こんにちは、tagen5.com（タゲンゴ）代表の永島です。
「Cookieバナーを置けばPDPA対応になるのか」「日本語のプライバシーポリシーを翻訳すればよいのか」。タイ向けサイトでは、Cookieの利用、プライバシー通知、取得データ、利用目的、共有先、保存期間を個別に確認します。
タイのPersonal Data Protection Act（PDPA）は、Webサイトの見た目ではなく、個人データを何の目的で集め、どの法的根拠で使い、誰へ渡し、いつまで保持し、本人の請求へどう対応するかという運用全体に関わります。この記事は、サイト担当者が法務担当者と確認するための実務チェックリストです。個別案件への法的助言ではありません。判断が必要な箇所は、タイ法の専門家へ確認してください。
サイトの構成や多言語化を検討する際は、タイ向けWebサイト制作サービスもご覧ください。
最初に確認するデータの流れ
フォームと外部サービスを書き出す
最初に、サイトで個人データが入る場所と送られる先を一覧にします。フォームだけでなく、アクセス解析、広告、埋め込み動画、チャット、採用システムも対象です。
- 問い合わせ・見積もり・資料請求フォーム
- 採用応募、履歴書、工場見学やイベント予約
- メールマガジン、LINE、チャット、会員登録
- アクセス解析、広告計測、ヒートマップ
- YouTube、Google Maps、SNSなどの埋め込み
- CRM、メール配信、クラウドストレージへの転送
各項目について、取得データ、目的、保存先、アクセスできる人、保持期間、削除方法を記録します。この一覧がないままバナーや文書だけを追加しても、実際の処理と説明が食い違うおそれがあります。
同意だけを唯一の根拠にしない
タイ商務省国際貿易振興局（DITP）のPDPA案内でも、個人データの収集・利用・開示や同意、本人の権利などが案内されています。すべての処理が同意だけで決まるわけではなく、契約、法的義務、正当な利益など、処理に応じた根拠の検討が必要です。根拠の選択は社内法務または専門家と確認してください。
プライバシー通知で確認する項目
| 確認項目 | サイト担当者が準備する情報 |
|---|---|
| 管理主体 | 法人名、所在地、連絡先、担当窓口 |
| 取得内容 | 氏名、会社、メール、電話、IP等の実データ |
| 利用目的 | 回答、見積もり、採用、配信など具体的な目的 |
| 共有・委託 | 本社、グループ会社、CRM、ホスティング等 |
| 国外移転 | タイ国外のサーバー・本社・事業者への送信 |
| 保持 | 期間または決定基準、削除方法 |
| 本人の権利 | 請求の種類、受付窓口、本人確認方法 |
通知文は、実際のツール設定と一致させます。例えば、問い合わせが日本本社のメールと海外CRMの両方へ送られるなら、その流れを法務確認の対象に含めます。タイ土地局のPDPAページには、Privacy Notice、Cookie Policy、Consent Form、権利請求などの文書例への入口があり、公的機関がどのように項目を分けているかを確認できます。
Cookieと計測タグの確認
まず実際に発火するタグを棚卸しする
Cookieバナーの文言より前に、タグマネージャー、解析、広告、埋め込みが何を保存・送信するかを確認します。不要なタグは削除し、必要なタグは目的別に分類します。
- シークレットウィンドウで初回訪問時のCookieと通信先を確認する
- 必須、解析、広告、機能などの分類を決める
- 選択前、拒否後、同意後の三状態でタグの発火を確認する
- 設定変更と同意撤回の入口を分かりやすく置く
- 新しいタグを追加する際の承認手順を決める
どのCookieに同意が必要か、どの根拠で処理できるかは、用途と実装によって異なります。自動的に「すべて必須」と判断せず、法務担当と分類を確認してください。
問い合わせフォームで確認する項目
- 目的に不要な入力項目を削る
- 送信前にプライバシー通知へ移動できるリンクを置く
- 同意を求める場合は、何への同意かを具体的に示す
- 問い合わせ回答と広告配信を同じ選択肢にまとめない
- 管理者通知と利用者向け自動返信を実送信でテストする
- WordPress、メール、CRMに残るデータと削除方法を確認する
- スパム対策とアクセス権限を設定する
フォーム送信後の完了ページは、計測上も重要です。入力開始やボタンクリックではなく、正常に送信された完了を主要コンバージョンとして測ると、広告やSEOの成果を正しく判断できます。
国外移転・委託先・事故対応
日本本社へ送る場合もデータフローへ記録する
タイのサイトで受け取った情報を日本本社、海外サーバー、SaaSへ送る場合は、移転先、目的、保護措置、契約を確認します。サイト担当者だけで結論を出さず、法務担当とサービス提供者の資料を照合してください。
漏えい時の連絡経路を先に決める
誰が異常を検知し、サイトを止め、ログを保全し、経営・法務・関係先へ連絡するかを決めます。WordPress管理者、サーバー、メール、外部フォームの責任範囲が分かれている場合は、連絡先一覧を作ってください。
- 管理者アカウントに多要素認証を設定する
- 不要な管理者・プラグイン・テーマを削除する
- 更新、バックアップ、復元テストの担当を決める
- フォームデータの閲覧権限を必要最小限にする
- 事故記録と通知判断を行う手順を文書化する
公開前の実務チェックリスト
- データの取得場所と送信先を一覧化した
- 利用目的と処理の根拠を法務担当が確認した
- プライバシー通知と実装が一致している
- Cookieの拒否・同意・撤回を実機で確認した
- 問い合わせ通知と自動返信が到達した
- 保持期間と削除手順を決めた
- 本人からの請求を受ける窓口を決めた
- 国外移転と外部委託先を確認した
- 権限、更新、バックアップを確認した
- 事故時の連絡・保全・判断手順を作った
よくある質問
Cookieバナーを設置すればPDPA対応は完了しますか？
完了しません。フォーム、通知、外部サービス、保持、削除、本人の権利、国外移転など、実際のデータ処理全体を確認する必要があります。
日本語のプライバシーポリシーを翻訳すればよいですか？
翻訳だけでなく、タイ向けサイトが実際に使うツール、タイ法人・日本本社間のデータ移動、受付窓口と一致させる必要があります。文書は専門家の確認を受けてください。
Google Analyticsは必ず同意が必要ですか？
設定、取得情報、利用目的、適用される根拠によって判断が変わります。タグの実装を棚卸しし、タイ法の専門家と確認してください。
タゲンゴは法的判断も行いますか？
タゲンゴはWebサイトの実装・表示・フォーム・計測タグを確認し、技術上の改善箇所を整理します。法的判断や法律文書の確定は行わないため、必要に応じてタイ法の専門家へ確認いただきます。
まずは無料サイト診断から
無料サイト診断では、公開ページ、フォーム、Cookie表示、外部タグ、問い合わせ導線を確認し、Web担当者が先に直せる項目と、法務確認が必要な項目を分けてお伝えします。
永島（tagen5.com／タゲンゴ 代表）
運営者情報・サービス範囲は会社案内をご確認ください。
