Right to Data Portability

定義

データポータビリティ権とは、消費者が事業者に対して、自らが提供した個人データを構造化され・一般的に使用され・機械可読な形式で受け取り、別のサービス事業者へ移転できる権利です。EUのGDPR第20条で明文化され、日本の改正個人情報保護法における「保有個人データの開示」や、電気通信事業法の外部送信規律とも連動しつつ、DTC/EC事業者にとっては顧客ロイヤルティを奪われるリスクと信頼獲得のチャンスが同時に発生する論点です。

类比：引っ越しの「荷物」と「家具」

ECサイトの会員データを「賃貸物件の荷物」に例えるとわかりやすいです。退去時に、冷蔵庫やソファ（＝購買履歴、住所、決済手段）をそのまま持って行けるのがデータポータビリティ権です。一方、大家が独自に作った壁紙や造作（＝独自のレコメンドアルゴリズムが生成した推定嗜好）は「提供したデータ」ではないため、原則として対象外。つまり顧客が自分で持ち込んだ荷物＝移転対象、事業者が付加価値として生成したデータ＝対象外という線引きが肝になります。

公式：対象データの判定式

移転対象 = (顧客が能動的に提供したデータ)
         ∪ (サービス利用に伴い自動収集されたデータ)
         − (事業者の独自分析・推定データ)
         − (第三者の権利を侵害するデータ)

GDPR実務では、以下の3条件を満たすものが対象です。

1. 提供の主体：データ主体が自ら提供したもの

2. 処理の根拠：同意または契約の履行

3. 処理の方法：自動化された手段による処理

例：ECサイトで顧客が入力した氏名・住所・注文履歴は対象。AIが算出した「離脱予測スコア」や「LTVランク」は対象外です。

对比表：GDPR vs 改正個人情報保護法 vs 電気通信事業法

項目	GDPR第20条	改正個人情報保護法	電気通信事業法（外部送信規律）
権利の性質	データポータビリティ権（明文）	開示請求権の一部として運用	送信情報の通知・開示
対象データ	提供＋自動収集データ	保有個人データ	利用者情報の一部
形式要件	構造化・機械可読（JSON/CSV等）	書面または電磁的記録	電磁的方法
移転先への直接送信	技術的に可能な場合に義務	原則として本人請求ベース	原則として本人関与
対応期限	1か月以内	原則2週間以内	速やか
罰則	最大2,000万ユーロまたは全世界売上4%	勧告・命令・罰則	指導・勧告

応用场景：DTC/EC現場での実務

シーン1：サブスク解約時のデータ持ち出し請求

顧客が「解約したい。過去3年分の購入履歴と配送先をCSVでください」と依頼。72時間以内に管理画面からエクスポートし、パスワード付きZIPで送付する導線を整備すべきです。米国CCPAでは12か月以内の請求に45日以内の対応が義務付けられています。

シーン2：CRM移行に伴う競合への移転

顧客が「購入履歴をShopifyから別カートへ移したい」と申し出た場合、GDPR圏では技術的に可能な範囲で直接送信が求められます。API連携がない場合はCSV/JSONで対応。ここで移転を渋ると、解約率が最大18%上昇するという調査もあります。

シーン3：ポイントプログラムのデータ返還

会員ランクや保有ポイントは「顧客が提供したデータ」に該当し得ます。一方、ランク算出ロジックは対象外。ポイント残高・有効期限・獲得履歴は機械可読形式で出力する必要があります。

常见误区

- 「すべてのデータを渡せばよい」 → 誤り。第三者の権利や営業秘密は除外可能。

- 「PDFで渡せばOK」 → 誤り。機械可読性が必須。PDFは原則不可、CSV/JSON/XMLが望ましい。

- 「自社分析データも渡す必要がある」 → 誤り。推定・派生データは対象外。

- 「請求があれば無期限に対応」 → 誤り。GDPRは1か月、日本は2週間が目安。

- 「移転先のセキュリティは知らない」 → 誤り。送付時の暗号化・本人確認は事業者責任。