プライバシー規制に関するFAQ

このドキュメントでは、Adobe Experience Cloudでサポートされる法的プライバシー規制とその実装に関するよくある質問に対する回答を提供します。

一般的な質問

次の質問は、Experience Cloudでサポートされているすべてのプライバシー規制に関するものです。

サポートされているプライバシー規制は誰に影響しますか？

Experience Cloud🔗がサポートする プライバシー規制は、組織の地理的な場所に関係なく、規制の管轄区域の範囲内で市民の個人データを保存および処理するすべての組織に適用されます。

個人データとは何ですか？

個人データとは、自然人またはデータ主体に関する（個人を直接的または間接的に特定するために使用できる）情報です。 個人データは、名前、写真、電子メールアドレス、銀行口座の詳細、ソーシャルネットワーキング web サイト上の投稿、医療情報、コンピューターの IP アドレスなどである場合があります。

次の識別子は、Experience Cloud アプリケーションで一般的に使用され、プライバシー規制の要件の対象となる可能性があります。

個人情報には、インターネットやその他の電子ネットワークアクティビティ情報も含まれます。 これには、以下が含まれます。

プライバシー規制は幅広い個人情報を対象としていますが、Adobeの標準契約条件では、機密性の高い個人情報（SSN、運転免許証、財務情報、生体認証データなど）は、Adobe Experience Cloud アプリケーションへのインポートや使用が一般的に禁止されています。

データ管理者とデータ処理者の違いは何ですか？

データ管理者​は、個人データを処理する目的、条件、手段を決定する主体であり、データ処理者​は、データ管理者に代わって個人データを処理する主体です。

データ管理者​とは、個人データの収集、使用、または開示に関して決定を下す権限と責任を有する個人または組織のことです。 データ処理者​とは、個人データの収集、使用、開示、およびデータ管理者の指示に関して業務を行う個人または組織のことです。

データ主体の明示的な同意とあいまいでない同意の違いは何ですか？

明示的な同意​とは、データ主体の希望を口頭または書面で具体的かつ情報に基づいた明確な表示を含む同意基準を指します。 簡単に言えば、データ主体は、同意を明示的と見なすために、「同意する」または「同意する」と文字通り明示的に言う必要があります。 さらに、同意を取り消すことは、同意を与えることと同じくらい簡単でなければなりません。

曖昧でない（暗黙的な）同意​は、データ主体によって明示的に与えられていない同意を指しますが、本質的には曖昧ではありません。 例えば、企業のweb サイトの登録プロセスでは、メールアドレスを提供することで、データ主体が特別オファーの電子メールを受信することに同意するという通知が送信されます。 データ主体が通知を読み取った場合、電子メールを入力するという肯定的なアクションは、明確な同意と見なすのに十分です。

GDPRのような多くの規制では、機密性の高い個人データを処理するために明示的な同意が必要であり、「オプトイン」に足るものはありません。 ただし、機密性のないデータに関しては、曖昧でない（暗黙的な）同意は受け入れられます。

特定の年齢未満のデータ主体は同意を与えることができますか？

多くのプライバシー規制では、データ主体が一定の年齢に達していない場合、個人データの収集に対する同意を法的に提供することはできないと規定されています。 一部の規制では、データ主体の親権者から同意を得ることを許可していますが、すべてではありません。 次の表は、データ主体が各規制に対して独自の同意を提供するための最低年齢を示しており、詳細についてはメモを記載しています。

顧客の個人情報のアクセスや削除をおこなう要求に対して何日で応答する必要がありますか。

企業が個人情報を収集し、特定の消費者の身元を認証または検証できると仮定すると、プライバシー規制は、消費者の要求が満たされるまでの特定の時間枠を許可します。 次の表に、各規制に適用される時間枠を示します。一部の例外に関する注記を記載します。

データ保護担当者を任命する必要がありますか？

組織のデータ運用がGDPR、LGPD、PDPAの法的管轄権の下にある場合、次の場合はデータ保護責任者（DPO）を任命する必要があります。

プライバシー規制の対象となるデータを保持する場合、消費者のプライバシー要求をどのようにサポートできますか？

適切な法的管轄区域に属する消費者を認証するために必要な手順を実行した後は、Adobe Experience Platform Privacy Serviceを使用して、互換性のあるAdobe Experience Cloud アプリケーションに消費者のプライバシーに関するリクエストを送信できます。 詳しくは、Privacy Service 概要を参照してください。 お使いの Experience Cloud アプリケーションがプライバシーリクエストをどのように受け入れるかについて詳しくは、Privacy Service および Experience Cloud アプリケーションのガイドを参照してください。

CCPAの質問

CCPAに関する具体的な質問は、次のとおりです。

CCPA の様々な役割や責任は Experience Cloud にどのように適用されますか。

CCPA の定義に従って、次の役割がアドビとその顧客に適用されます。

サービスプロバイダーとして、アドビは、ビジネスの代わりに個人情報を収集し、処理し、契約上、契約に基づき、契約で設定された特定の目的のみにその情報を使用する義務があります。

この関係とAdobeの契約文言を考慮すると、Adobeへの開示は、企業が通知を提供し同意を求める必要がある「販売」とは見なされない可能性が高くなります。

ただし、アドビのサービスを使用して、特定のデータ共有を有効にし、サードパーティに転送することができます。 これらのサードパーティ転送は「販売」と見なすことができ、法的に開示と同意を必要とします。 顧客は、適切な要件を評価する特定の使用事例を評価するために、弁護士と協力する必要があります。

アドビは、CCPA の要件に対処するのに役立つその他のツールを提供しますか。

Adobe Experience Cloud アプリケーションは、企業のプライバシーニーズに役立つデータ管理およびガバナンス機能を提供します。 これらのツールの中には、データ使用のラベル付け、役割ベースのアクセス制御、IP 難読化、ハッシュ機能があります。

アドビは、ISO 27001 認定制度や TrustArc GDPR 検証など、プライバシーとセキュリティの実践に関するさまざまな認定を受けています。

GDPRに関する質問

GDPRに関する具体的な質問は、次のとおりです。

規制と指令の違いは何ですか？

規制​は、拘束力のある法的措置であり、EU 全域にわたって適用する必要があります。 指令​は、EU 加盟国すべてが達成する必要がある目標を掲げた法的措置ですが、その達成方法は個々の加盟国が決定します。

GDPRは規制であり、以前の法律（データ保護指令）とは対照的です。

GDPR は、データ漏洩に関するポリシーにどのような影響を与えますか？

データ漏洩に関する規制案は、侵害された企業の通知ポリシーに主に関連しています。 個人をリスクにさらす可能性のあるデータ漏洩は、データ保護機関に 72 時間以内に通告され、影響を受ける個人にも遅滞なく通知される必要があります。

PDPAに関する質問

以下の質問は、特にPDPAに関連しています。

機密性の高い個人データとは？

PDPAは、人種的または民族的起源、政治的意見、宗教的または哲学的信念、犯罪記録、労働組合加入、遺伝データ、生体認証データ、健康記録、性的指向または嗜好に関連する個人データを含む、機密性の高い個人データの収集と保存に関する厳しい要件を提供します。