プライバシーポリシー、
目次
プライバシーポリシー、コピペで済ませてない？個人ブログを作って初めて重要性を調べてみた
個人ブログを作ると、かなりの確率で出てくるページがあります。
プライバシーポリシー。
自分もTECH OJIを公開するときに用意しました。
でも最初は、
とりあえず必要そうだから置いておこう。
くらいの感覚でした。
他のサイトを見ると長い文章が並んでいる。
それっぽいテンプレートもたくさんある。
今ならAIに、
ブログ用のプライバシーポリシーを書いて
と頼めば、数秒でかなり立派な文章が出てきます。
ただ、そこで疑問が出ました。
その文章、本当に自分のサイトの中身と合ってる？
問い合わせフォームを置いている。 アクセス解析を使っている。 Cookieを使うサービスがある。 外部サービスを埋め込んでいる。
そう考えると、プライバシーポリシーは「文章を置く作業」ではなく、まず自分のサイトが何をしているか確認する作業なんじゃないかと思いました。
今回は法律の専門家として解説するのではなく、個人ブログを作った側の目線で、
プライバシーポリシーを書く前に何を確認した方がいいのか
を整理します。
まず「プライバシーポリシーというページを置けばOK」ではない
最初に、自分が一番勘違いしやすかったところです。
大事なのは、
プライバシーポリシーという名前のページが存在するか
だけではありません。
個人情報保護委員会のガイドラインでは、個人情報を取得した場合、あらかじめ利用目的を公表している場合を除き、利用目的を本人へ通知または公表する必要があるとされています。
参考: https://www.ppc.go.jp/personalinfo/legal/guidelines_tsusoku/（外部サイト）
つまり見るべきなのは、
何を取得するのか。
なぜ取得するのか。
どう扱うのか。
です。
「他サイトと同じ文章を置いたから安心」では、実際のサイトと内容がズレる可能性があります。
まず自分のサイトが何を集めているか棚卸しする
プライバシーポリシーを書く前に、最初にやった方がいいと思ったのがこれです。
データの棚卸し。
たとえば個人ブログでも、次のようなものがあります。
問い合わせフォーム
名前。 メールアドレス。 問い合わせ本文。
場合によっては会社名や電話番号を入力してもらうフォームもあります。
アクセス解析
ページ閲覧。 流入元。 利用端末。 Cookie等の識別子。
外部サービス
動画埋め込み。 SNS埋め込み。 広告。 アクセス解析。 フォーム。 CDN。
自分で入力フォームを作っていなくても、外部サービスを利用することで情報がやり取りされる場合があります。
問い合わせフォームは分かりやすい
問い合わせフォームはかなり分かりやすいです。
ユーザー自身が、
名前
メールアドレス
問い合わせ内容を入力するからです。
このとき、
返信のためにメールアドレスを使います。
という目的なら、その目的が分かるようにしておく。
取得した情報を問い合わせ対応以外に利用するなら、それも実態に合わせて考える。
個人情報保護委員会のガイドラインを読むと、「利用目的を特定して、その範囲で扱う」という考え方がベースにあることが分かります。
だからプライバシーポリシーを書くときも、
個人情報を適切に扱います。
だけではなく、
何のために使うのか。
を具体的に見る方が理解しやすいです。
Cookieは全部「個人情報」なの？
ここも自分にはかなり曖昧でした。
Cookieという言葉が出ると、
Cookie = 個人情報
のように考えたくなります。
でも、そこまで単純ではありません。
個人情報保護委員会のFAQでは、Cookie等の端末識別子について、それ自体が個人情報に該当しない場合でも、通常は「個人関連情報」に該当すると考えられると説明されています。
また、他の情報と容易に照合して特定の個人を識別できる場合は、全体として個人情報に該当する場合があります。
参考: https://www.ppc.go.jp/all_faq_index/faq1-q8-1/（外部サイト）
さらに、Webサイトの閲覧履歴や位置情報なども個人関連情報の例として挙げられています。
参考: https://www.ppc.go.jp/all_faq_index/faq2-q2-8/（外部サイト）
つまり、
Cookieだから全部同じ扱い
ではありません。
何のデータで、誰が持ち、他の情報とどう結び付くのか。
ここまで見ないと判断できません。
外部サービスを使うと「自分のサイトだけ見ればいい」ではなくなる
たとえばアクセス解析を導入したとします。
自分のサーバーに何を保存しているかだけ見て、
個人情報は保存していないから何も考えなくていい。
とは言い切れません。
外部サービスへデータが送られるなら、
どんなサービスを使っているのか。
何が送信される可能性があるのか。
そのサービス側ではどう扱われるのか。
も確認する必要があります。
これはGoogle Analyticsに限りません。
動画。 SNS。 広告。 チャット。 フォーム。 CDN。
Webサイトは外部サービスを組み合わせて作ることが多いので、意外と確認対象が増えます。
AIにプライバシーポリシーを書かせれば楽。でも一番怖いのは「それっぽい嘘」
AIは文章を作るのが得意です。
そのため、
個人ブログ用のプライバシーポリシーを書いて
と頼めば、かなり自然な文章が出てきます。
でも、そのまま貼るのは危ないと思いました。
たとえばAIが、
当サイトではGoogle Analyticsを利用しています。
と書いたのに、実際には利用していない。
逆に、本当に使っているサービスが抜けている。
個人情報は30日で削除します。
と書いてあるのに、実際には削除する仕組みがない。
第三者提供は一切しません。
と書いたものの、外部サービスとのデータの流れを確認していない。
文章だけを見ると立派です。
でも、実態と違う説明を置く方がまずい。
なのでAIを使うなら、
法律っぽい文章を書いてもらう
より、
自分のサイトで確認すべき項目を洗い出してもらう
使い方の方が良さそうです。
自分なら先にこの順番で確認する
今後プライバシーポリシーを作るなら、自分は次の順番で確認します。
1. 入力フォームはあるか
問い合わせ。 会員登録。 コメント。 予約。 購入。
ユーザーが直接入力する場所を確認します。
2. アクセス解析は何を使っているか
利用しているサービスを確認します。
3. Cookieやローカルストレージを使っているか
自分のコードだけでなく、外部スクリプトも確認します。
4. 外部サービスへ何が送られるか
動画、SNS、広告、解析などを棚卸しします。
5. 取得したデータを何のために使うか
問い合わせ返信。 サービス提供。 分析。 不正利用防止。
実際の用途を書き出します。
6. どのくらい保管するか
「永遠に持つ必要があるのか」を考えます。
7. サイトの実装が変わったら文章も見直す
新しい解析ツールを追加したのに、プライバシーポリシーは公開時のまま。
これは普通に起こりそうです。
プライバシーポリシーはサイトの「データ設計書」に近いのかもしれない
今回ちゃんと調べてみるまで、自分の中ではプライバシーポリシーは、
フッターに置いておく法律っぽいページ
でした。
でも、実際に見るべきことは、
何を取る
↓
何に使う
↓
どこへ送る
↓
どのくらい持つ
↓
どう管理するです。
これって、かなりシステム設計に近いです。
文章を書く前にデータの流れを理解しないと、正しい説明ができません。
コピペする前に「このサイトは何を集めてる？」を確認した方がいい
テンプレートを使うこと自体が悪いとは思いません。
AIに文章を整えてもらうのも便利です。
ただ、その前に必要なのは、
自分のサイトの実態を知ること。
です。
問い合わせフォームしかないサイト。
アクセス解析も広告も使うサイト。
ログインがあるWebサービス。
それぞれ必要な説明は同じではありません。
自分もTECH OJIを作ったことで初めて、
プライバシーポリシーは最後にコピペして置くものじゃないんだな。
と感じました。
今後サイトへ新しいサービスを追加するときは、
便利そうだから入れる
だけではなく、
これを入れたら、どんなデータがどこへ流れる？
まで見る。
その方が、プライバシーポリシーもセキュリティも一緒に考えやすくなります。
※この記事は個人ブログを制作した経験をもとに整理したもので、個別の法的判断を行うものではありません。実際の運用では、利用しているサービスや事業内容に応じて公式情報や必要に応じて専門家へ確認してください。
