キティちゃんエコバッグをいただきました

杉並区のS課長より、なんとハローキティと日本フィルハーモニー交響楽団がコラボしたバッグを頂戴いたしました。心より御礼申し上げます。お返しといっては変かもしれませんが、次回伺う際は、拙著をお持ちしたいと思います。誠にありがとうございました。

このバッグすごいです。黒地なのですが、布がそもそも上部そうで、書類とかいっぱい入れられそうです。

さらに金の糸でキティちゃんたちを縫ってあって、黒地×金糸なので、高級感が出て、あまり派手になりすぎずに、キティちゃんバッグながら日常使いに適したデザインです。

さらにキティちゃんたちのデザインがかわいいです。オケになって指揮したり楽器演奏をしています。裏は、キティちゃん単独のお顔で、これもまたかわいいです。

非常に良いものを頂戴してしまいました。

今は、仕事バッグ、基本的にハンドバッグ（レスポだがキティちゃんではない）＋手持ちバッグにしています。ハンドバッグにはA4が入らないので、A4書類や本などは手持ちバッグに入れています。

NTTデータ様から、フェアトレードの布で作った社会貢献の一環の品とのことで、エコバッグを2回頂戴し、いつもそれを使っていました。あとは自分で、アンテプリマでB4ぐらいまで入る手持ちバッグを買ったので、それを使ったりもしていましたが、これからはキティちゃん黒バッグもぜひ使わせていただきたいと思います。

タニタの働き方革命

谷田社長より『タニタの働き方革命』を頂戴いたしました。誠にありがとうございます。

おいしい桃を頂戴いたしました

お客様より、大変おいしい桃を頂戴いたしました。いつもお気遣いいただき、恐縮です。

「今年は気候が悪くていつもより小さかったのではないか」と聞かれましたが、地元の方ならいざ知らず、私のような素人には、いつも通り大変に立派な大きい、甘くておいしい素晴らしい桃でした。ありがとうございました。

いちご新聞ダイナーに行ってきました

いちご新聞ダイナーに行き、ポムポムプリンのパンケーキを食べてきました。

とってもかわいくて良かったです。こういうかわいい食べ物の場合、味は普通ということもよくありますが、ここはお味もおいしくて見た目もかわいいし最高でした。

キティちゃんハンバーガーも食べてみたいので、また行こうかな。早くいかないとキティちゃんハンバーガーはバッドバツ丸バーガーになるみたいなんで。

ポムポムプリン、形もかわいいし、見た目もかわいいし、パンケーキの味もおいしいし、最高でした。

いちご新聞ダイナー、Route66ならぬ、Routeイチゴって壁に書いてあって、笑ってしまいました。かわいいです！

３省３ガイドラインのあるべき姿

医療情報に関して、３つのガイドラインがあります。

• 厚生労働省「医療情報システムの安全管理に関するガイドライン第５版」
• 総務省「クラウドサービス事業者が医療情報を取り扱う際の安全管理に関するガイドライン」
• 経済産業省「医療情報を受託管理する情報処理事業者向けガイドライン第２版」

医療情報を取り扱うシステム構築する際に、３本のガイドラインを全部見ないといけないのは、あまりに非効率的です。そこで、３省で３本のガイドラインを出している状況から、３省で２本のガイドラインを出すようにするそうです。つまり、１本減るわけです。

せっかくその作業がなされるのであれば、現状の３省３ガイドラインの課題を改善する作業も一緒にやった方が良いと思います。

私の方で、３省３ガイドラインの問題点について考えてみました。

PDFでここにまとめていますが、ブログにも文字で貼り付けておきます。

☆水町作成資料☆３省３ガイドラインの課題

☆水町作成資料☆３省３ガイドラインの対応関係案

一番の問題は、３省の３ガイドラインの関係性が分かりづらい点だと思います。

厚労省は医療機関用、総務・経産省のはICT事業者用になっているのですが、そうはいっても、ICT事業者は、総務・経産省のガイドラインだけ見ればいいわけじゃなくて、厚労のも当然見ますよね。で、医療機関だって、ICT事業者がちゃんとしているか確認するためには、厚労のガイドラインだけではなくて、総務・経産省のガイドラインも見なければなりません。それぞれの３本のガイドラインが、交互にどの記述が他のガイドラインのどの記述に対応するかところどころ説明はありますが、はっきりいって対応関係がわからない点があります。

私が思うに、例えば適切な組織体制の構築が必要という項目であれば、医療機関にとってはAという措置が必要で、ICTベンダー側にはさらにB,Cも必要だよとか、そういう書き方になっていたらわかりやすいと思うのですが、厚労ガイドラインが求めていることと、総務・経産省のガイドラインが求めていることの対応関係がはっきりしない点があり、３ガイドラインの網羅的なチェックが現実的に難しい状況にあり、これでは遵守はかなり厳しい状況にあると思いました。

私の方で、３省３ガイドラインの項目ごとの対応関係をPDFでまとめる作業に着手してみましたが、対応関係が不明瞭な点も多々見られました。

せっかく、３省３ガイドラインを改訂するのであれば、それぞれの対応関係を明らかにしていただけると、事業者側・医療機関側双方にとって、より役立つガイドラインになると思います。

前置きが長くなりましたが、上記の点を含めての、私が考える現状の課題を以下に述べておきます。

• 医療情報システムに関して、３省が４つのガイドラインを公表していた。そのため、医療情報システムに関して４つのガイドラインを熟読し、対応を検討する必要があり、医療機関・事業者側に過度な負担が生じていた。この点に関し、３省４ガイドラインが３省２ガイドラインに統一されることが公表されている。すなわち、３省で２つのガイドラインとするというもの。しかし２つのガイドラインになっても、医療機関・事業者側に過度な負担が残存するので、３省で１つのガイドラインに統一すべきである。
  なぜなら、厚労省のガイドラインは医療機関等の管理者向けのガイドラインで、総務省・経済産業省のガイドラインは受託事業者向けのガイドラインではあるものの、医療機関等の管理者は、管理者向けの厚労省ガイドラインを読むほか、受託者側がきちんとガイドラインに沿っていることを確認するためには総務省・経済産業省のガイドラインを読む必要がある。また受託者にとっては、受託者向けのガイドラインだけでは足りず、医療機関等側が果たすべき義務にも留意する必要があるため、厚労省のガイドラインも読む必要がある。つまりは、医療機関等の管理者であろうが、受託事業者であろうが、３省の２本のガイドライン両方を読む必要があり、３省の２本のガイドラインは対応関係が明らかでない可能性も残るなど、読み手たる国民からしてわかりづらく、理解するのに過度な負担を負わされる可能性がある。そこで、やはり３省でガイドラインを一本化すべきであると考える。その際、管理者側が負うべき義務と、受託事業者側が負うべき義務をきちんと対応関係を明らかにして記載すべきである。
• 医療機関等がやるべきこと、外部委託事業者に対して求めることが長文で記載されているので、やるべきことを箇条書きでまとめたリストが必要。本文はわかりやすくクオリティが高いが、長文を読みたくない読者向けに、リストがあった方が良い。リストの中で、本文中にあるように最低限のガイドラインを書いたり、あとは付表に書いてあるような例や、さらには詳細説明の場所（本文〇ページ、Q&A〇等）が書かれていると良い。この改善のためのたたき台は水町にて作成したが(http://www.miyauchi-law.com/f/190621iryou3guidelines.pdf)、要改善。
  長文を読むやる気のある読者も、リストがないと、結局何をしなければならないか失念してしまう恐れ。水町は1週間ぐらいかけて3本のガイドラインを熟読したが、結局やるべきことをすべて把握することは難しかった。総務省のサービス仕様適合開示書・SLA参考例は、この点参考になると思われる。
• 厚労省、経産省、総務省ガイドラインの対応関係が不明瞭な部分がある。経産省も総務省も、厚労省ガイドラインのどこに該当する記述かを丁寧に説明しているものの、それでも対応関係が不明で、どこが重複しているのかいないのかがわからない。水町にて対応関係をおおよそ把握するための表を作成したが、対応がわからない部分もそれなりにあった。
• 個人情報のガイドライン（個人情報保護委員会の公表するもののほか、各省と連名で公表する特別分野ガイドライン）でも安全管理措置として組織的対策、物理的対策、技術的対策が記載されている。厚労省医療情報ガイドラインでも同様。それぞれ組織的対策、物理的対策、技術的対策という分類は同じだが、求められる事項がまちまち。なぜ違いがあるのか、どのような違いがあるのかが論理的に整理されていないし説明もされていなくて、わかりづらいし、不親切。各省がそれぞれ他省のガイドラインを参考にしながら微妙にアレンジを加えていて、読み手たる国民の立場からすると、わかりづらく不親切で良くない。安全対策として組織的対策、物理的対策、技術的対策それぞれに求める最低限のレベルを決め、さらには業種やIT特有の措置を加える等、複数のガイドラインで整合する説明・表記を行うべき。
• 経産省ガイドラインの適用範囲が不明瞭である。同ガイドラインP14では、「医療情報の外部保存に関する業務を受託して医療情報を取り扱う際の安全管理基準を示す」とあるが、P10では「外部保存等のために医療情報を受託管理する業務を提供する情報処理事業者」とあり、外部保存以外の受託業務も同ガイドラインの適用範囲かどうか明らかではない。
• e-文書法の対象文書以外は、電子データのみではだめで、紙による保存が必要。但し、一般の読者、ひいては法曹であっても、どの文書がe-文書法の対象かは、調査に著しく時間がかかる。医療・介護等の電子化という観点から、何が電子データだけで良くて、何が電子データではだめなのかが迅速に把握できないこの現状は、著しい問題ではないか。
  また厚生労働省「医療情報システムの安全管理に関するガイドライン」の後半部分はe-文書法の対象文書がその対象となるとされているが、上記の問題から、同ガイドラインの対象文書も同時に範囲が迅速には判明しないという問題がある。
• 地域医療連携で患者情報を交換する場合、外部保存機関が介在する場合だけ、共用に対する患者の同意を得ておく必要があるとしていて、ネットワークを介して接続する場合にはそのような記載がない。しかし、個人情報の共有に当たっては、外部保存機関の有無を問わず、民間であれば個人情報保護法２３条の規制を受けるのであって、外部保存機関の有無によって同意の要不要が変わるわけではないので、記載が不適切である。
• 表題で、物理的安全対策、組織的安全管理対策と、管理が入っていたり抜けていたり平仄があっていない
• サイバー攻撃を受けた際の非常時対応として、所管省庁への連絡が最低限やるべきことと記載されているが、これよりも、本文中に記されているネットワークの切断・隔離の方が最優先ではないか？なぜこれが最低限求められる事項なのか？所管官庁に連絡したら、所管官庁がネットワーク切断してくれるわけでもなかろうし、表現の仕方に問題があると思う。
• 厚労省の通知が多いものの、一覧できるWebサイト等がなく、内容がわからなかったりして遵守が困難
• 厚労ガイドラインの引用が、第5版（最新版）ではなく第4.1版になっている
• 個人情報保護委員会のWebサイトでは、個人情報関連のガイドラインしかないので、「医療情報システムの安全管理に関するガイドライン」や「人を対象とする医学系研究に関する倫理指針」の存在に気付かない人も出てしまうのではないか。関連情報への相互リンクが必要。
• 「人を対象とする医学系研究に関する倫理指針」が非常に読みづらいので、これも改訂した方が良い。研究の場合個人情報保護法は基本的には適用除外だろうが、民間が関与してたりすると一部適用になったりするし、個人情報保護法の同意と倫理指針のICが違ったり、個人情報保護法のオプトアウトと倫理指針の拒否機会の保障が違ったり、個人情報保護法の通知・公表義務事項と倫理指針の通知・公表事項が違ったり、個人情報保護法の共同利用手続と倫理指針の共同研究手続が違ったりして、非常に読解が難しいものになっている。
• 最後に、それぞれのガイドラインの良いところについて。厚労省はやるべきことについて丁寧な検討がなされていて、文章もわかりやすい。経産省は、情報処理の観点からさらに踏み込んだ丁寧な検討がなされていて、やるべき措置がとても参考になる。総務省は、厚労省・経産省との対応関係を明らかにしようとしていて、構成もわかりやすく、読者に配慮した構成になっている。霞が関のガイドラインの中でも、これら３本のガイドラインはよくできているガイドラインだと思う。

GDPRプライバシーポリシー（プロファイリング・マーケティング関連記載例）

GDPR対応のプライバシーポリシー（Privacy Notice, Privacy Statement, Privacy Policy等名称は不統一）のうち、プロファイリングの関連記載があるもので、目についたものをブログに書いておきたいと思います。

☆ホンダ　https://www.honda.co.uk/general-information/privacy-policy.html

 (b)   Your Rights and Choices regarding Direct Marketing

Honda will give you the opportunity to opt-in (consent) to having your contact details used for direct marketing purposes at the time we ask you to submit your details.

If you do not want us to send you direct marketing, or to use your personal data for profiling related to direct marketing, or to pass your details on to third parties for marketing purposes, you can ask us not to do this, at any time, by:

• Replying to a direct marketing email, by selecting the ‘unsubscribe’ button;
• By changing privacy settings in an app (if applicable to the app);
• By contacting us at consentUK@honda-eu.com or writing to:
  The Database Manager, Honda (UK), Cain Road, Bracknell, RG12 1HL, United Kingdom; or

• By calling us on 0345 200 8000.

☆LLOYDS　すごく長々と説明している　https://www.lloydsbank.com/help-guidance/customer-support/privacy-explained/data-privacy-notice.asp#8

14. How we work out what marketing you receive
We use marketing to let you know about products, services and offers that you may want from us. This section tells you how we decide what marketing to show or send you. It also explains how we work out what you may be interested in.

We may use your personal information to make decisions about what products, services and offers we think you may be interested in. This is what we mean when we talk about ‘marketing’.

We can only use your personal information to send you marketing messages if we have either your consent or a ‘legitimate interest’. That is when we have a business or commercial reason to use your information. It must not conflict unfairly with your own interests.

The personal information we have for you is made up of what you tell us, and data we collect when you use our services, or from outside organisations we work with. We study this to form a view on what we think you may want or need, or what may be of interest to you. This is how we decide which products, services and offers may be relevant for you.

This is called profiling for marketing purposes. You can contact us at any time and ask us to stop using your personal information this way.

If you allow it, we may show or send you marketing material online (on our own and other websites including social media), in our own and other apps, or by email, mobile phone, or post or through smart devices and other digital channels.

What you get will depend on marketing choices that you set. You can change these at any time and tell us to stop sending you marketing.

You can also tell us not to collect data while you are using our websites or mobile apps. If you do, you will still see some marketing but it will not be tailored to you. See our Cookies Policy for details about how we use this data to improve our websites and mobile apps.

Whatever you choose, you'll still receive statements and other important information such as changes to your existing products and services.

We do not sell the personal information we have about you to outside organisations.

We may ask you to confirm or update your choices, if you take out any new products or services with us in future. We will also ask you to do this if there are changes in the law, regulation, or the structure of our business.

If you change your mind you can contact us to update your choices at any time.

Back to top

15. How we use your information to make automated decisions
Here we tell you how we use automated systems to make decisions about you and your money. We also explain the rights you have to challenge decisions made this way.

We sometimes use systems to make automated decisions about you or your business. This helps us to make sure our decisions are quick, fair, efficient and correct, based on what we know. Automated decisions can affect the products, services or features we may offer you now or in the future, or the price that we charge you for them. They are based on personal information that we have or that we are allowed to collect from others.

Here are the types of automated decision we make:

Pricing
We may decide what to charge for some products and services based on what we know. For instance, if you use our online mortgage calculator, it will use the personal financial details you put in to estimate the kind of mortgage we may offer you. If you apply for insurance, we will compare what you tell us with other records to work out how likely you are to make a claim. This will help us decide whether to offer you the product and what price to charge you.

Tailoring products, services, offers and marketing
We may place you in groups with similar customers. These are called customer segments. We use these to study and learn about our customers’ needs, and to make decisions based on what we learn. This helps us to design products, services and offers for different customer segments, and to manage our relationships with them. It also helps us tailor the marketing that individuals receive or are shown on our own and other websites and mobile apps, including social media.

Detecting fraud
We use your personal information to help decide if your personal or business accounts may be being used for fraud or money-laundering. We may detect that an account is being used in ways that fraudsters work. Or we may notice that an account is being used in a way that is unusual for you or your business. If we think there is a risk of fraud, we may stop activity on the accounts or refuse access to them.

Opening accounts
When you open an account with us, we check that the product or service is relevant for you, based on what we know. We also check that you or your business meet the conditions needed to open the account. This may include checking age, residency, nationality or financial position. It may mean we cannot offer you the account you want.

Approving credit
We use a system to decide whether to lend money to you or your business, when you apply for credit such as a loan or credit card. This is called credit scoring. It uses past data to assess how you’re likely to act while paying back any money you borrow. This includes data about similar accounts you may have had before.

Credit scoring uses data from three sources:

Your application form
Credit reference agencies
Data we may already hold.
It gives an overall assessment based on this. Banks and other lenders use this to help us make responsible lending decisions that are fair and informed.

Credit scoring methods are tested regularly to make sure they are fair and unbiased.

This credit score can determine whether we will give you credit, or allow you to take another product or service.

Your rights

You can object to an automated decision we have made, and ask that a person reviews it.

If you want to know more about these rights, please contact us.

Back to top 

 ☆MERKLE　Profilingの節を立てて説明。ちょっと書き方のトーンが一般と違うような気もする　https://www.merkleinc.com/emea/getting-know-your-privacy-rights/privacy-notice#profiling

 3.1 Profiling

Some of what we do with your information involves what's known as "profiling" – automatically using personal information to work out certain things about people, like analysing or predicting their personal preferences, interests, or behaviour. This may include models predicting your likely spend on various products and services e.g. monthly spend on vehicle fuel.

Automatically working out whether you fit in a certain category, e.g. "men living in a particular postcode area aged between 20 and 30", is treated as profiling, even though it's based on facts about you. Similarly, when we try to predict your buying habits, how likely you are to respond to marketing or advertising and which products or brands you like the most, this counts as profiling. We take steps to ensure that our profiling process is accurate.

We also process other types of data, not classified as personal data, which we may link to your personal data for the purposes of profiling. This may include business data for the purposes of identifying segments of individuals who live near certain businesses, or aggregated credit card spend data for the purpose of modelling likely behaviour.

We do not make automatic decisions about you based on profiling, except to find out which group of people fall within our clients' campaign criteria (e.g. "People who like cats," or "People who seem like these particular customers of the client"). This lets our client target its advertising or marketing to a large group of people more quickly and efficiently. The only result of this automated decision is that, if you are in the selected group, you may receive targeted advertising or marketing from our client (which may be personalised to you), or your information may be passed on to our client for their advertising or marketing. Generally, people who get advertising or marketing messages would not be significantly affected by it, because they are free to choose whether or not to buy the advertised or marketed product/service.

You can object to and opt out of our profiling (see Your Rights).

☆ONCARE　https://www.oncare.me/company/privacy.html

Marketing purposes (Article 6 (1) lit f GDPR)
ONCARE is keen to nurture the customer relationship with you and to send you information and offers about our product / services. We therefore process your data to send you the relevant information and offers via email.

You may object to the use of your personal data for the purpose of direct marketing at any time; this also applies to profiling insofar as it is associated with direct marketing. If you object, we will cease processing your personal information for this purpose.

You can withdraw your consent at any time free of charge and informally without stating the reasons for such and should be sent via email to marketing@oncare.me or via surface mail to ONCARE GmbH, St.-Martin-Str. 114, 81669 Munich, Germany.

Automated decisions in individual cases
We do not use purely automated processing to make decisions.

☆TransUnion　単なる短い説明にとどまる？　https://www.transunion.co.uk/legal-information/business-contacts-privacy-notice

8. WHETHER THE PERSONAL DATA IS USED TO MAKE AUTOMATED DECISIONS ABOUT YOU OR TO PROFILE YOU

We use certain profiling techniques in order to help us to understand our clients and potential clients. This in turn helps us to understand which people might be interested in which of our products and services.

We do not use automated decision-making or profiling to make any decisions that will significantly affect you. For example, we do not use it to set the prices that we charge for our products and services.

☆Audi　この該当箇所自体は単なる法の説明にとどまる気がするが、Privacy Policy自体は非常に詳細で長い　https://www.audiondemand.com/audi-mobility/audi-on-demand/com_en/nav/privacy-policy.html

2. Right to object to direct marketing
If the personal data concerning you are processed for direct marketing purposes, you have the right to object to the processing of personal data that concern you for the purposes of such marketing; this applies equally to profiling provided that it is tied to such direct marketing.

Information as to whether and to which extent personal data are processed for purposes relating to direct marketing is defined in the information regarding the purposes of processing, Section C of this privacy notice.

If you object to the processing for purposes relating to direct marketing, we will no longer process personal data concerning you for these purposes.

To view the full scope of your right to object, please refer to Article 21 of the General Data Protection Regulation which can be prompted with this link.

☆VTT Marketing　法の記述にとどまる？https://www.vttresearch.com/media/newsletter1/marketing-data-protection-policy

8. The existence of automated decision-making, including profiling
The personal data is processed for profiling of the data subject for purposes of targeting marketing, communication and sales activities to the data subject in accordance with the data subject’s areas of interest and preferences, especially for direct marketing purposes. No automated decision-making or profiling which produces legal effects or has similar material effects concerning the data subject is made. See also Cookie policy for further information.

☆Tactic ID　法の記述にとどまる？　http://www.tacticid.com/privacy-notice/

 The right to object
You have the right to object to us processing your personal data for the following reasons:
Processing was based on legitimate interests or the performance of a task in the public interest/exercise of official authority (including profiling);
Direct marketing (including profiling); and
Processing for purposes of scientific/historical research and statistics.
Rights in relation to automated decision-making and profiling.
Automated individual decision-making and profiling
You will have the right not to be subject to a decision based solely on automated processing, including profiling, which produces legal effects concerning you or similarly significantly affects you.

 ☆Trivago　法の説明にとどまる？　https://www.trivago.ie/privacy-policy

 3.2 Rights to object to processing of data based on legitimate interests

Article 21(1) EU General Data Protection Regulation (EU) 2016/679 (“GDPR”) gives you the right to object at any time for reasons arising out of your particular situation against the processing of personal data relating to you when your data is processed under Article 6(1)(e) or Article 6 (1)(f) GDPR. This also applies to profiling. If you object, we will no longer process your personal data unless we can establish compelling and legitimate grounds for processing that outweigh your interests, rights and freedoms, or if the processing aids the enforcing, exercising or defending of legal claims.

 ☆AirBus　一般的な説明にとどまる？　https://www.airbus.com/privacy-policy.html

Will profiling take place?

As a matter of principle, your Personal Data will not be processed automatically with the objective of evaluating certain personal aspects (profiling). In the event that we should process your Personal Data with the objective of conducting profiling, we will, if prescribed by law, specifically inform you of this and of your rights in this respect. 

 ☆CommerceTools　ものすごく短い？　https://commercetools.com/privacy

5. Scoring

Your personal data shall not be processed to execute automated case-to-case decisions, including profiling pursuant to Art. 22 (1) and (4) GDPR.

6. Automatic decision-making, including profiling
commercetools does not carry out any form of profiling.  

GDPR Privacy Policy全般へのリンクはコチラ（但し、内容はないです）

 https://cyberlawissues.hatenablog.com/entry/2018/11/30/160411

CNILクッキーガイドライン

フランスのデータ保護当局CNIL（くにーる）が、Webのcookie等に関し、新たなレコメンデーションを公表したようです。フランスをはじめとするヨーロッパ等のユーザがアクセスしてくるWeb等を運営する日本企業にとっても、大きな影響があるかなと思います。Websiteのアクセス分析のためのクッキーであっても13カ月後には無効にしなくてはならず、再度の訪問をもって期間延長してはなりません、などとあります。

しかし、国ごとにクッキー規制が細かには違うっていうのもやめてほしいですよね。ePrivacy Regulationみたいにしてくれないと、ヨーロッパからアクセスされるWebサイトは、論理的にいえば、全EU加盟国の国内法とデータ保護当局のガイドラインをチェックしなければならなくなってしまうので。遵守が現実的に不可能ではないでしょうか。さらにいえば、英語以外ってなかなか読めないです。

イギリスのデータ保護当局ICOの、cookieガイドラインに関する過去ブログはコチラ。

以下では、フランスCNILのガイドラインについて記載しましたが、但し、このブログはフランス語を自動翻訳して読んでみただけなので、かなり正確性に疑義あります。個人情報保護委員会かJETROで、CNIL文書の英訳をしていただけると助かります。フランス語読めないので。それか、CNILもすべての文書を英語化してくれませんかね…。結局、データ保護当局の資料も、英語じゃないと読めないんですよね、私の語学力だと。

www.cnil.fr

リコメンデーションの背景

• ePrivacy指令（Privacy and Electronic Communications Directive）に対応するフランス法として、2009年改正Informatique et Libertés法が。2013年にはリコメンデーションを出した。
• しかし2013年リコメンデーションはGDPRと整合するものではないと考え、EUのePrivacy regulationを待たずに（これは短期間で施行に向けてまとまりそうもない）、リコメンデーションを更新する。これは2020年の第1四半期に公表予定である。
• 公表後6カ月以内に、これを遵守するように。

第1条ガイドラインの範囲

• 加入者またはユーザの端末にすでに保存されている情報に電子送信によってアクセスすること、またはその機器に情報を入力することを目的としたすべての取引に適用されるガイドラインである
• タブレット、多機能モバイル（「スマートフォン」）、デスクトップまたはモバイルコンピュータ、ビデオゲーム機、コネクテッドテレビ、コネクテッドビークル、ボイスアシスタントなどの一般的に使用される多くのデバイスを網羅
• このガイドラインでは、HTTP Cookieの使用について説明します。これにより、これらのアクションが最も頻繁に実行されますが、他の技法の使用にも適用。例：Flashクッキー、MACアドレス、ローカルストレージ、指紋？
• 情報（保存および／またはアクセスされた）がGDPRの意味の範囲内で個人データであるかどうかという事実は、指令2002/58 / 5の第3条（3）の適用の前提条件ではありません。 したがって、関係するデータが個人的なものであるかどうかにかかわらず、第82条が適用されます。

第2条　同意

• 同意は、自由で、具体的で、啓発された、そして明白な方法での意志。
  同意の自由性については、関係者がその選択を正当に行使することができ、同意がない場合または同意を取り消された場合に大きな不都合を被らない場合にのみ、同意が有効であると見なします。 
• 追跡されることに同意しない人（「クッキーウォール」）のためにWebサイトまたはモバイルアプリケーションへのアクセスをブロックすることは、認められない。
• ユーザによる包括的な同意、一般的な使用条件の一般的な承認は、それが各目的のために別々に与えられない限り、同意を得るための有効な方法ではあり得ない。
• 情報はすべての人にとって単純でわかりやすい言葉で書かれなければならないこと、そして使用されるトレーサーの異なる目的についてユーザーが十分に知らされることを可能にしなければならない
• 情報が同意の収集時に完全で、見えてそして強調されなければならない
• 表示すべき情報
  - コントローラの身元
  - データの読み書き操作の目的
  - 同意を撤回する権利の存在。
• 同意が通知されるためには、ユーザーが同意する前にトレーサーを使用してすべてのエンティティを識別できなければならないことを思い出します。したがって、これらのエンティティの網羅的で定期的に更新されたリストは、ユーザーの同意を集めるときにユーザーが直接利用できるようにする必要があります。
  （水町コメント）日本語の意味が不明。すべての個別クッキーの識別が必要ということ？
• 積極的な行動を通して同意が明示されなければならない。ウェブサイトを閲覧し続けること、モバイルアプリケーションを使用すること、またはウェブサイトまたはモバイルアプリケーションのページをスクロールすることでは、有効な同意に等しい明確な前向きな行動とは考えられない＝有効な同意ではない。
  それはまた、事前にチェックされたボックスの使用、および一般的な使用条件の一般的な受け入れは、その同意を与えるための明確な前向きな行為と見なすことはできないと考えています。
• 同意が証明可能でなければだめ。個人の同意を得ていない状況では、組織の1つに有効な同意を得ることを約束する契約条項が存在するだけでは果たせない。
• 同意を与えることと同じくらい簡単に同意を拒否または撤回できるようにする必要がある。同意した人々はいつでもそれを撤回できなければならないことを意味します。したがって、ユーザーが同意したのと同じくらい簡単に同意を取り下げることができるように、ユーザーフレンドリーなソリューションを実装する必要があります。
• 広告代理店発行等のサードパーティクッキーに関する記載もあるが、翻訳日本語が不明すぎて、意味がわからない。

第4条端末設定

• 現状では、ブラウザ設定がクッキーを許可しているからといって、それをもって同意とみなすことはできない。

第5条アクセス分析

• アクセス分析や、バージョンごとのテストなどのためのクッキー等は、同意取得不要。但し以下の条件を満たす必要あり。
  - それらはサイトの発行者か彼の下請業者によって実行されなければなりません。
  - その人は彼らの実施の前に知らされなければならない。
  - すべての端末、オペレーティングシステム、アプリケーション、およびWebブラウザで簡単に使用できる対立メカニズムによって対抗できなければなりません。人が反対した端末では、読み書き操作は行われません。
  - デバイスの目的は、（i）公開されたコンテンツの評価およびサイトまたはアプリケーションのエルゴノミクスを可能にするために表示されるコンテンツの視聴者測定、（ii）視聴者のセグメンテーションに限定される必要があります。これは、一人の人物をターゲットにしたり、（iii）グローバルな方法でサイトを動的に修正したりすることにはつながりません。収集された個人データを他の処理（顧客ファイルや他のサイトの出席統計など）と照合したり、第三者に送信したりしないでください。トレーサの使用も匿名の統計の作成に厳密に限定されなければなりません。その範囲は単一のサイト編集者に制限されるべきです。
  - ユーザーにジオタグを付けるためのIPアドレスの使用は、市よりも正確な情報を提供してはなりません。収集されたIPアドレスは、ジオロケーションが完了したら削除または匿名化する必要もあります。
  - これらの治療法で使用されるトレーサーは13ヶ月を超える寿命を持ってはいけません、そしてこの期間は新しい訪問の間に自動的に延長されてはいけません。トレーサーを通じて収集された情報は、最大25ヶ月間保管されなければなりません。

第6条　同意不要なもの

• ユーザーの端末機器に保存されている情報へのアクセスまたはユーザーの端末機器への情報の入力がある場合、事前の同意要求は適用されない。

  - 電子通信を可能にする又は促進するという独占的な目的。または
  - ユーザーの明示的な要求に応じてオンライン通信サービスを提供するために厳密に必要。

• 組織のプライバシーポリシーで言及される必要あり