経済産業省は、今年１０月１７日、「消費者向けオンラインサービスにおける通知と同意・選択のためのガイドライン」（※１）を公表しました。
消費者向けオンラインサービスを提供する事業者は、消費者の同意のもと、消費者の行動や興味関心などに関するパーソナルデータを取得して、これを利活用できます。しかし、中には消費者に対する十分な説明のないままにパーソナルデータを取得し利用してしまっているために、プライバシー意識の高い消費者の不安や混乱を招いているケースがあります。またそのため事業者側もパーソナルデータを利活用しづらい状況となっています。
パーソナルデータの利活用とプライバシー保護を両立するには、消費者と事業者の間の信頼関係の構築が重要です。そこで経済産業省は、今年３月、パーソナルデータを取得し利活用するにあたって、事業者が消費者に対し提示すべき情報を消費者に誤解を与えることなく分かり易く提示できているか否かに関する評価基準（「パーソナルデータ利活用ビジネスの促進に向け、消費者への情報提供・説明を充実させるための『基準』について」（※２））を公表していました。
そしてこの度公表されたガイドラインは、特に消費者への通知及び消費者から同意を得る場面（パーソナルデータ取得時、サービス利用開始時、サービス利用中等）において、事業者が消費者に行うべき情報提供・説明についての指針を示しています。
１ ガイドラインの適用範囲
（１）事業者
本ガイドラインが対象としているのは、「あらゆる業種、規模の組織が運営する消費者向けオンラインサービスにおいて、消費者のデータを利活用する組織」です。つまり、サービスの種類や、利用者数等に関わらず、消費者向けオンラインサービスを提供しているすべての事業者が対象となります。
（２）取得する情報
本ガイドラインは、個人識別可能情報を取得する場合に適用されます。個人識別可能情報とは、「当該情報に関連する特定の個人を識別するために使用できる、直接的、間接的を問わず、特定の個人に関連し、または関連し得る情報」をいいます。現行の個人情報保護法が対象としている「個人情報」よりも広い定義となっています。
２ ガイドラインの内容
ガイドラインの内容の目次は、以下のとおりです。
（１）要求事項
・ 通知方法
・ 通知内容
・ 同意及び選択の方法
・ 通知内容の変更時の同意取得
（２）意思確認のためのユーザーインターフェースに関する事項
・ 表示方法
・ 同意及び選択の方法
以下、特に注意すべきポイントを見ていきましょう（カッコ内は、ガイドラインの項番号です。）。
（１）要求事項
ア 取得する個人識別可能情報、その取得方法及び利用目的を個別具体的に通知すること
・「個人情報を取得します」ではなく、「氏名、住所及び電話番号を取得します」というように通知する必要がある。仮に、取得の状況から住所だけを取得していることが自明であっても、「個人情報を取得します」ではなく、「住所を取得します」と通知する必要がある。（3.2.3）
・個人識別可能情報の項目ごとに取得方法が異なる場合には、それを分けて通知すること。（3.2.4）
・個人識別可能情報の項目ごとに利用目的が異なる場合には、それを分けて通知すること。...個人識別可能情報の利用目的を、個人識別可能情報項目と対応して通知すること。（3.2.7）
本ガイドラインでは、取得する個人識別可能情報をすべて個別列挙する必要があるとされています。そしてそれぞれの項目について、取得方法と利用目的を、対応関係が分かるように通知しなければならないとしています。
イ 同意は、プライバシーの主体を明確にして、適切な頻度で、原則として明示的許可を得る方法で行うこと
・意思確認をする場合には、具体的に誰又はどのID に対して意思確認をしようとしているのか表示すること。（3.3.2）
これは、「昨今のシステムでは、多くの場合、一つのログインクレデンシャルで複数のアカウント／アイデンティティ／立場を使い分けることが多くなってきている」ことを念頭に置いたものです。あるSNSサイトのアカウント情報を利用して、別のウェブサービスにログインできる場合などに、どの立場に対して個人識別可能情報取得の同意を求めているのかを明確に表示することが求められます。
・明示的許可を得ることが望ましいが、暗黙的許可を得ることもできる。ただし、何らかの行為による選択の機会を提供せずに、「同意したものとみなします」と記載だけする方法（いわゆる、みなし同意）によっては許可を得たものとして取扱わない。（3.3.3）
・プライバシーに関係しない別のことと一緒に許可を得た場合、プライバシーに関する許可を得たものとして取扱わない。（3.3.4）
・あまりに頻度の高い状態で意思確認を求めることは、何についての意思確認であるかを本人が見落とす可能性が増す（クリックトレーニングとなる）場合がある。それを防ぐために、不必要に高い頻度で意思確認をすべきではない。（3.3.6）
現状オンラインサービスの開始時に個人識別可能情報の取得に関する同意画面が表示されても、ほとんど読まずにクリックしてしまうことが多いのではないかと思います。本ガイドラインは、消費者に注意を向けさせるような配慮を行うよう求めています。
（２）意思確認のためのユーザーインターフェースに関する事項
ア 通知は、決められた順序で表形式を用いて表示すること
通知事項を、決められた順序で、上記のような表形式で表示することとされています。複数のサービス事業者が同じ表示方法をとることで、サービス間比較を可能とすることが目的です。
イ 読みやすいように分量と表示方法を工夫すること
・消費者ができるだけ短時間で読むことができる内容を少ない画面数で表示することが望ましい。表示量を押さえる関係上、当該画面には全てを表示することはできないことが想定される。その場合には、要約表示をまず行う必要がある。（4.1.2）
何回もスクロールしなければ読めないような画面表示では、消費者に適切な情報提供を行ったとは言えません。ポップアップやドリルダウンを利用したり、要約文を表示したりといった工夫を行い、消費者ができるだけ短時間で読むことができるような表示をすることを、本ガイドラインは推奨しています。
ウ 取得する個人識別可能情報の値を表示するのが望ましいこと
・可能な場合には、取得する個人識別可能情報の項目の値を通知時に表示すべきである。
※ 例えば、「電話番号」と通知するのではなく、「電話番号：03-1234-5678」と通知することである。具体的値を表示できない場合には、例示をする必要がある。これらの値の表示は、当該画面からのリンクをたどることによって表示される形にしてもよい。（4.1.3）
事業者がどのような個人識別可能情報が取得するのかがはっきりとわかれば、消費者はプライバシーへの影響を予測したうえで、安心して個人識別可能情報を開示することができます。本ガイドラインでは、例えば事業者が顧客の購入物品のレシート情報を取得する場合には、そのレシート情報の例を表示するのが望ましいとしています。
エ 同意の意思表示は、消費者の能動的な行動により行われること
明示的許可の取得にあたっては、消費者の能動的な行動によること。...。
※ 能動的な行為とは、消費者が自らの意志によって起こさなければならない行為を指す。たとえば、チェックボックスをクリックする、ボタンを押す、スライドバーをスライドする、などのユーザーインターフェースが考えられる。（4.3.2）
本ガイドラインで明示的許可（同意）とは、「同意を取得するために、同意についての何らかの行為を求めて、その行為があった場合に限って、同意されたものとして取扱う許可」であると定義しています。消費者本人の能動的な行為を促すユーザーインターフェースを採用することが求められています。
以上のとおり、本ガイドラインの内容はパーソナルデータ取得の際の手続的事項について具体的な指針を示すものとなっており、消費者向けオンラインサービスのプライバシーポリシーや、ウェブサイト上の画面遷移を見直す際にとても参考になると思われます。
また本ガイドラインのとりまとめは、国際規格化を目指した取り組みの中で進められてきました。日本以上の個人情報保護水準が求められるＥＵやアメリカなどの諸外国でサービスを開始する際にも、本ガイドラインが役立つものと思われます。
参考：※１ 「消費者向けオンラインサービスにおける通知と同意・選択のためのガイドライン」
http://www.meti.go.jp/press/2014/10/20141017002/20141017002.html
※２ 「パーソナルデータ利活用ビジネスの促進に向け、消費者への情報提供・説明を充実させるための『基準』について」
http://www.meti.go.jp/press/2013/03/20140326001/20140326001.html
