毎週木曜日に配信している「データサイン・ランチタイムトーク」の模様をレポートします。
当記事で取り上げるのは以下の配信です。
- 配信日：2022年2月17日
- タイトル：プラポリに公式ひな形登場？？TLDR法
- コメンテーター：ビジネスディベロッパー 宮崎洋史、代表取締役社長 太田祐一
長すぎて理解できないプライバシーポリシーにNo
データサインのメンバーが気になることを話すランチタイムトーク。今回のテーマは、2022年1月15日に米国議会に提出されたTLDR法案です。ワシントンポスト電子版などいくつかのウェブメディアでもその内容が取り上げられました。データサイン ビジネスディベロッパー 宮崎洋史と、代表取締役社長 太田祐一がコメントしました。
TLDRとは「Terms-of-service Labeling, Design, and Readability Act」の頭文字をとったもので、「プライバシーポリシーのわかりやすい要約」表示の義務化を一部の小規模ビジネスを除くウェブサイトやアプリに求める法案です。共和党と民主党の議員による超党派で立法化を目指しています。ちなみに、TLDRという略称は「Too Long, Don’t Read」に引っかけているともいわれます。
「長すぎるプライバシーポリシーはユーザーの利益を損なうと、米国でも問題視されています。当該ウェブサイトやアプリが集めているパーソナルデータが何か、目的や誰と共有するのか、内容をよく理解させないまま取得を同意させる手法に規制をかけよという主張です」（宮崎）
2020年8月20日のランチタイムトークで東京デジタルアイディアーズの崎村夏彦氏は、1年間に訪問するサイトのプライバシーノーティスを真面目に読めば約200時間、1カ月の労働に匹敵するほどの時間を要する、という試算を報告したある調査結果を紹介しました。また、本当に必要なことだけを必要なタイミングで簡潔に告知するべきと指摘しました。
プラポリはシンプルに作れるはず
前出の崎村氏が指摘したように長すぎるプラポリの背景には、事業者側が個人の同意を得るのが難しいため、意図的に同意に関する文言をまぶし入れる意図があるのかもしれません。ただしこれは詐欺行為に等しいものです。
日本における個人情報保護法のガイドラインではプライバシーポリシーに関して、
- 個人情報の利用目的
- 共同利用する場合は、その旨と法定項目
- 個人情報取扱事業者の名称、住所、代表者氏名
- 安全管理のために講じた措置
- 開示、訂正、削除の請求先（該当すれば第三者提供記録の請求先）
- 苦情、その他の申し出先
は基本的に記載のみでよいとしています（安全管理措置については記載がなくても問い合わせに回答できれば問題ありません）。
また、記載と同意取得が必要なものとして、
- 要配慮個人情報を取得する場合はその旨
- 第三者提供する場合はその旨
- 第三者から個人関連情報を取得して個人情報と結びつける場合はその旨
が挙げられています。
「こうしてみると、プラポリに記載する項目はそれほど多くないかと思います。もしパーソナルデータの共同利用や第三者提供などをしていなければかなりシンプルになるのではないでしょうか」（宮崎）
「なぜプラポリを作るのか」という原点へ回帰
プライバシーポリシーをいかにわかりやすく表現するか、という伝え方も重要です。
米国TLDR法案でも議論の過程で、食品のパッケージに記された栄養表示のようにわかりやすさが必要だという意見が出たようです。
「2020年9月17日のランチタイムトークで弁護士ドッドコムの橋詰卓司さんがダブルレイヤードノーティスというお話をされました。ピクトグラムのようなイメージを併用したシンプルで直感的な説明、次にやや詳細な説明、そしてプラポリ全文という3層構造で記載する考え方です。長すぎて読む気が失せると言われないように、この考え方もぜひ積極的に取り入れてほしいと思います」（宮崎）
プライバシーノーティス（告知）の考え方や作成方針についてはISO/IEC29184の規格書がお手本になるでしょう。
「これらを参考にしながら、金融や人材など業界ごとに標準的な雛形を用意するのもよいでしょう。大事なのは、その雛形に対して自社のプライバシーポリシーはどこが異なるのかという相違点、同意を取得する場合はどのデータに対して行なっているのか、などの具体的な情報をユーザーに優先的に明示してほしいことです」（太田）
ネット上に転がる文面をコピペした形だけのプライバシーポリシーも残念ながら少なくありません。そもそも誰のために、何のためにプライバシーポリシーを表示するのか――。米国のTLDR法案は原点に戻って問い直すきっかけを提供してくれるかもしれません。