毎週木曜日に配信している「データサイン・ランチタイムトーク」の模様をレポートします。
当記事で取り上げるのは以下の配信です。
- 配信日：2022年9月15日
- タイトル：Google社 ポリシーと規約
- 発表者：データサイン 代表取締役社長 太田祐一
令和4年施行改正個情法に対応する情報開示
この日のランチタイムトークでは、グーグルの日本語版公式サイトに公開されている「日本のユーザーへの法定表示事項」を取り上げました。こちらは2022年4月1日に制定されたもの。同日施行された改正個人情報保護法に対応してグーグルが開示した内容です。データサイン 代表取締役社長 太田祐一が気になる点を確認しました。
2022年4月1日に施行された改正個人情報保護法では、個人データを外国の第三者へ提供している場合の対応や、安全管理措置の公表などが求められています。
グーグルが開示する「日本のユーザーへの法定表示事項」には、次の開示事項が記されています（2022年11月16日改訂版より）。
- 個人情報取扱事業者の名称、住所および代表者の氏名
- 全ての保有個人データの利用目的
- 法の規定に基づく請求、苦情の申出の宛先並びに個人情報及び通信の秘密に関する問合せ先
- 法に基づき保有個人データの安全管理のために講じた措置
- 認定個人情報保護団体の対象事業者である場合にあっては、当該認定個人情報保護団体の名称および苦情の解決の申出先
- 提供を受けた個人関連情報の利用について
- 越境移転に関する表示
2番目の項目に挙げられた「全ての保有個人データの利用目的」を見ると、その中のリンク先「Google がデータを収集する目的」というページで、「お客様からご依頼がない限り、お客様のお名前、メールアドレスなど、お客様を個人として特定できる情報を広告主と共有することはありません」という一文が記されています。
グーグルは「外国にある第三者」に該当するの？
4番目の項目に挙げられた「法に基づき保有個人データの安全管理のために講じた措置」の内容は、個人情報保護法のガイドラインに沿ったもので、各種安全管理措置や外部環境の把握などの各項目が簡潔にまとめられています。
「組織的安全管理措置では、個人データの取扱いを所管する部署を設置し、従業員から報告されたインシデントを専任チームが検証し、適切に組織されたチームがそのインシデント全体を処理するために割り当てられていること、またインシデントへの対応は重大性や優先度に応じて行われること、などグーグル独自の取り組みが記されています」（太田）
また、「外部環境の把握」の中からリンクされる「データ転送に関する法的枠組み」を記したページには、グーグルが欧州委員会による十分性認定や、標準契約条項（SCC）に基づくEU加盟国から他国へのデータ移転の原則など、データ移転に関する特定の法的枠組みを遵守していることが記されています。
また、同社のデータセンターの所在地や、情報の取扱いが委託される可能性のある子会社・関係会社を含むオフィスの所在地の情報が開示されています。
「改正個人情報保護法では、外国にある第三者への個人データの提供について適切な対応を求めています。グーグルは外国にある第三者に該当するのかどうか。開示情報は判断の参考資料になるでしょう」（太田）
シンプルな情報の見せ方は好印象
6番目の項目に挙げられた「提供を受けた個人関連情報の利用について」には、グーグルが自社で保有する個人データに、受領した個人関連情報を付加し、個人データとして利用するケースについて記されています。
「広告サービス等の内容及び Google が個人データと関連付けることがある情報であって、提供元において個人関連情報となりうる情報の項目」は、前掲「日本のユーザーへの法定表示事項」下段にある「別紙」に記されています。
オンライン識別子（Cookie 情報、IP アドレス及び端末識別子を含む）、位置情報、提供元等が付した識別子等の情報、クライアント識別子、及びこれらと紐づけられたプライバシーポリシー記載のアクティビティ情報
なお、個人情報の保護に関する法律についてのガイドライン（通則編）の「3-7-2-2 同意を取得する主体」には、（1）提供先の第三者による同意取得の場合、「提供先の第三者が、個人関連情報の提供を受けて個人データとして取得する主体として、本人に対して、対象となる個人関連情報を特定できるように示した上で同意を取得しなければならない」とあります。
「さて、全体を通して見たグーグルの『日本のユーザーへの法定表示事項』は、情報がシンプルに記載されている印象でした。詳細はリンク先に飛ばしてそこで動画など交えて説明する、という構成は好感が持てました。こうしたまとめ方は他の企業でも参考になるのではないかなと思います」（太田）