行政書士ボット

機械学習で進化する行政書士Gyobot Blog

2022年5月8日16:58(約204日前)

Webサービスのプライバシーポリシーの作り方をテンプレートを用いて徹底解説!

契約書

2022年4月1日より改正個人情報保護法が施行されました。
2005年4月1日から全面施行された個人情報保護法ですが、個人情報に対する意識の高まりや技術革新の観点から、現在では3年ごとに見直されアップデートされています。
Webサービスにおけるプライバシーポリシーも当然その影響を受けますので、作りっぱなしではなく、法改正に応じて定期的に見直す必要があります。
当記事では、過去の法改正を振り返りつつ、2022年4月1日施行の改正個人情報保護法を踏まえたWebサービスにおけるプライバシーポリシーの作り方をテンプレートを用いて解説します。

2017年5月30日施行の改正ポイント

まずは2017年5月30日施行の改正を振り返ります。
具体的には以下のようなものです。

  • 5,000人分以下の個人情報を取り扱う小規模事業者にも個人情報保護法が適用されるようになった。
  • 個人情報を取得する場合は、あらかじめ本人に利用目的を明示することが必要になった。
  • 個人情報を第三者に提供する場合は、あらかじめ本人から同意を得ることが必要になった。
  • オプトアウト(本人の同意を得ないで提供できる特例)には、個人情報保護委員会への届出が必須となった。(「第三者提供の事実」「対象項目」「提供方法」「望まない場合の停止方法」などを、あらかじめ本人に提示)

改正のポイントとして、何が個人情報にあたるかが厳格に定められました。
その恩恵として、本人が特定できないよう加工された「匿名加工情報」の概念が創出され、事業者が積極的に個人情報をビッグデータとして活用できるようになりました。

2022年4月1日施行の改正ポイント

この改正では大きく分けて以下が理解のポイントとなります。

情報漏洩時の本人への通知の義務化について

これまで努力義務であった情報漏洩時の本人への通知が義務化されました。
本人への通知が困難な場合は、ホームページで公表や問い合わせ窓口の設置などの対応も可能です。
報告対象は以下の漏洩パターンです。

  • 要配慮個人情報が含まれる場合
  • 財産的被害が生じるおそれがある場合
  • 不正目的の漏洩等が発生した場合
  • 1,000人を超える漏洩が発生した場合

また、本人への通知に加えて3~5日以内に個人情報保護委員会へ報告する必要があります。

利用停止要件の拡大について

これまでの利用停止要件であった目的外利用、不正取得、第三者提供義務違反に以下の要件が加えられました。

  • 利用する必要がなくなった場合
  • 重大な漏洩が発生した場合
  • 本人の権利または正当な利益が害されるおそれがある場合

これにより利用停止・消去などの権利を個人が持つことがより明確になったと言えます。

第三者提供に関する規定について

不適正利用の禁止個人関連情報の規定の創設や、外国にある第三者への個人データ提供制限の強化などがあります。
これらの背景には「リクナビDMPフォロー」事件があります。
情報を提供された側の企業では個人を特定できるにも関わらず、情報提供者であるリクルートキャリア社側では本人の同意を得ずに、提供する情報である内定辞退率を算出し提供した事件です。
この反省点から、当改正において違法または不法な行為を助長する等の不正な方法によって個人情報を利用してはならないことが明確化されました。

上記に関連して第三者に提供される情報をより具体化するために個人関連情報の概念が創設されています。
個人関連情報とは、生存する個人に関する情報で、個人情報、仮名加工情報、匿名加工情報のいずれにも該当しない情報とされています。
Webサービスの実務上は閲覧履歴やサービスの利用、購入履歴、位置情報の情報、CookieやIPアドレス等の利用が関係してきます。
「リクナビDMPフォロー」事件のように、個人情報を持つ企業に個人関連情報が提供された場合に、付け合わせることで個人を特定できるようになるのであれば、第三者提供には本人の同意が必要です。
この場合は以降に説明する仮名加工情報となります。
なお同意を取る際は、取得目的・予定される取り扱い・提供先での利用目的などの公表が必要です。

また、外国にある第三者への個人データ提供制限の強化について、元の第三者提供の規定に加えて以下が追加されています。

  • 移転先の所在国の名称と、その国での個人情報保護に関する制度移転先が行なう個人情報保護のための措置について情報提供
  • 移転先で適正な取扱いがされているか、年に1回以上定期的な確認
  • 問題が生じた場合の対応方法の明示
  • 本人が個人データの取扱いや保管方法などについて情報提供を求めた場合、応じる義務

仮名加工情報の創設について

仮名加工情報は、「他の情報と照合しない限り特定の個人を識別できないように個人情報を加工して得られる個人に関する情報」と定義されています。
具体的には以下のような情報です。

  • ユーザー名を仮のIDなど本人の実名以外にした情報
  • 銀行の口座番号やクレジットカード番号などの不正利用の可能性がある情報をダミーに置き換えたり非表示にした情報

これらの加工がなされることで、元の個人情報は残したまま仮名加工情報を運用でき、利用目的変更の制限や漏えい等の報告や本人への通知、開示・利用停止の請求対応の義務を免除されます。ただし本人の同意なく仮名加工情報を第三者に提供することはできません。この点は本人の同意なしに目的外利用や第三者提供が可能な匿名加工情報との違いを理解する必要があります。

法人の罰則厳罰化について

法人の罰則が「50万円以下あるいは30万円以下の罰金」から「1億円以下の罰金」に引き上げられました。懲役についても「6ヶ月以下の懲役」から「1年以下の懲役」へと厳罰化されています。
また、個人情報を取り扱う「国外事業者」も罰則対象に追加されました。

匿名加工情報と仮名加工情報の違い

2017年5月30日施行で創設された匿名加工情報と2022年4月1日施行で創設された仮名加工情報は個人が識別できないように個人情報を加工して作られるという意味では共通していますが、第三者提供の規制に大きな違いがあります。

匿名加工情報の定義

個人情報を、特定の個人を識別することができないように、かつ、元の個人情報を復元できないように加工した個人に関する情報。

仮名加工情報の定義

個人情報を、他の情報と照合しない限り特定の個人を識別することができないように加工した個人に関する情報。

突合による個人特定の違い

匿名加工情報は個人と結びつく情報ごと削除されています。そのため第三者に提供されても個人を識別することは不可能です。逆に言えば、そのためにユーザーを分析するにあたっての有用性は劣ります。
一方で仮名加工情報は情報の付け合わせにより個人情報と同等なデータの有用性を持ちます。そのために詳細なユーザー分析を行うことが可能です。

上記の理由から匿名加工情報には第三者提供に制限がないのに対し、仮名加工情報には第三者提供に制限があります。

匿名加工情報と仮名加工情報の違い

仮名加工情報は個人情報利用の安全性の確保と利活用の促進のバランスを取るために創設された概念ということができます。
より具体的には、機械学習やディープラーニングなどのAI技術やデータサイエンスの社会利用の期待度から創設された概念です。
Webサービスの運営拡張にあたっては、特に重要な改正ポイントと言えます。

Webサービスのプライバシーポリシーの作り方をテンプレートで解説

上記の改善ポイントを盛り込んだWebサービスにおけるプライバシーポリシーの例をポイントを絞って解説します。
今回はWebサービスの運用をするにあたって、マーケティングや開発で外部委託の可能性があり、広告事業を展開していて広告のクライアントにユーザーの行動履歴を提供するような事業を仮定します。

プライバシーポリシー

弊社は、下記の方針に基づき個人情報の保護に努め、これを遵守するとともに、全ての個人情報をより安全かつ適切に取り扱うことを宣言します。
弊社に個人情報を提供するにあたっては、下記の内容についてご同意のうえ、ご提供いただきますようお願いします。

(個人情報)

第1条

「個人情報」とは、個人情報の保護に関する法律(平成15年法律第57号、個人情報の保護に関する法律、以下「個人情報保護法」といいます。)にいう「個人情報」を指し、生存する個人に関する情報であって、当該情報に含まれる氏名、生年月日その他の記述等により特定の個人を識別できるもの(他の情報と容易に照合することができ、それにより特定の個人を識別することができることとなるものを含む。)又は個人識別符号が含まれるものを指します。

最初に法令に習い、個人情報の定義を明確にします。

(個人情報の取得と利用目的)

第2条

弊社は、下の目的に必要な範囲で、ご本人の個⼈情報を取得し、取得した情報を利用します。以下の⽬的の範囲を超えて個⼈情報を利⽤する場合には、事前に適切な⽅法でご本人からの同意を得ます。

(1)本サービス利用者の個人情報等の利用目的
  1. 弊社が提供するサービス(以下「本サービス」といいます。)提供のため
  2. 本サービス及び新規サービスの改善及び開発のため
  3. 本サービスのご案内(電子メール、チラシ、その他のダイレクトメールの送付を含む。)のため
  4. メンテナンス、重要なお知らせなど必要に応じたご連絡のため
  5. お問い合わせ対応のため
  6. 本サービスの利用状況を利用者にご報告するため
  7. 本サービスに関するアンケート、モニター、取材等の実施のため
  8. 閲覧履歴や購買履歴等の情報を特定の個人を識別できない形式に加工して、本サービスの利用状況に関する統計データを作成し、その結果を本サービスの改良・開発や広告の配信に利用するため
  9. 本サービスに係る利用規約で禁じられている行為、またはそのおそれのある行為を防止、調査し、それらに基づき適切に対処するため
(2)弊社への採用応募者の個人情報等の利用目的
  1. 採用条件の検討・決定、採否の検討・決定、応募履歴の確認、応募者の職務経歴・背景の調査を遂行するため
  2. 問い合わせ対応、事務連絡、その他採用選考に必要な手続きを遂行するため
  3. 採用決定後の入社に関する必要事項の案内、その他これに必要な手続きを遂行するため
  4. 入社後の人事労務管理のため
  5. 将来の採用計画のために統計的に利用する等、採用活動に付随する目的のため
この条項が2017年5月30日施行の改正ポイントのあらかじめ本人に利用目的を明示となります。
想定する利用目的をできるだけ具体的に明記しましょう。

(個人情報の第三者への提供)

第3条

個人情報の管理を厳重に行い、次に掲げる場合を除き、ご本人の同意がない限り、第三者に対しデータを開示・提供しません。

  1. 人の生命、身体または財産の保護のために必要がある場合であって、本人の同意を得ることが困難であるとき
  2. 公衆衛生の向上または児童の健全な育成の推進のために特に必要がある場合であって、本人の同意を得ることが困難であるとき
  3. 国の機関もしくは地方公共団体またはその委託を受けた者が法令の定める事務を遂行することに対して協力する必要がある場合であって、本人の同意を得ることにより当該事務の遂行に支障を及ぼすおそれがあるとき
  4. 業務を円滑に遂行するため、利用目的の達成に必要な範囲内において個人情報の取扱いの全部又は一部を委託する場合
  5. 合併その他の事由による事業の承継に伴って個人情報が提供される場合
  6. 個人情報を特定の者との間で共同して利用する場合であって、その旨並びに共同して利用される個人情報の項目、共同して利用する者の範囲、利用する者の利用目的並びに当該個人情報の管理について責任を有する者の氏名又は名称及び住所並びに法人にあっては、その代表者(法人でない団体で代表者又は管理人の定めのあるものにあっては、その代表者又は管理人)の氏名について、あらかじめ本人に通知し、又は本人が容易に知り得る状態に置いた場合
  7. その他法令に基づき許容される場合
2017年5月30日施行の改正ポイントの第三者に提供する場合のあらかじめ本人から同意を得ることに関する条項となります。
システム開発の外部委託等で個人情報を第三者提供する場合や、他社とのアライアンス、共同研究なども場合が想定される場合はそのケースも含めて具体的に明記しておきましょう。

( 個人関連情報の第三者への提供)

第4条

弊社は、個人関連情報(Cookie、IPアドレス、閲覧・購入履歴、位置情報、等のうち特定の個人を識別できないもの)を第三者に提供することがあります。
上記提供の際に、弊社において、当該第三者が、上記個人関連情報を利用者ご本人が識別される情報と突合して、個人データ(個人情報保護法に定義されるも)として取得することが想定される場合、弊社は個人情報保護法上求められる義務を履行した上で上記提供を行います。
利用者は、本プライバシーポリシーへの同意をもって、上記第三者が利用者の個人関連情報を個人データとして取得することについてもご同意いただいたこととなりますので、ご留意ください。

2022年4月1日施行の改正ポイントの仮名加工情報に関する条項となります。
例えば個人関連情報をクライアントに提供することで、クライアント側では個人の特定が可能になる場合などには必ずこの条項を入れましょう。

(外部委託)

第5条

弊社は、利用目的の達成に必要な範囲内において、個人情報の取扱いの全部又は一部を委託する場合があります。
この場合、弊社は、委託先としての適格性を十分審査するとともに、契約にあたって守秘義務に関する事項、安全管理措置、秘密保持、再委託の条件その他の個人情報の取扱いに関する事項について適正に定め、委託先に対する必要かつ適切な監督を行います。

第3条(個人情報の第三者への提供)でも委託について触れていますが、外部委託での個人情報漏洩のトラブルは実際にいくつか事件もあります。
そのためWebサービスのユーザーとしては気になる部分であり、ユーザーへの安心感を与える意味でも改めてここで明記しておきましょう。

(安全管理措置)

第6条

弊社は、個人情報の正確性を保ち、これを安全に管理します。また、個人情報の紛失、破壊、改ざん及び漏えいなどを防止するため、下記の安全管理措置を実施しています。

  1. 個人情報に関するセキュリティマネジメントシステムの確立と継続的な改善を実現するため、定められた手順を用いて個人情報のリスクを明らかにし、適切なリスク対応を実施する。
  2. 個人情報に関するセキュリティに対する役割及び責任を明確に定め、個人情報を適切に管理する。
  3. 個人情報に関するセキュリティを維持する責任を自覚させるために、経営者・従業員及び関係者全てに、教育・啓蒙活動を実施する。
  4. 個人情報に関するセキュリティマネジメントシステムが実施されていることを監視・記録し、個人情報に関するセキュリティ目的の設定とその達成、定期的な内部監査・マネジメントレビューによって、運用の確実性を高め、継続的な改善を図る。
  5. 万一、個人情報に関するセキュリティ上の問題が発生した場合、直ちに、原因を究明しその被害を最小限にとどめると共に、事業継続性を確保するよう努力する。
  6. 個人情報及びその取扱について、法令やその他の社会規範、顧客との契約を遵守する。

(個人情報の開示・訂正・利用停止・消去)

第6条

弊社は、ご本人から個人情報の開示(個人データを第三者に提供し又は提供を受ける場合にはその記録を含むものとし、以下同様とします。)、訂正、削除、消去、及び利用停止等を請求を求められたときは、ご本人に対し、遅滞なくこれを開示します。
但し、ご本人又は第三者の生命、身体、財産その他の権利利益を害するおそれがある場合または弊社の業務に支障がある場合、その他法令に違反することとなる場合については、その全部又は一部をお断りすることがあります。

2022年4月1日施行の改正で個人情報の利用停止要件の拡大されたこともあり、今後はユーザーからの利用停止の連絡が増えることも予想されます。
連絡先と共に必ずこの条項は入れましょう。
なお、当テンプレートでは第8条に(苦情及び相談への対応)を入れており、第10条(お問い合わせ)の箇所で一括で受けるようにしています。
個別で受ける場合はこの条項に連絡先もセットで明記しましょう。

(プライバシーポリシーの変更手続)

第7条

弊社は、本プライバシーポリシーの内容を適宜見直し、その改善に努めます。また、本ポリシーの内容は、法令その他本プライバシーポリシーに別段の定めのある事項を除いて、適宜変更することがあり、変更後のプライバシーポリシーは、弊社所定の方法により、利用者に通知し、又は当サービスに掲載したときから効力を生じます。

プライバシーポリシーは法令の変更も3年に一度見直されているため、将来に渡って変更の可能性が高いです。
変更の可能性を示唆する条項を加えておきましょう。

(苦情及び相談への対応)

第8条

本プライバシーポリシー又は弊社の個人情報等の取扱に関してのお問合わせ・苦情等は末尾記載の連絡先までご連絡ください。

(Cookie等の取扱い)

第9条

弊社は、本サービスのアクセス及び利用状況の分析、広告配信、並びに当サービスの利便性向上のために、本サービスにアクセスしたご本人のデバイスに保存されるファイル及びこれに類似する技術(以下「Cookie等」といいます。)を取得することがあります。ご本人は、自らの責任において、ウェブブラウザの設定を変更することにより、Cookie等の取得を制限することができます。
弊社は、ご本人が本サービスにおいて個人情報を入力若しくは登録した場合、又は弊社から送付されたメール又はこれに類するメッセージに記載されたURLから当サービスにアクセスした場合、Cookie等とご本人の個人情報を関連付けることがあります。
その場合、弊社はご本人の個人情報と関連付けたCookie等がご本人の個人情報であることに鑑み、当該Cookie等を本プライバシーポリシーの定めに従って管理します。

Webサービスの場合、技術的にCookie等を利用する可能性は高いです。
仮名加工情報の創設の件もあるため、改めてここで個人情報との突合の可能性を示唆する条項を入れておく方がよりユーザーに親切なプライバーシーポリシーになります。

(お問い合わせ)

第10条

弊社の個人情報に関するお問い合わせは下記にご連絡ください。

<受付窓口>
URL http://www.○○○.com/privacy.html または ○○○@○○○.com

連絡先は必ず明記しましょう。

附則

本規約は、令和○○年○月○日より適用されます。

平成○年○月○日制定

改定した場合はここに改定年月日を追記していきます。

まとめ

冒頭で説明した通り、個人情報をとりまく状況は目まぐるしく変化しています。
特に近年のAIやデータサイエンスによる技術革新が個人情報保護に大きな影響を及ぼしています。AIはそもそもデータがなければ成立せず、そのデータが個人情報や個人の性質、属性、行動履歴などの個人関連情報となっているからです。
個人情報に関する法律は単純に厳しく事業者に制限を課すだけでは技術の進歩が停滞してしまい、それは結果としてユーザーの不利益に繋がります。
大事なのは個人情報を運用する個人も事業者も個人情報の重要性を認識して運用することです。
事業者は法の目をかいくぐるような運用をしてはユーザーの気持ちが離れていきますし、ユーザーも何でもかんでもNGにするようでは便利だと思って使い始めたはずのそのサービスの質は将来に渡って向上しません。
個人のプライバシーと技術推進の両方を両立する意識、言い換えると事業者とユーザーでお互いにサービスを育てる気持ちを持つことが重要と言えます。

関連記事