「プライバシーポリシー」、「個人情報保護方針」、「個人情報の取扱いについて」……このような文章を、生活している中で誰もが見たことはあると思います。今回は、プライバシーポリシーに関する基礎知識を説明することとします。
なぜプライバシーポリシーを作成するのか？
事業者において、特に今日においては、マーケティング活動を実施するにあたって個人情報を取得し、利用することは必要不可欠といえます。そして、個人情報を取り扱う以上は、次の観点から、プライバシーポリシーを作成・公表をする必要があります。
法律を守るため
日本においては、個人情報を取り扱うにあたって、個人情報の保護に関する法律（個人情報保護法。個情法）が存在します。また、国外においても、欧州におけるGDPR（General Data Protection Regulation）のように、個人情報の処理を規律する法律が存在します。
これらの法律においては、個人情報の取扱いにあたって、一定事項の公表が求められています。そのため、プライバシーポリシーを作成し、公表する必要があります。
「気持ち悪さ」への対処
今日において、インターネット広告をはじめ、AIの学習、顧客管理といった場面など、個人情報は様々なところで活用されています。また、取得される個人情報は、思いもしていないほど細かなものがあります。私も勉強をして知りましたが、アプリ上でどの場所をタップしたかとか、どのくらいの時間広告を見ていたかなど、想像以上に細かな情報が取得されています。
こうした個人情報の取得・利用は生活を便利にする一方、「気持ち悪い」と思う方はきっと多いでしょう。事業者は、そのような一般の方が抱く「気持ち悪さ」を低減するため、プライバシーポリシーを公表し、「我々はXXの情報を取得し、XXの目的で利用している」旨を開示しているのです。
誰がプライバシーポリシーを用意すべきか
個人情報取扱事業者が用意すべき文書となります。
個人情報保護法は、「個人情報取扱事業者」の義務を数多く定めている難解なもので、「個人情報取扱事業者」が極めて重要な概念といえます。ざっくり言えば、個人情報取扱事業者は、データベース上で、顧客等の個人の情報を管理している者となります。データベースについては形式を問いませんので、Excel、顧客管理ソフトといったデジタルの世界のものでも、ファイル、バインダといった物理上のものでも、個人の情報を体系的に管理しているならば該当してしまいます。
事業を行う上で、およそこのようなデータベースを保持していないということはないでしょう。そのため、何らかの事業を行っている以上は、ほぼ全員がプライバシーポリシーを用意しなければならないといえます。
どのように作成すべきか
教科書的な回答で言えば、データマッピングを行い、次のような情報を整理し、その上で法的評価を加えて、どのように文章化していくかを検討していくことになります。
- 「どのような情報」を
- 「どのように取得」し
- 「誰から取得」し、
- 「誰」が
- 「どのような目的で利用」するのか。
- また、「どうやって管理」するのか
たとえば、個人情報保護委員会がデータマッピングツールを配布し、このツールを用いて適切に管理するよう案内をしています。しかしながら、この作業はかなり大変であり、中小企業が実施できるとは到底思えません。
そこで、現実的には、プライバシーポリシーの雛形を確認したり、弁護士と会話したりしつつ、その中で各事業者の実態に即した文章に変更していくという方法が採用されています。
何を書くべきか
次の個人情報のライフサイクルに沿って何を書くべきかを検討するのが、頭の整理としては良いでしょう。また、必ずしも個人情報保護法上要請されていない事項もありますが、実務上一般的な項目も含め、基本的な項目を解説します。
- 取得
- 利用
- 保管
- 消去
「取得」の段階
取得する個人情報の項目～
取得することとなる個人情報の項目が必要となります。
この項目は、実は個人情報保護法上、記載が要請されるものではありません。実際に記載がないプライバシーポリシーもあります。しかしながら、上記のとおり、想像以上に様々な情報が取得される以上、「気持ち悪さ」に配慮して、記載することが多く、通例は記載します。
代表的な項目は明示しつつも、ある程度抽象化して記載することで、将来的に新たな情報を取得することとなっても対応できるようにすることが一般的です。類似サービスを提供する他社の例も確認しつつ、対応する必要があります。
補足：個人情報の定義
そもそも個人情報とは何でしょうか？氏名や住所といった一般的に個人情報と思うもの以上に、かなり広範な情報が個人情報とされていることに注意が必要です。
詳細な議論は省きますが、氏名や生年月日といったまさに個人情報と通常思われているような情報を含むデータベースがある場合に、そのデータベースに含まれる情報は全て個人情報に該当してしまいます。
論理的には複数のデータベースがあるとしても、何か（たとえばユーザーID）をキーにして紐付けられる場合、複数のデータベース全体に含まれる情報が個人情報に該当します。
たとえば、以下のデータベースの情報は全て個人情報です。
| ユーザーID | 氏名 | メールアドレス |
|---|---|---|
| 0001 | A | aaa@aaa.jp |
| 0002 | B | bbb@bbb.jp |
| 0003 | C | ccc@ccc.jp |
| ユーザーID | XXサイト最終アクセス日 |
|---|---|
| 0001 | 2026年3月1日 |
| 0002 | 2026年3月10日 |
| 0003 | 2026年3月20日 |
「利用」の段階
利用目的の公表
個人情報保護法上、個人情報の利用目的を公表（又は通知）することが必要となります。利用目的は、「できる限り特定しなければならない」とされています。
たとえば、個人情報保護委員会が公表している解説においては、単に「お客様のサービスの向上」といった一般的な内容を示すだけでは足りないとされています。特に、プロファイリング（ターゲティング広告のために利用する場合など、本人に関する行動・関心等の情報を分析をする場合）は、より具体的な記載が要請されています。
実務的には、他社例を見つつ、実際に想定している利用目的自体は個別に記載しつつ、ある程度抽象化した目的を記載し、増加する可能性のある利用目的に対処することとなります。
第三者提供の同意（国内）
個人情報保護法上、委託先に提供する場合など例外的な場合を除き、個人情報を第三者に提供する場合は本人同意が必要となります。
第三者の氏名・名称を記載することまでは必要とされていません（参考）。想定される提供先の範囲や属性を示すこととされています。
広告配信事業者を利用してターゲティング配信を実施する場合、識別子を広告配信事業者に提供することとなります。これは、多くの場合、本人同意が必要な第三者提供となるため、明示する必要があることに注意してください。
第三者提供の同意（国外）
外国のSaaSを利用する場合など、外国にある第三者に提供する場合は、原則的に、国内のときに比べて本人同意を取得しなければならない類型が多くなります（委託先への提供も本人同意が必要です。）。さらに、同意を取得する際には、一定の事項を提供する必要があります。
- 当該外国の名称
- 適切かつ合理的な方法により得られた当該外国における個人情報の保護に関する制度に関する情報
- 当該第三者が講ずる個人情報の保護のための措置に関する情報
特に前二者は、外国の法令のリサーチも必要となるもので、かなり大変です。ただ、個人情報保護委員会が、相当範囲の外国に関しては情報を公開しています。
「保管」の段階
安全管理措置の公表
個人情報保護法上、個人情報に対して講じている安全管理措置については、「本人の知り得る状態（本人の求めに応じて遅滞なく回答する場合を含む。）に置」く必要があります。最も簡便な方法は、公表することになります。
事業者の規模に応じて、公表が要請されるべき事項に差があります。したがって、規模も含めて類似する他社例も確認しつつ、個人情報保護委員会が公表するガイドライン（3-8-1）に沿って、次の各項目に関し、公表事項を検討する必要があります。
- 基本方針の策定
- 個人データの取扱いに係る規律の整備
- 組織的安全管理措置
- 人的安全管理措置
- 物理的安全管理措置
- 技術的安全管理措置
- 外的環境の把握
開示等の請求に応じる手続
個人情報のうち一定の類型に該当するもの（自社のサービスのために取得する情報はこの類型に該当します。）については、本人は様々な請求を行うことができます。そのため、これらの請求に応じる手続を定め、「本人の知り得る状態（本人の求めに応じて遅滞なく回答する場合を含む。）に置」く≒公表する必要があります。
次の事項を記載しておけばよいでしょう。
- 請求の申出先
- 提出すべき書面やその様式
- 本人確認書類
- 手数料
その他
詳細は省きますが、個人情報保護法上、以下のような項目も記載し、公表（又は項目によっては「本人の知り得る状態に置く」こと）することも要請されています。次の項目は必須です。
- 事業者の氏名・名称、住所、代表者氏名
- 苦情の申出先
その他にも、場合によっては記載すべき事項があり、注意点は多岐にわたります。ご質問がある場合は、是非当事務所にお問い合わせください。
