- Regulation (EU) 2016/679 — GDPR, Article 27
- Directive 2002/58/EC — ePrivacy, for device storage and tracking
- Regulation (EU) 2022/2065 — DSA where user content is hosted
- Regulation (EU) 2023/2854 — Data Act, for connected products
- Directive 2011/83/EU — Consumer rights
誰が選任するか
EU内のユーザーにアプリを提供し、彼らの個人データを処理する、連合外に設立された開発者または出版社。EUのストアフロントでアプリを提供し、ユーロで価格設定し、ローカライズしたり、EUユーザーに広告を配信することは、ターゲティングを示すすべての要素です。自らの目的を決定するSDKプロバイダー — 広告ネットワーク、分析ベンダー — は独自のコントローラーであり、独自の代表者が必要です。
しきい値と適用除外
収益やダウンロードの閾値はありません。偶発的な処理に対する狭い第27条第2項の免除は、インストールベース、持続的識別子、分析を持つアプリには適用されません。無料アプリは完全に対象となります：広告を通じた収益化は処理であり、免除ではありません。
ラベルに必要な記載
物理的ではありません。EU代表者の身元と連絡先の詳細は、ストアリストからリンクされたプライバシーポリシーおよびアプリ内のユーザーが実際に見つけられる場所に表示されなければなりません。AppleとGoogleは、機能するプライバシーポリシーのURLと正確なデータ安全性の開示を要求し、宣言されたデータ収集と実際に存在するSDKとの間の不一致がチェックされます。
マーケットプレイスの項目
App StoreとGoogle Playは、現実に合致したプライバシーラベルまたはデータ安全性の宣言を要求します。Google Playはさらに、EU外の開発者に対して、DSAに関連する透明性ルールに基づき、EU内の消費者向けアプリのための商業者情報を公開することを要求し、宣言が不完全なアプリを削除します。ユーザーの同意なしに識別子を送信する広告SDKは、アプリがストアのプライバシー審査に失敗する最も一般的な理由です。
保管すべき文書
書面による第27条の指定。すべてのSDK、その目的、およびその転送をリストした第30条の処理記録。非必須のストレージおよびトラッキングのための同意管理フロー、ユーザーごとの同意の証明。プロファイリング、子供のデータ、大規模なトラッキングが関与する場合のデータ保護影響評価。アメリカ合衆国または他の場所へのデータ転送のための標準契約条項および転送影響評価。プロセッサである各SDKベンダーとのデータ処理契約。
規格と試験
テストの意味では適用されません。検査されるのは同意フローです：同意の前に識別子が読み取られたり書き込まれたりするか、拒否が受け入れるのと同じくらい簡単か、ストアの宣言がネットワークトラフィックと一致するかどうかです。規制当局とNGOは両方ともトラフィック分析を実施し、これがこのカテゴリでのほとんどの執行の始まりです。
言語要件
ターゲットとするユーザーの言語でのプライバシー情報。ドイツ語またはフランス語にローカライズされたアプリが英語のみの同意フローを持つ場合、これは第12条に基づく透明性の失敗です。
いつから適用されるか
指定はアプリがEUのストアフロントで利用可能になる前に存在しなければなりません。非必須のSDKがデバイスに読み書きする前に同意を取得する必要があり、これは初回起動時および分析呼び出しの前でなければなりません。
文書の保管期間
アプリの存続期間中の処理記録と過去の期間の証拠。処理が続く限り同意記録を保持し、同意を証明する責任はコントローラーにあります。
違反した場合
代表者を指定しなかった場合は最大1000万ユーロまたは売上の2%、不法処理の場合は最大2000万ユーロまたは売上の4%の罰金。国家のePrivacy罰金は別であり、一部の当局はGDPRの損害を証明することなく課します。ストアからの削除はより迅速な商業リスクです：AppleとGoogleはプライバシー宣言の不一致に数日以内に対応します。
執行機関
ユーザーが所在するEUの監督当局、連合外のコントローラーに対するワンストップショップは存在しません。国家のePrivacy執行はほとんどの加盟国でデータ保護当局に、いくつかの国では電気通信規制当局にあります。
境界線
子供向けのアプリには厳しいルールがあります：広告のためのプロファイリングは、プラットフォーム上の未成年者に対してDSAの下で実質的に禁止されており、国のデジタル同意年齢（加盟国によって13歳から16歳の間）未満の子供からの同意は親の承認を必要とします。ユーザー生成コンテンツをホストするアプリもDSAの対象となり、第13条の法的代表者が必要であり、これは第27条とは別の任命です。
よくある質問
- FirebaseとAdMobのみを使用しています — それでも代表者が必要ですか？
- はい。これらのSDKは、あなたの代理でEUユーザーの個人データを処理し、彼ら自身の目的のために処理します。また、EUのストアフロントで公開することでEUをターゲットにしています。
- App Storeは私たちのデータコントローラーですか？
- いいえ。ストアは流通チャネルであり、自身の処理のためのコントローラーです。あなたはアプリが収集するデータのコントローラーのままです。
- EUに拠点を置く出版社が解決策になりますか？
- 処理の実際のコントローラーが連合内に設立された会社である場合、第27条は適用されません。目的と手段を決定しない名目上の出版社は、精査を生き残ることはできません。