ウェビナー主催者のためのGDPR実務——削除依頼・DPA・「最初から集めない」設計

きっかけは大抵、2通のメールのどちらかだ。申込者からの「私のデータを削除してください」か、法務からの「DPAがないとこのツールは承認できません」か。どちらの場合も、対応義務を負うのはプラットフォームではなく主催者であるあなただ。GDPRがウェビナー主催者に何を求めているのか、そして両方のメールに慌てず返信するためにプラットフォームの何を確認すべきかを整理する(本記事は実務ガイドであり、法的助言ではない)。

主催者が「管理者」、プラットフォームが「処理者」

欧州委員会の定義によれば、「データ管理者(controller)は個人データを処理する目的と手段を決定する」存在であり、「データ処理者(processor)は管理者に代わってのみ個人データを処理する」存在だ(commission.europa.eu、2026-07-17確認)。ウェビナーに当てはめると、イベントの開催を決め、申込情報を集めると決めたのは主催者なので、通常は主催者が管理者にあたる。その申込情報を預かって保管するプラットフォームが処理者だ。この役割分担が重要なのは、削除依頼への対応・回答期限・「何を集めるか」の説明責任がすべて管理者側、つまり主催者に乗るためだ。

削除依頼:自分の手で完結できるか

GDPRは個人に対し、自分のデータの削除を求める権利(消去権)を保障している(commission.europa.eu、2026-07-17確認。なお同ガイダンスは、この権利があらゆる場合に無条件で認められるわけではないことも明記している)。さらに欧州委員会のガイダンスによれば、本人からの請求には「不当な遅延なく、原則として受領から1か月以内に」回答しなければならない(commission.europa.eu、2026-07-17確認)。

この「1か月」の期限が、プラットフォーム選定を具体的な問題に変える。申込者1人のデータを消すのにベンダーへのサポートチケット起票と返答待ちが必要なら、コンプライアンス上の持ち時間の一部を他社のキューの中で消費することになる。StageVivoでは、主催者が自分のダッシュボードから申込者1人のデータを直接削除(正確には仮名化)できる。StageVivoへのサポート依頼は不要だ。依頼が届く、自分で処理する、返信する——それで完結する。

DPA:書類は本当に用意されているか

管理者と処理者の関係は概念にとどまらない。欧州委員会のガイダンスは「処理者の管理者に対する義務は、契約または他の法的行為で定めなければならない」としている(commission.europa.eu、2026-07-17確認)。実務上、この契約が法務の言うDPA(データ処理契約)だ。導入が進んでしまう前に確認すべきは2点。そもそもDPAを締結できるのか、そしてデータに下流で触れる事業者を確認できる副処理者(サブプロセッサ)リストが公開されているか。StageVivo(運営: X Inc.)は副処理者リストを公開し、データ処理の取り扱いをまとめたDPAを暫定版として公開している(締結できる正式な書式は法務確認のうえ整備中)。

自分が何のデータを保持しているかを正確に把握する

何が存在するのか分からないままでは、削除依頼にも開示請求にも自信を持って答えられない。ウェビナーは申込フォームの項目以上の個人データを生む。たとえばStageVivoは申込者ごとに一意のワンタイムURLを発行し、出欠を自動記録する。つまり誰も点呼を取っていなくても出欠記録は存在していて、それは主催者が管理者となる個人データだ。StageVivoの主催者が保持するデータの全容は、参加者ごとのCSVエクスポートにそのまま表れている——氏名・メールアドレス・出欠・視聴時間、それに主催者が申込フォームへ項目を足していればその回答。この見通しの良いリストこそ、「私のデータとして何を持っているのか」と聞かれたときに欲しいものだ。

見逃し配信もデータの話の一部だ。StageVivoはウェビナーごとにアーカイブの公開範囲を設定できる(全体公開・登録者限定・パスワード保護)ので、機微な内容を扱った回が既定で誰でも見られるリンクになることはない。

「免責文言」ではなく「設計」でデータを減らす

最も守りやすいデータは、最初から集めなかったデータだ。StageVivoの申込フォームは意図的に最小限から始まる。既定の項目は氏名・メールアドレス・同意の3つだけ。主催者が項目を足すこともできるが、追加できるのは最大5個までで、長いプロファイリング用の質問リストを作れる作りにはなっていない。それこそが狙いだ——プライバシーポリシーのチェックボックスではなく、アーキテクチャに組み込まれたデータ最小化の判断である。集めなかった項目は、保護する必要も、エクスポートする必要も、正当化する必要も、消去する必要もない。(質問に名前を付けることすら避けたい参加者向けに、StageVivoには匿名Q&Aのオプションもある。)

法務がちょうどツールを審査中なら、StageVivoのセキュリティページにDPA・副処理者リスト・データの取り扱いがまとまっている。本記事で触れた申込フォームやアーカイブの制御は機能一覧で確認できる。