これまでもWebサービスを中心に「同意取得が分かりにくい」という批判の声はあったが、ここに来て国内外で改善に向けた動きが進み始めている。日本でも経済産業省が「オンラインサービスにおける消費者のプライバシーに配慮した情報提供・説明のためのガイドライン」を策定し、その第一歩を踏み出した。その意義や趣旨について、同ガイドライン策定にも委員として関わり、個人情報保護やパーソナルデータに関する政府委員等を数多く務める、日本ヒューレット・パッカード個人情報保護対策室長（チーフ・プライバシー・オフィサー）佐藤慶浩氏に解説いただいた。

利用目的の通知や同意取得の解釈の行き違いは、お互い不幸なこと

個人情報保護に関連する法令等では、個人情報を取得する事業者に対して、個人情報の利用目的を通知することや、その利用目的を変更したり第三者に提供したりすることについて、個人情報を提供する本人からの同意を取得することを求めている。しかし、諸外国では、それらのための通知方法や同意取得方法について、適切な方法は何か、ということがたびたび問題視されている。つまり、事業者は通知や同意を取得したつもりになっていたが、本人からすると通知された内容が明確でなかったり同意をしたつもりはなかったりといった行き違いによって、解釈に相違が生じることが原因だ。

多くの場合は、事業者が自分にとって都合のよい解釈をしており、提供者本人にとっては明確でなかったりわかりにくかったりするものの、事業者に悪意があって故意にわかりにくくしているわけではなく、単に配慮が足りないと考えられる。本来は事業者が自ら、顧客満足度向上などの観点に基づいて、配慮を高める必要がある。しかし、それに期待するだけではなく、解釈の相違によって、結果的に、本人の個人情報が想定外に取り扱われてしまうことを未然に防ぐ必要がある。そのためには、利用目的の通知や同意取得の方法について、誤解がなくわかりやすい方法が公に示されると有益である。

===

ガイドラインの位置づけは、タイトルよりは汎用的

これらの問題を解決する一助として、経済産業省は平成26年10月に「オンラインサービスにおける消費者のプライバシーに配慮した情報提供・説明のためのガイドライン」を公開した。このガイドラインは、以下の事柄の改善について説明している。

- 利用規約又はプライバシーポリシーとして提供される個人識別可能情報の取扱に関する記述内容を消費者にとって分かり易く表現した文書や画面表示

- 同意取得画面の在り方や、その遷移形態といったユーザインターフェース（UI）の観点を含めて、消費者本人の意思を確認するための手続

- 細かな選択肢の有無、途中からの変更の容易さ、いわゆる「オプトアウト」の容易さなどの消費者本人の意思を事前又は事後に反映させるための手続

これらについて、先に挙げた問題を解決するという観点から、ガイドラインの要件を新規に検討した上で、平成25年度に取りまとめた「消費者に信頼されるパーソナルデータ利活用ビジネスの促進に向け、消費者への情報提供・説明を充実させるための基準」に照らし、その基準との整合を図って仕上げたものだ。

このガイドラインは、個人情報保護法で言う個人情報に相当する情報を、個人識別可能情報と呼ぶなど、従来の用語と異なる部分がある。しかし、これについては、『国際規格（ISO/IEC）においては、プライバシーのフレームワークが規格化されており、当該規格では、「個人識別可能情報」（personally identifiable information、PII）という用語が使われています（ISO/IEC 29100:2011（Information technology -Security techniques - Privacy framework））。本ガイドラインは国際規格化を目指すものであり、国際規格の用語に従って、本ガイドラインでは「個人識別可能情報」という用語を使っています。個人識別可能情報とは、（1）当該情報に関連する特定の個人を識別するために使用できる、（2）直接的、間接的を問わず、特定の個人に関連し、または関連し得る情報をいいます。』という注釈が付いていていることから、保護対象を何か現行法と変えるという意図はない。さらに、『なお、本ガイドラインは、パーソナルデータを利活用する際に行う通知等に関しても参照可能なものです。』と書いてあるので、個人情報の定義範囲に影響されることなく、通知や同意取得の適切な方法を考える際のガイドラインとして参考にできるものだ。

ガイドラインの構成は以下のとおりだ。

1. 適用範囲
2. 用語及び定義
3. 通知と同意・選択に関する基本的事項
4. 消費者本人の意思確認のためのユーザーインターフェースに関する事項

1章の適用範囲で『あらゆる業種、規模の組織を対象とするもの』としている。4章について具体的な例示をする際にオンラインサービスを想定しているために、ガイドラインの名称に『オンラインサービスにおける』と付いているが、2章と3章は汎用的に書かれており、オンラインサービスに限らずに参考にできる内容だ。

===

利用目的の適切な通知とは？

適切な通知方法については、事前にわかりやすい文章とすることに加えて、気づきやすい箇所（国内法の同一書面での通知に相当）に記載することや、事前に通知するだけではなく、本人が後から知りたいときにも参照できるようにすることを推奨している。また、通知する内容として、国内法では、事業者単位で取得する個人情報全体の利用目的を包括して通知すればよいが、ガイドラインでは、取得するサービスの概要とその提供主体、すなわち「誰が」に相当することと、「何を」に相当する個人情報の項目を記載することを推奨している。例として、『「個人情報を取得します」ではなく、「氏名、住所及び電話番号を取得します」というように通知する必要がある。仮に、取得の状況から住所だけを取得していることが自明であっても、「個人情報を取得します」ではなく、「住所を取得します」と通知する必要がある。』となっている。

その上で、項目ごとに利用目的を記載すること。端末IDなどのような本人にとって取得されていることがわかりにくい項目を分けて記載することや、プライバシー影響度の異なるものを区分して記載し、影響度の高い項目から順番に記載すること、項目が機微情報に該当するなら、それを取得する法的根拠の記載も推奨している。

また、「いつ」に相当する取得時期については、利用目的の通知から長時間経過してから、実際の取得をする場合には、そのことを記載することにも言及している。その他に、第三者への提供の有無、本人による開示・利用停止・訂正・削除・提供停止・同意の撤回といった本人関与の手段を取得時のみならず、いつでも確認できるようにすることを推奨している。

ここまでは、国内法の要求事項の詳細を具体化したものだが、さらに、従来の要求事項に加えて、取得した個人情報をそのまま利用するのか、加工などして利用するのかといった利用方法についてと、保存期間を記載することも推奨している。

これらのことは、これまで事業者が悪意を持って明示していなかったわけではないだろう。事業者にとっては、暗黙的に当然のことと認識していたために記載せず、情報提供者本人には想定が難しい場合もあったと考えられる。しかし、ガイドラインで推奨されたことによって、事業者自身も情報の取得状況について整理し、的確に通知できるようになることが期待できる。

===

同意の適切な取得方法とは？

ガイドラインでは、同意の取得方法についても説明している。まず、情報提供者本人が、自身のどのような情報が取得されることについて同意するのか、明確に記載することを推奨している。すなわち「どの立場」での同意なのかを明確にすることによって、『昨今のシステムでは、多くの場合、一つのログインクレデンシャルで複数のアカウント／アイデンティティ／立場を使い分けることが多くなってきている。どの立場での同意かというのは非常に重要な事で、これを混同させることによって、不当な同意を取得するようなことも考えられる。』といったことを防ぐためである。

同意の取得については、選択の機会が与えられることを要件としており、同意取得の方法を、明示的許可と暗黙的許可とを区別して、以下のように定義している。

●明示的許可：同意を取得するために、同意についての何らかの行為を求めて、その行為があった場合に限って、同意されたものとして取扱う許可（本人の明示的な能動的な行為によって表明される許可）。たとえば、「何々について同意（agree）する場合は、このようにしてください」（デフォルトオフで、オン選択など）というようにして取得することである。

●暗黙的許可：同意を取得するために、同意しないための何らかの行為を求めて、その行為がなかった場合に、同意されたものとして取扱う許可。たとえば、「何々について同意しない場合は、このようにしてください」（デフォルトオンで、オフ選択など）というようにして取得することである。

これら2つに区別した上で、『明示的許可を得ることが望ましいが、暗黙的許可を得ることもできる。ただし、何らかの行為による選択の機会を提供せずに、「同意したものとみなします」と記載だけする方法（いわゆる、みなし同意）によっては許可を得たものとして取扱わない。』としている。

そして、同意取得は、プライバシーに関する同意とそれ以外の同意は分けて取得するべきであるという独立性と、プライバシーの影響度に合わせて取得するべきという必然性の確保を推奨している。

また、過度な頻度で同意を求めることは、本人が同意内容をよく読まずに同意に相当するクリックなどの行為を誤ってしてしまう「クリックトレーニング」を防ぐため、すべきではないとした。

同様に、『あまりに早い時期に意思確認を求めることは、本人にとって、それが何の意思確認かを推定しにくく事実上は同意をせざるを得ない場合がある。それを防ぐために、あまりに早い時期に意思確認をしてはならない。』としている。

===

本来は事業者が自主的に改善すべきことで、海外に発信できるチャンス！

以上のようなことを3章までに基本として説明して、続く4章で『消費者本人の意思確認のためのユーザーインターフェースに関する事項』としてより具体的な例を示している。

ガイドラインの内容は、現行法では求めていない事項まで含まれているため、事業者からすると「保護規制の強化ではないか」と思うかもしれない。しかし、その内容は、冒頭に紹介したとおり、「本来は事業者が自ら、顧客満足度向上などの観点に基づいて、配慮を高める必要がある。」ことである。したがって、このようなガイドラインを参考にして、お客様や利用者に対して、誤解のないわかりやすい記載や同意の確認方法にすることは、情報の利活用の促進にも役立つはずなので、自社の記載内容や方法の見直しの参考にするのがよい。

また、ガイドラインは『国際規格化を目指すもの』と注記されており、こうした規格の作成は情報規格調査会を通じてオープンに議論されることになる。ガイドラインというと、役所に定められて半ば仕方なく準じるものと思うかもしれないが、むしろ、自社の実践事例を海外に発信できる好機と考えて積極的に策定にも参加することを考えてみてもよいのではないか。