個人情報保護法 Webマーケティングはどう変わる？

個人情報保護法とは

2003年5月30日に個人情報保護法が公布され、個人情報取扱事業者（5000名以上の個人データを保有する企業）に対して、個人情報の不正な取得の禁止や、本人同意を得ずに行う第三者への提供の禁止、個人情報漏えいの防止、苦情への迅速な対応が義務づけられました。事業者の義務や罰則の施行は公布から2年以内に政令で日を定めることになっており、いまのところ実効性のない法律という側面もありますが、多くの企業が個人情報保護に向けた対策を進めています。
今回のコラムでは、Webサイトでどのように個人情報を収集すればよいのかについて、個人情報保護法の主な条文をピックアップし、説明していきたいと思います。

第15、16条 利用目的の特定、利用目的による制限

事業者は、個人情報を収集する際にその目的を事前に定義し、その目的を達成するために必要最低限の情報を収集することになります。例えば、メールマガジンを配信するために個人情報を収集する場合を考えると、必要最低限の個人情報はメールアドレスです。氏名や、住所、電話番号まで収集するのであれば、それは何か他の目的や意図があると疑われても仕方がありません。

第18条 取得に際しての利用目的の通知

個人情報を取得する際には、利用目的の通知または公表が必要となります。 多くの企業では、プライバシーポリシーを策定しWebサイトに公表するという手段を取ります。しかしプライバシーポリシーというのは、その企業が収集する個人情報全般に対する方針を示しているので、ユーザーからは「わかりづらい」「目立たないから読まない」という評価が多いのが現実です。これには一工夫必要です。例えば弊社の場合、全社的なプライバシーポリシーを公表する一方で、メールニュースの申し込み受付フォームには、もう少しブレイクダウンしたメールニュース用のポリシーを掲載しています。ユーザーが自分で登録する情報がどのように利用されるのかを容易に把握できる仕掛けを作ることで、安心感を提供することが目的です。

第20条 安全管理措置

簡単に言えば、セキュリティをしっかり確保しなくてはならないということです。例えば、SSLによる暗号化がされていない通信経路で個人情報を収集することは違法行為になってしまいます。しかし、SSLサーバー認証を認証局からもらうためには、年間数万円のコストが発生するのも事実です。このコストに価値があることをきちんと決裁者に理解してもらうロジックはどうしても必要になります。

• SSLによる暗号化がなされていないと覗き見される可能性がある
• SSLによる暗号化がなされていない状態で個人情報を収集することは違法である
• SSLによる暗号化がなされていないことで、個人情報の管理がずさんな企業だというイメージが定着する

この3本柱がロジックの基本になります。特に3．については、ユーザーへのブランドイメージの低下、インバウンドの低下、クラッカーからの標的になる可能性の増加までリスクが広がっていきます。ここまで説明すればたいていの決裁者はYesと言わざるをえません。

第23条 第三者提供の制限

ユーザーの同意なしに、子会社や業務委託先に個人情報を提供してはいけないことになります。またユーザーの同意を受けて業務委託する場合は、業務委託先に対しての管理責任が生じます。これは企業にとってはかなり厳しい条文かもしれません。しかし考えてみると、最近の個人情報漏えい事故の多くは業務委託先からの漏えいです。委託元の企業からすれば、自分たちも被害者だという言い分もあるかもしれません。しかしユーザーからすればそれは全く関係のないことで、どうしても委託元がユーザーの怒りの矛先となってしまいます。今後、個人情報の処理を業務委託する際には契約内容も含め、細心の注意が必要と言えるでしょう。
また、Webサイト上にも、業務委託のために個人情報を預託する旨を通知しておくことが必要になります。例えば、Webでキャンペーンを行う際に、インバウンドを上げるためにプレゼントなどを企画するケースは通常使われる手法です。その中でプレゼントの発送業務一式をアウトソースするということはよくあるのではないでしょうか。もし、そうした業務委託がある場合は、その旨をきちんと通知しておくべきです。

個人情報を活かすためのポリシー作り

個人情報保護法は企業のWebマーケティング活動を制限するものではありません。むしろ正しく理解し、うまく活用すれば、顧客企業様の価値と機会と信頼を増大させることができます。同時にリスクヘッジの効果も生まれ、一石二鳥です。せっかくプライバシーポリシーを作るのであれば、付加価値の高いポリシーを作ってみませんか？