオブジェクト、または同様のトラッキング技術には、 事前の、自由な意思による、特定された、十分な情報に基づく、明確なオプトイン同意が必要です。.

「厳密に必要」に該当するもの

要求されたサービスに厳密に必要であるとして同意が不要となるのは、狭いカテゴリーに限られます。 セッションCookie （ログイン、カート）、 CSRFトークン, 、ロードバランサーのCookie、 同意設定を保存するCookie自体, 、ユーザーが能動的に要求したコンテンツのためのマルチメディアプレーヤーの状態 、そしてユーザーが選択した UIのカスタマイズ （言語、ダークモード）です。それ以外のもの — GA4、Meta Pixel、TikTok Pixel、Hotjar、Clarity、リターゲティング、A/BテストのCookie、サードパーティCDNのフォント、埋め込みのYouTube/Vimeoプレーヤー、操作前に読み込まれるソーシャルメディアボタン — はすべて、設置する 前に 明示的なオプトイン同意が必要です。

準拠したバナーの要件

CNPDの Orientações sobre cookies（2019/494）（2022年更新）は、最低限の要件を次のように定めています。

• 第1層 では、 「同意する」, 「拒否する」 および 「設定を管理」を提示しなければなりません。「拒否する」は「同意する」と 同等に目立つ ものでなければなりません（同じ色、サイズ、位置）。「拒否する」ボタンの文字を薄く表示するようなダークパターンは禁止されています（EDPB）。
• 第2層 — 必須でないカテゴリーごとの詳細なトグルで、 既定はオフ.
• Cookieウォールの禁止 — 拒否した場合にアクセスを拒むことは違法です（EDPB Guidelines 05/2020）。
• 「閲覧を続ける＝同意」は不可 — スクロールやページ移動は同意になりません。
• 同意の撤回は同意と同じくらい簡単に — 常時表示のフローティングボタンまたはフッターのリンク。
• 6〜12か月ごとに再確認, 同意の監査ログ — RGPD第7条(1)に基づく。

同意バナーの階層 — 提示すべきカテゴリー

4. プライバシーポリシー — 必須かつ常に最新に

第13条の情報提供義務

RGPD第12条、第13条、第14条は、すべての管理者に対し、データ収集の時点でデータ主体に広範な情報を提供することを求めています。Eコマースサイトの場合、その時点とは一般的に すべてのフォーム送信時 — 会員登録、チェックアウト、ニュースレター、お問い合わせ、レビューのフォーム — です。実務上、これらの情報は1つの文書、すなわち プライバシーポリシー（Política de Privacidade）にまとめられ、すべてのページからリンクされ、各収集ポイントで改めて提示されます。

最低限必要な記載内容

2026年にCNPDに対して説明責任を果たせるプライバシーポリシーには、少なくとも次の内容を含めます。

• 管理者の身元 — 正式名称、NIPC、登記上の所在地、連絡先メールアドレス
• DPOの連絡先 （任命している場合）— 専用メールアドレス（例： tp.etisues@opd）
• 処理の目的 — 詳細なリスト（注文処理、カスタマーサービス、マーケティング、分析、不正防止、会計）
• 目的ごとの法的根拠 — RGPD第6条(1)（同意、契約、法的義務、生命に関する利益、公共の利益、正当な利益）
• 正当な利益の比較衡量テスト — 第6条(1)(f)を根拠とする場合
• 受領者 — 決済ゲートウェイ、配送業者、マーケットプレイス、クラウドホスティング、メール配信サービス事業者
• 国際移転 — 移転先の国、移転の仕組み（SCC / 十分性認定 / DPF）、保護措置へのリンク
• 保存期間 — カテゴリーごと（インボイスは10年、マーケティングは同意が有効な間、分析は14か月）
• データ主体の権利 — CNPDへの苦情申立ての権利を含む、すべての権利の列挙
• 法定または契約上の性質 — データ提供の性質と、提供を拒否した場合の結果
• 自動化された意思決定とプロファイリング — 該当する場合、そのロジックと重要性を含む
• 最終更新日 と改訂履歴

平易なポルトガル語で — RGPD第12条

RGPD第12条(1)は、ポリシーが 簡潔で、透明性があり、理解しやすく、容易にアクセスできる ものであり、 明確で平易な言葉で書かれていることを求めています。CNPDは、ポルトガルの消費者を対象にしながら英語のみで書かれたポリシー（Lei 58/2019第2条がポルトガル語の要件を補強しています）、実際の処理者名を記載せずに汎用テンプレートを流用したポリシー、重要な情報を10,000語の法律用語の中に埋もれさせたポリシー、プライバシーポリシーを利用規約と一体化させたポリシーを繰り返し批判してきました。

階層型通知 — ベストプラクティス

CNPDはEDPBの 階層型通知 のアプローチを支持しています。冒頭に短い要約（身元、目的、権利について1〜2段落）を置き、その後に折りたたみ式のセクションで詳細を示し、さらに第13条への準拠のため、各フォームに「情報シート」（完全なポリシーへのリンクを含む2〜3文の収集時通知）を設けます。

5. DPOの任命 — いつ、どのように

DPOが必須となるのはどのような場合か？

RGPD第37条は、次の3つのケースで DPO（Encarregado de Proteção de Dados — EPD） の任命を求めています。 (a) 公的機関（裁判所を除く）、 (b) 中核的な活動が、定期的かつ体系的な大規模モニタリングである場合、 (c) 中核的な活動が、特別カテゴリーのデータまたは犯罪データの大規模な処理である場合です。ポルトガルのEコマースにとって実務上の引き金となるのは(b)です。EDPBのガイドライン（WP 243 rev.01、CNPDも支持）は、「中核的な活動」には給与計算のような付随的な機能は含まれないこと、「大規模」かどうかは状況（対象者の数、量、期間、地理的範囲）によって判断されることを明確にしています。

実務上の該当例

DPOの任命が強く推奨される、または必須となる現実的な基準は次のとおりです。

• 10,000人以上のCRM顧客 を行動に基づいてセグメント化している
• リアルタイムのリターゲティング をMeta + Google Ads + TikTokでクロスデバイスのマッチングとともに行っている
• ロイヤルティプログラム でチャネルと期間をまたいで取引履歴を追跡している
• マーケットプレイス運営者 として販売者と購入者のデータを同時に扱っている
• 健康・美容・薬局のEコマース で第9条の健康データに該当し得るデータを処理している
• 子ども向け商品のストア で13歳未満向けの保護者同意フローを運用している

DPOの役割

RGPD第38〜39条は、DPOの職務と保護について次のように定めています。

• 情報提供と助言 — 管理者、処理者、従業員に対し、その義務について
• コンプライアンスの監視 — RGPD、Lei 58/2019、社内ポリシーへの準拠状況を、研修を含めて監視
• DPIAに関する助言 — 第35条に該当する場合
• CNPDとの協力 — 監督機関との連絡窓口として
• 独立性 — 職務について指示を受けることはなく、職務の遂行を理由に解任されることもありません（第38条(3)）
• 利益相反の禁止 — DPOはCEO、CMO、IT部門長、人事部門長を兼務できません

社内DPOと外部DPO + CNPDへの登録

DPOは従業員でも、契約したサービス提供者でもかまいません。ポルトガルの中小企業の場合、外部のDPO-as-a-Serviceの費用は、複雑さに応じて通常 €350〜€1,500/月 です。RGPD第37条(7)は、管理者にDPOの連絡先を公開し、CNPDのオンラインフォームで届け出ることを義務付けており、変更があった場合は30日以内に更新しなければなりません。届出を怠ることは手続き上の違反であり、最大€10Mまたは売上高の2%の制裁金の対象となります。

6. データ主体の権利 — 運用上のSLA

ポルトガルのデータ主体が持つ8つの権利

RGPD第3章は、すべての個人（顧客、見込み客、仕入先の担当者、従業員を問わず）に、法的に行使可能な一連の権利を与えています。

1. 情報を受ける権利 （第13〜14条）— プライバシーポリシーと収集時の通知を通じて行使
2. アクセス権 （第15条）— データが処理されていることの確認、およびデータと処理の状況のコピー
3. 訂正権 （第16条）— 不正確または不完全なデータの訂正
4. 消去権 （第17条、「忘れられる権利」）— 6つの根拠のいずれかに該当する場合の削除
5. 処理制限権 （第18条）— 確認が済むまでの一時的な「凍結」
6. データポータビリティ権 （第20条）— データ主体が提供したデータの機械可読形式でのエクスポート
7. 異議申立権 （第21条）— ダイレクトマーケティングに対しては絶対的。その他の処理については比較衡量テスト
8. 自動化された意思決定のみに基づく決定の対象とならない権利 （第22条）— 法的効果またはそれと同様の重大な影響を伴うプロファイリングを含む

対応期限 — RGPD第12条(3)

管理者は 30日以内に対応しなければならず、複雑さや件数に応じて 2か月 延長できます。延長する場合は、最初の1か月以内に理由を添えて通知しなければなりません。複数のマーケットプレイスにまたがって数千件の記録を扱うポルトガルのEコマースにとって、このSLAは運用上非常に厳しいものです。対応の失敗の多くは、 断片化したデータ がShopify、Amazon Seller Central、Worten Marketplace、メール、会計ソフトに散在していることに起因します。Zunaproのような一元化された顧客データ記録があれば、第15条への対応時間を数日から数分に短縮できます。

本人確認と拒否

RGPD第12条(6)は、合理的な疑いがある場合に限り、追加の本人確認を認めています。一般的な方法は、登録済みのメールアドレスを確認し、必要に応じて一部を黒塗りした身分証明書の提出を求めることです。拒否が認められるのは、請求が 明らかに根拠がない、または過剰である場合に限られます。管理者はそれを証明しなければならず、代わりに合理的な手数料を請求することもできます。

消去権と法定保存義務

運用上よくある対立があります。顧客が第17条に基づいて消去を求めても、管理者はインボイスを 10年間（Código do IVA第52条） 、会計記録を 10年間（Código Comercial第40条）保存しなければなりません。RGPD第17条(3)(b)がこれを解決しており、法的義務を遵守するために処理されるデータには消去権が適用されません。実務上の対応としては、マーケティングデータと行動データを匿名化し、インボイス・会計データはアクセスを制限したロック付きのアーカイブに保存し、何を削除し何を保存したかを書面で顧客に伝えます。

7. 個人データ侵害 — 72時間の通知期限

侵害に該当するもの

RGPD第4条(12)は、 個人データ侵害 を「送信、保存、またはその他の方法で処理された個人データの偶発的または違法な破壊、喪失、改変、無許可の開示、または無許可のアクセスにつながるセキュリティ違反」と定義しています。実務上は、次の3つのカテゴリーが重なり合います。

• 機密性の侵害 — 無許可の開示またはアクセス（データ漏えい、ハッカーによる持ち出し、メールの誤送信）
• 完全性の侵害 — データの無許可の改変（データベースの改ざん、ランサムウェアによる暗号化）
• 可用性の侵害 — データへのアクセスの喪失（復旧できないランサムウェアによるロックアウト、サーバーの破壊）

CNPDへの通知 — 第33条

侵害が発生した場合、管理者はそれを認識してから 72時間以内にCNPDへ 通知しなければなりません。ただし、その侵害が自然人の権利と自由に対する リスクをもたらす可能性が低い 場合は除きます。通知には次の内容を含めなければなりません。

• 侵害の性質（可能な場合は、影響を受けたデータ主体と記録のカテゴリーおよびおおよその数を含む）
• DPOまたはその他の連絡窓口の氏名と連絡先
• 侵害によって生じ得る結果
• 侵害に対処し、その悪影響を軽減するために講じた、または講じる予定の措置

72時間以内にすべての情報を提供できない場合は、部分的な通知が認められ、残りは不当な遅滞なく追って提出します。CNPDのオンライン侵害通知フォームは段階的な更新に対応しており、最初の提出は暫定通知とし、数日以内に詳細を更新することができます。

データ主体への通知 — 第34条

侵害が権利と自由に対して 高いリスク をもたらす可能性がある場合、管理者は影響を受けたデータ主体にも 不当な遅滞なく侵害を伝えなければなりません。明確なポルトガル語で、DPOの連絡先、結果、軽減措置とともに、侵害の内容を具体的に説明します。第34条(3)の3つの例外に該当する場合は、直接の通知が免除されます。データが 漏えいしていない鍵で暗号化されていた場合、その後の措置によって高いリスクが解消された場合、または通知に過大な労力を要する場合（この場合は代わりに公表が必要）です。

社内の侵害記録簿と2026年版プレイブック

RGPD第33条(5)は、 すべての 個人データ侵害（通知が不要だった低リスクのものも含む）を文書化することを求めています。認識した日時、検知の経緯、分類、範囲、データ主体のカテゴリーと数、リスク評価、通知の判断とその日時、是正措置、根本原因分析、教訓を記録します。実行可能な72時間プレイブックは次のとおりです。

• 0時間 — 検知 — アラート、即時のトリアージ、範囲の特定
• 0〜4時間 — 封じ込め — 認証情報の無効化、システムの隔離、フォレンジック証拠の保全
• 4〜24時間 — リスク評価 — DPOが分析を主導し、通知の要否を判断
• 24〜48時間 — CNPDへの初回通知 — cnpd.ptのフォームから（暫定通知でも可）
• 48〜72時間 — 完全な通知、第34条に基づくデータ主体への連絡の要否を判断
• 3〜7日目 — データ主体への連絡 — 必要な場合（メール + 公式声明）
• 7日目以降 — 教訓の整理、記録簿の更新、CNPDへのフォローアップ

8. 越境データ移転 — Schrems II以降のSCC

Schrems IIの衝撃

欧州司法裁判所は 2020年7月16日 に Schrems II判決（C-311/18）を下し、それまで約5,000件の大西洋間データフローを規律していたEU-US Privacy Shieldの枠組みを無効としました。裁判所は標準契約条項（SCC）の有効性を再確認しましたが、重要な条件を加えました。管理者は、移転先の国の法律と実務がRGPDと本質的に同等の保護を提供していることを確認しなければならず、そうでない場合は補完的措置を講じるか、移転を停止しなければなりません。

2026年の移転ツールキット

RGPD第5章では、5つの仕組みによってEEA域外への移転を適法に行うことができます。

• 第45条 — 十分性認定 — 現在の対象：Andorra、Argentina、Canada（商業分野）、Faroe Islands、Guernsey、Israel、Isle of Man、日本、Jersey、New Zealand、韓国、Switzerland、UK、Uruguay。Iceland、Liechtenstein、NorwayはEEAに含まれます。
• 第46条 — 適切な保護措置 — SCC、BCR、承認された行動規範、認証。
• 第47条 — 拘束的企業準則 — グループ内の移転向け。主監督機関とEDPBが承認。
• 第49条 — 例外 — 明示的な同意（臨時的な場合のみ）、契約上の必要性、公共の利益・生命に関する利益。日常的な業務には使えません。
• EU-US Data Privacy Framework（DPF） — 2023年7月10日に発効し、Privacy Shieldに代わるものです。自己認証を行った米国の輸入者（AWS、Google、Microsoft、Meta、Salesforce、HubSpot、Mailchimp、Stripe、Shopify）は、第45条の十分性認定に基づく扱いを受けます。

2021年のEU SCC + 移転影響評価

欧州委員会の 2021年SCC（実施決定2021/914） はモジュール式で、管理者→管理者、管理者→処理者、処理者→処理者、処理者→管理者の4つのシナリオがあります。2010年の旧SCCは、新規契約については2021年9月27日から、すべての契約については2022年12月27日から廃止されています。2026年に2010年SCCが残っていれば無効であり、ただちに移行しなければなりません。

Schrems IIとEDPB Recommendations 01/2020を受けて、管理者は十分性認定のないすべての移転について 移転影響評価（TIA） を実施しなければなりません。移転のマッピング、仕組み（SCC/BCR/DPF）、第三国における政府のアクセスに関する法律（米国ではFISA 702）の評価、補完的措置（EU側で鍵を保持する保存時の暗号化、仮名化）、そして本質的に同等の保護があるという結論を含めます。CNPDはTIAの事前提出を求めていませんが、EEA域外の処理者が関わる監査では必ず提出を求めます。

2026年の実践的な構成

• クラウド（AWS / GCP / Azure） — DPF認証 + EUリージョン。EUリージョンを優先し、DPFをフォールバックとして文書化
• メール（Mailchimp、SendGrid） — DPF認証済み。BrevoのようなEUの代替サービスのほうが望ましい場合が多い
• 分析（GA4） — DPF認証 + Consent Mode v2 + IPの匿名化
• カスタマーサポート（Zendesk、Intercom） — DPF + EUデータレジデンシーのアドオンを利用可能
• マーケットプレイスAPI（Amazon SP-API） — 欧州の販売者アカウントはEU経由でルーティング

9. CNPDの制裁金 — 最大€20Mまたは全世界売上高の4%

第83条の段階的な制裁金

RGPD第83条は2段階の制裁金を定めており、CNPDは固定上限額と売上高に対する割合のいずれか高いほうを科すことができます。

段階	最高制裁金	対象となる違反
第1段階（第83条(4)）	€10Mまたは全世界の年間売上高の2%	記録（第30条）、セキュリティ（第32条）、侵害通知（第33〜34条）、DPOの任命（第37〜39条）、DPIA（第35〜36条）、子どもの同意（第8条）、認証、行動規範
第2段階（第83条(5)）	€20Mまたは全世界の年間売上高の4%	適法な根拠（第5〜6条）、同意の条件（第7条）、特別カテゴリー（第9条）、データ主体の権利（第12〜22条）、国際移転（第44〜49条）、CNPDの命令への不服従
Lei 58/2019	ポルトガル独自の行政違反	LPDP第37〜50条は、ポルトガル特有の事項（掲示のない防犯カメラ、報道目的の適用除外の違反など）について詳細な制裁金を追加しています

CNPDによる制裁金の算定方法

CNPDが考慮する第83条(2)の要素は次のとおりです。違反の性質・重大性・期間、故意または過失の性質、軽減のための取り組み、技術的・組織的措置、過去の違反、CNPDへの協力、影響を受けたデータのカテゴリー、違反が判明した経緯、行動規範の遵守、得た経済的利益または回避した損失。

CNPDの主な制裁金 — これまでの実績

• €4.3M — INE（Instituto Nacional de Estatística、2021年） — 第46条の保護措置なしに国勢調査データを米国の再処理者に移転。ポルトガルのRGPD制裁金として過去最高額
• €1.25M — Hospital do Barreiro（2018年） — 診療記録への過剰なアクセス。医療はCNPDの重点分野です
• €400K — Câmara Municipal de Lisboa（2021年） — デモ主催者の個人データの開示
• €170K — Banco Santander Totta（2021年） — データ主体の請求への不適切な対応
• 中小企業に対する複数の €10K〜€75Kの制裁金 — Cookieバナー、DPO連絡先の欠如、侵害通知の遅延に対して

制裁金だけではない — 民事責任

RGPD第82条は、データ主体に対し、物質的または非物質的な損害についての 損害賠償請求権 を与えています。ポルトガルの裁判所は、非物質的損害（不安、コントロールの喪失）について 影響を受けたデータ主体1人あたり€500〜€5,000 の賠償を認め始めています。これが数千人のデータ主体に及べば、民事責任は行政制裁金をはるかに上回る可能性があります。CNPDの決定は継続的に報道され、特にB2Cブランドにとっては評判に大きな打撃となります。

10. 2026年版 ポルトガルEコマースRGPDコンプライアンス・チェックリスト

規制を実際の運用に落とし込むうえで最も役立つのは、具体的なチェックリストです。以下のリストは、本ガイドで取り上げたすべての実行項目を、執行リスクの高い順にまとめたものです。

ガバナンスと文書化

• 第37条に該当する場合はDPOを任命し、CNPDに登録する
• 次を維持する： ROPA（第30条） — すべての目的、法的根拠、カテゴリー、保存期間、受領者、移転を網羅
• 高リスクの処理については DPIA（第35条） を実施する
• すべての処理者（クラウド、メール、分析、マーケットプレイス、決済、配送業者）と 第28条DPA を締結する
• EEA域外へのすべての移転について TIA を文書化する
• 社内の 侵害記録簿 （第33条(5)）を維持する

ユーザー向け

• 第13条/第14条のすべての要素を網羅した、階層型で版管理されたポルトガル語のプライバシーポリシーを公開する
• CNPDに準拠したCookieバナーを導入する — 対称的な「同意する」/「拒否する」、既定オフの詳細なカテゴリー、常時利用できる撤回手段
• すべてのフォーム（会員登録、チェックアウト、ニュースレター、レビュー）に収集時の通知を表示する
• 簡単に利用できるDSRの窓口を用意する — メールおよび/またはウェブフォームで、30日以内に対応
• ダイレクトマーケティングのオプトアウトにはただちに応じる（第21条(3)は絶対的）

技術的・組織的措置

• 第32条のセキュリティを実装する — 保存時および転送時の暗号化、アクセス制御、管理パネルのMFA、脆弱性スキャン
• 設計段階からデータ最小化を適用する（第25条）
• 自動削除によって保存期間のポリシーを徹底する
• 可能な限り、特に分析において、仮名化または匿名化を行う
• 72時間の侵害対応プレイブックを、机上演習によって毎年テストする
• 個人データを扱うスタッフを研修する — 少なくとも年1回の再研修

四半期ごとのコンプライアンス監査

次の項目を網羅した体系的な監査を四半期ごとに実施します。接続中の処理者に対するROPAの鮮度、現在の処理の実態に対するプライバシーポリシーのバージョン、申告したカテゴリーに対するCookieバナーのスクリプト一覧、DSRのログ（件数、対応時間、遅延の原因）、侵害記録簿（インシデント、根本原因、是正措置）、第28条DPAの一覧、TIAの一覧、スタッフの研修記録、DPOの活動記録（助言、DPIA、CNPDとのやり取り）。

ポルトガルRGPD よくある質問 2026