海外向けWebサイトのプライバシー／各国規制対応をどう乗り越えるか、IIJがウェビナー開催

インターネットイニシアティブ（IIJ）は6月24日、「日本企業が英語サイト公開時に留意すべき海外のプライバシー保護・クッキー規制とは」と題したウェビナーを開催した。ウェビナーの第一部は、森・濱田松本法律事務所外国法共同事業パートナーで慶應義塾大学大学院法学研究科特任教授（非常勤）、弁護士・ニューヨーク州弁護士の田中浩之氏が「グローバルデータ保護法対応のTO DOポイント ～グローバルプライバシーポリシーとクッキー管理を中心に～」と題して、グローバルなデータ保護法対応のポイントを解説。第二部ではIIJビジネスリスクコンサルティング本部の加藤博一氏がグローバルサイトでクッキーバナーを利用するにあたっての注意点を紹介した。

共通のグローバルプライバシーポリシーのもとに個別対応を追加

田中氏による第一部では、まず世界各国の個人情報保護制度を紹介した。

• 

  森・濱田松本法律事務所外国法共同事業パートナーで慶應義塾大学大学院法学研究科特任教授（非常勤）、弁護士・ニューヨーク州弁護士の田中浩之氏による第一部のポイント

欧州では、EUのGDPR（General Data Protection Regulation、一般データ保護規則）が欧州経済領域（EEA）域内に統一的に適用されており、EUを離脱した英国でもEUのGDPRをもとにしたものが法制化されている。米国では連邦法としては包括的なデータ保護法が存在しておらず、医療関係／子供関係などの分野別の連邦法と包括的・分野別の州法でデータ保護が行われている。その他、アジア諸国やロシア・ブラジルなどにもそれぞれに異なる規制が設けられている。

こういった状況において、すべての国について個別に一から対応するのは時間／費用／人員の負担が大きくなり、国ごとに管理も分断されてしまう。とはいえ各国ごとに異なる法制度に対応できる基準をきれいに一本化するのは難しい。そこで、まずグローバルで共通するひな形を作ったうえで、各国ごとの規制に対応する項目を別紙として追加したり、ひな形を修正したりといった方法で法域ごとの要求に対応しようというのが、今回のテーマになっているグローバルプライバシーポリシーの作成という考え方だ。

• 
• 

  グローバルデータ保護法対応のTo Doリスト

グローバルポリシー本体＋別紙という形で対応する場合、個別対応する法域の優先順位や対応範囲は、重要拠点の有無や当該法域の規制の厳しさ、そこで扱うデータの性質などに基づくリスクベースドアプローチによって決定することになる。

• 

  優先順位や対応範囲はリスクベースドアプローチに基づいて決定する

また、プライバシーポリシーをグループ企業全体で統一するか、グループ内の各社ごとに作成するかという検討事項もあるが、田中氏は「いずれもあり得る」といい、統一することで管理上のメリットはあるものの、そのためには各社の個人情報処理に共通性があり、各社で統一ポリシーに従った管理が可能でなければならないと注意点を挙げた。

• 
• 

  グローバルプライバシーポリシー整備にあたっての検討事項

ある要素をグローバルプライバシーポリシーへ盛り込むか別紙対応とするかの判断は、基本的には各国で要求されることが多い項目はグローバルプライバシーポリシー本体に盛り込み、そうでないものは別紙対応ということになる。ただし、グローバルプライバシーポリシーに含めたものは規制が厳しくない国にも適用されることになるし、といってグローバルプライバシーポリシーに含めるのを最小限にすると本体の内容がほとんどなくなってしまう。

そういったことを踏まえると、適用対象事業者や適用場面、利用目的、共有先、その他の一般的な定めについては共通のものとしてグローバルプライバシーポリシーに記載することが考えられる。一方で、さまざまな法的根拠、各国の法に特有の要求事項などは共通化するのが難しく、別紙などでの対応が妥当となる。

• 

  グローバルプライバシーポリシー本体に記載するのが難しい項目

ちなみに現地語でサービスを提供する場合は、利用者が理解できる言語でポリシーを示すことが基本となる。プライバシーポリシーへの同意も法域によって位置付けが異なるため、法的に同意が必要な場面と、内容を確認したことを示す場面を区別して設計する必要があるという。

国・地域で異なるクッキー規制にCMPで対応

そしてクッキーの利用についての規制も、国・地域によって考え方が異なる。

欧州では、通信に不可欠なものなどの例外を除き、原則として事前のオプトイン同意が必要。利用者が同意する前に解析・広告用クッキーを動作させず、同意と拒否を同程度に選びやすくし、同意を後から撤回できるようにすることが求められる。

米国カリフォルニア州の州法であるCCPA（California Consumer Privacy Act、カリフォルニア州消費者プライバシー法）でも、個人情報の「販売」「共有」にあたる利用について、原則としてオプトアウトの機会を提供する必要がある。16歳未満の未成年者についてはオプトイン方式の規制が設けられている。

日本では、電気通信事業法の令和4年改正によって外部送信規律が導入されているが、欧州に比べると相当緩やかな規制となっている。

最も厳しい欧州基準を全世界に一律適用するというのもひとつの方法。だが、IPアドレスなどによりユーザーの所在地を判別し、クッキー同意管理ツール（Consent Management Platform、CMP）を用いてアクセス元に応じて――欧州向けはオプトイン型、米国向けはオプトアウト型、日本向けは情報提供を中心とするなど――法域別に表示と制御を切り替える方法が現実的だという。

• 

  クッキー規制対応の基本的な考え方

ただし、クッキーポリシーとバナー上の説明、実際のタグ制御が一致していなければ、法対応として不十分となり、利用者の信頼も損ないかねない点には注意が必要とのことだった。

「STRIGHT」によるクッキーバナー管理の実際

第二部のIIJビジネスリスクコンサルティング本部の加藤博一氏による第二部では、IIJの自社開発CMPである「STRIGHT」を例に、その機能と必要性が解説された。

CMPはウェブサイト等において、クッキーや類似トラッキング技術の利用について、ユーザーの同意を取得・管理・反映するための仕組みだ。その利用者向けインタフェースとして一般的に用いられるのがクッキーバナーで、各国法規制において求められる情報提供に加え、同意の取得・記録・技術的制御などを行う。

• 

  CMPの基本機能

加藤氏は欧州、英国、米国カリフォルニア州などにおけるクッキー規制の内容とそれに対応したクッキーバナーの実装例を紹介。さらに日本国内における令和4年改正電気通信事業法で求められる対応、個人情報保護法の令和8年改正案で想定される対応についても解説した。

• 

  各国のクッキー規制

さらにクッキーバナーの関連知識として、同意・拒否の操作が機能しない、拒否してもタグが停止しないといった法的要件を満たしていないものを不適切な「なんちゃってクッキーバナー」として紹介。ダークパターンもクッキーバナーの不適切な例として挙げた。

• 

  法的要件を満たしていない不適切な「なんちゃってクッキーバナー」

またクッキーバナーの形態や同意モデルによる拒否率の違い、英語サイトを公開するとそれが海外法の適用対象になるのかといった点についても触れたのち、Webサイトにおけるクッキーの利用についてユーザーに不信感を与える設計や説明になっていないかを簡易的に診断する無料サービスを提供していることや、クッキーバナーやCMPの基本を学べるSTRIGHTのハンズオンセミナーを開催していることなどを紹介してこの日のセミナーは終了となった。