この用語の意味
Webサイトやサービスを運営する事業者が、利用者の情報を何のために取得し、どのように扱い、どこへ相談できるかを伝える方針です。「個人情報保護方針」や「プライバシーステートメント」と呼ばれることもあります。実際に行っている取扱いに合わせて作り、内容が変わったら見直します。
何ができるか
問い合わせフォーム、予約、購入、メール配信、アクセス解析などで利用者の情報を扱う際に、利用者が自分の情報の扱いを確認しやすくなります。事業者にとっても、取得している情報、利用目的、委託先、保存期間、問い合わせ対応を整理するきっかけになります。
実際に使うために必要なもの
まず、サイトや業務で取得している情報を洗い出します。氏名、メールアドレス、住所、問い合わせ内容、予約情報、Cookieなどの利用状況、利用している外部サービス、情報を見られる担当者を確認します。そのうえで、実際の利用目的、管理方法、問い合わせ窓口を整理し、公開する文面を用意します。
小さく試す運用例
Webサイトの問い合わせフォームから始めます。「何を入力してもらうか」「返信以外に使うか」「誰が閲覧するか」「いつ削除または見直すか」を表にします。内容を確認したうえで、サイトのフッターなど利用者が見つけやすい場所からプライバシーポリシーへリンクします。
人が確認すること・注意点
現在の個人情報保護法では、「5,000人以下なら対象外」といった取扱件数だけによる一律の除外基準はありません。個人情報データベース等を事業に利用している場合、個人を識別できる人数の多少にかかわらず、個人情報取扱事業者に該当し得ます。5,000人以下を除外する扱いは2017年5月29日までの制度であり、現在の判断基準ではありません。
一方で、人数が関係する個別の基準はあります。たとえば、漏えい等が発生したおそれがある個人データの本人の数が最大1,000人を超える場合は、報告対象となる要件の一つです。ただし、これはプライバシーポリシーの作成要否を決める人数基準ではありません。漏えいの内容、取得情報、外部サービス、事業内容によって必要な対応は変わるため、個人情報保護委員会の最新情報や、必要に応じて専門家に確認してください。
取得時に示した目的を超えて個人データを流用したり、許可・確認が必要な手続をせずに外部へ提供したりしないよう注意します。たとえば、問い合わせへの返信のために取得したメールアドレスを、本人への案内なく広告配信に使うことや、顧客リストを別の事業者へ渡すことは、利用目的・第三者提供の確認が必要になる例です。委託先のクラウド、フォーム、メール配信、アクセス解析の設定も、どの事業者にどの情報が送られるかを事前に確認します。
外部流出は、誤送信、公開設定の誤り、紛失、アカウントの不正利用、委託先を含む不正アクセスなどでも起こり得ます。権限を必要な人だけに絞る、共有リンクを定期的に確認する、二要素認証を使う、送信前に宛先と添付ファイルを確認するなど、情報の取扱いに応じた対策を決めます。漏えい等が疑われる場合は、自己判断で隠さず、社内の連絡手順と個人情報保護委員会の最新の報告・本人通知に関する案内を確認します。
他社の文章をそのままコピーすると、自社が実際には使っていないサービスや、逆に記載すべき取扱いが抜けるおそれがあります。公開文と実際の情報の取扱いを一致させ、変更時に見直すことが重要です。個人情報保護法、Cookie、広告、外部サービス連携、海外へのデータ提供などは状況によって確認事項が異なるため、法令や公式ガイドライン、必要に応じて専門家に確認してください。
関連する事例・テンプレート
個人情報、情報セキュリティ、Webサイト、WordPressも参照してください。新しいフォーム、計測ツール、メール配信、外部サービスを追加する際は、プライバシーポリシーの見直しも作業に含めます。