ダイビングショップ向け

ゲスト情報とGDPR

ダイビングショップは、同じ規模のほとんどの事業者よりも機微な情報を扱います。健康に関する回答、身分証のコピー、緊急連絡先、署名。それは許されていて、必要なことでもあります。ただし、どんな形でもよいわけではありません。

ショップがこれらを集めてよい理由

安全のために必要だからです。GDPR（EU一般データ保護規則）は集めることを禁じているのではなく、理由と限度と保護を求めています。ここでの理由は明快です。健康に関する情報がなければ、誰が水深30メートルまで潜るのかに責任を持てる人はいません。限度とは、そのために必要なものだけ、ということ。保護はショップの仕事です。

日本で営業するショップには個人情報保護法が適用され、病歴は要配慮個人情報として、取得に本人の同意が必要です。EU圏からのゲストを受け入れる場合や、EU域内で営業する場合はGDPRも関係します。考え方の基本はどちらも同じです。

問題を招く4つの習慣

受付の下のバインダー。 誰でも手の届く棚に病歴診断書が並んでいるのは典型的な例です。機微な情報は鍵のかかる場所に保管する必要があります。
メールで回る表計算ファイル。 健康情報入りのゲスト一覧が受付とガイドの間をメールやメッセンジャーで行き来すると、誰にも回収できないコピーが生まれます。
共有アカウント。 スタッフ全員でひとつのパスワードを使えば、あとから誰が何を見たのか誰にも言えません。
何も削除しない。 保存期間は上限であって、すべてを永久に残してよいという意味ではありません。自分に適用される期間は、税理士や弁護士に一度確認しておきましょう。

Diver ID の対策

データはEU域内のサーバーに暗号化して保存されます。
各ショップが見られるのは自分のゲストだけです。取り決めではなく、技術的に分離されています。
共有パスワードではなく、権限を個別に設定できるスタッフアカウント。
ゲストは自分のデータにアクセスし続け、エクスポートや削除ができます。
すべての署名に証跡の記録が付き、すべてのアクセスがアカウントにひもづきます。

ゲストから実際に寄せられる依頼

実務で出てくるのは2つで、どちらにも慌てずに答えられるようにしておくべきです。「私についてどんなデータを持っていますか？」と「私のデータを削除してください」。1つ目には、ゲストの記録を印刷して答えます。2つ目の限度は、法律で保存が義務づけられている記録は期間が終わるまで残せる、という点です。これは最初にきちんと説明しておきましょう。

Diver ID では、プロフィールがダイバー本人のものなので、これが簡単です。ダイバーは何が保存されているかを確認し、自分のアカウントで管理できます。ショップはチェックインに必要な書類を受け取ります。

委託契約についてひとこと

ほかの会社が運営するソフトにゲスト情報を保管するなら、その会社とデータ処理契約（委託契約）を結ぶ必要があります。これは標準的なもので、障害ではありません。依頼するだけです。なお、この文章は法的助言ではなく、そうはなりえません。詳細はショップが営業する国によって異なります。

よくある質問

ダイビングショップはゲストの健康情報を保存してよいのですか？

はい、ダイビングの安全のために必要な範囲であれば。その情報を特に厳重に保護し、アクセスを必要な人に限り、無期限に保管しないことが条件です。

Diver ID ではデータはどこに保存されますか？

暗号化され、欧州連合（EU）域内のサーバーに保存されます。各ショップが見られるのは自分のゲストだけで、ダイバーは自分のプロフィールにアクセスし続けられます。

データの削除を求めるゲストには何と伝えればいいですか？

保存義務のないものは削除し、法定の保存期間がある記録は期間が終わるまで残る、と伝えます。プロフィールそのものは本人のもので、本人のアカウントにあります。

Diver ID を無料で試す

アカウント作成は数分で完了し、最初の20件のゲストチェックインは無料です。サブスクリプションも基本料金も、支払い情報の登録も不要です。

ショップ用アカウントを作成チェックインの流れを見る