実務ガイド
クッキー同意のバナーを出しただけでは、海外マーケティングの個人データ移転は終わりません。欧州は十分性認定か標準契約条項（SCC）か、認定を受けた米事業者への経路かを別列で見ます。日本は個人情報保護法第28条、中国はPIPLと2024年3月の出境規定です。計測タグと広告SDKは、同意画面の話とサーバ所在地の話が同時に動きます。本記事では、制度の差とツール選定の手順をわかりやすく解説します。
本稿は公開されている制度の整理です。個別案件の適法性判断や契約文言は、顧問弁護士・DPO（データ保護責任者）の確認が必要です。
社内で「GDPRは済んだ」と聞くとき、中身はだいたい次のどれかです。プライバシーポリシーを英語にした。クッキーバナーを出した。処理の記録を1枚作った。委託契約に欧州向けの文言を足した。どれも必要な作業ですが、対象は「処理の根拠」や「端末への書き込み」であることが多いです。
越境移転は別の章です。GDPR第5章（第44条以降）は、EEAの外へ個人データを出すときの保護を求めます。バナーで同意を取っても、識別子やIP、フォーム内容が米・日・中のサーバへ渡るなら、移転の根拠が別に要ります。
日本企業が欧州の見込客にフォームや広告を出す場合、事業所が東京でもGDPRの対象になり得ます。域外適用は、域内の人に商品・サービスを申し出ているかが論点です。ポリシーの言語を変えただけでは足りません。
欧州委員会の十分性認定ページ（2026年8月確認）では、日本、韓国、英国、スイス、カナダ（営利組織）などが挙がっています。米国は「EU–US Data Privacy Frameworkに参加する営利組織」に限られます。ブラジルは2026年1月26日に相互の十分性決定が採択されました。英国は2025年12月、GDPRと法執行指令の両方で更新されています。韓国は2026年7月23日、2021年決定の初回見直しで保護水準が継続すると判断されています。
十分性がない国へ出すときは、第46条の保護措置が典型です。欧州委員会は2021年6月4日、現行のSCCを出しています。旧指令時代の条項は、経過措置の終了後は使えません。SCCはモジュールを選び、附属書を埋め、移転先の法制が条項の履行を妨げないかを見る、という作業です。署名したPDFをフォルダに入れるだけでは終わりません。
米事業者でも、DPFの公式リストに載っていない会社は十分性の対象外です。その場合はSCCなど別の根拠が要ります。広告・解析・CRMのサブプロセッサが米・印・比にあるなら、親会社がDPFでも経路は切れます。リストは Data Privacy Framework List で確認します。
欧州委員会は2024年10月9日、DPFの初回運用レビュー報告を出しています。枠組みは2026年8月時点で維持されています。将来の裁判で覆る可能性は、契約の見直し条項で見ておく程度にしてください。予測を本文の前提にはしません。
日本から外国の第三者へ個人データを出すときは、個人情報保護法第28条が中心です。個人情報保護委員会のガイドライン（外国にある第三者への提供編、2025年12月12日付PDF）では、次のいずれかでない限り、あらかじめ「外国にある第三者への提供を認める」旨の本人同意が必要です。
EUと英国は、日欧の相互円滑化のために指定された、とガイドラインは書いています。韓国はEU側から十分性を得ていますが、日本の「同等の国」リストには入っていません。東京本社からソウルのベンダーへ顧客リストを渡すときは、同意か基準適合体制かを別途組み立てます。
同意で通す場合は、提供先の国名や制度の有無など、規則が求める情報を先に本人へ出す必要があります（第28条第2項）。基準適合体制で通す場合は、提供後も相当措置の継続を確保し、本人の求めに応じて情報を出す義務があります（第28条第3項）。委託だから第28条は関係ない、ではありません。委員会のFAQは、外国への委託でも第28条の同意等が要ると書いています。
クッキーの同意と、外国第三者提供の同意は文言が違います。「サイト利用に同意」だけでは、米国の解析会社への提供同意としては弱いことが多いです。フォームとタグの国を、ポリシーの表に1行ずつ書いてください。
中国本土で集めた個人情報を日本や欧州の本社DWH、海外の解析ツールへ出すと、出境です。PIPLに加え、国家インターネット情報弁公室（CAC）の《个人信息出境标准合同办法》（2023年6月1日施行）と、《促進和規範數據跨境流動規定》（2024年3月22日公布・施行）が実務の骨格です。
2024年規定の第8条では、重要情報インフラ運営者以外で、当年1月1日以降に累計10万人以上100万人未満の個人情報（機微を除く）、または機微個人情報1万人未満を境外へ出す場合、標準契約の締結か個人情報保護認証が必要です。100万人以上、または機微1万人以上、あるいは重要情報インフラ運営者は、出境安全評価の申告です（第7条）。
標準契約はCACの添付ひな型に沿って結び、発効から10勤務日以内に所在地の省級網信部門へ备案します。届出システムは sjcj.cac.gov.cn です。欧州のSCCと違い、条文を交渉で差し替えられません。影响评估（個人情報保護影響評価）も契約前に実施します。
免除もあります。第3条は、国際貿易・越境輸送・学術・跨国製造・マーケティング等で集めたデータでも、個人情報も重要データも含まないなら、評価・標準契約・認証を免除します。アクセス解析のCookieや広告IDは個人情報に当たりやすいので、第3条の「マーケティングだから免除」は使えません。第5条第4号は、重要情報インフラ以外で当年累計10万人未満（機微を除く）なら、評価・標準契約・認証を免除します。ただし第10条は、告知・個別同意・影響評価などのPIPL義務が残ると書いています。人数が少ないから何もしない、ではありません。
計測SDKを中国サイトに埋め、本社のGAやHubSpotへイベントを流す設計は、出境経路の確認が初期タスクです。本土保管を前提にする、識別子を削る、閾値を年次で数える、のどれかを先に決めてください。
韓国は、EUから見て十分性があります（2021年決定、2026年7月の見直しで継続）。欧州から韓国ベンダーへ出す経路は、日本や中国より組み立てやすいです。逆方向は別です。日本の第28条の「同等の国」はEUと英国に限られるので、日韓のデータ往復は片側ずつ根拠を書きます。
ベトナムとシンガポールは、欧州委員会の十分性認定リスト（2026年8月確認）に入っていません。欧州の見込客データを現地の代理店CRMやローカル広告アカウントへ渡すなら、SCCなど第46条の措置が原則です。各国の国内法（ベトナムの個人データ保護、シンガポールPDPA）は、EUの十分性とは別列です。現地法人があるなら、現地法の移転条件も同じ表に足します。
ASEANにはモデル契約条項があります。欧州委員会は2023年5月24日、EUのSCCとASEAN条項の共通点を整理した共同ガイドを出しています。両方の条項を「似ているから1通で足りる」とは書いていません。EU向けSCCとASEAN向け条項を、契約の別紙として併記する、が実務の出発点です。
欧州では、端末に識別子を置く・読む行為は、ePrivacy指令系の同意が別途かかることが多いです。GDPRの処理根拠（契約履行、正当な利益など）を選んでも、クッキー同意が自動で済むわけではありません。バナーは「保存してよいか」。移転は「域外のサーバへ出してよいか」。目的外利用は「広告に使ってよいか」。3列です。
アクセス解析を同意前に発火させる、広告タグを必須Cookieに混ぜる、同意管理ツール（CMP）の記録と実際のタグマネージャが食い違う、は現場でよく起きます。CMPの画面と、Googleタグマネージャの発火条件を、同じURLでスクリーンショットして保管してください。監査で聞かれるのはポリシー文面より、いつ誰の識別子がどこへ行ったかです。
日本では、個人情報保護法に加え、クッキーが個人データに当たるか、外国第三者提供に当たるかを個別に見ます。中国では、同意の取り方と出境の経路が同時に動きます。グローバル1枚のバナー文言を、日・欧・中にそのまま使うのは避けてください。言語だけでなく、同意の対象（保存／移転／広告）を国別に分けます。
新しい解析・広告・MA（マーケティングオートメーション）・チャットを入れる前に、次を1枚の表にします。ベンダーの営業資料の「GDPR対応」ロゴだけでは判断しません。
保管リージョン、サポートの遠隔アクセス、サブプロセッサ一覧、バックアップの所在です。EUリージョンを選んでも、米国本社のサポートが本番データに入れるなら移転になり得ます。サブプロセッサが四半期で増える製品は、契約の通知条項を先に読みます。
十分性のある国／DPF認定／SCC（モジュール番号）／日本第28条（同意か基準適合）／中国の評価・標準契約・認証・免除のどれか。1つのタグマネージャに欧米中のタグが混在するなら、発火を国・同意状態で分けます。分けられない製品は、その市場では使わない判断もあります。
IPの匿名化、User-IDの停止、広告機能のオフ、保持期間の短縮は、製品の設定画面にあります。契約だけ直して設定が初期値のまま、が一番多いずれです。中国向けは、イベント名に氏名や電話を載せない、フォーム完了だけを本社へ送る、などデータ量そのものを減らす方が、閾値管理より効きます。
既存ツールの棚卸しは、新規導入より先です。使っていないピクセルが残っているサイトは珍しくありません。タグマネージャの公開コンテナを書き出し、ベンダーとデータ項目と国を3列で突合します。90日で全部やめろ、ではなく、まず「誰向けのページで何が発火しているか」を確定してください。
海外マーケティングの個人情報は、プライバシーポリシー1枚では終わりません。欧州は十分性かSCC（米事業者はDPFの有無）、日本は第28条の同意か基準適合、中国は2024年規定の人数閾値と备案です。韓国はEU十分性がありますが、日本の同等国リストには入りません。ベトナムとシンガポールはEU十分性の対象外です。
計測と広告のタグは、同意バナーとサーバ所在地を同じ表で見てください。製品の「対応済み」表示より、リスト掲載・契約モジュール・発火条件の3点が現場の証拠になります。法改正は続くので、十分性リストとCAC規定は、キャンペーン開始のたびに公式ページを開き直す運用にしてください。
Q. クッキー同意を取れば、米国の解析ツールに出してよいですか。
同意は端末への保存と、処理の根拠の一部になり得ます。米国への移転は、その事業者がDPFに載っているか、SCCなど別の保護措置があるかを別に確認します。バナーだけでは足りません。
Q. 日本の顧客データだけならGDPRは無関係ですか。
日本居住者だけを対象にするなら、主戦場は個人情報保護法です。欧州の人に広告や英語サイトで申し出ているなら、事業所が日本でもGDPRが重なり得ます。対象者の所在で列を分けてください。
Q. 中国サイトのアクセス解析は、本社のGAにまとめてよいですか。
識別子や行動ログが境外へ出るなら出境です。2024年規定の人数・機微の閾値、標準契約の备案、免除の可否を先に見ます。マーケティング活動という理由だけでは免除になりません（個人情報を含むため）。
Q. この記事は法律相談の代わりになりますか。
なりません。制度の地図です。契約と実装の最終判断は、顧問とDPOが行ってください。