定義
Right to Erasure（データ削除権） とは、GDPR（EU一般データ保護規則）第17条に基づき、データ主体（顧客）が「自己の個人データを削除せよ」とデータ管理者（EC事業者）に要求できる権利です。「忘れられる権利（Right to be Forgotten）」とも呼ばれますが、厳密には削除権の方が広い概念です。
DTC・越境ECの文脈では、EU域内の顧客から「私のデータを全部消してくれ」とリクエストが来た場合、原則として1か月以内に対応しなければならない義務を意味します。違反した場合、最大で2,000万ユーロまたは全世界売上高の4%のいずれか高い方が制裁金として科されます。
类比（たとえ話）
データ削除権は、「レンタル倉庫の解約権」に似ています。
顧客はあなたの倉庫（=ECサイトのデータベース）に私物（=個人データ）を預けています。倉庫を借りる目的（=注文・配送・会員サービス）が終われば、顧客は「もう預けたくない」と解約を求める権利があります。ただし、倉庫側が「火災保険の請求記録として5年間保管する法的義務がある」といった正当な理由を持つ場合、すぐに処分はできません。
つまり「削除＝即時全消去」ではなく、法的保存義務・契約履行・訴訟対応などの例外を確認したうえで判断するのが実務のポイントです。
公式（対応フローの数式化）
削除対応の判断は、以下のロジックで整理できます。
削除義務 = (①リクエスト受領)
AND (②本人確認完了)
AND (③削除拒否事由なし)
- (④法定保存期間内データ)
- ①リクエスト受領：メール・問い合わせフォーム・マイページ経由
- ②本人確認：なりすまし防止のため、注文番号＋登録メールで照合
- ③削除拒否事由：GDPR第17条3項（表現の自由、法的義務、公共の利益、訴訟対応）
- ④法定保存期間：EU各国の税法で7〜10年の取引記録保存義務
対応期限の計算式：
対応期限 = リクエスト受領日 + 30日 （複雑な場合は +60日まで延長可、ただし30日以内に延長通知が必要）
对比表：削除権 vs 関連する権利
| 権利 | GDPR条文 | 内容 | EC実務での対応 |
|---|---|---|---|
| **削除権** | 第17条 | 個人データの消去要求 | 1か月以内に削除 or 拒否理由回答 |
| **訂正権** | 第16条 | 誤ったデータの修正要求 | 会員情報・配送先の修正 |
| **アクセス権** | 第15条 | 保有データの開示要求 | データコピーを30日以内に提供 |
| **データポータビリティ権** | 第20条 | 他社へ移行可能な形式で受領 | CSV/JSON形式で出力 |
| **処理制限権** | 第18条 | 削除せず処理を停止 | マーケ配信停止・フラグ管理 |
| **異議申立権** | 第21条 | 正当な利益に基づく処理への異議 | プロファイリング停止 |
重要：削除権は「絶対権」ではなく、他の法的義務と衝突する場合は制限される点がDTC実務の肝です。
应用场景（DTC・越境ECの具体例）
ケース1：退会後の削除要求
顧客が3年前に購入した商品について削除を要求。
→ 購入履歴は税法上7年保存が必要なため、会員アカウントは削除、取引記録は匿名化して保存が正解。
ケース2：マーケティングリストからの削除
メルマガ配信リストからの削除要求。
→ 配信停止＋リストから完全削除。「配信停止フラグ」だけでは不十分（処理制限権との混同に注意）。
ケース3：SNS連携データの削除
Facebookログインで取得したメールアドレス・氏名・友達リストの削除要求。
→ 自社DBから削除＋Facebook側への削除API連携も必要。
ケース4：返品・返金後の削除
返金処理完了後、クレジットカード情報の削除要求。
→ 決済代行（Stripe等）のPCI DSS保存義務との兼ね合いで、トークン化データのみ保持が現実解。
数字で見る実務インパクト
- 72時間：GDPR違反の監督機関通知義務
- 30日：削除対応の標準期限
- 4% or 2,000万ユーロ：制裁金の上限
- 7年：ドイツ・フランス等の取引記録保存期間
常见误区（よくある誤解）
誤解1：「削除要求＝全部消せばOK」
→ 誤り。法定保存義務があるデータは削除不可。「削除」と「匿名化」を使い分ける必要があります。
誤解2：「EU外の顧客には適用されない」
→ 誤り。GDPRはEU域内のデータ主体に適用。日本人顧客でもEU在住なら対象。越境ECではIPアドレス・配送先国で判定します。
誤解3：「バックアップは対象外」
→ 誤り。バックアップ内のデータも削除対象。ただし「技術的に不可能な場合」は合理的努力で可とされるケースも。
誤解4：「削除すれば制裁金は回避できる」
→ 誤り。対応の遅延・不備も制裁対象。30日以内の回答＋記録保持が必須です。
誤解5：「ShopifyやBASEが全部やってくれる」
→ 誤り。プラットフォームはツールを提供するだけ。最終責任はEC事業者にあります。
相关术语
- GDPR：EU一般データ保護規則（2018年5月施行）
- Data Subject：データ主体（顧客）
- Data Controller：データ管理者（EC事業者）
- Data Processor：データ処理者（決済代行・物流会社）
- Right to be Forgotten：忘れられる権利（削除権の別名）
- Anonymization：匿名化（削除と異なり統計利用可）
- Pseudonymization：仮名化（再識別可能な状態）
- DPO：データ保護責任者
- Supervisory Authority：監督機関（各国のデータ保護当局）
- CCPA/CPRA：カリフォルニア州消費者プライバシー法（米国版削除権）
実務チェックリスト（DTC向け）
1. 削除窓口の明示：プライバシーポリシーに専用メール記載
2. 本人確認フロー：注文番号＋登録メールの2要素
3. 30日タイマー管理：チケットシステムで期限アラート
4. 削除 vs 匿名化の判断基準：法務確認済みフローチャート
5. 記録保持：対応履歴を3年間保存（監督機関対応用）
6. 委託先への通知：決済・物流・CRMベンダーへ削除指示
7. バックアップ対応：次回バックアップサイクルで消去
結論：Right to Erasureは「顧客の権利」であると同時に、EC事業者のオペレーション設計力が問われる領域です。法務・CS・エンジニアリングの三位一体で、「削除できるデータ」と「残すべきデータ」を明確に分けることが、越境ECの持続的成長の鍵となります。