他社のプライバシーポリシーをコピーしてもよいのか

他社のポリシーを読むのは、学ぶための賢い方法です。目的は構成とアイデアを借りることで、文章を借りることでは決してありません。実践的な手順は次のとおりです。

1. 自社と似た事業者のポリシーを3〜4つ読む。少なくとも1つは主要市場で事業を行っているものを選ぶ
2. 文言ではなく、扱っているトピックとその順序をメモする
3. 要約、表、分かりやすい請求手順など、ポリシーを読みやすくしている工夫に注目する
4. それらのタブを閉じ、自社の製品、フォーム、委託先からデータ一覧を作る
5. その一覧をもとに、各セクションを自分の言葉で書く
6. 必須の記載内容のチェックリストと自分の構成案を比べ、抜けを見つける
7. 同意バナー、アプリストアのラベル、ポリシーがすべて同じ内容になっているか確認する

手作業を減らしつつ同じ構成を得たい場合は、プライバシーポリシー作成ツールが各トピックについて平易な言葉で質問し、バージョン管理された条項ライブラリから文言を組み立てます。文章は第三者からコピーしたものではなく回答に基づいて選択されるため、他社ではなくあなたの製品を説明するものになります。

仮に著作権の問題がなくても、コピーしたポリシーに書かれているのは他社の事業です。小さなオンラインショップが大手ソフトウェア企業のポリシーをコピーした場合に、よく起きる問題を考えてみましょう。

• 誤った法人名、住所、プライバシー窓口が記載される
• ショップが使っていない委託先が並び、決済代行会社やメール配信サービスなど実際に使っている委託先が抜ける
• モバイルアプリ、音声アシスタント、法人アカウントなど、ショップにない機能が説明される
• ショップが用意したことのない請求手続き、回答期限、オプトアウトの仕組みが約束される
• 実態と合わない法的根拠、データ移転、保存期間が記載される
• ショップが対象としていない地域をカバーし、対象としている地域が抜ける

こうした食い違いの一つひとつが、個人情報の取扱いに関する虚偽の記述です。読み手は他社の連絡先では権利を行使できず、アプリの審査担当者から法人顧客まで、あなたの製品を確認する人は誰でも、ポリシーとサイトの実際の動作のずれに気づくことができます。

通常は保護されています。プライバシーポリシーは書かれた文章であり、文章は一般に独創的な著作物として著作権で保護されます。米国著作権局によると、著作物は創作され有形の媒体に固定された時点で著作権の保護を受け、登録は一般に任意です。フッターに著作権表示がないからといって、自由に使ってよい文章というわけではありません。

ただし、ここで重要になる著作権の限界もあります。著作権局の説明では、著作権は事実、アイデア、システム、操作方法を保護せず、名称、題名、スローガン、短いフレーズも保護しません。つまり、データの種類、目的、権利、保存期間といったプライバシーポリシーが扱うトピックは、誰でも自由に取り上げられます。保護されうるのは、特定の著者の表現、つまりその人が書いた具体的な文、構成上の工夫、説明です。

ルールは国によって異なり、ほとんどの国では登録なしに著作物が自動的に保護されます。これは一般的な説明であり、法的助言ではありません。実務上の結論はシンプルです。アイデアを再利用するのは問題ありませんが、他者の文言を丸ごとコピーするのは、取る必要のないリスクです。

あたる可能性があります。プライバシーポリシーは事実に関する約束の集まりとして扱われるからです。米国では、連邦取引委員会法第5条が、商取引における、または商取引に影響を及ぼす不公正または欺瞞的な行為・慣行を禁止しており、FTCはプライバシーに関する記述が実際の取扱いと一致しない企業に対して多くの措置を取ってきました。ほとんどの州にも、同様の行為を対象とする独自の消費者保護法があります。

カリフォルニア州には固有のルールもあります。CalOPPAは、カリフォルニア州の住民から個人を特定できる情報を収集する商用Webサイトやオンラインサービスに、定められた内容のポリシーを掲載することを求めており、第22576条は、故意かつ意図的に、または過失により重大な形で、自ら掲載したポリシーに従わないことを違反としています。従っていない取扱いを約束するコピーしたポリシーは、まさにこの種のリスクを生みます。

文言を書いたのが他者であるかどうかは関係ありません。自社のポリシーとして公開した時点で、それは自社の事業に関するあなた自身の記述となり、その内容が真実であることについて責任を負います。

欧州経済領域（EEA）や英国の人を対象にしている場合、GDPR（EU一般データ保護規則）によって正確さの要求はさらに具体的になります。第13条は、収集の時点で、自社の身元と連絡先、データ保護責任者（DPO）がいればその連絡先、処理の目的と法的根拠、提供先、域外への移転とその保護措置、保存期間またはその基準、利用できる権利、監督機関に苦情を申し立てる権利を提供することを求めています。

コピーしたポリシーは、初日からこれらのほとんどを満たせません。別の管理者の名前が書かれ、別の目的が説明され、別の会社の処理者が並んでいるからです。第5条(1)(a)は処理が適法、公正かつ透明であることを求め、第12条は簡潔で透明性があり、理解しやすく、容易にアクセスできる形式での情報提供を求めています。

第12条から第22条の透明性と権利に関する規定への違反は、GDPRの高いほうの制裁金の区分に該当します。とはいえ、制裁金を想定しなくても問題は明らかです。他者の処理を説明した通知では利用者に何も伝わらず、それこそが通知を用意する意味そのものだからです。必要な項目はすべてGDPRプライバシーポリシーガイドに掲載しています。

却下する可能性があり、コピーした文章ではその可能性が高まります。Google Playのユーザーデータに関するポリシーは、デベロッパー情報とプライバシーに関する連絡窓口を含み、アプリがアクセス、収集、使用、共有する個人情報やセンシティブなユーザーデータの種類を開示し、安全な取扱いとデベロッパーの保存・削除に関する方針を説明するプライバシーポリシーを求めています。他社の名前と連絡先が書かれたポリシーは、この要件を満たしません。

Appleのガイドライン5.1.1(i)も同様に、アプリが収集するデータ、その収集方法、データのすべての用途を明示し、保存、削除、利用者が同意を撤回したり削除を請求したりする方法を説明することを求めています。ストアの審査担当者は、提出されたプライバシーラベルやデータセーフティの回答ともポリシーを比較します。両者の不一致は、追加の質問を受けるよくある理由です。

ほかのプラットフォームも同じ考え方を取っています。GoogleのOAuth確認、Chrome ウェブストアの掲載、決済事業者はいずれも、ポリシーがあなたの製品を説明していることを求めます。コピーで節約できるのは数分ですが、再提出に何日も取られることがあります。

ひな形は再利用を前提に提供されているため、コピーとは異なります。ひな形の作者は利用者が手を加えることを想定しており、その規約に何をしてよいかが書かれています。ひな形を使う前に、次の3点を確認しましょう。

• ライセンス：自由に使用・編集できるもの、クレジット表記が必要なもの、商用利用や再配布を禁止するものがあります
• 日付：最近の法改正より前に書かれたひな形には、必要な項目が欠けていることがあります
• 適合性：ブログ向けに作られたひな形では、アプリ内課金や広告SDKを備えたアプリはカバーできません

組織の中には、自社のポリシーをクリエイティブ・コモンズなどのオープンライセンスで公開しているところもあります。ポリシーにそうしたライセンスが付いていれば、定められた条件で再利用でき、その条件にはクレジット表記や、改変版を同じライセンスで共有することが含まれる場合があります。許可によって著作権の問題は解決しますが、正確さの問題は解決しません。すべての事実を書き直す必要があることに変わりはないのです。

より良い方法は、手作業で編集するひな形ではなく、回答に合わせて変化するひな形を使うことです。プライバシーポリシーのひな形のページでは、説明したサービスに応じて構成がどう変わるかを解説しています。

現実的な方法は3つあり、どれも同じことから始まります。何をなぜ取得しているのかを正直に棚卸しすることです。

• 自分で書く：無料で、手順を踏んで進めれば完全に自分で管理できます。プライバシーポリシーの書き方のステップ別ガイドには、作成中に使えるチェックリストがあります。
• 作成ツールを使う：実際の取扱いについて質問するツールであれば、より速く一貫性があります。Legal Policy Generatorの質問票と完全なプレビューはアカウント不要で無料、シンプルなHTMLとPDFのダウンロードも無料です。
• 弁護士に依頼する：センシティブなデータを扱う、子どもを対象にする、広告のためにデータを販売・共有する、要求の厳しい法人顧客に対応する、といった場合に適した選択です。

どの方法を選んでも、費用は多くの人が思うより低いのが一般的です。プライバシーポリシーの費用で選択肢を比較しています。いずれもコピーより安全です。どの方法でも、他社ではなく自社の事業を説明する文書ができるからです。