必要な情報はすべて、不要な情報は一切なし
SMSマーケティングの法的根拠
第6条では、6つの適法な根拠のうちいずれかが必要とされています。商用メッセージングにおいては、明示的な同意（最も安全な方法）または正当な利益（実行可能ですが、バランス・テストが必要であり、ほとんどの直接的なマーケティングは除外されます）が実用的な根拠となります。PECR（英国/EUのePrivacy体制）では、第6条のGDPRに加えて、マーケティングに特化したオプトイン要件が追加されています。マーケティングのSMSについては、その両方が必要です。トランザクション型のSMS（OTPや注文確認など）にはオプトインは必要ありませんが、依然として適法な根拠（通常は契約の履行、第6条(1)(b)）が必要です。
クロスボーダー送金
非EU地域のSMSCを介してEUの受信者にSMSを送信することは、国境を越えたデータ転送とみなされます。Schrems II（2020年）以降、標準契約条項（SCC）の有効性は転送影響評価に依存します。米国を拠点とするアグリゲーターの場合、アグリゲーターが認定を受けていれば、EU-US Data Privacy Framework（2023年より施行）が転送の法的根拠となります。BroadNetのような中東・北アフリカを拠点とするアグリゲーターの場合、EUの受信者へのトラフィックは、理想的にはEU地域のSMSCを経由して配信ルートを組むべきです。当社はまさにそのために、フランクフルトにSMSCを運用しています。
消去権およびSTOPの取り扱い
第17条は、データ主体に対して請求に基づく消去権を付与しています。メッセージングにおいては、これは以下のことを意味します：STOPキーワードが即座に適用され、受信者のMSISDNがアクティブリストから削除され、オプトアウトの意向が保持される（次回のキャンペーンで再度追加されないようにするため）、そして、保存した法的根拠に応じてメッセージ本文の履歴が削除または匿名化されます。BroadNetは、GDPRのDSAR履行のための、受信者ごとの消去APIを可能にします。
処理者（Processor）と管理者（Controller）
お客様のCPaaSは処理者（第28条）であり、お客様が管理者となります。署名済みのDPA（データ処理合意書）を締結する必要があります。サブプロセッサーの変更（例：経由する通信事業者ネットワーク）は開示されなければならず、お客様には異議を申し立てる権利があります。BroadNetは/trust/subprocessorsにて公開サブプロセッサーリストを維持しており、変更の30日前に管理者に通知します。