行政書士ボット
行政書士ボット
機械学習で進化する行政書士Gyobot Blog
2022年4月1日より改正個人情報保護法が施行されました。
2005年4月1日から全面施行された個人情報保護法ですが、個人情報に対する意識の高まりや技術革新の観点から、現在では3年ごとに見直されアップデートされています。
Webサービスにおけるプライバシーポリシーも当然その影響を受けますので、作りっぱなしではなく、法改正に応じて定期的に見直す必要があります。
当記事では、過去の法改正を振り返りつつ、2022年4月1日施行の改正個人情報保護法を踏まえたWebサービスにおけるプライバシーポリシーの作り方をテンプレートを用いて解説します。
まずは2017年5月30日施行の改正を振り返ります。
具体的には以下のようなものです。
改正のポイントとして、何が個人情報にあたるかが厳格に定められました。
その恩恵として、本人が特定できないよう加工された「匿名加工情報」の概念が創出され、事業者が積極的に個人情報をビッグデータとして活用できるようになりました。
この改正では大きく分けて以下が理解のポイントとなります。
これまで努力義務であった情報漏洩時の本人への通知が義務化されました。
本人への通知が困難な場合は、ホームページで公表や問い合わせ窓口の設置などの対応も可能です。
報告対象は以下の漏洩パターンです。
また、本人への通知に加えて3～5日以内に個人情報保護委員会へ報告する必要があります。
これまでの利用停止要件であった目的外利用、不正取得、第三者提供義務違反に以下の要件が加えられました。
これにより利用停止・消去などの権利を個人が持つことがより明確になったと言えます。
不適正利用の禁止、個人関連情報の規定の創設や、外国にある第三者への個人データ提供制限の強化などがあります。
これらの背景には「リクナビDMPフォロー」事件があります。
情報を提供された側の企業では個人を特定できるにも関わらず、情報提供者であるリクルートキャリア社側では本人の同意を得ずに、提供する情報である内定辞退率を算出し提供した事件です。
この反省点から、当改正において違法または不法な行為を助長する等の不正な方法によって個人情報を利用してはならないことが明確化されました。
上記に関連して第三者に提供される情報をより具体化するために個人関連情報の概念が創設されています。
個人関連情報とは、生存する個人に関する情報で、個人情報、仮名加工情報、匿名加工情報のいずれにも該当しない情報とされています。
Webサービスの実務上は閲覧履歴やサービスの利用、購入履歴、位置情報の情報、CookieやIPアドレス等の利用が関係してきます。
「リクナビDMPフォロー」事件のように、個人情報を持つ企業に個人関連情報が提供された場合に、付け合わせることで個人を特定できるようになるのであれば、第三者提供には本人の同意が必要です。
この場合は以降に説明する仮名加工情報となります。
なお同意を取る際は、取得目的・予定される取り扱い・提供先での利用目的などの公表が必要です。
また、外国にある第三者への個人データ提供制限の強化について、元の第三者提供の規定に加えて以下が追加されています。
仮名加工情報は、「他の情報と照合しない限り特定の個人を識別できないように個人情報を加工して得られる個人に関する情報」と定義されています。
具体的には以下のような情報です。
これらの加工がなされることで、元の個人情報は残したまま仮名加工情報を運用でき、利用目的変更の制限や漏えい等の報告や本人への通知、開示・利用停止の請求対応の義務を免除されます。ただし本人の同意なく仮名加工情報を第三者に提供することはできません。この点は本人の同意なしに目的外利用や第三者提供が可能な匿名加工情報との違いを理解する必要があります。
法人の罰則が「50万円以下あるいは30万円以下の罰金」から「1億円以下の罰金」に引き上げられました。懲役についても「6ヶ月以下の懲役」から「1年以下の懲役」へと厳罰化されています。
また、個人情報を取り扱う「国外事業者」も罰則対象に追加されました。
2017年5月30日施行で創設された匿名加工情報と2022年4月1日施行で創設された仮名加工情報は個人が識別できないように個人情報を加工して作られるという意味では共通していますが、第三者提供の規制に大きな違いがあります。
個人情報を、特定の個人を識別することができないように、かつ、元の個人情報を復元できないように加工した個人に関する情報。
個人情報を、他の情報と照合しない限り特定の個人を識別することができないように加工した個人に関する情報。
匿名加工情報は個人と結びつく情報ごと削除されています。そのため第三者に提供されても個人を識別することは不可能です。逆に言えば、そのためにユーザーを分析するにあたっての有用性は劣ります。
一方で仮名加工情報は情報の付け合わせにより個人情報と同等なデータの有用性を持ちます。そのために詳細なユーザー分析を行うことが可能です。
上記の理由から匿名加工情報には第三者提供に制限がないのに対し、仮名加工情報には第三者提供に制限があります。
仮名加工情報は個人情報利用の安全性の確保と利活用の促進のバランスを取るために創設された概念ということができます。
より具体的には、機械学習やディープラーニングなどのAI技術やデータサイエンスの社会利用の期待度から創設された概念です。
Webサービスの運営拡張にあたっては、特に重要な改正ポイントと言えます。
上記の改善ポイントを盛り込んだWebサービスにおけるプライバシーポリシーの例をポイントを絞って解説します。
今回はWebサービスの運用をするにあたって、マーケティングや開発で外部委託の可能性があり、広告事業を展開していて広告のクライアントにユーザーの行動履歴を提供するような事業を仮定します。
弊社は、下記の方針に基づき個人情報の保護に努め、これを遵守するとともに、全ての個人情報をより安全かつ適切に取り扱うことを宣言します。
弊社に個人情報を提供するにあたっては、下記の内容についてご同意のうえ、ご提供いただきますようお願いします。
（個人情報）
「個人情報」とは、個人情報の保護に関する法律（平成15年法律第57号、個人情報の保護に関する法律、以下「個人情報保護法」といいます。）にいう「個人情報」を指し、生存する個人に関する情報であって、当該情報に含まれる氏名、生年月日その他の記述等により特定の個人を識別できるもの（他の情報と容易に照合することができ、それにより特定の個人を識別することができることとなるものを含む。）又は個人識別符号が含まれるものを指します。
（個人情報の取得と利用目的）
弊社は、下の目的に必要な範囲で、ご本人の個⼈情報を取得し、取得した情報を利用します。以下の⽬的の範囲を超えて個⼈情報を利⽤する場合には、事前に適切な⽅法でご本人からの同意を得ます。
（個人情報の第三者への提供）
個人情報の管理を厳重に行い、次に掲げる場合を除き、ご本人の同意がない限り、第三者に対しデータを開示・提供しません。
（ 個人関連情報の第三者への提供）
弊社は、個人関連情報（Cookie、IPアドレス、閲覧・購入履歴、位置情報、等のうち特定の個人を識別できないもの）を第三者に提供することがあります。
上記提供の際に、弊社において、当該第三者が、上記個人関連情報を利用者ご本人が識別される情報と突合して、個人データ（個人情報保護法に定義されるも）として取得することが想定される場合、弊社は個人情報保護法上求められる義務を履行した上で上記提供を行います。
利用者は、本プライバシーポリシーへの同意をもって、上記第三者が利用者の個人関連情報を個人データとして取得することについてもご同意いただいたこととなりますので、ご留意ください。
（外部委託）
弊社は、利用目的の達成に必要な範囲内において、個人情報の取扱いの全部又は一部を委託する場合があります。
この場合、弊社は、委託先としての適格性を十分審査するとともに、契約にあたって守秘義務に関する事項、安全管理措置、秘密保持、再委託の条件その他の個人情報の取扱いに関する事項について適正に定め、委託先に対する必要かつ適切な監督を行います。
（安全管理措置）
弊社は、個人情報の正確性を保ち、これを安全に管理します。また、個人情報の紛失、破壊、改ざん及び漏えいなどを防止するため、下記の安全管理措置を実施しています。
（個人情報の開示・訂正・利用停止・消去）
弊社は、ご本人から個人情報の開示（個人データを第三者に提供し又は提供を受ける場合にはその記録を含むものとし、以下同様とします。）、訂正、削除、消去、及び利用停止等を請求を求められたときは、ご本人に対し、遅滞なくこれを開示します。
但し、ご本人又は第三者の生命、身体、財産その他の権利利益を害するおそれがある場合または弊社の業務に支障がある場合、その他法令に違反することとなる場合については、その全部又は一部をお断りすることがあります。
（プライバシーポリシーの変更手続）
弊社は、本プライバシーポリシーの内容を適宜見直し、その改善に努めます。また、本ポリシーの内容は、法令その他本プライバシーポリシーに別段の定めのある事項を除いて、適宜変更することがあり、変更後のプライバシーポリシーは、弊社所定の方法により、利用者に通知し、又は当サービスに掲載したときから効力を生じます。
（苦情及び相談への対応）
本プライバシーポリシー又は弊社の個人情報等の取扱に関してのお問合わせ・苦情等は末尾記載の連絡先までご連絡ください。
（Cookie等の取扱い）
弊社は、本サービスのアクセス及び利用状況の分析、広告配信、並びに当サービスの利便性向上のために、本サービスにアクセスしたご本人のデバイスに保存されるファイル及びこれに類似する技術（以下「Cookie等」といいます。）を取得することがあります。ご本人は、自らの責任において、ウェブブラウザの設定を変更することにより、Cookie等の取得を制限することができます。
弊社は、ご本人が本サービスにおいて個人情報を入力若しくは登録した場合、又は弊社から送付されたメール又はこれに類するメッセージに記載されたURLから当サービスにアクセスした場合、Cookie等とご本人の個人情報を関連付けることがあります。
その場合、弊社はご本人の個人情報と関連付けたCookie等がご本人の個人情報であることに鑑み、当該Cookie等を本プライバシーポリシーの定めに従って管理します。
（お問い合わせ）
弊社の個人情報に関するお問い合わせは下記にご連絡ください。
＜受付窓口＞
URL http://www.○○○.com/privacy.html または ○○○＠○○○.com
附則
本規約は、令和○○年○月○日より適用されます。
平成○年○月○日制定
冒頭で説明した通り、個人情報をとりまく状況は目まぐるしく変化しています。
特に近年のAIやデータサイエンスによる技術革新が個人情報保護に大きな影響を及ぼしています。AIはそもそもデータがなければ成立せず、そのデータが個人情報や個人の性質、属性、行動履歴などの個人関連情報となっているからです。
個人情報に関する法律は単純に厳しく事業者に制限を課すだけでは技術の進歩が停滞してしまい、それは結果としてユーザーの不利益に繋がります。
大事なのは個人情報を運用する個人も事業者も個人情報の重要性を認識して運用することです。
事業者は法の目をかいくぐるような運用をしてはユーザーの気持ちが離れていきますし、ユーザーも何でもかんでもNGにするようでは便利だと思って使い始めたはずのそのサービスの質は将来に渡って向上しません。
個人のプライバシーと技術推進の両方を両立する意識、言い換えると事業者とユーザーでお互いにサービスを育てる気持ちを持つことが重要と言えます。
当サービスは将来の実用化を目指すものの、現時点では試行提供の段階であり、ボットの発言の真偽、精度の一切を保証しません。
また、運用の結果、万一損害が発生した場合も、開発者および運営者はいかなる責任も負いません。ご自身の責任の範囲でご利用ください。
当サービスでの体験はエンターテインメント（娯楽）としてお受け取りください。
当サービスは個人情報を保有しません。万が一個人情報が入力された場合は、削除いたします。
