- Regulation (EU) 2016/679 — GDPR, Article 27
- Directive 2002/58/EC — ePrivacy
- Directive 2011/83/EU — Consumer rights
- Directive 2005/29/EC — Unfair commercial practices
- Regulation (EU) 2023/988 — GPSR Article 19 for the listings
誰が選任するか
EU内の消費者に販売する自社店舗を運営する、連合外に設立された小売業者。データ面では顧客および訪問者データを処理し、ほぼ確実に分析や広告ピクセルを運営するため、2つの異なる義務が生じます。商品面では、発送するすべての物理的アイテムにEU経済事業者が必要です。
しきい値と適用除外
いずれの側にも閾値はありません。狭義の第27条第2項の免除は顧客データベースを持つショップには適用されず、GPSRは最初に発送されたアイテムから適用されます。
ラベルに必要な記載
サイト上：プライバシー通知における代表者の身元と連絡先情報、消費者法に基づく取引者識別、モデルフォームを含む撤回権情報、配送および支払い条件、GPSR第19条に基づく製造者および責任者の詳細と購入前の各製品に対する警告。
マーケットプレイスの項目
決済プロバイダーおよびプラットフォームは、取引者の身元と合法的なクッキーバナーの存在をますます確認しています。消費者当局は撤回権、カウントダウンタイマー、偽の希少性に関する協調的なスイープを実施し、越境事例はCPCネットワークを通じて追求されます。
保管すべき文書
第30条の記録は、ショッププラットフォームからメールツール、広告ピクセルまでのすべての処理活動とすべての処理者をリストします。第27条の指定。ユーザーごとの同意ログを持つ同意管理プラットフォーム。各処理者とのデータ処理契約。非EUへの移転に関する標準契約条項および移転影響評価。商品の技術文書。
規格と試験
適用されませんが、クッキーバナーは規制当局によって効果的にテストされます：非必須タグが同意前に発火するか、拒否が受け入れるのと同じくらい簡単か、同意が記録されるか。自動スイープは一般的です。
言語要件
プライバシー通知、クッキーバナーおよび消費者情報は、ターゲットとする各市場の言語で提供されます。英語のみの法的レイヤーを持つローカライズされたショップは透明性の失敗です。
いつから適用されるか
処理が始まる前に代表者を設置します。非必須のクッキーやピクセルが発火する前に同意を得る必要があり、これは最初の分析呼び出しの前、ページが読み込まれた後ではありません。注文が行われる前に撤回権情報を提供します。
文書の保管期間
処理の期間中、処理記録を保持します。処理が続く限り同意ログを保持します。国の法律に基づく注文および税記録は通常6年から10年で、マーケティングデータとは別の長期保持です。
違反した場合
違法な処理に対しては最大2000万ユーロまたは売上の4%、代表者が欠如している場合は1000万ユーロまたは売上の2%、クッキー違反に対する別の国家罰金、広範な違反に対する消費者法の罰金は売上の最大4%です。GPSRの失敗は自サイト上では何も抑制しませんが、製品の撤回命令をもたらします。
執行機関
顧客がいる任意の加盟国のデータ保護当局、CPCネットワークを通じた消費者保護当局、製品に対する市場監視当局。
境界線
自社ショップを運営することでマーケットプレイスのコンプライアンスフィルターが除去され、売り手はしばしば自由を感じ、当局は監視されていないチャネルとして経験します。誰もあなたのリストを抑制しないため、最初の信号は通常苦情やスイープであり、その時点での露出は取引期間全体をカバーします。
よくある質問
- Shopifyを使用していますが、それでカバーされますか？
- Shopifyはショップのための処理者であり、自身の目的のための管理者です。あなたの管理者としての義務、特に第27条の代表者は、選択したプラットフォームによって影響を受けません。
- 分析のために同意が必要ですか？
- ユーザーのデバイス上で厳密に必要でないものを保存または読み取るためには、はい、実施前に必要です。それは分析および広告クッキー、ほとんどのピクセルベースのトラッキングを含みます。
- 米国のプライバシーポリシーは十分ですか？
- いいえ。EU代表者、合法的な根拠、保持期間、移転メカニズム、及び第15条から第22条に基づく権利をユーザーの言語で明記する必要があります。