「顧客データはEUでホストされていますか？」はほとんどのセキュリティアンケートの最初のチェック項目ですが、そこで止まるのは誤りです。ベンダーが「はい」にチェックを入れても、実際の移転は別の場所、つまりランディングページのピクセル、メールの開封トラッカー、広告プラットフォームへのコンバージョン呼び出しの中で起きている、という構成をDPOに渡すことがありえます。
この記事では階層を分けて整理します。法律が求めること、マーケティング基盤が実際にEUデータをどこへ送るか、サーバーサイド転送が何を変え何を変えないか、そして契約前に書面で求める価値のある8つの回答です。法務担当者向けではなく、DPOと向き合う立場のマーケター向けに書いています。条文ごとの処理者の視点はURL短縮サービスのGDPRにあります。
結論：データ所在地は階層ごとの属性
- 「EUホスト」が示すのは、ベンダー自身のサーバーの場所です。キャンペーンに付随するブラウザのスクリプト、メールのトラッカー、広告プラットフォームへの呼び出しについては何も語りません。
- サーバーサイドのコンバージョン転送は、移転を管理できるようにしますが、なくしはしません。広告プラットフォームがEEA外なら、移転の仕組みは依然として必要です。
- 短く公開された、所在地が明記された復処理者リストは監査できます。曖昧な項目が並ぶ長いリストは、継続的な審査コストになります。
- 最初の打ち合わせで、下のチェックリストにある8つの書面回答を求めてください。それらを用意しているベンダーは、たいてい数週間ではなく数日で審査を通過します。
法律が実際に求めること
主に4つの法規定が関係します。一次資料はEUR-Lexにあります。2026-10-24の自動取得ではEUR-Lexのページから内容が返らなかったため、以下の条文への言及は規則の公表された番号付けに従っており、本文はそちらで直接お読みください。
第3条第2項、域外適用。 GDPRは、EU域外の管理者または処理者にも、EU内の人々への商品・サービスの提供、またはEU内での行動の監視に関する処理であれば適用されます。EUの訪問者に対するクリック追跡は監視にあたります。条文は規則（EU）2016/679にあります（2026-10-24 アクセス、取得時にはページが読み込めませんでした）。
第28条、処理者。 あなたのために個人データを扱う各ベンダーとは、第28条第3項の条件を満たす契約が必要です。第28条第2項は、処理者が別の処理者を起用する前に、個別または一般的な、あなたの事前承認を求めており、一般的な承認の場合は変更に異議を述べる機会が与えられなければなりません。復処理者リストが実務で重要なのはこのためです。
第44条から第49条、移転。 第5章は、十分性認定、標準契約条項（SCC）などの適切な保護措置、限定的な例外という、列挙された経路のいずれかが適用されない限り、第三国への個人データの移転を禁じています。関連する記録義務が第30条にあり、処理活動の記録には各移転とその根拠を記載すべきです。
Schrems IIとData Privacy Framework。 事件C-311/18で、司法裁判所は2020年7月にPrivacy Shieldを無効とし、SCCを利用する者は移転先国の法律が条項を損なわないかを確認しなければならないと判示しました（Curiaの判決、2026-10-24 アクセス、ページはスクリプト駆動のビューアにリダイレクトされ、取得時には表示されませんでした）。欧州委員会は2023年7月10日に、認証を受けた受領者を対象とする新しい米国向け十分性認定を採択しました（欧州委員会のページ、2026-10-24 アクセス）。一般裁判所は2025年9月3日にこれに対するLatombeの申立てを棄却し、司法裁判所では事件C-703/25 Pとして上訴が係属中です（官報の告示 C/2025/6610、2026-10-24 アクセス、ページが表示されなかったため要約は検索結果から取りました）。最新の状況は裁判所の登録簿で確認してください。法的環境の変化に耐えられる移転体制を求めるチームにとっては、EDPBの補完措置に関する勧告01/2020（最終版は2021年6月18日採択、2026-10-24 アクセス）が引き続き基準となります。
マーケティング基盤がEUデータを送る先
「当社の短縮サービスはEUホストです」と「当社のデータはEUにとどまります」の間のギャップは、短縮サービスの周辺の階層で生まれます。変わりやすいベンダーの初期設定を推測するのではなく、パターンと、各担当者に投げる質問を示します。
| 階層 | 移動するもの | 担当者への質問 |
|---|---|---|
| ブラウザのピクセルとタグ（Meta、Google、その他） | UTMパラメータ付きのページURL、IP、Cookie ID。訪問者のブラウザからベンダーへ送信される | どのベンダーのエンドポイントで、移転の根拠は何か。同意は先に取得しているか？ |
| メールの開封・クリックトラッカー | トラッキングURLに含まれる購読者識別子。メールプロバイダーのCDN上でホストされる | 当社のアカウントはどのリージョンか。トラッキングドメインもそれに従うか？ |
| CRMとマーケティングオートメーション | 連絡先レコードとフォーム送信 | 当社のテナントはどのデータリージョンか。後から変更できるか？ |
| サーバーサイド転送 | 自社で運用するサーバーから送られるクリックまたはコンバージョンのイベント | 受け取り側のエンドポイントはEEA内か。どの識別子が送られるか？ |
| 短縮サービス | リダイレクトのリクエストとクリックログ | リダイレクトとクリック記録はどこで処理・保存されるか？ |
私が見る多くのチームは、これらの複数を同時に運用しており、移転評価の記録はなく、処理活動の記録には仕組みを示さずに「Google Analytics、Meta Pixel」とだけ書かれています。短縮サービスは通常、リストの中で最も小さな項目です。リダイレクトは数ミリ秒で終わり、それが作る唯一の記録がクリックログだからです。ブラウザ側の項目は、EUのどのサーバーもリクエストを見る前に発火するものです。それらの実務上の影響はSchrems IIとトラッキングピクセルで、短縮リンクの同意の扱いは短縮リンクのCookie同意で解説しています。
サーバーサイド転送が変えること、変えないこと
サーバーサイドの構成では、訪問者のブラウザはリダイレクトとだけ通信します。その後、サーバーが広告プラットフォームのAPI（Meta Conversions APIやGoogle Analytics 4のMeasurement Protocolなど）にコンバージョンイベントを送ります（どちらのページも2026-10-24 アクセス。Metaのページはスクリプトで描画されるドキュメントサイトなので、この要約ではなく最新の本文を参照してください）。
変わること。 移転が、簡単には監査できないスクリプトの中ではなく、自分で構成したインフラ上で、自分が選んだフィールドを使って行われるようになります。処理活動の記録には、「ブラウザ起点、根拠は要確認」ではなく、管理された1つのサーバー間移転を記述できます。
変わらないこと。 受け取り側のエンドポイントがEEA外なら、移転は依然として行われます。その区間にはSCCかData Privacy Frameworkの経路と、その記録が必要です。サーバーサイド転送は管理とデータ最小化を向上させますが、免除ではありません。DPOには審査の後ではなく前にそれを伝えてください。
Elidoの現状としては、リンクのクリックをGoogle Analytics 4（Measurement Protocol）、Mixpanel、Klaviyo、Brevo、Datadogへサーバーサイドで転送できます。MetaとTikTokへは転送せず、購入やコンバージョンもどのプラットフォームにも転送しません。転送機能はコードで確認しており、DPOにとって重要な点が2つあります。Mixpanelは、プロジェクトのリージョンをEUまたはインドに設定しない限り、初期設定で米国のエンドポイントを使うため、プロジェクトがEUにあるならEUに設定してください。手順はMixpanelのEUデータ所在地ガイドで説明しています。配信に失敗したものは1秒後に1回再試行され、その後は破棄されるため、転送されたイベントは帳簿ではなくベストエフォートとして扱ってください。イベントの重複排除IDと識別子のハッシュ化は、まだ実装されていません。
復処理者リストが読むべき成果物である理由
第28条第2項により、処理者はあなたの承認なしに復処理者を追加してはならず、一般的な承認の場合は追加に異議を述べられなければなりません。実務では、これは公開リストと通知期間になります。使えるリストは、ベンダー名、その役割、そしてデータが処理される場所を国またはクラウドリージョンのレベルで明記し、変更をどう告知するかを示しています。
Elidoのリストは /legal/subprocessors にあります。現在13社が、それぞれ目的と所在地とともに掲載されています。いくつかはEU外にあるか、EU外のフォールバックを持っており、ポリシーにその旨が書かれ、それらにはSCCを適用しています。13社は少ない数ではないので、件数を鵜呑みにせず、実際に読んでいただきたいと思います。有用な基準は、すべての行を所在地付きで半日のうちに審査できるかどうかです。契約条件はDPAにあり、Elidoのプライバシーポリシーは、リスト変更の30日前の通知を約束しています。
書面で求める8つの回答
審査の前に、どのマーケティングベンダーにも書面でこれらを問い合わせてください。
- 新規の顧客データはどのホスティングリージョンに置かれますか。データセンターのリージョン、少なくとも国まで特定してください。「EU」だけでは回答になりません。
- そのリージョンは標準契約で固定されていますか。それともベンダーが予告なく変更できる運用上の選択ですか。
- 第28条第3項を満たす処理者契約は、営業との打ち合わせが終わるまでに署名済みで提供されますか。
- 標準的な連鎖に復処理者は何社含まれ、それぞれはどこで処理しますか。リストは公開されており、自社の記録からリンクできますか。
- コンバージョン追跡はサーバーサイドで転送されますか。ハッシュ化して送る識別子と、平文で送る識別子はどれですか。
- クリックログの訪問者IPアドレスはどう扱われますか。切り詰め、ハッシュ化、受け取ったままの保存のどれで、どのくらいの期間ですか。
- データ主体からの消去請求はどう実行され、クリックイベントの保管先にも及びますか。
- ベンダーが現在保有している第三者認証は何で、日付はいつですか。計画中のものだけは何ですか。
質問6について、Elidoはクリックを保存する前にエッジで訪問者のIPを切り詰めます（IPv4は/24、IPv6は/48）。国、地域、市区町村、おおよその座標は先に導出されてクリックとともに保持され、完全なユーザーエージェントも保存されるため、クリック行は個人データとして扱ってください。質問8について、SOC 2は準備中でレポートはまだ発行されておらず、ElidoはISO 27001の認証を受けていないため、どちらもまだ保有している認証ではありません。Businessプランのお客様はHIPAA BAAを取得できます。当社を含むすべてのベンダーに、「保有」と「計画中」の区別を求めてください。
Elidoが主張すること、しないこと
Elidoはリンク層です。プライバシーポリシーには、運用データはEUのデータセンターに保存され、プライマリデータベース、分析ストア、バックアップはEUにあると記載されています。法務ページには、米国とシンガポールのリダイレクトノードが訪問者のリクエストを処理し、リンクデータをキャッシュすることがあると開示されており、そこで生成されるクリックイベントは、その場所で処理される個人データです。したがって、すべてのクリックがEU内だけで処理されるとは主張しません。
ワークスペースごとのリージョン固定（たとえば米国のみ、アジアのみのデータ所在地の選択）は、現在のElidoには存在しません。それを前提とする契約文言は受け入れないでください。購買チーム向けの現在の方針の概要は、コンプライアンスソリューションのページにあります。
EUの対象者に関する個人データを一切EEA外に出してはならないというのが貴社の方針なら、別の短縮サービスに替えても解決しません。解決策は、EEA外のプラットフォームにコンバージョンイベントを送らないことです。それはホスティングではなく、マーケティング上の判断です。EUと米国のベンダーというより広い問題については米国SaaSに代わるEUの選択肢を、処理者の義務についてはURL短縮サービスのGDPRをご覧ください。
ブログの関連記事
よくある質問
マーケティングツールにおけるEUデータ所在地とは何を意味しますか？
ベンダーがEUのデータセンターでデータを保存・処理するという意味です。個人データがEU外に出ないという意味ではありません。訪問者のブラウザ内のピクセル、広告プラットフォームへのサーバーサイド転送、サポートツールは、それぞれ第三国へデータを移す可能性があり、それぞれにGDPR第5章に基づく移転の根拠が必要です。
EUでのホスティングだけでGDPRに準拠できますか？
いいえ。ホスティング場所は要素の1つにすぎません。第28条に基づく処理者契約、適法な根拠、第30条に基づく記録項目、そしてEEA外の復処理者や広告プラットフォームに対する移転の仕組みが依然として必要です。EUホスティングで減るのは、正当化すべき移転の数だけです。
サーバーサイドトラッキングなら移転の保護措置は不要になりますか？
いいえ。コンバージョンの呼び出しをブラウザからサーバーに移すと、データを送る主体と自分で管理できる範囲は変わりますが、受け取るプラットフォームがEEA外にあれば移転は依然として発生します。その区間には、SCCか、Data Privacy Frameworkのような十分性認定の経路が必要です。
EU-US Data Privacy Frameworkは現在も有効ですか？
はい。2026年10月24日時点で、2023年7月10日の十分性認定は維持されています。一般裁判所は2025年9月3日にLatombeの申立てを棄却しましたが、司法裁判所への上訴（C-703/25 P）が掲載されているため、SCCなどの代替手段を記録に残しておいてください。
リンク短縮サービスの復処理者は何社が適切ですか？
法的に決まった数はありません。重要なのは、リストが公開されていること、各ベンダーを目的と所在地とともに明記していること、そして変更が事前通知付きで行われることです。Elidoは13社を、それぞれ目的と所在地とともに公開し、変更の30日前に通知します。
Elidoはクリックデータを必ずEU内だけに保管しますか？
Elidoのプライバシーポリシーでは、運用データはEUのデータセンターに保存され、主要リージョンはEUにあるとされています。法務ページには、米国とシンガポールのリダイレクトノードが訪問者のリクエストを処理することも開示されており、訪問者のIPがEU外で扱われることがあります。広告プラットフォームへ設定するサーバーサイド転送は、その性質上EU外へ出ます。
Elidoを試す
URLを貼り付けて短縮リンクを取得
登録不要。リンクは30日間有効。永久に保存するには登録してください。
登録不要。無料登録すると月 50 件のリンクを作成できます。