プライバシーポリシーとは？作成方法から運用まで

スマートフォンアプリなどWebサービスでユーザーに関する情報を取り扱う場合には、プライバシーポリシーの準備が必要です。新規サービスを検討されている事業者の方は、適切なプライバシーポリシーを制定する必要があります。

また、平成29年5月30日から改正個人情報保護法が全面施行されましたので、既にプライバシーポリシーを準備しているサービスについても、プライバシーポリシーの見直しが必要な事業者の方もいらっしゃると思います。

今回は、プライバシーポリシーの意義や正しい作成方法、運用方法などについてWebサービスのアプリを中心にご説明します。

プライバシーポリシーについて

スマートフォンアプリなどのWebサービスをリリースするときには、一般に、

1. 利用規約
2. プライバシーポリシー
3. 特定商取引法上の表記

を準備します。

これらは、ユーザーとの契約関係を基礎づけるほか、法令で制定・公表が義務になる場合があり、適切に定める必要があります。実際にサービスのWebサイトを見ると、ほとんどすべてのサービスに、これらの記載があります。

スマートフォンを利用した各種サービスでは個人情報などのパーソナルデータの取り扱いが避けられないため、ユーザーにとって透明性が確保される取り扱いはますます重要になっています。

プライバシーポリシーとは

多くのWebサービスでは、ユーザーがWebサービスを利用する際に、個人情報をはじめとするパーソナルデータ（※1）（個人に関する情報）を取得しています。例えば、ユーザーの氏名・住所・年齢・性別や、GPSによる位置情報、アプリの利用情報などのほか、多様な情報を収集してサービスの提供に活用することが一般的です。

このような情報を無断で収集したり、第三者に提供したりすることがあれば、ユーザーは、自らの情報がどの様に取り扱われているのかを把握できず、サービスに不安を感じてしまうことになります。

そこで、サービスを提供するにあたって、事業者がユーザーの個人情報やその他のパーソナルデータをどのように取り扱うのかを約束するためにプライバシーポリシーを設けてパーソナルデータの取り扱い方を示します。ユーザーと事業者とのサービスの利用に関する約束事項は利用規約にも定めますが、その中でも特にパーソナルデータの取り扱いに関する取り決めを独立して、プライバシーポリシーとして規定することが一般的です。

なお、個人情報保護方針またはプライバシーポリシーとして個人情報保護に関する一般的な取決めを公表している例もあります。しかし、取得・活用するパーソナルデータがアプリごとに異なる場合、それぞれのアプリに応じたパーソナルデータの取り扱い方を具体的に定めなければ説明として十分とはいえません。そのため、同じWebサービス内であってもプライバシーポリシーは、アプリごとに作成する必要があります（※2）。

※1　パーソナルデータとは、「個人に関するあらゆる情報」を意味しており、必ずしも個人を特定できる情報には限りません。
※2　複数のサービスを提供している場合、共通する事項はまとめて規定し、サービス毎に異なる事項は分けて規定する方法もありえます。

プライバシーポリシーを定める目的

法令に「プライバシーポリシーを作成しなければならない」旨の規定はありません（※3）が、それにもかかわらずプライバシーポリシーを定めるのは、以下のような目的があります。

1. 個人情報保護法・プライバシー権など法令に違反しないようにするため
2. パーソナルデータのなどの取り扱い方法を示し、ユーザーの理解を得るため

プライバシーポリシーを定める目的の一つ目は、法令の遵守にあります。例えば、個人情報の保護に関する法律（以下、「個人情報保護法」といいます）には、個人情報の利用目的を公表（通知）する義務（同法18条1項）や、個人データを第三者に提供する際に本人から同意を得る義務（同法23条）などが規定されており、アプリ提供事業者など個人情報を取り扱う事業者は、これらの義務を遵守しなければなりません。

そこで、プライバシーポリシーの中でこれらの事項を公表し、またはプライバシーポリシーに対する同意を得ることをもってユーザーからの同意とするなどの運用をとります。また、パーソナルデータの性質や取り扱い方によっては、ユーザーのプライバシー権の侵害を招くおそれがあるため、プライバシーポリシーにパーソナルデータの利用目的を記載したり、パーソナルデータを第三者に提供する旨を定めたりすることにより、ユーザーの権利の侵害の可能性を減らす必要があります。

プライバシーポリシーを定める目的の二つ目は、プライバシーポリシーを通じてパーソナルデータの取り扱い方を示すことにより、ユーザーからサービスに対する理解を得ることにあります。近年では、個人情報やプライバシーに対するユーザーの意識が高まっています。そのため、ユーザーにとって関心の大きい情報について事業者が十分な説明をしなかったため、ユーザーから強い反発を受け、サービスや事業の継続が困難になった例が多数あります。

このような事態を防ぐためには、ユーザーがどのような情報の取り扱い方について関心があるかを見極めて、パーソナルデータの取り扱い方をきちんと示し、ユーザーの理解を得ておく必要があります。この目的のために、プライバシーポリシーを定め、ユーザーに対し、情報の提供を行います。

※3　プライバシーマークを取得するためには、個人情報保護方針として個人情報の取り扱い方を示すことが必要です。

プライバシーポリシーの作成

プライバシーポリシーに記載するべき事項

プライバシーポリシーの作成にあたっては、先に述べたような目的が十分に達成できるように、必要な項目を漏れなく記載しなければなりません。あわせて、ユーザの理解を得るためには、法令で求められている事項について説明するだけでは十分とは言えない場合があります。

過去の炎上事例やユーザーのプライバシー意識の変遷などを踏まえて、個人情報保護法などの法令で要求される事項に限らず、ユーザーの関心が大きい項目についてはきちんと規定しておくことが望ましいといえます。

このため、プライバシーポリシーには、個人情報保護法第2条1項で定義されている「個人情報」に限らず、より広く、ユーザーの関心が大きいパーソナルデータも含めて記載することが一般的になっています。

以上を踏まえ、プライバシーポリシーには、少なくとも以下の8項目を記載することが推奨されています。（※4）

1. アプリケーション提供者の氏名、名称、連絡先等
2. アプリケーション提供者が取得するパーソナルデータの項目等
3. アプリケーション提供者によるパーソナルデータの取得の方法
4. パーソナルデータの利用目的の特定・明示
5. パーソナルデータの第三者への提供・情報収集モジュールに関する事項
6. 同意取得の方法および利用者関与（削除・訂正）の方法
7. 問合せ先
8. プライバシーポリシーの変更手続き

※4　総務省『スマートフォンプライバシーイニシアティブⅢ（案）』（平成29年6月6日公表）を参考に作成。同ガイドラインは、意見公募の後、策定・公表が予定されています。

記載にあたっての留意点

プライバシーポリシーの規定にあたっては、ユーザーに分かりやすく、誤解を生まないような記載が重要です。このような観点から上記の各項目の記載については、以下のような点に留意するべきです。

1. アプリケーション提供者の氏名、名称、連絡先等

アプリを提供する事業者の氏名・名称・連絡先をプライバシーポリシーに示します。

2. アプリケーション提供者が取得するパーソナルデータの項目等

どのようなパーソナルデータが取得されるのか（または取得されないのか）がユーザーにとって明確になるように、可能な限り具体的に列挙することが求められます。

「氏名」「年齢」「性別」「メールアドレス」「IPアドレス」「アプリ利用日時」「アプリ上に送信したテキスト・画像」「GPSによる位置情報」など、細分化して定める必要があります。

このような記載ではなく、「氏名、年齢などの属性情報」「位置情報」など概括的な記載では、具体的にどのようなパーソナルデータが取得されるのかどうかが明らかではないため、十分ではありません。

3. パーソナルデータの取得の方法

個人情報保護法の要求事項ではありませんが、パーソナルデータの取得方法を明らかにします。これにより、ユーザーは、いつ・どのように自らのパーソナルデータが取得されているのかを知ることができ、取り扱いの透明化が図られます。

この趣旨から、単に取得方法を列挙するのではなく、パーソナルデータの項目ごとに取得方法を示すことが望ましいといえます。例えば、以下のように取得方法ごとにパーソナルデータの項目を分けて記載する方法などが考えられます。

・入力フォームに入力することにより取得するパーソナルデータ

・サービスの利用中に自動的に取得するパーソナルデータ

4. パーソナルデータの利用目的の特定・明示

取得した利用目的を特定し、具体的に記載します。パーソナルデータと利用目的を別に列挙する記載例も見られますが、パーソナルデータの項目ごとに利用目的が異なることが一般的です。そのため、パーソナルデータの項目と利用目的の対応関係がわかるように記載することが推奨されます。

5. パーソナルデータの第三者への提供・情報収集モジュールに関する事項

第三者に提供するパーソナルデータがある場合、第三者への提供を利用目的とすることや、第三者に提供するパーソナルデータの項目を明示します。この場合、提供先事業者の選定基準の明示することになどにより、提供する第三者の範囲を可能な限り特定することが望ましいです。

また、外国にある第三者に提供するパーソナルデータがある場合には、そのパーソナルデータを外国にある第三者に提供する旨の項目を明示します。 加えて、Google Analyticsなど情報収集モジュールを利用する場合には、情報収集モジュールおよびその提供者を特定したうえで、情報収集モジュールのリンクを張るなどして取得される情報の項目、利用目的などを特定します。

6. 同意取得の方法および利用者関与（取得・利用の停止）の方法

別途の同意を得て取得することとなるパーソナルデータがある場合、そのパーソナルデータを示します。取得するパーソナルデータの項目とあわせて示すとよいと思われます。

また、ユーザーがパーソナルデータの取得または利用の停止を希望する場合に、それぞれ可能であるかどうか、可能である場合にはその方法を示します。アプリのアンインストールする以外に、パーソナルデータの取得や利用を停止する方法がない場合には、その旨を記載します。

7. 問合せ先

パーソナルデータの取り扱いに関する問い合わせ先の連絡先を記載します。

8. プライバシーポリシーの変更手続き

プライバシーポリシーの変更を行った場合の手続き（事業者Webサイト、アプリ内通知などの通知方法など）を示します。新たに個人情報保護法上の同意が必要になる情報の取り扱いを始める場合や、新たにプライバシー情報（※5）を取り扱う場合には同意を取得する手続きをとる必要がありますので、その旨も示すとよいと思います。

※5　人に知られたくない情報（知られることが予定されない情報）

改正個人情報保護法を踏まえた修正

個人情報保護法の改正に伴い、アプリプライバシーポリシーの記載に見直しが必要になる事項は、以下のとおりです。ただし、改正個人情報保護法の改正点は多岐にわたるため、プライバシーポリシーの記載の仕方によっては、下記以外にも修正が必要になる場合もあります。規定の仕方によっては、改正法と矛盾が生じてしまう場合も想定されるため、従前のプライバシーポリシーについては、専門家のチェックを受けることをおすすめします。

1. 匿名加工情報の作成・取り扱い

匿名加工情報とは、「①特定の個人を識別することができないように個人情報を加工して得られる個人に関する情報であって、②もとの個人情報を復元できないようにしたもの」をいいます（個人情報保護法第2条9項）。

個人情報保護法の改正により新設された概念です。 匿名加工情報の作成・取り扱いをする事業者は、個人情報保護委員会規則に従い、匿名加工情報に含まれる情報の項目や、第三者提供の方法などを公表する必要があるため、プライバシーポリシーに追記が必要です（法36条3項、37条）。

2. 外国にある第三者への個人データの提供

外国にある第三者に個人データを提供する場合には、原則として「外国にある第三者への提供を認める旨の本人の同意」が必要になっています（法24条）。これにより、パーソナルデータを外国にある第三者に提供する場合には、その旨をプライバシーポリシーに明示し、かつ同意の取得手続きが必要です。

3. オプトアウト手続き

オプトアウト手続き（※6）を採用して個人データの第三者提供を行っている場合には、公表事項（通知事項）が変更され、公表事項（または本人への通知事項）として「本人の求めを受け付ける方法」が新設されました（法23条2項5号）。

また、オプトアウト手続きを行う場合には、公表・通知事項（法23条2項各号の各事項）について、①第三者に提供される個人データによって識別される本人が当該提供の停止を求めるのに必要な期間をおき、②本人が公表・通知事項を確実に認識できる適切かつ合理的な方法によることが必要になりました。

プライバシーポリシーによって公表することになりますので、オプトアウト手続きをとる場合には、プライバシーポリシーの公表について上記の点に留意する必要があります。

なお、このほかにも、オプトアウト手続きを行う場合には、個人情報保護委員会への届出をする義務が新設されています（法23条2項）。

4. 要配慮個人情報

改正個人情報保護法では「要配慮個人情報」（法2条3項）という概念が新設されました。要配慮個人情報とは、心身の機能障害や健康診断結果、刑事事件に関する手続きがおこなわれたことなど、本人に不当な差別や偏見などが生じないように特に配慮が必要な情報をいいます（政令第2条）。

このような情報を取得する場合には、本人の同意を得る必要がありますので、プライバシーポリシーにも明確に規定しておく必要があります。

5. 個人情報の定義の変更

改正個人情報保護法では、個人情報の定義が変更され、生存する個人に関する情報のうち個人識別符号が含まれる情報が個人情報に含まれることとなりました（法2条1項2号）。

個人識別符号とは、指紋・掌紋データや容貌データ、DNAの塩基配列など「特定の個人の身体の一部の特徴」を変換した符号によって本人認証ができるようにしたもの、または旅券番号や免許証番号、住民票コードなど個人に割り当てられる符号などをいいます（個人情報保護法施行令1条）。プライバシーポリシーにおける「個人情報」の定義の仕方によっては、改正法と矛盾する場合がありますので、確認が必要です。

※6　個人データを第三者に提供する場合には本人の同意を取得する必要があるところ、その例外として本人の同意なく第三者提供するための手続きをオプトアウト手続きといいます。あらかじめ本人に対して、第三者への提供が利用目的であることや、提供の方法、本人の希望により第三者提供を停止することなどを事前に本人に通知し、又は知りえる状態に置いていれば、本人の同意がなくても個人データを第三者に提供できます。

専門家にドラフトやレビューを依頼するべきか

他社の利用規約やプライバシーポリシーの例を参考にしながら、自社サービスの利用規約・プライバシーポリシーを自ら作成することを検討する事業者もいると思います。しかし、プライバシーポリシーの作成においては、そのドラフトやレビューを弁護士など専門家に依頼することをおすすめします。

プライバシーポリシーの作成においては、個人情報保護法の規制などの法令の内容や、プライバシーポリシーの一般的な記載例を踏まえる必要があり、サービスのリリースが近づく時期にこれらの点を自ら精査することは非常に大変だからです。

また、いったん公表したプライバシーポリシーは、一定の手続きを踏んで改訂しなければならず時間的・手続き的コストがかかりますし、重大な変更になる場合には、プライバシーポリシーの変更にともなってユーザー離れが生じることもあり得ます。

このため、あとから規定を改訂することは効率的ではありません。

専門家に依頼すれば、サービスの内容など必要な情報を伝えるだけで、法令を踏まえた規定を準備できるため、安心してビジネスを進めることができます。また、専門家のチェックを受けるその他のメリットとしては、プライバシーポリシーの作成を通じて、パーソナルデータの取り扱い方に関わるビジネス上の問題がないか等もあわせてチェックできることが挙げられます。

実際に、プライバシーポリシーのレビューの過程において、パーソナルデータの取り扱い方にプライバシー上の問題があると思われる事項が判明し、改善策を検討してリリースできた例は数多くあります。

以上から、プライバシーポリシーは、ドラフト・レビューを専門家に依頼されることをおすすめします。

専門家に依頼するときに何を伝えればよいか

プライバシーポリシーのドラフト・レビューを効率的に進めるためには、専門家に以下の情報を提供するとよいと思います。

1. サービスの内容
2. 取得するパーソナルデータの項目のリスト（氏名、住所、メールアドレスなどに限らず、ＧＰＳによる位置情報、クッキーで取得される閲覧履歴など個人に関する一切の情報を含みます）
3. 各パーソナルデータの取得の方法
4. 各パーソナルデータの利用目的
5. 第三者への提供の有無（誰に・いつ・どのように提供するのか）
6. 各パーソナルデータの収集・活用・削除のフロー

このような情報を提供したうえで、専門家のヒアリングを受けながら作成すると効率的に進めることができます。また、サービスの提供にあたり、パーソナルデータの取り扱い方法に問題がある場合には、専門家から、パーソナルデータの取り扱い方法を変更することを薦められます。

その場合には、専門家と協議しながら、ビジネスの内容の改正といった対策を検討されるといいでしょう。

プライバシーポリシーの運用

プライバシーポリシーの掲示場所

プライバシーポリシーは、ユーザーがサービス利用前に確認できるように、ダウンロード・インストール時に掲示（※7）をし、ユーザーの確認を受けるようにするべきです（※8）。アプリ起動時に、アプリが取得するパーソナルデータの一覧のみを提示するケースがありますが、利用目的や第三者提供に関する記載がされていないため、不十分であると思われます。

また、サービス利用中にユーザーがいつでも確認できるように、アプリの中にも確認ページを設けるほか、サービスのWebサイトにもプライバシーポリシーへのリンクをつけるべきです。

※7　長文になりますので、リンクを示す運用も検討されるとよいと思われます。
※8　プライバシーポリシーが長文になることもありますので、通知は概要に留め、本文へのリンクを付すことも検討されるとよいと思います。

プライバシーポリシーへの同意の取得

プライバシーポリシーはユーザーから同意を取得する必要が常にあるわけではありません。ただし、個人情報（個人データ）を第三者に提供する場合や、プライバシー情報（※9）を取り扱うことがあるサービスの場合には、第三者提供することや、プライバシー情報を取り扱うことについて、ユーザーから事前の同意を得ておく必要があります。

同意を得る場合には、ダウンロード時などサービスの利用前に同意を得る必要があります。プライバシー情報を取り扱う場合などには、プライバシーポリシー全文の確認・同意を得てはじめてアプリのダウンロードが可能になる運用にするなどし、明確な同意を得るべきです。

※9　人に知られたくない（知られることが予定されない）情報など

プライバシーポリシーの変更方法

プライバシーポリシーの変更手続きは、プライバシーポリシー本文に規定した変更手続きに従う必要があります。変更する際には、アプリ上やWebサイトで変更した旨や変更点を通知・公表するべきです。

取り扱うパーソナルデータの利用目的が変更される場合や、新たにデータを提供する場合などには、それらの取り扱いについて、ユーザーの同意を得る必要がある場合があります。同意取得が必要になる場合には、通知・公表とあわせて同意を取得する手続きをとります。

最後に

IoTなどの発展により、パーソナルデータの取り扱いが重要になるサービスが増えています。パーソナルデータを取り扱う場合には、プライバシー上の問題や個人情報保護法上の問題が生じるのみならず、ユーザーの権利意識も高まっているという背景を踏まえ、ユーザーに十分な説明のうえで納得して利用してもらうということが重要です。

事業者の皆様は、肝心のサービスを運用するために、プライバシーポリシーの作成にはあまり多くの時間をかけられないかもしれません。しかし、サービスリリース後に円滑な運営を実現することを考えると、プライバシーポリシーによって説明責任を果たす姿勢は非常に重要です。

本記事が、適切かつ効率的なプライバシーポリシー作成・運用に役立ち、皆様のビジネスの一助になれば幸いです。

執筆者略歴

中野 友貴 弁護士
2010年慶応義塾大学総合政策学部卒業、2012年北海道大学法科大学院卒業。
ベンチャー企業・中小企業支援を主な業務とし、契約書の作成・審査、サービスの適法性審査、ファイナンス、労務など、ベンチャー企業にかかわる法務支援を総合的に取り扱う。IoT、AI、フィンテックなどのビジネス支援に注力する。
弁護士法人クレア法律事務所所属。
著書として『IoTビジネスを成功させるための法務入門』（第一法規株式会社）があるほか、ビッグデータビジネス法務に関わる講演も行っている。
執筆者へのお問い合わせはこちら