Webサイトを作るとき、「プライバシーポリシーはどんなサイトにも必要なのか」と迷うことがある。
結論からいうと、「プライバシーポリシー」という名前の独立ページが、すべてのサイトに一律で法律上義務づけられているわけではない。ただし、個人情報を取得する場合は利用目的などを本人に知らせる必要があり、Google Analyticsなどの外部サービスでは、利用規約によってポリシーの公開が求められることがある。
実務上は、利用者に関する情報を取得するサイトなら、プライバシーポリシーを用意しておくのが基本になる。
この記事は、日本国内向けの一般的なWebサイトを前提としている。個人情報保護法上の義務は、運営者が「個人情報取扱事業者」に該当するか、取得する情報が個人情報・個人データなどのどれに当たるかによって異なる。
個人で運営するブログだからという理由だけで、一律に対象外になるわけではない。一方、Google Analyticsのアクセス情報が、ブログ運営者にとって直ちに個人情報や個人情報データベース等になるとも限らない。運営主体と実際に扱う情報の両方から判断する必要がある。
まず確認すること
次のいずれかに当てはまる場合は、プライバシーポリシーの作成を検討する。
- 利用者から直接取得する：お問い合わせ、資料請求、見積依頼、予約、求人応募、コメント、アンケート
- 利用者情報を継続して管理する：会員登録、ログイン、メールマガジン
- 外部サービスへ情報を送る：Google Analytics、広告計測、YouTube・SNSなどの埋め込み
- 取引情報を扱う：通販、決済、オンライン予約
必要になる理由はすべて同じではない。法律上の義務と利用しているサービスの規約を分けて考える必要がある。
ケースごとの確認ポイント
| ケース | 主な法令上の確認 | サービス規約上の確認 |
|---|---|---|
| お問い合わせフォーム | 利用目的を取得前に明示 | フォームサービスを使う場合はその規約 |
| Google Analytics | 情報の性質・外部送信規律を確認 | プライバシーポリシーの公開が必要 |
| 広告・リマーケティング | 外部送信規律などを確認 | 広告サービスごとの表示要件 |
| 会員登録・通販・予約 | 個人情報保護法上の対応が必要になりやすい | 会員・決済・予約サービスの規約 |
| 情報掲載だけのサイト | アクセスログや外部送信の有無による | 外部サービスがなければ原則として確認事項は少ない |
この表は一律の○×判定ではない。運営主体、取得する情報、外部サービスの設定などによって結論が変わるため、以降でケース別に確認する。
お問い合わせフォームがある場合
氏名、メールアドレス、電話番号などをWebフォームから取得する場合は、本人から電磁的記録によって直接個人情報を取得するケースに当たり、原則として取得前に利用目的を明示する必要がある（個人情報保護法21条2項）。ほかの取得方法における「通知または公表」よりも、取得前の明示が求められる点に注意したい。
たとえば、お問い合わせへの回答だけに使うなら、フォーム付近に次のように表示する。
ご入力いただいた個人情報は、お問い合わせへの回答のために利用します。詳しくはプライバシーポリシーをご確認ください。
この文章からプライバシーポリシーへリンクしておけば、利用者が送信前に確認できる。
ポリシーページをフッターに置くだけで、フォーム付近に何も書かない状態は避けたい。重要なのは、情報を入力する時点で利用目的が分かることだ。
Google Analyticsを使う場合
Google Analyticsでは、Cookieなどを使ってアクセス情報が収集される。
Cookieや端末識別子は、それだけで常に個人情報になるわけではない。ただし、ほかの情報と容易に照合して個人を識別できる場合は個人情報に該当し、そうでない場合も個人関連情報に該当することがある。
一方、Google Analyticsの利用規約では、利用者に対して次の内容を知らせることが求められている。
- Cookieなどを利用していること
- Google Analyticsを利用していること
- Google Analyticsでデータが収集・処理される仕組み
- 必要に応じてCookieを拒否できること
そのため、Google Analyticsを入れているのにポリシーを公開していないサイトは、少なくともGoogle Analyticsの利用規約上は不十分と考えられる。
個人ブログでフォームや広告がなく、Google Analyticsだけを使っている場合でも、短いポリシーを用意してフッターからリンクしておく。
電気通信事業法の外部送信規律
Google Analytics、広告タグ、SNSの埋め込みなどによって、利用者の端末から第三者へ情報を送信する場合、サイトの性質によっては電気通信事業法の「外部送信規律」も確認する必要がある。
一般的な会社案内サイトや個人の情報発信サイトが、外部サービスを使っているだけで直ちに対象になるわけではない。自社・自身の情報を発信するためのサイトは、通常「他人の需要に応ずるための電気通信役務」に当たらないと考えられる。一方、ニュース配信、SNS、オンラインサービスなど、提供内容によっては対象になり得る。
対象となる場合は、送信される情報、送信先、利用目的などを利用者が確認できるようにする。対応方法はCookie同意バナーだけではなく、通知・公表、同意取得、オプトアウトなどがある。
広告やアフィリエイトを使う場合
Google AdSense、リマーケティング広告、アフィリエイトなどでは、Cookieや広告識別子が使われることがある。
この場合は、アクセス解析だけのサイトより確認事項が増える。
- 使用している広告サービス
- Cookieなどを利用した広告配信
- 広告のパーソナライズ
- 利用者が広告設定を変更・拒否する方法
Google Analyticsの説明だけを載せても、広告サービスに関する説明を兼ねられるとは限らない。導入しているサービスごとの規約を確認する。
なお、アフィリエイト広告であることの表示は、個人情報保護とは別の問題だ。広告であることを隠す表示は、景品表示法のステルスマーケティング規制の対象になり得る。プライバシーポリシーとは分けて、記事やサイト上で広告であることが分かるように表示する。
会員登録・通販・予約がある場合
会員情報、住所、購入履歴、決済に関する情報などを扱うサイトでは、より具体的な記載が必要になる。
- 取得する情報
- 利用目的
- 保存や安全管理
- 外部委託
- 第三者提供
- 開示、訂正、削除などの請求方法
- 問い合わせ窓口
- 事業者名
通販サイトでは、プライバシーポリシーとは別に、特定商取引法に基づく表記が必要になる場合もある。2つは目的が異なるため、プライバシーポリシーだけで済ませない。
外部コンテンツを埋め込む場合
YouTube動画、Googleマップ、SNS投稿などを埋め込むと、ページを表示した際に外部サービスへ情報が送信されることがある。
埋め込みがあるから必ず同じ対応になるわけではないが、少なくとも次を確認する。
- どの外部サービスを読み込んでいるか
- CookieやIPアドレスなどが送信されるか
- サービスの規約で表示が求められている内容は何か
- Cookieへの同意や外部送信に関する表示が別途必要か
「フォームがないから何も取得していない」と判断せず、外部スクリプトや埋め込みも調べる。
なくてもよい可能性が高いサイト
次の条件をすべて満たす、情報掲載だけの静的サイトなら、独立したプライバシーポリシーが必須とは限らない。
- フォームや会員機能がない
- アクセス解析を使用していない
- 広告計測を使用していない
- 外部サービスへの情報送信がない
- 利用者に関する情報を保存していない
ただし、サーバーのアクセスログにはIPアドレスなどが記録される場合がある。実際の構成を確認せず、「静的サイトだから情報を取得していない」とは決めつけない。
ポリシーに記載する基本項目
サイトの機能に応じて、次の項目を記載する。
- 取得する情報
- 利用目的
- Cookieやアクセス解析
- 広告や外部サービス
- 第三者提供
- 外部委託
- 安全管理
- 開示、訂正、削除などの問い合わせ方法
- 運営者または事業者
- 問い合わせ窓口
- 制定日、改定日
ほかのサイトの文章をそのままコピーせず、実際に導入しているフォーム、解析、広告、埋め込みに合わせることが大切だ。
制作時の確認手順
Webサイト制作では、次の順序で確認すると漏れにくい。
- フォームや会員機能で直接取得する情報を洗い出す
- Google Analytics、広告、SNS埋め込みなど外部通信を洗い出す
- それぞれの利用目的を確認する
- 法令と各サービスの規約で必要な表示を確認する
- ポリシーページを作成する
- フッターと、情報を取得するフォーム付近からリンクする
- 新しい外部サービスを追加したらポリシーも見直す
海外の利用者を対象にする場合
この記事は日本国内向けの一般的なWebサイトを対象としている。EUなど海外の利用者に向けて商品やサービスを提供する場合は、GDPRを含む現地法令の確認が別途必要になる。
単に海外から閲覧できるという事実だけで判断せず、対象地域、サービスの提供先、行動追跡の有無などを踏まえて適用範囲を確認する。
まとめ
プライバシーポリシーの必要性は、サイトの種類だけでなく、実際にどんな情報を取得し、どの外部サービスへ送っているかで判断する。
特に注意したいのは次の3つだ。
- フォームで個人情報を取得するなら、取得時に利用目的を明示する
- Google Analyticsを使うなら、利用規約に沿ったポリシーを公開する
- 広告や埋め込みがあるなら、解析とは別に各サービスの要件を確認する
「法律で独立ページが絶対に必要か」だけで判断せず、利用者への説明とサービス規約の両方を確認するのが安全だ。