GDPRがDMARCデータ収集に与える影響

公開日： 2018年9月24日

最終更新日： 2025年5月30日

EUが一般データ保護規則（GDPR）を可決した際、DMARCの集計レポート（RUA）や失敗レポート（RUF）に含まれるデータを含め、世界中で様々な種類のデータに対する検証が引き起こされました。ドイツのインターネット業界団体であるECOによる法的分析では、レポートの作成者と利用者の双方にとって、DMARCデータのあらゆる側面と、GDPRに関連する懸念事項について詳しく解説しています。

集計レポートの評価

本分析では、レビューにおいて「集計レポート」と「失敗レポート」を区別しています。集計レポートは、メールサービスからドメイン所有者に毎日送信され、そのドメインからの送信を装ったメッセージに関する情報、SPFおよびDKIMチェックに合格したかどうか、そしてDMARCルールに基づいてそれらのメッセージがどのように処理されたかについて示します。送信者を特定するために、レポートには送信メールサーバーのIPアドレスが含まれています。

この懸念は、ウェブサイト訪問者の動的IPアドレスが法的に保護される個人データであると判断した、2017年のドイツ連邦最高裁判所の判決に端を発しています。静的IPアドレスについては、すでに満場一致で個人データと認定されており、GDPRはこの判断を再確認するものです。

重要な点は、判例によれば、IPアドレスもトラフィックデータに該当するということです。トラフィックデータは、「電気通信システムにおける障害やエラーを検知、特定、または排除する」ために使用されることがあります。さらに、電子メールの送信者は、電気通信サービスの提供に協力するサービスプロバイダーに該当します。また、これらの目的を達成するために、第三者が当該データを受信し、分析することも認められています。

フィッシング、スパム、設定ミスは、いずれもシステムの不具合やエラーとみなされます。また、本報告書では、IPアドレスだけでは追加情報を組み合わせることで初めて個々のユーザーを特定できると指摘しています。さらに、フィッシングがもたらすリスクは、報告書にIPアドレスを含めることで生じうる懸念を上回るものです。

あらゆる点を総合的に考慮した結果、同分析では次のように述べられている。「これらの報告は、データ保護法の観点から基本的に許容され、正当化されるものである。ただし、比例原則は常に遵守されなければならない。」

不具合報告についてはどうでしょうか？

このレポートには、配信失敗レポートに関する追加の留意点がいくつかあります。配信失敗レポートはメッセージごとに作成されるため、問題をより詳細に特定するのに役立ちます。これらのレポートには、IPアドレス、送信元のメールアドレス、受信者のメールアドレス、件名、およびメール本文が含まれる場合があります。一部のプロバイダーはこれらのレポートを一切送信しない一方、他のプロバイダーは件名やメール本文を完全に省略するなど、含まれるデータを大幅に削減しています。

ECOレポートでは、障害レポートを作成する組織に対し、不要なデータを伏せるよう推奨しています：

「データ最小化の原則に基づき、詐欺メールの受信者の個人データが送信されないよう、速やかに情報の黒塗り処理を行うことが強く推奨されます。これらのデータには、当該メールの件名および本文、ならびに受信者のメールアドレスが必ず含まれます。」

失敗レポートを作成する組織は、こうした懸念事項を考慮に入れる必要があります。DMARCを導入し、失敗レポートを受け取るドメイン所有者としては、データの非公開処理に関する責任はご自身の管理下にはありません。ただし、失敗レポートに関してさらに懸念がある場合は、DMARCレコードにRUFアドレスを指定しないことで、いつでもレポートの配信を無効にすることができます。