ポイントカード 個人情報 GDPR:小規模店舗に求められるデータ保護の基本

ポイントカードのGDPR:お客様のデータに責任を持つのは誰か

ポイントカードのGDPRを考えるとき、最初に行うのは、データの扱いを決めているのは誰かを整理することです。通常は、カードを提供する事業者が管理者(データコントローラー)にあたります。管理者は、規則(EU)2016/679、つまりGDPRの第5条にある原則を守り、守っていることを示せなければなりません。カードをホストするソフトウェアの提供元は、通常は処理者として、契約に基づきデータを扱います。イタリアの当局(Garante)が指摘するとおり、この契約は第28条の要件を満たす必要があります。

Iterumでは、お客様が自分のカードから開く通知に、店舗が管理者、FIDUS S.R.L.がプラットフォームを提供する処理者と明記されています。お客様はカードを入手するためにチェックを入れる必要はなく、カードを追加または作成することで、カード利用規約に同意し、通知を読んだことを確認したことになります。追加特典とオファーは別の任意の選択で、「Sì, li voglio」(はい、希望します)または「No, grazie」(いいえ、結構です)から選べます。Fidusが独立した管理者になるのは、過去に得たIterumに関するお知らせへの同意に限られ、Iterumは現在、この同意を取得していません。

本ガイドは、小規模事業を営む方向けに公的な情報源を要約したものです。Iterumがイタリアの店舗向けのサービスであるため、参照元もイタリアのものです。法的助言ではありません。ご自身のケースについては、プライバシーの専門家または会計士にご相談ください。イタリア国外では、それぞれの国の法令と監督機関をご確認ください。

ポイントカードではどんなデータを取得すべきか

GDPR第5条のデータ最小化の原則は、データを目的に照らして適切で関連性があり、必要な範囲に限定することを求めています。ポイントカードについては、Garanteが2005年2月24日の一般的措置ですでに具体化しています。ポイントプログラムの目的だけであれば、処理できるのはカードの特典を付与するために必要なデータに限られます。つまり、カード保有者を特定するデータと、本当に必要な場合の購入総額であり、個々の商品の詳細は含まれません。

スタンプカードで本質的に必要なデータは、多くの場合ひとつだけです。このカードにこれだけの来店が貯まっている、という事実です。たとえばカフェ向けポイントカードならモーニングの回数、理容室向けポイントカードならカットの回数にあたります。氏名、メールアドレス、電話番号は、スタッフがお客様を見分けたり、機種変更後にカードを復元したりするのに役立ちます。生年月日は、バースデー特典を実際に提供する場合にだけ意味があります。特典の決め方は、ポイントカードの特典アイデアのガイドをご覧ください。

ポイントカードにお客様の同意は必要か

カード自体については、通常は不要です。GDPR第6条には、同意のほかにも、契約の履行や正当な利益など複数の法的根拠があります。2005年にGaranteは、狭義のポイントプログラム目的の処理はお客様との契約の履行に必要であり、その場合に同意を求めるのは適切でないと述べました。

同意が必要になるのは、カードの範囲を超えるもの、つまりプロファイリングとマーケティングです。2005年の措置は、これらの目的ごとに、特定され、十分な説明に基づく、別個の同意を求めています。また、プログラムへの入会をその同意の条件にできないとも定めています。管理者の義務に関するGaranteの要約では、GDPR第7条に基づき、同意は他の依頼事項と区別でき、撤回でき、黙示では成立しないとされています。あらかじめチェックを入れたボックスは使えません。

Iterumのカード通知では、カードの運用は、お客様がカードを追加または作成することで承諾するカード利用規約に基づく契約の履行を根拠としており、チェックボックスはありません。一方、店舗からのオファーは別個の任意の同意です。カードには「Vuoi premi extra e offerte da …?」(…からの追加特典とオファーをご希望ですか?)と表示され、お客様は「Sì, li voglio」(はい、希望します)または「No, grazie」(いいえ、結構です)で答えます。あらかじめ選択されているものはありません。同意しなくてもカードは使え、14歳未満には質問自体が表示されません。Iterum自身のお知らせへの同意は、もう取得していません。2026年10月17日からは、通知にお客様の紹介経路(友達の招待(«Bring a friend»)か、店舗のプロモーターのQRか)も記載され、紹介特典が目的のひとつとして、カードと同じ法的根拠のもとに挙げられています。スタッフがカードを読み取ったときに見えるのは、お客様を招待した人の短い名前だけです。

ポイントカードのプライバシー通知に書くこと

通知は、データを取得する前に、明確で平易な言葉で示さなければなりません。GDPR第12条と第13条を扱った、管理者の義務に関するGaranteの要約によれば、少なくとも下記の項目を記載する必要があります。

2005年の措置は、レジカウンターで働く方にとってとても実務的な点も加えています。通知を読む時間を与えずに入会を急がせること、たとえばレジの列に並んでいる間に手早く署名を求めることは、適切ではありません。お客様がテーブルや自宅で好きなペースで開けるQRコードが役立ちます。掲示場所のヒントは、QRコードのポイントカードのガイドにあります。

• 管理者が誰か、連絡先、そしてデータ保護責任者がいる場合はその情報
• 目的と、それぞれの法的根拠(カードとマーケティングは分けて記載)
• データの受領者(たとえば処理者であるソフトウェア提供元)
• 保存期間、または期間を決める基準
• お客様の権利と、監督機関に苦情を申し立てる権利
• EU域外の国への移転がある場合は、その内容と講じている保護措置

ポイントカードのデータはどのくらい保存してよいか

GDPRは月数を定めていません。保存制限の原則により、データは目的に必要な期間だけ保存します。ポイントカードについて最も具体的な参照元は、今もGaranteの2005年の措置です。特定できるお客様の購入内容は、プロファイリング目的では最長12か月、マーケティング目的では最長24か月まで保存できます。カードが撤回、失効、返却された場合、管理目的で保管しているデータは、法律で求められる場合を除き、3か月を超えて保持すべきではないとされています。

ただし、2点に注意して読んでください。この措置は、一般的には大手小売業者のカードを対象としており、旧イタリア個人情報保護法典を参照しているため、GDPRより前のものです。それでも、ポイントカードに関してGaranteが示した最も具体的な指針であり、通知に記載する期間を決める際に念頭に置く価値があります。

Iterumのカード通知では、期間はカードの最終利用から24か月です。その後はデータが自動的に削除または匿名化され、カードは無効になり、店舗の集計には、お客様の氏名を伴わない形で来店、ポイント、特典が残ります。

お客様からデータの開示や削除を求められたら

開示、訂正、消去、制限、ポータビリティ、異議申し立ては、GDPR第15条から第22条に定められた権利です。Garanteの要約によれば、管理者はこれらを行使しやすくし、1か月以内に回答しなければなりません。複雑な場合は3か月まで延長できますが、拒否する場合も含め、必ず最初の1か月以内に回答する必要があります。

実務では、店舗内で誰が請求に対応するか、データがどこにあるかを事前に決めておきましょう。Iterumのすべてのプランで、アクティベーションの流れの中に、お客様からの請求への対応、データのエクスポート、保存期間のためのプライバシー関連ツールがあり、各お客様のプロフィールと同意の状況も確認できます。お客様自身も、自分のカードから氏名、生年月日、メールアドレス、電話番号を削除できます。

ポイントカードのお客様へのオファー:いつ送ってよいか

ポイントカードがあるだけでは、オファーを送る権利は生まれません。マーケティングには、前述の特定の同意が必要です。この同意はカードとは別に取得し、いつでも撤回できるようにします。メール、SMSなどの自動送信メッセージについては、2005年の措置も、一方的な通信に関する個別の規則を指摘していました。

Iterumでは、店舗のメッセージは、追加特典とオファーに「Sì, li voglio」(はい、希望します)と答えたお客様にだけ、プランの月間上限の範囲内で届きます。お客様は自分のカードでワンタップでオフにできます。お客様に再び連絡したい場合は、何をどのくらいの頻度で送るかを通知に書いておくと、お客様は同意する内容を把握できます。

誰かを招待する前に、お客様側から見た通知、入会の流れ、追加特典とオファーの選択を確認したい場合は、カードを設定して7日間無料トライアルを始められます。本日のお支払いは€0で、決済カードが必要です。キャンセルしない限り、トライアル後は選択したプランが継続します。

開始前のポイントカード個人情報チェックリスト

紙のカードにもデジタルカードにも使える、小規模事業向けの6つのステップです。プログラムの規約や景品に関する論点は、イタリアのポイントプログラム規則のガイドで扱っています。

1. 取得するデータと理由を一覧にする

   カードに必要なものだけにします。特典を提供できるなら、氏名や連絡先は任意にします。

2. プライバシー通知を用意する

   管理者、目的、法的根拠、受領者、保存期間、権利、苦情申し立ての権利を、入会前に読める形で示します。

3. 同意を分ける

   マーケティングやプロファイリングの目的ごとにチェックボックスをひとつずつ用意し、あらかじめチェックを入れず、どれにもチェックがなくてもカードが使えるようにします。

4. 保存期間を決めて明記する

   データをどのくらい保存するか、お客様がカードを使わなくなったらどうなるかを記載します。

5. 提供元との契約を確認する

   ソフトウェアでカードを運用している場合、その関係はGDPR第28条の要件どおりに整えなければなりません。

6. 請求への回答担当を決める

   開示や削除の請求のために、担当者名とメールアドレスを用意し、1か月以内に回答します。

情報源と調査方法

2026年10月11日に参照した情報源:Garante per la protezione dei dati personali, «Fidelity card e garanzie per i consumatori. Le regole del Garante per i programmi di fidelizzazione», general provision of 24 February 2005, doc. web 1103045(イタリア個人情報保護機関「フィデリティカードと消費者保護」);Garante, «Doveri - Come trattare correttamente i dati», doc. web 8981258(同「義務:データを適切に扱うには」)。後者はGDPR第5条、第6条、第7条、第12条、第13条、第15条から第22条、第28条について参照しました(いずれもイタリア語で、日本語訳は当社によるものです)。EUR-Lexの規則(EU)2016/679公式テキストは、確認日に当社のシステムからアクセスできませんでした。条文の参照は、Garanteの要約に従っています。

Iterumに関する情報は、お客様が自分のカードから開く通知(2026年11月4日時点のバージョン informativa_cliente_v4、暫定版と表示)、および2026年11月4日時点の入会ページとカードプロフィール、Iterumの概要ページ、アクティベーションの流れに基づいています。Iterumのプライバシー通知もご覧ください。本ガイドは法的助言ではなく、特定のプログラムの適法性を保証するものでもありません。