スペインEC事業者のためのRGPD・LOPDGDD 2026：AEPD対応、Cookie同意、データ保護ガイド

1. RGPD + LOPDGDDの法的構造 — 概要

スペインほど厳格にデータ保護を執行している欧州の国はほとんどありません。以下の図は、本ガイドで扱う6つの法規制レイヤーをまとめたものです。各詳細セクションを読む際に手元に置いてご活用ください。

RGPDが実際に求めていること

RGPDは、第5条に定める 6つの処理原則 （適法性・公正性・透明性、目的の限定、データの最小化、正確性、保存の制限、完全性・機密性）と、さらにメタ原則である 説明責任（アカウンタビリティ） （管理者は準拠していることを証明できなければならない）の上に成り立っています。スペインのオンラインショップにとって、これは次のことを意味します。必要なものだけを収集し、明示した目的にのみ使用し、法律で求められる期間だけ保存し、すべてのステップを文書化することです。

RGPDはまた、第6条で処理のための 6つの法的根拠 を定めています。同意、契約、法的義務、生命に関わる利益、公共の利益、正当な利益です。ECにおける処理の大部分は、 契約 （お客様が行った購入）または 法的義務 （税務上の保存義務、不正防止）に該当し、 同意 は、マーケティング用ニュースレターや必須ではないCookieなど、明らかに任意の目的にのみ用いられます。

LOPDGDDはスペインでRGPDをどのように補完しているか

この LOPDGDD 3/2018 は、スペインの国内実施法です。RGPDそのものにはない3つの役割を果たしています。

• スペイン独自の規定を追加しています：同意可能な最低年齢を 14歳 に設定（RGPDでは13～16歳の範囲で設定可能）、雇用における同意のみに基づくデータ処理の明示的な禁止、故人のデータに関する特別規定（第3条）。
• DPOの選任が義務となる16業種を列挙しています （第34条）。RGPDの3つの一般的な要件よりはるかに広く、信用情報、賭博、医療、学校、保険、電気・水道・ガスの供給・配給、電子通信サービス事業者などが含まれます。
• 第X編「Garantía de los derechos digitales（デジタル権の保障）」を導入しています：インターネットの中立性、デジタルセキュリティ、デジタル教育、職場でのデジタル切断（つながらない権利）、デジタル遺言、デジタルメディア上の個人情報の更新に関する権利です。これらはスペイン独自のものです。

2. AEPD — スペインのデータ保護機関

沿革と組織

Agencia Española de Protección de Datos（スペインデータ保護庁） は、 1993 スペイン初のデータ保護法であるLORTAD（Ley Orgánica 5/1992）に基づいて設立されました。現在はLOPDGDDによって規律される独立した公法人で、本部は C/ Jorge Juan 6, Madrid 28001にあります。長官は、司法省の提案とCortes Generales（国会）での聴聞を経て、勅令により再任不可の5年任期で任命されます。AEPDと並んで、各地域の公的部門を管轄する2つの地域機関があります。 APDCAT （カタルーニャ州）と AVPD （バスク州）です。

RGPD第58条に基づく権限

AEPDには3種類の権限があります。

• 調査権限 — 情報の要求、立入検査の実施、施設や機器へのアクセス、管理者のデータの監査、証人の召喚。
• 是正権限 — 警告、戒告、処理を準拠状態にするための命令、データ主体の権利を満たすための命令、処理の一時的または恒久的な禁止、行政制裁金。
• 承認・助言権限 — 拘束的企業準則の承認、行動規範の認証、国内法案に対する意見の表明、政府およびCortes Generalesへの助言。

AEPDがEC事業者にとって特に重要な理由

AEPDは、歴史的にEUで最も活発な監督機関の一つです。その執行対象は、大手通信事業者、銀行、SNS、そして多数のECプラットフォームにまで及びます。2024～2026年に繰り返し調査対象となった分野には、有効な「拒否」オプションのないCookieバナー、迷惑な商業通信、顧客アカウントに関わるデータ侵害、十分な保護措置のない第三国への個人データの移転、法定期間である1か月以内にデータ主体のアクセス請求に対応しなかったことなどがあります。

3. Cookie同意バナー — 必須要件

法的根拠 — LSSI-CE第22.2条 + RGPD第7条

スペインのウェブサイトにおけるCookieは、 2層のルールによって規律されています。法的根拠となるのは LSSI-CE（Ley 34/2002）第22.2条で、「データの保存・取得装置の使用に関する明確かつ完全な情報」を求めています。有効な同意の概念はRGPD第7条に由来し、自由に与えられ、特定され、情報に基づき、明確であること、さらに与えたときと同じくらい簡単にいつでも撤回できる権利が求められます。

AEPDのCookieガイド — 2024年改訂

AEPDは、 Guía sobre el uso de las cookies の現行版を 2024年1月に公表し、EDPBの2023年ガイドラインと整合させました。現在、準拠の基準は明確になっています。

• 第1層のバナー：管理者を明示し、Cookieの目的（技術、設定、分析、広告、ソーシャル）を列挙し、同意した場合と拒否した場合の結果を説明し、完全な第2層のCookieポリシーへリンクしなければなりません。
• 「同意する」と同じ階層に「拒否する」ボタン：AEPDは、「同意する」を目立つ色付きボタンで表示しながら、「拒否する」を小さなグレーのリンクにしたり「設定を管理」の奥に隠したりすることを違反とみなしています。2024年以降、「拒否する」ボタンは「同意する」と同等の目立ち方でなければなりません。
• 詳細な選択肢：買い物客は、カテゴリー（分析、広告、ソーシャル、パーソナライズ）ごとに個別に同意または拒否できなければなりません。
• 事前チェックの禁止：厳密に技術的なCookie以外の目的を、いかなる場合も事前に選択状態にしてはなりません。
• Cookieウォールの禁止：ユーザーが同意しない限りサイトへのアクセスをブロックすることは違反です。ただし、真に同等の代替サービスが提供される場合を除きます。
• 「閲覧を続ける」は同意ではありません：スクロールやページ移動を続けること、リンクをクリックすることは有効な同意ではありません。
• 撤回の仕組み：同意を撤回するための常設のコントロールを、すべてのページに表示しなければなりません（一般的にはフローティングアイコン）。

2層構造

「厳密に技術的な」Cookieとは

厳密に技術的なCookieは、LSSI-CE第22.2条により 同意が不要 とされています。セッションCookie、セッション中の認証Cookie、ショッピングカートのCookie、セキュリティCookie（CSRF対策）、負荷分散Cookie、アクセシビリティ／言語設定のCookieなどが該当します。 分析は技術的なものではありません （AEPDの解釈）。Google Analytics 4であっても、処理が完全に匿名で、管理者自身のサービスのトラフィック測定専用に設定されている場合を除き、同意が必要です。

4. プライバシーポリシー — 記載すべき事項

RGPD第13条／第14条の最低要件

スペインのすべてのECサイトには、 プライバシーポリシー（Política de Privacidad） をすべてのページからアクセスできるように掲載し、RGPD 第13条 （データ主体から収集したデータ）および 14 （第三者から取得したデータ）の情報提供義務を満たす必要があります。必須の記載事項は次のとおりです。

• 管理者の身元および連絡先 、該当する場合はEU代理人およびDPOの連絡先
• 処理の目的 と各目的の法的根拠（契約、正当な利益、同意、法的義務）
• 管理者が追求する正当な利益 （第6条1項(f)を根拠とする場合）
• 個人データの受領者または受領者の類型 （決済代行業者、物流業者、マーケティングツール）
• 第三国への移転（国名、法的仕組み（十分性認定、SCC、BCR）、保護措置への言及を明示）
• 保存期間 またはその期間を決定する基準
• RGPDの8つの権利 とその行使方法、およびAEPDに苦情を申し立てる権利
• データの提供が義務か任意か および提供を拒否した場合の結果
• 自動化された意思決定の有無（プロファイリングを含む）と、関係するロジックについての有意な情報
• 同意を撤回する権利（同意が法的根拠である場合）

LOPDGDD第11条 — 階層的な情報提供

LOPDGDDは、 階層的なアプローチを明示的に認めています。収集時点（チェックアウトフォーム）で簡潔でわかりやすい情報通知を示し、RGPD第13条／第14条のすべての情報を含むプライバシーポリシー全文へのハイパーリンクを設ける方法です。このパターンは現在、AEPDがECに推奨するアプローチとなっています。

プライバシーポリシーを掲載すべき場所

• 全ページのフッター — 「Política de Privacidad」またはストアの表示言語での同等の名称を付けた、常設でアクセスしやすいリンク
• アカウント登録 — 利用規約への同意とは別のチェックボックス。事前チェックは絶対にせず、ポリシーへのリンクを設置
• チェックアウト — 注文のために処理するデータについての簡潔な通知と、ポリシーへのリンク
• ニュースレター登録フォーム — マーケティングへの個別の同意。「アカウント作成」とは分けること
• お問い合わせフォーム — 簡潔な通知 + リンク。マーケティング目的のフォローアップを予定する場合にのみ個別の同意

5. データ保護責任者（DPO） — 選任が義務となるのはいつか

RGPDの3つの一般的な要件（第37条）

RGPD第37条により、管理者または処理者は、次のいずれかに該当する場合にDPOを選任しなければなりません。

• 処理が 公的機関または公的団体 によって行われる場合（司法権を行使する裁判所を除く）
• 中核的な活動が、その性質、範囲または目的により、次を必要とする処理業務で構成されている場合： データ主体の大規模かつ定期的・体系的な監視
• 中核的な活動が、次の大規模な処理で構成されている場合： 特別な種類のデータ （第9条）または刑事上の有罪判決に関する個人データ（第10条）の処理で構成されている場合

LOPDGDD第34条がDPOを義務付ける16業種

スペインはRGPDよりもさらに踏み込んでいます。 LOPDGDD第34条 は、規模にかかわらずDPOが義務となる16の活動分野を明示的に列挙しています。ECに隣接する事業に最も関係が深いのは次のとおりです。

• 信用情報システムの運営者
• プロファイリングを伴う広告・営業活動を行う企業
• 法律で診療記録の保管が義務付けられている医療機関
• 電子マネー発行者および信用機関
• 保険・再保険事業者
• 投資サービス会社
• 電力・天然ガスの供給事業者
• 顧客の個人データを定期的かつ体系的に処理する電子通信サービス事業者
• ユーザーの大規模なプロファイルを作成する情報社会サービス事業者
• 電子的手段でサービスを提供する賭博事業者
• 民間警備会社
• 未成年者を対象とするスポーツ連盟

届出義務

DPOの選任が義務付けられているすべての管理者は、選任から10日以内に オンラインポータルでAEPDに届け出 （sede.aepd.gob.es）なければならず、DPOを交代した場合も再度届け出る必要があります。DPOの連絡先はプライバシーポリシーにも掲載しなければなりません。

DPOの独立性と利益相反

DPOは最高経営層に直接報告し、職務の遂行を理由に処分や解任を受けることはなく、処理の目的と手段を決定する役職（例：CEO、CIO、CFO、マーケティング責任者）に就くことはできません。EDPBとAEPDはいずれも、DPOの役割をこうした役職と兼任することは構造的な利益相反にあたると確認しています。

6. データ主体の権利 — RGPDの8つの権利 + LOPDGDDのデジタル権

RGPD第III章に定める中核となる8つの権利

スペインのすべての顧客は、次の権利をいつでも無償で行使でき、 回答期限は最長1か月 です（複雑な請求の場合は、データ主体に理由を付して通知したうえで2か月延長可能）。

権利	条文	顧客が請求できる内容
アクセス	第15条	処理の有無の確認 + データの写し + 第13条／第14条のすべての情報
訂正	第16条	不正確または不完全なデータを不当な遅滞なく訂正
消去	第17条	データが不要になった場合、同意が撤回された場合、または処理が違法な場合の「忘れられる権利」
処理の制限	第18条	検証が完了するまでの処理の一時停止
データポータビリティ	第20条	構造化され、一般的に使用され、機械可読な形式（JSON、CSV）でのデータ提供
異議	第21条	正当な利益に基づく処理やダイレクトマーケティングに異議を唱える権利（マーケティングについては絶対的な権利）
自動化された意思決定	第22条	プロファイリングを含め、法的または重大な影響を及ぼす完全に自動化された決定の対象とされない権利
AEPDへの苦情申立て	第77条	データ主体は、回答に満足できない場合、いつでもAEPDに申し立てることができます

LOPDGDD第X編 — スペイン独自のデジタル権

LOPDGDDの第X編はスペイン独自のものです。RGPDを超えるデジタル権を以下のように定めています。

• インターネットの中立性に関する権利 （第80条）
• デジタルセキュリティに関する権利 （第82条）
• デジタル教育を受ける権利 （第83条）
• インターネット上の未成年者の保護 （第84条）
• インターネット上での訂正の権利 （第85条）
• デジタルメディア上の情報を更新する権利 （第86条）
• 職場におけるプライバシーとデジタル機器の使用に関する権利 （第87条）
• 職場でのデジタル切断（つながらない権利） （第88条）
• 職場の位置情報機器に対するプライバシーの権利 （第90条）
• デジタル遺言に関する権利 （第96条）

DSR対応の実務プレイブック

ECにおける実務上の流れは次のとおりです。

1. 受付 ：メール、Webフォーム、郵便で請求を受け付けます。すべての経路を受け付ける必要があります。
2. 本人確認 — 比例的に行います。アカウントにログインしている長期の顧客であれば、通常はセッションで十分です。匿名のメールの場合は、合理的な本人確認書類を求めます。
3. 1か月以内に回答 — 理由があれば2か月延長可能です。
4. すべての請求を記録 — 受付日、種類、回答、判断、理由を記録します。社内監査のためにも、AEPDによる将来の検査のためにも必要です。
5. データ主体に苦情申立ての権利を通知 し、不服がある場合はAEPDに申し立てられることを伝えます。

7. 個人データ侵害 — 72時間以内の通知

3つの通知の流れ

「個人データ侵害」は、RGPD第4条12項で「偶発的または違法な個人データの破壊、紛失、改変、無権限の開示または無権限のアクセスにつながるセキュリティ侵害」と定義されています。侵害が発生した場合、3つの通知の流れが発動する可能性があります。

• AEPDへの通知 ：認識した時点から 72時間以内 （RGPD第33条）。ただし、侵害が権利と自由に対するリスクを生じさせる可能性が低い場合を除きます。
• 影響を受けたデータ主体への連絡 ：侵害がデータ主体の権利と自由に 高いリスク をもたらす可能性が高い場合は「不当な遅滞なく」（RGPD第34条）連絡します。
• 社内での記録 ：重大度にかかわらず侵害記録簿に記録します。この社内記録自体が義務であり、監査の対象となります。

AEPDの通知フォーム

AEPDは侵害通知のためのオンラインフォームを sede.aepd.gob.es で運用しています。フォームはEDPBのテンプレートに準拠しており、次の情報が求められます。

• 管理者の特定情報とDPOの連絡先
• 侵害の性質 — 機密性、完全性、可用性
• 侵害が発生した日時と認識した日時
• 影響を受けたデータ主体の類型とおおよその人数
• 影響を受けた記録の類型とおおよその件数
• データ主体に生じうる結果
• 侵害を軽減するために講じた措置または講じる予定の措置
• 影響を受けたデータ主体に通知したか、または通知する予定か、およびその方法

「72時間」のカウント

カウントは、 侵害が発生した時点ではなく、管理者がそれを認識した時点から始まります。「認識」とは、インシデントが発生し個人データが影響を受けたことについて、合理的な程度の確実性があることを意味します。調査が継続中のため最初の通知が不完全な場合、AEPDは 段階的な通知を認めています。72時間以内に入手可能な情報で初回の通知を行い、新たな情報が判明するたびに補足の提出を行う方法です。

データ主体への連絡が必要となる場合

第34条は、侵害が 高いリスク をもたらす場合にのみ、データ主体への直接の連絡を求めています。例えば、パスワード、金融データ、政府発行の識別番号、特別な種類のデータが関わる場合や、影響を受けたデータがなりすましや詐欺に悪用されうる場合です。連絡は明確でわかりやすい言葉で行い、AEPDへの通知と同じ重要な情報を含めなければなりません。

8. 越境データ移転 — SCC、十分性認定、TIA

データ移転が制限される理由

RGPD 第V章（第44～50条） は、RGPDが保障する保護水準が損なわれないよう、欧州経済領域（EEA）外への個人データの移転を制限しています。ECサイトにとって、これは最も見落とされがちなコンプライアンス分野の一つです。EU域外のSaaS事業者（米国の分析ツール、米国のメールマーケティング、米国のCRM、米国のチャットウィジェット）を利用するだけで、第V章の分析が必要になる可能性があります。

6つの法的仕組み

1. 十分性認定（第45条） — 欧州委員会が、第三国が本質的に同等の保護水準を提供していると判断したもの。現在、英国、スイス、日本、韓国、イスラエル、ニュージーランド、アルゼンチン、カナダ（商業分野）が含まれ、米国については EU-US Data Privacy Framework（DPF）の認証を受けた組織に限って対象となります.
2. 標準契約条項 — SCC（第46条2項(c)） — 欧州委員会決定により 2021/914 2021年6月に採択された新しいSCC。C2C、C2P、P2P、P2Cの4つのモジュールがあります。十分性認定のない国への移転には必須です。
3. 拘束的企業準則 — BCR（第47条） — 多国籍企業のグループ内移転のための社内規程で、主監督機関の承認を受けたもの。
4. 承認された行動規範または認証制度 （第46条2項(e)～(f)）
5. 個別の契約条項 （第46条3項）— 監督機関の承認が必要
6. 特定の状況における例外 （第49条）— 明示的な同意、契約上の必要性、重要な公共の利益。狭く解釈され、日常的な移転には適しません。

Schrems IIと移転影響評価（TIA）

2020年7月16日の 欧州司法裁判所（CJEU）によるSchrems II判決 以降、十分性認定のない国（特にDPFの対象外となる米国）へSCCに基づいてデータを移転する管理者は、 移転影響評価（TIA）を実施しなければなりません。TIAでは次の点を評価します。

• 移転先の国の法律が、EUの基本的権利と相容れない方法で個人データへのアクセスを認めていないか
• SCCの契約上の保護措置が、そうした欠落を補うのに十分か
• 補完的措置 （EUが管理する鍵による暗号化、仮名化、分割処理）が必要かどうか

補完的措置に関するEDPBの 勧告01/2020 は、引き続き実務上の基準となっています。文書化されたTIAは「あれば望ましいもの」ではありません。AEPDは検査の際、管理者にTIAの提出を明示的に求めています。

2026年の実務的なベンダー構成

ベンダーの種類	2026年の移転の仕組み	TIAは必要か
Google Analytics 4（米国、DPF認証済み）	EU-US DPFによる十分性認定	簡易な確認
AWS / Azure / Google Cloud（EUリージョン）	EU内で保存、サポートアクセスにはSCC	必要（サポートのデータフローについて）
Mailchimp / SendGrid（米国）	認証済みならDPF、そうでなければSCC + TIA	必要（DPF対象外の場合）
英国のSaaS（Hotjarなど）	英国に対する十分性認定	簡易な確認
DPF対象外の米国ベンダー	SCC + 補完的措置 + 完全なTIA	必要（完全なもの）

9. AEPDの制裁金 2026 — 最大€20Mまたは全世界売上高の4%

2段階の制裁体系

RGPD第83条は行政制裁金について2つの上限を定めており、AEPDはこれを厳格に適用しています。

LOPDGDDによるスペイン独自のレイヤー — 第70条以降の分類

LOPDGDDは違反を 極めて重大, 、重大 、 軽微 に再分類しており、時効期間はそれぞれ3年、2年、1年です（第72～74条および第78条）。これはスペイン特有の点で、RGPDの上限に加えてLOPDGDDが独自の手続き的枠組みを課しており、AEPDによる制裁金の算定方法や、被申立人が時効を主張できるかどうかに影響します。

加重要素と軽減要素（RGPD第83条2項）

AEPDは制裁金を決定する際に11の要素を考慮します。違反の性質・重大性・期間、故意か過失か、講じた軽減措置、責任の程度、過去の違反、当局への協力、影響を受けた個人データの種類、当局が違反を知った経緯、以前に命じられた是正措置の遵守状況、行動規範や認証の遵守、その他の加重・軽減事情です。

最近の執行の傾向

特定の決定名は挙げませんが、2024～2026年のAEPDの執行の重点には次のものがありました。

• Cookieバナー で同等の「拒否する」ボタンがないもの — €30K～€100Kの範囲の制裁金が繰り返し科され、大規模プラットフォームではより高額
• 迷惑な商業通信 で有効な同意なく送信されたもの — 一般的にLSSI-CEとRGPDの違反が併合されます
• データ侵害 で認証情報や決済データが関わるもの — 通知が遅れた場合や行われなかった場合、制裁金は急激に増額されます
• 越境データ移転 でTIAがないもの — 米国のアドテクベンダーが関わる決定で引用されることが増えています
• 回答の不履行 （データ主体のアクセス請求に1か月以内に回答しないもの） — 件数は多いものの、1件あたりの金額は比較的低いカテゴリーです

中小企業向けのLOPDGDD第76条2項による軽減

LOPDGDDには中小企業に配慮した規定があります。違反の重大性が低く、管理者が中小企業であり、AEPDが定めた期限内に是正計画が実施される場合、AEPDは制裁金の代わりに apercibimiento（警告） を出すことができます。これは小規模EC事業者の初回の違反に広く適用されていますが、被申立人が意見書の中で求める必要があり、AEPDの裁量に委ねられています。

10. ECコンプライアンスチェックリスト 2026 — ステップ・バイ・ステップ

AEPD対応のための12項目チェックリスト

スペインで新しいオンラインショップを立ち上げる場合も、既存のショップを監査する場合も、次の12項目が2026年のAEPD対応の最低限のチェックリストです。

1. プライバシーポリシー（Política de Privacidad） を全ページのフッターに掲載し、階層的な情報提供によってRGPD第13条／第14条を満たすこと。
2. 法的告知（Aviso Legal） をLSSI-CE第10条に基づいて掲載すること — 事業者の特定情報、NIF、連絡先、登記情報、職業上の資格。
3. Cookieバナー で「同意する／拒否する／設定」を同じ視覚的レベルに配置し、カテゴリーを細分化し、事前チェックをせず、全ページに撤回コントロールを設けること。
4. Cookieポリシー のページで各Cookie、目的、期間、第三者の受領者を詳しく説明し、技術の変化に合わせて最新の状態に保つこと。
5. 処理活動の記録（RAT — Registro de Actividades de Tratamiento） をRGPD第30条に基づいて作成すること — 処理活動ごとに1項目（顧客、注文、マーケティング、仕入先、従業員）。
6. データ保護責任者（DPO） を、LOPDGDD第34条の業種またはRGPD第37条の要件に該当する場合に選任し、AEPDに届け出ること。
7. EU代理人 を、スペインで商品やサービスを提供するEU域外の管理者が書面で指定すること（RGPD第27条）。
8. データ主体請求（DSR）の窓口 — 少なくともメールアドレスとWebフォーム、社内記録、1か月のSLA。
9. 侵害対応計画 で、担当者の明記、AEPDのフォーム項目に沿ったテンプレート、顧客通知テンプレート、72時間のカウントを定めること。
10. ベンダー／処理者との契約 をすべての第三者と締結すること（RGPD第28条） — それぞれについてDPA（データ処理契約）。
11. 国際データ移転の文書 — SCCモジュールの署名、十分性認定のない国についてのTIAの実施、必要な場合の補完的措置の適用。
12. 従業員研修 — 少なくとも年1回、記録を残し、RGPDの基本、Cookie準拠、フィッシングへの注意、社内の侵害報告手順を扱うこと。

導入の手順

1. 第1週 — 棚卸し：すべてのフォーム、すべてのCookie、すべてのベンダー、処理するすべての種類の個人データを洗い出します。これによりRATが埋まり、すべてのデータ移転が特定されます。
2. 第2週 — 文書作成：プライバシーポリシー、法的告知、Cookieポリシー、DPAテンプレート、侵害対応計画を作成または更新します。
3. 第3週 — 技術対応：準拠したCookieバナーを導入し、DSR用Webフォームを実装し、侵害対応の通知フローを設定します。
4. 第4週 — 研修と承認：顧客対応を行うすべての従業員を研修し、一式を経営陣に提示して正式な承認を得て、次回の年次見直しの予定を立てます。

一元管理が重要な理由

スペインのEC事業は、多くの場合次のようなツール群の上で運営されています。 Shopify / WooCommerce / PrestaShop + マーケットプレイス（Amazon ES、AliExpress、El Corte Inglés） + マーケティングツール + 物流 + 決済。各ツールが個人データを収集・保存・共有する可能性があり、それぞれをRAT、プライバシーポリシー、国際データ移転の分析の対象に含める必要があります。これをスプレッドシートで手作業により管理しようとすることが、最もよくある失敗のパターンです。

Zunaproは、接続したすべてのチャネルにわたってコンプライアンス層を一元化します。1つのマスターRAT、1つのマスタープライバシーポリシーテンプレート、1つのCookie同意ログ、1つのDSR受付箱、1つの侵害記録簿です。いずれ文書を求めてくるAEPDの検査官には、12のツールから出力した12種類のデータではなく、一貫した1つのファイルを渡せます。

スペインのデータ保護に関するFAQ 2026