GDPRに配慮したURL短縮サービスは4つのことを行います。第28条第3項をカバーするデータ処理契約（DPA）に署名すること、目的に必要な分だけクリックデータを保存すること、請求があればそのデータを削除できること、そしてリダイレクト中にサードパーティのピクセルを発火させないことです。料金ページにあるそれ以外の表示（「GDPR準拠」やバッジ）は、この4つを書面で確認できるまでは宣伝文句にすぎません。
クリックはログの行を生みます。IPアドレス、タイムスタンプ、ユーザーエージェント、通常はリファラーです。第4条第1項のもとでは、これは個人データになりえ、欧州司法裁判所もBreyer事件（C-582/14）で動的IPについてそう述べています。短縮サービスはそのログを保持するため処理者であり、あなたが管理者です。この記事は契約審査の要約版で、10項目の確認、よく知られた3社が公開している内容、そしてElido自身が不足している点を扱います。条文ごとの法的な考え方は、URL短縮サービスのGDPR（基幹記事）をお読みください。他のマーケティングツールのデータ保管場所についてはマーケティングツールのEUデータ所在地をご覧ください。ここでは繰り返しません。
GDPRが短縮サービスに求めること
短縮サービス側には4つの義務があり、それぞれ依頼できる具体的なものに対応しています。
第28条第3項を満たす契約。 第28条第3項は、文書化された指示、機密保持、セキュリティ、復処理者の管理、データ主体の請求への支援、侵害とDPIAの義務への支援、終了時の削除または返却、監査権を求めています。そのような契約がなければ、EUでの導入はできません。
分析層の適法性の根拠。 リダイレクトはリンクを届けるために必要です。レポート用にクリックを記録するのは別の処理です。単純な集計であれば、多くのチームは正当な利益（第6条第1項(f)）に依拠します。リダイレクトが広告ピクセルを読み込む時点で、同意の領域に入ります。
最小化。 第5条第1項(c)は、必要なものに限定することを求めます。国、デバイスの種類、リファラー、タイムスタンプで、キャンペーンに関するほとんどの疑問には答えられます。完全なIPと生のユーザーエージェント文字列は、たいてい保存に見合いません。
適法な移転経路。 クリックデータがEEAの外に出る場合は、第44条と第46条が適用されます。移転評価を伴うSCC、またはData Privacy Frameworkの認証が必要ですが、後者は依然として争われています。
Bitly、Rebrandly、TinyURLが公開していること
2026-10-24に各ベンダー自身の法務ページを読みました（2026-10-24 アクセス）。ページが読み込めなかった場合や記載がなかった場合は、何も主張しません。
| ベンダー | データの所在地 | 移転の仕組み | DPA |
|---|---|---|---|
| Bitly | プライバシーポリシーには、データは「欧州連合および欧州経済領域の外（米国を含むがこれに限らない）に移転される場合がある」とある | SCC、およびEU-U.S. DPF認証の表明 | プライバシーポリシーにDPAへの言及はなく、Bitly Inc.とBitly Europe GmbHとの間の共同管理者契約が挙げられている |
| Rebrandly | DPA別紙1：AWSサーバーは「主に米国にある」。6.3.1項：主要な処理施設は米国。EUリージョンの記載なし | SCC（モジュール2、管理者から処理者へ）。DPFへの言及なし | あり。DPAはサブスクリプション契約（利用規約）の一部を構成する |
| TinyURL | ポリシーのページが読み込めなかった（ページタイトルしか返ってこなかった） | 記載なし | 記載なし |
出典：Bitlyのプライバシーポリシー、RebrandlyのDPA、TinyURLの利用規約、プライバシーポリシー。
この表はあるがままに読んでください。BitlyとRebrandlyはいずれも、認められた移転手段に依拠しており、それを隠さず述べています。確認したページでは、どちらもEU内のみで処理するという約束は公開していませんが、個別のエンタープライズ契約では提供される可能性があります。TinyURLについては、取得したページにポリシーの本文が返ってこなかったため、お伝えできることがありません。重要であれば、TinyURLにDPAと復処理者リストを直接求め、回答を待ってから購入してください。料金は別の問題であり、この記事では各ベンダーのプラン価格を確認していません。
契約前の10項目
それぞれをベンダーに書面で尋ねてください。各項目は特定の条文を検証します。
1. クリックデータはどこに保存され、それは契約条件か？
クラウドのブランドではなく、リージョンを尋ねてください。「AWS」は回答になりません。そのうえで、そのリージョンが契約に明記されているのか、ベンダーが変更できる現在の運用にすぎないのかを確認します。
2. DPAは第28条第3項のすべてをカバーしているか？
8つのポイントと照らし合わせて読みます。復処理者の起用と監査権を特に注意して確認してください。そこに「業界標準のセキュリティ」といった曖昧な表現が入っていれば、警戒すべき兆候です。
3. 復処理者は、リージョンと通知期間とともに明記されているか？
復処理者が増えるたびに、移転の連鎖が長くなります。リージョン付きで最新の短いリストなら、一度の作業で審査できます。新しい復処理者についてどのくらい前に通知を受けられるか、異議を述べられるかを尋ねてください。
4. クリックごとに正確には何が保存されるか？
項目の一覧を入手してください。IPは完全な形で保存されるのか、切り詰められるのか、ハッシュ化されるのか。市区町村レベルの位置情報は保持されるのか。初期設定で最小化されているのが正しい設計です。オプトインでの最小化は、リスクをあなたに残します。
5. リダイレクトはサードパーティのスクリプトを読み込むか？
EUの訪問者に対するリダイレクト時のピクセル挿入には、事前の同意が必要です。ネットワークタブを開き、クリーンなブラウザプロファイルでテストリンクをクリックして、遷移先の前に何が読み込まれるかを確認してください。
6. クリックデータの消去はどのように行われるか？
第17条は「不当な遅滞なく」と定めています。クリックの行に氏名が含まれることはまれなので、ベンダーが1人分の行をどう見つけて削除するのか、所要時間はどのくらいかを尋ねてください。
7. 侵害通知の期限はどうなっているか？
あなたには、認識してから監督機関に知らせるまで72時間があります。処理者には、DPAでそれより短い、数値で示した約束が必要です。「速やかに」は数値ではありません。
8. リダイレクトはCookieや永続的な識別子を設定するか？
リクエストヘッダーから国とデバイスを導き、ブラウザには何も設定しないリダイレクトは、弁護しやすいものです。識別子を設定するものには、同意のゲートが必要です。レスポンスヘッダーは自分で確認してください。
9. 受信者はトラッキングについて知ることができるか？
第13条の透明性は、主に管理者であるあなたの仕事です。あなたのプライバシー通知は、リンク追跡の連鎖をカバーしなければなりません。ベンダーの視点で書かれたベンダーのポリシーでは、代わりにはなりません。
10. チケットなしでエクスポートと削除ができるか？
クリックイベントのエクスポート、履歴を含むリンクの削除、文書化された削除を伴うアカウントの閉鎖。これらのいずれかにサポートへの依頼が必要なら、所要時間を契約に盛り込んでください。
トレードオフ
データを最小化すると、分析の一部を失います。完全なIPと生のユーザーエージェントがなければ、市区町村レベルの精度とセッションをまたぐ同一性が失われます。キャンペーンの帰属には、国、デバイス、リファラーで足ります。個人単位のリターゲティングには、リダイレクトでの追跡ではなく、ログインIDなどユーザーがすでに提供した識別子をキーにしたサーバーサイドのコンバージョン転送を使ってください。
機能もいくつか諦めることになります。ピクセル挿入やクロスドメイン追跡は、最小化と相性の悪い収集に依存します。GDPRに配慮した構成では、リダイレクトをシンプルに保ち、計測を、ユーザーと直接の関係があるコンバージョンイベントに移します。調達にも手間はかかります。どのベンダーを選んでも、DPA、復処理者リスト、消去プロセスを読むことになると考えてください。あわせてSafari ITP後のクリック帰属とSchrems IIとトラッキングピクセルもご覧ください。
Elidoの現状
2026-11-12にコードと照らして確認しましたが、好ましくない内容も含まれます。
- クリックデータ。 エッジは、クリックが保存される前に訪問者のIPを切り詰めます（IPv4は/24、IPv6は/48）。国、地域、市区町村、おおよその座標は先に導出されて保持され、完全なユーザーエージェントも保存されます。完全なIPを保持する設定はなく、個人データなしモードはAPI経由でのみ利用できます。
- ピクセル。 通常のリダイレクトはサードパーティのスクリプトを読み込みません。リンクごとにオプトインで、リダイレクトの前にMeta、Google、LinkedIn、TikTokのピクセルを発火させるスプラッシュページを使えます。EUの訪問者にこれを使う場合は、同意の根拠が必要です。GA4、Mixpanel、Klaviyo、Brevo、Datadogへのクリック転送は、それらのベンダーにクリックイベントを送るため、記録に載せてください。
- 消去。 管理者用のデータ主体ワークフローは、アカウントのエクスポートと消去ができます（ユーザーレコードは匿名化され、請求記録は第17条第3項(b)に基づき保持されます）。同じ請求で、本人が単独で所有するワークスペースのクリックデータを削除でき、リンクの訪問者については、切り詰めたネットワークからのすべてのクリックを、ユーザーエージェントが提示されればブラウザー1つに絞って削除できます。クリック行はプランごとの期間でも失効します。Freeは90日、Proは1年、Businessは2年です。
- 契約と復処理者。 EU SCCを含むDPAは、無料プランを含むすべてのプランでリクエストに応じて提供されます。チェックアウト時に承諾するものではなく、ダウンロードも公開されていません。復処理者リスト（13ベンダー）とプライバシーポリシーは公開されています。データはEUに保存されますが、EU外のリダイレクトノードも訪問者のリクエストを処理し、ワークスペースごとのリージョン選択はまだありません。確認項目1〜3と照らして、ご自身でお読みください。認証についてはトラストページをご覧ください。
他のベンダーから乗り換える場合は、Bitlyの移行プレイブックがリンクのインポートとDNSの引き継ぎを扱っています。切り替え後は、旧ベンダーにワークスペースの消去請求を送り、新しい処理者を反映してプライバシー通知を更新し、旧ツールのトラッキングに言及していた同意バナーを見直してください。プランについては料金をご覧ください。
「GDPR準拠」という主張を信じる前に確認すること
このラベルは規制されておらず、法的な重みもありません。重みを持つ成果物は次のとおりです。第28条第3項に対応したDPA、リージョン付きの復処理者リスト、クリックが何を保存するかの項目単位の説明、試せる消去プロセス、数値で示された侵害通知の期限です。ベンダーが1営業日以内にこれらを送れないなら、そのバッジは宣伝文句として扱ってください。
ブログの関連記事
よくある質問
URL短縮サービスはGDPR上のデータ処理者ですか？
はい、通常の構成ではそうです。クリックを何のために、どのように測定するかを決めるのはあなたなので、あなたが管理者であり、短縮サービスはあなたの指示に従ってクリックデータを処理します。そのため、第28条第3項に基づく書面の契約が必要です。
クリックログのIPアドレスは個人データですか？
はい。欧州司法裁判所はBreyer事件（C-582/14）で、動的IPアドレスは、保有者がその背後にいる人物を特定する法的手段を持つ場合、個人データにあたると判断しました。完全なIPをタイムスタンプとともに記録する短縮サービスは、その立場にあります。
ショートリンクのクリックを追跡するのに同意は必要ですか？
常に必要とは限りません。最小限の項目によるサーバーサイドのクリック集計は、多くの場合、第6条第1項(f)の正当な利益に基づきます。しかしEUの訪問者に広告ピクセルを読み込ませたり識別子を設定したりする場合は、通常は同意が必要で、端末へのアクセスにはePrivacy規則も適用されます。
米国でホストされる短縮サービスはGDPR違反になりますか？
自動的に違反になるわけではありません。標準契約条項（SCC）と移転評価、またはData Privacy Frameworkの認証といった有効な仕組みがあれば、米国への移転は適法です。ただし、EUホストのツールにはない事務作業と法的リスクが加わります。
短縮サービスのDPAには何を含めるべきですか？
第28条第3項が列挙するすべてです。文書化された指示、機密保持、セキュリティ、復処理者に関する規則、データ主体の請求への支援、DPIAと侵害対応への支援、終了時の削除または返却、監査権です。
短縮サービスで特定の1人のクリックデータを消去するには？
クリックの行がどのように識別され削除されるのかをベンダーに尋ねてください。クリックログに氏名が含まれることはまれなので、消去は通常、IP、リンク、期間を指定して削除することになります。ベンダーがサポートチケット経由でしか対応できない場合は、所要時間を書面で取り付けてください。
Elidoを試す
URLを貼り付けて短縮リンクを取得
登録不要。リンクは30日間有効。永久に保存するには登録してください。
登録不要。無料登録すると月 50 件のリンクを作成できます。