個人情報の管理は抜かりなく!
企業に求められるプライバシーポリシーの作成

はじめに

企業は、日々の業務において大量の個人情報を扱っていますが、当然ながら個人情報は適切に管理される必要があります。

万が一その個人情報が漏洩したり誤った使い方をされたりすれば大問題です。情報は、一度漏れると無限に拡散してしまいますから、企業にとっても個人にとっても命取りになりかねません。

なので、実際にこうした事故が起こらなくても、顧客や取引先から「あの会社は個人情報の管理が杜撰だ」と思われれば、一気に信用を失ってしまいます。企業は信用が第一ですから、こうした個人情報の管理がしっかりしていることを内外に示す必要があります。

今回は、そうした個人情報の管理に関するプライバシーポリシーの話です。

プライバシーポリシーとは

「プライバシーポリシー」とは、法律用語ではありませんが、一般的に、「個人情報に関する会社の取扱方針や管理方針を記した文書」と解されています。企業としてどのような情報を収集し、どのように利用するのかという方針を定めているものです。

企業のホームページ等でご覧になった方、あるいはすでに自社で作成されている方も多いと思います。

プライバシーポリシーの作成義務はあるのか

では、このプライバシーポリシーは法律上作成が義務付けられているのでしょうか。

結論から言うと、作成そのものは義務ではありません。

しかし個人情報保護法第18条では、「個人情報取扱事業者は、個人情報を取得した場合は、あらかじめその利用目的を公表している場合を除き、 速やかに、その利用目的を、本人に通知し、又は公表しなければならない。」と定められています。

つまり、情報を提供した本人に対してきちんと通知していれば足りるのですが、日々たくさんの顧客を相手にする企業では、一人一人に対して個別に通知するのは非常に面倒です。

そこで「あらかじめ公表する」ために、プライバシーポリシーという個人情報の取扱方針を文書の形にまとめることが必要になるのです。

プライバシーポリシーを作成する際のポイント

実際にプライバシーポリシーを作成するに際しては、様々な事項を定める必要がありますが、特に重要なポイントは以下の通りです。

安易に書式やひな形を流用しない

インターネットで調べると、プライバシーポリシーの書式や雛形がたくさん公開されています。

しかし、これらは所詮、他人(他社)が作ったものに過ぎません。

企業の扱う個人情報は、当然ながら、扱う商品やサービスの種類、性質によって異なりますし、収集方法や利用目的、管理体制も異なります。

したがって、プライバシーポリシーは、自社の商品やサービスの内容と、顧客の特徴、会社の業務体制等の様々な要素を考慮して、自社にとって適切な内容にすることが重要です。

複数の商品やサービスを提供している場合は、必要に応じてプライバシーポリシーも複数作成する

上記の通り、個人情報の収集方法や利用方法、管理体制は、商品・サービスによって異なるものですから、できれば商品やサービスの内容に応じて複数のプライバシーポリシーを作成しておくことが望ましいです。

容易に確認しやすい状態にする

プライバシーポリシーをどのように公表するかは法律上特にルールはありません。

しかし、利用者や顧客が容易に確認できる状態にすることが必要と言えます。

例えば、自社のホームページの、できればトップページに記載したり、あるいは1回のクリックで到達できる場所に公表したり、または、ホームページやサイトで商品やサービスの申込画面においては、直接プライバシーポリシーにリンクできるようにしておく等の措置が考えられます。

ちなみに、個人情報保護委員会の作成したガイドラインによれば、好評の方法について以下のような事例が載っています。

【公表に該当する事例】

事例1）自社のホームぺージのトップページから 1 回程度の操作で到達できる場所への掲載

事例2）自社の店舗や事務所等、顧客が訪れることが想定される場所におけるポスター等の掲示、パンフレット等の備置き・配布

事例3）（通信販売の場合）通信販売用のパンフレット・カタログ等への掲載

※引用元│個人情報保護委員会「個人情報の保護に関する法律についてのガイドライン（通則編）」（平成28年11月発行）

利用目的は詳細に記述する

2020年6月成立の改正個人情報保護法により、利用目的の詳細な記述がこれまで以上に求められるようになりました。「サービス向上のため」とか「事業拡大のため」といった抽象的な記載では不十分とみなされる恐れがあります。

そこで、例えばメールアドレスであれば「ご購入いただいた商品・サービスのお申し込みの確認や、メールマガジンの送信のため」といったように、商品やサービスの内容に合わせて詳細に記述することが必要です。

第三者に個人情報を提供する可能性があればその旨明記する

個人情報保護法は、取得した個人情報を第三者に提供する際には、原則として本人から同意を得ることを求めています（個人情報保護法23条1項）。 そのため、個人情報を第三者に提供する場合はプライバシーポリシーにおいてその旨を明記し、 プライバシーポリシーに対して顧客等の情報提供者に同意してもらう必要があります。

おわりに

いかがでしたでしょうか。

プライバシーポリシーは、それ自体が何か売上や宣伝に直結するわけではありませんので、なかなか普段意識しづらいものですが、個人情報に対する人々の意識が高まってきている現在では、個人情報を扱う企業に対する社会の目もいっそう厳しいものになっています。

今一度自社のプライバシーポリシーを見直し、また、まだ作成されていない企業は一刻も早く作成し、適切な情報の管理体制を整えていただければと思います。