個人情報の取り扱いを公表する方法｜求められる記載を揃える

「計測の道具も問い合わせの様式も入れ替えた」「それなのに、公表している方針の頁は数年前のままだ」——サイトを点検した担当者が最初に見つけるずれです。公表の頁は、一度作れば済む体裁の文章ではありません。いま実際にやっていることと記載が合っているかを問われる部分です。この記事では、求められる記載の項目と、実態に合わせ直す手順を整理します。

方針の頁が実態から離れていく

多くの会社のサイトには、個人情報の取り扱いについての頁があります。作った時点では、その時の実態に合っていました。問題は、その後の変化に追いついていないことです。

マーケティングの部門は、道具を増やし続けます。解析の仕組み、配信の仕組み、問い合わせの管理、接客の仕組み。そのたびに、扱う情報の種類と流れが変わります。

一方で、方針の頁を直す担当は決まっていないことが多い。法務の担当が作ったが、その後は誰も触っていない。道具を増やす人と、記載を直す人が別なのが原因です

この状態が危ういのは、書いてあることと、やっていることが違うからです。書いていない目的でデータを使えば、説明がつきません。問い合わせがあったときに、答えられない状態になります。

直すのは難しくありません。求められている記載は決まっており、項目も明示されています。一度整えて、見直しの時期を決めるだけです。本稿では、その項目と実務の整合の取り方を扱います。

なぜ公表が求められるのか

個人情報を扱う事業者には、一定の事項を本人の知り得る状態に置くことが求められています。本人の求めに応じて遅滞なく回答する場合も含まれるとされていますが、実務ではサイトに掲載する形が一般的です。

目的は、本人が自分の情報の扱いを確かめられるようにすることです。どの会社が、何のために、どう扱っているのか。そして、困ったときにどこへ言えばよいのか。

この考え方が分かると、書き方の方向が定まります。法律の用語を並べることが目的ではありません。本人が読んで、自分の情報がどう扱われるかを理解できるか。これが判断の軸になります。

マーケティングの視点でも、この頁は無視できません。取引先の審査で見られます。問い合わせの様式から情報をもらうとき、この頁への手がかりを示すことになります。入力の直前に読まれる頁でもあります。

読まれるということは、内容が薄ければ不信を招くということです。逆に、具体的で分かりやすければ、情報を渡すことへの抵抗が減ります。様式の入力率にも関わる頁だと考えてください。

公表が求められる事項

何を書けばよいのか。保有する個人データについて、本人の知り得る状態に置くべき事項が定められています。実務では、次の五つとして整理されます。

第一に、事業者の氏名または名称および住所。法人の場合は、代表者の氏名も含まれます。第二に、すべての保有個人データの利用目的です。

第三に、開示等の請求等に応じる手続。手数料の額を定めた場合は、その額も含まれます。第四に、安全管理のために講じた措置。第五に、取り扱いに関する苦情の申出先です。

加えて、認定を受けた保護の団体の対象となる事業者であれば、その団体の名称と、苦情の解決の申出先も含まれます。自社が該当するかは、加入している団体に確かめてください

五つのうち、抜けやすいのは第三と第四です。利用目的と苦情の窓口は書いてあるが、請求の手続と安全管理措置の記載がない。この形の頁は、実際によく見かけます。

求められる事項	実務での書き方	抜けやすさ
事業者の名称と住所	法人名、所在地、代表者名を記載	低い
すべての利用目的	取得の場面ごとに具体的に列挙	中程度
請求に応じる手続	窓口、必要書類、手数料の有無	高い
安全管理措置	講じている措置の概要を記載	高い
苦情の申出先	部署名と連絡の手段	低い

事業者を特定する記載

最初の項目は、事業者を特定する情報です。名称、住所、そして法人であれば代表者の氏名。これは、誰が責任を負うのかを示すためのものです。

実務でつまずくのは、会社概要の頁と食い違う場合です。移転したのに片方だけ直っている。代表者が交代したのに古いまま。こうした食い違いは、確認をする側にとって不安の材料になります。

グループ会社がある場合は、どの法人が責任を負うのかを明確にします。共通のサイトを運営している場合、どの法人が情報を取得しているのかが読み取れる形にしてください

複数の事業を持つ会社では、事業ごとに扱いが違うこともあります。その場合は、事業ごとに記載を分けるか、共通の記載に加えて事業固有の部分を補う形にします。一つの記載にすべてを詰め込むと、読めなくなります。

記載の位置も工夫できます。頁の冒頭に置くのが一般的ですが、末尾に置いて連絡先とまとめる形もあります。どちらでもよいので、探しやすい位置に置いてください。

利用目的をどこまで具体的に書くか

最も判断に迷うのが、利用目的の書き方です。利用目的はできる限り具体的に特定することが求められます。ガイドラインでは、本人が一般的かつ合理的に想定できる程度に具体的に特定することが望ましいとされています。

この基準からすると、「事業活動のため」といった記載は不十分です。何にでも当てはまり、本人は何も想定できません。抽象的に書くほど、後で使える範囲が広がると考えるのは誤りです

実務では、取得の場面ごとに書くのが分かりやすい。問い合わせの様式から取得した情報は何に使うか。資料の請求から取得した情報は何に使うか。催しの申込から取得した情報は何に使うか。場面と目的を対応させます。

マーケティングで押さえるべきは、案内の送付を書いているかです。問い合わせに答えるためだけと書いてあれば、その後の案内を送る根拠が弱くなります。実際に送るなら、その旨を書いておく必要があります。

分析への利用も同様です。取得した情報を分析して施策の改善に使うなら、その旨を書きます。書いていないことをやるのが問題であって、書いてあることをやるのは問題ありません。だからこそ、実態に合わせて書き足す必要があります。

書き足すときは、抽象度を上げて逃げないでください。「マーケティング活動のため」と書けば範囲は広がりますが、本人には何も伝わりません。具体的に書いたうえで、必要になったら追記する。この運用のほうが誠実です。

請求に応じる手続の記載

本人は、自分の情報について開示、訂正、利用の停止などを求めることができます。事業者は、その請求に応じる手続を公表する必要があります。

書くべき内容は、窓口、請求の方法、必要な書類、本人であることの確かめ方、そして手数料を定めた場合はその額です。手数料を取らないなら、その旨を書きます。

開示の方法についても、触れておく価値があります。本人は、電磁的な記録の提供を含む方法で開示を求められるとされています。紙でしか出せない運用になっていないかを、この機会に確かめてください。

実務では、請求が来たときに動ける体制があるかが問われます。頁に書いてあっても、実際に請求が来たら誰も対応できない。窓口の担当者が、この記載を知らないという状態は避けてください

請求は、多くの会社では滅多に来ません。だからこそ、来たときに慌てます。手順書を一枚作っておくだけで、対応の質が変わります。誰が受け、どう確かめ、何日以内に返すか。

安全管理措置の記載

四つ目の項目が、安全管理のために講じた措置です。これは、抜けている頁が多い項目でもあります。何を書けばよいか分からず、省かれてしまうのだと思われます。

ガイドラインの別添では、講ずべき安全管理措置の内容として、基本方針の策定、取り扱いに係る規律の整備、組織的、人的、物理的、技術的の各措置、そして外的環境の把握が挙げられています。

これらの枠組みに沿って、自社が実際に講じている措置の概要を書きます。詳細を書く必要はありません。むしろ、詳細を書きすぎると防御の情報を公開することになります

組織的な措置とは、責任者を置き、取り扱いの記録を残し、点検する仕組みのことです。人的な措置とは、従業者への教育です。物理的な措置とは、区域の管理や機器の管理。技術的な措置とは、権限の管理や不正へのアクセスの防止です。

外的環境の把握は、見落とされがちです。外国で情報を扱う場合、その国の制度を把握することが求められます。海外の仕組みを使っているなら、この項目は自社に関わります。

マーケティングの道具の多くは、海外の事業者が提供しています。情報がどこで保管されるかを確かめてください。契約の条件に書かれています。把握していないまま使い続けるのは、この項目に照らして望ましくありません。

苦情の窓口を実在させる

五つ目が、苦情の申出先です。これは書きやすい項目ですが、実務では別の問題があります。書いた窓口が実際には機能していないことです。

代表の問い合わせの様式を指定している場合、そこに届いた苦情が担当に届く経路があるかを確かめてください。営業への問い合わせと同じ箱に入り、埋もれてしまう。この形は避けたい。

専用のアドレスを用意するのが確実です。そして、そのアドレスを誰が見るかを決めます。個人のアドレスにすると、異動のときに止まります

認定を受けた保護の団体の対象事業者である場合は、その団体の名称と申出先も記載します。加入している業界の団体がこれに該当することがあります。加入の有無を確かめてください。

窓口の記載には、受付の時間や返答の目安を添えると親切です。法律上の要求ではありませんが、書いておくと問い合わせる側が安心します。そして、書いた目安は守ってください。

計測の話をどこに書くか

マーケティングの実務でとくに関わるのが、計測についての記載です。解析の仕組み、配信の仕組み、接客の仕組み。これらは訪問者の情報を扱います。

扱う情報が個人を特定できるものかどうかで、適用される枠組みが変わります。ただし、実務では分けて考えるより、まとめて説明するほうが伝わります。訪問者からすれば、区別は重要ではありません。

記載の置き方は二つあります。一つは、方針の頁の中に節を設けること。もう一つは、別の頁を作って手がかりでつなぐこと。項目が多い会社は、別の頁に分けたほうが読みやすくなります

書く内容は、どの仕組みを使っているか、何のために使っているか、止める方法があるかの三つです。止める方法まで書いてあると、信頼が変わります。

この記載は、道具を増やすたびに更新が要ります。だからこそ、道具の導入の手順に、記載の更新を組み込む。導入の稟議の項目に一行足すだけで、抜けが防げます。

委託と共同利用の記載

外部に業務を任せる場面は多い。配信の代行、分析の委託、問い合わせの一次対応。これらで情報を渡す場合、記載が要ります。

委託は、第三者への提供とは別の扱いです。本人の同意なく行えますが、委託先を監督する義務があります。この監督が形だけになっていないかを、定期的に確かめてください。

グループ会社と情報を共有する場合は、共同利用の枠組みを使うことがあります。この場合、共同して利用する者の範囲、利用する目的、管理について責任を有する者をあらかじめ本人の知り得る状態に置く必要があります。

マーケティングでは、この枠組みが使われる場面があります。グループ全体で名簿を共有する。共催の企画で相手と情報を分け合う。共催のリードの分け方は、事前の取り決めと記載が要ります

記載を怠ったまま共有すると、第三者への提供とみなされる余地があります。その場合、本人の同意が必要になります。後から同意を取り直すのは、現実には難しい。先に整えてください。

外国にある第三者への提供

外国にある事業者に情報を渡す場合には、別の規律が適用されます。マーケティングの道具の多くは海外の事業者が提供しているため、多くの会社が該当します。

ただし、委託として渡す場合と、第三者への提供として渡す場合では扱いが違います。自社の指示のもとで処理させるのか、相手が自らの目的でも使うのか。契約の条件を読んで判断する必要があります。

実務では、使っている道具ごとに整理するのが確実です。提供先の国、渡す情報の内容、委託か提供か。この一覧がないと、記載を書けません

先に述べた外的環境の把握とも重なります。情報がどの国で扱われるかを把握し、その国の制度を踏まえた措置を講じる。一覧を作る作業は、二つの要求を同時に満たします。

• 使っている道具ごとに、提供先の国と渡す情報と委託か提供かを一覧にする
• 契約の条件は情報の管理の部門と、用途はマーケの側と、分担して確かめる
• 道具を止めたときは一覧からも消す。使っていない道具の記載が残りやすい

一覧を作ると、使っていない道具が見つかることがあります。試しに入れたまま外していない計測の仕組み。契約は続いているが誰も見ていない画面。これらは費用の無駄であると同時に、情報が流れ続けている経路でもあります

止める判断も、この機会に行ってください。止めれば、記載を書く対象が減ります。そして、確かめる対象も減ります。道具を増やし続ける運用より、使うものを絞る運用のほうが、結果として説明しやすい状態になります。

この作業は、情報の管理の部門と一緒に進めてください。契約の条件はマーケティングの担当だけでは読み切れません。逆に、どの道具を何に使っているかは、マーケティングの側しか知りません。

施策と記載の整合を取る

記載を整えたら、実際の施策と照らします。書いてあることと、やっていることが一致しているか。ここが本題です。記載を整えるのは手段にすぎません。

照らす手順は簡単です。現在動いている施策を列挙し、それぞれが記載のどの利用目的に当たるかを対応させます。当たるものがなければ、記載を足すか、施策を止めるかのどちらかです。

よくあるずれを挙げます。問い合わせに答えるためとしか書いていないのに、その後の案内を送っている。資料の請求者に、別の商材の案内を送っている。いずれも、記載を足せば解決する話です

もう一つのずれが、外部に渡している情報です。広告の配信のために名簿を渡す。分析のために外部に預ける。これらが記載に反映されているかを確かめてください。

照合の作業は、年に一度で足ります。施策の棚卸しと同じ機会にやるのが効率的です。使っていない道具を止める判断と、記載を直す作業を、同じ時期に並べてください。

改定したときの伝え方

記載を直したら、その事実を伝える必要があるかを考えます。利用目的を追加した場合、本人が想定していなかった使い方が加わることがあります。その場合の扱いには、慎重さが要ります。

実務では、改定の日付を頁に記載し、既存の登録者には案内を送るのが一般的です。いつ、何を変えたかが分かる形にしておくと、後から確かめられます。

改定の履歴を残すのも有効です。頁の末尾に、改定の日付と概要を並べる。履歴があると、取引先の審査でも説明が早く済みます

変更の内容が本人の権利に大きく関わる場合は、案内を送るだけでなく、改めて同意を得る必要があることもあります。判断に迷うなら、法務や外部の専門家に相談してください。

マーケティングの担当としては、改定の必要が生じる場面を把握しておくことが役割です。新しい道具を入れる。名簿の使い方を広げる。外部との共有を始める。この三つが起きたら、記載の見直しを提起してください。

やってはいけない書き方

避けるべき書き方を整理します。第一に、抽象的に書いて範囲を広げようとすること。「事業活動のため」では、具体的に特定したことになりません。

第二に、他社の頁を書き写すことです。扱う情報も、使っている道具も、体制も違います。実態と合わない記載は、書いていないのと同じです。

第三に、書いた窓口が機能していない状態です。アドレスが廃止されている。担当が異動して誰も見ていない。これは、問い合わせた側から見れば無視されたのと同じです。

• 利用目的を「事業活動のため」など抽象的に書いて済ませる
• 他社の頁を書き写し、自社の実態と合わない記載を載せる
• 苦情の窓口として、誰も見ていないアドレスを書く
• 計測や配信の道具を増やしたのに、記載を更新しない
• 安全管理措置の詳細を書きすぎ、防御の情報を公開してしまう

第四に、更新しないことです。作った時点では正しくても、実態は変わります。三年放置された記載は、ほぼ確実に実態とずれています

見直しの運用に落とす

最後に、続けるための仕組みを作ります。第一に、担当を決めること。法務が最終的に責任を持つとしても、変更の必要に気づくのはマーケティングの側です。

第二に、時期を決めること。年に一度、施策の棚卸しと同じ機会に見直す。予定に入れておかなければ、誰もやりません。

第三に、きっかけを決めること。新しい道具を入れる、名簿の使い方を広げる、外部との共有を始める。この三つが起きたら、時期を待たずに見直す

第四に、導入の手順に組み込むこと。道具を導入する稟議の項目に、「記載の更新の要否」を一行足します。仕組みに組み込めば、意識しなくても回ります。

第五に、記録を残すこと。いつ見直し、何を変えたか。変えなかった場合も、確かめた事実を残します。取引先の審査で問われたときに、この記録が答えになります。

よくある質問

小規模な会社でも公表は必要ですか

扱う人数の多少にかかわらず、個人情報を扱う事業者には義務が及びます。以前は取り扱う人数による例外がありましたが、現在は原則としてすべての事業者が対象です。自社の該当の有無は、専門家に確かめてください。

方針の頁は一つにまとめるべきですか

項目が多い会社は、分けたほうが読みやすくなります。基本の方針と、計測についての説明を別の頁にする形が一般的です。分ける場合は、互いに手がかりでつないでください。

計測の道具ごとに書く必要がありますか

道具の名前まで書くかは、会社の方針によります。書いておくと透明性は高まりますが、更新の負担が増えます。種類ごとにまとめて書き、止める方法を示す形でも実務は成り立ちます。

英語版も用意すべきですか

海外からの問い合わせを受けるなら、用意する価値があります。ただし、翻訳の内容が日本語版とずれると、どちらが正かで問題が生じます。正文がどちらかを明記してください。

まとめ

個人情報の取り扱いについて公表が求められる事項は、五つに整理できます。事業者の特定、すべての利用目的、請求に応じる手続、安全管理措置、苦情の申出先。このうち、請求の手続と安全管理措置が抜けている頁は多い。そして本題は、記載を整えることではなく、やっていることと書いてあることを一致させることです。計測の道具を増やしたら、名簿の使い方を広げたら、外部との共有を始めたら、記載も直す。導入の稟議に一行足すだけで、この工程は仕組みになります。

※本記事にはAIが活用されています。編集者が確認・編集し、可能な限り正確で最新の情報を提供するよう努めておりますが、情報の完全性、正確性、最新性、有用性等について保証するものではありません。本記事の内容に基づいて行動を取る場合は、読者ご自身の責任で行っていただくようお願いいたします。