プライバシーポリシーの更新頻度と利用者への通知方法

更新のきっかけの多くは、新しい法律ではなく自社の製品です。次のような変更が公開される前、または同時にポリシーを更新しましょう。

• アクセス解析、メール、決済、サポート、ホスティングなど、個人データを受け取る委託先を追加または変更する
• 新しいSDK、ピクセル、タグを導入する（特に広告や効果測定のためのもの）
• 位置情報、連絡先、写真、健康情報、音声録音など、新しい種類のデータを収集する
• パーソナライズ、広告、AIモデルの学習など、既存のデータを新しい目的に使う
• ユーザーのコンテンツをモデル提供者に送信するAI機能を公開する
• データの販売、共有、ターゲティング広告への利用を始める
• 新しい国や米国の州に進出する、または法律の適用基準を超える
• 保存期間、保存場所、国際的な移転を変更する
• 会社名、住所、連絡先、プライバシー窓口を変更する
• 新しい請求フォームや設定ページなど、利用者が権利を行使する方法を変更する

リリースのチェックリストに「プライバシーポリシーへの影響は？」という項目を加えるのが有効な習慣です。答えが「はい」なら、ポリシーの変更も機能と一緒にリリースします。

固定の間隔を定めている主要な法律は1つだけですが、実質的に同じ結果になる期待を示している法律はいくつかあります。

• CCPA：民法典1798.130条(a)(5)は、対象事業者に対し、オンラインのプライバシーポリシーに特定の情報を含め、その情報を少なくとも12か月に1回更新することを求めています。CCPA規則は、ポリシーに最終更新日を表示することも求めています。
• CalOPPA：ポリシーには施行日を明記し、重要な変更を利用者に通知する手順を説明しなければなりません。
• GDPR：固定の間隔はありませんが、人々に提供する情報は正確でなければならず、欧州の透明性に関するガイダンスは、説明責任が収集の時点だけでなく処理のライフサイクル全体に及ぶことを強調しています。
• オーストラリア：APP 1は、明確に表現された最新のプライバシーポリシーを求めています。

実務上、ルールはシンプルです。少なくとも12か月ごとに見直し、取扱いが変わったらすぐに更新することです。年1回の見直しで変更点が見つからなくても、ポリシーが積極的に管理されていることを示せるため、記録しておく価値があります。カリフォルニア州固有の内容については、CCPA・CPRAプライバシーポリシーガイドをご覧ください。

すべての編集に告知が必要なわけではありません。欧州データ保護会議（EDPB）が承認した第29条作業部会の透明性に関するガイドラインは、権利を行使できるかどうかを含む人々への影響と、その変更がどれほど予想外で意外かを考慮することを提案しています。

ガイドラインは具体例を挙げています。常に伝えるべき変更には次のものがあります。

• 処理の目的の変更
• 管理者の身元の変更
• 人々が権利を行使する方法の変更

誤字の修正や、文体・文法の改善は実質的な変更とはみなされません。その中間については判断が必要です。新しい広告パートナーの追加、国際的な移転の開始、AIモデルの学習へのデータ利用は、ほとんどの読み手が重要と考える種類の変更です。既存の文の意味を変えずに分かりやすくするだけなら、通常は重要な変更ではありません。

迷ったときは重要な変更として扱いましょう。小さな変更を丁寧に伝えてもコストはわずかですが、重大な変更をこっそり導入すると信頼を損ない、規制当局の注意を引きかねません。

重要な変更の場合、ページ冒頭の日付を変えるだけでは不十分です。欧州の透明性ガイドラインは、通知はメール、書面、ポップアップなどの適切な手段で行い、マーケティングの内容と混ぜずに変更に特化したものにすべきだとし、「変更がないか定期的にプライバシーポリシーを確認してください」という記述は不十分であるだけでなく不公正でもあるとしています。新しい提供先のカテゴリーや域外への新たな移転などの根本的な変更については、人々が変更を検討し権利を行使できるよう、十分前もって通知することを推奨しています。

実践的な通知の計画は次のとおりです。

1. 施行日を付けて新しい版を公開し、古い版も閲覧できるようにしておく
2. アカウント保有者に、何がなぜ変わるのかを平易にまとめた短いメールを送る
3. ログイン中の利用者に、アプリ内またはサイト上で通知を表示する
4. 予想される影響と、オプトアウトなど利用者が取れる選択肢を説明する
5. 変更の効力が生じるまでに合理的な期間を設ける

文例：「3月1日から、米国に拠点を置く新しいメール配信サービスを利用します。ニュースレターのデータは標準契約条項に基づいて移転されます。配信はいつでも停止できます。」

変更によっては、通知だけでは足りないことがあります。GDPRの下では、個人データを新しい目的に使う場合、第13条(3)によりその追加的な処理を始める前に人々に知らせる必要があり、処理が同意に基づく場合は、新しい目的をカバーする同意が必要です。ガイドラインは、処理の性質がまったく別物になるほど重大な変更は、透明性によって正当化されるものではないとも警告しています。

米国の規制当局も同様の見解を示しています。2024年の投稿で、FTCのスタッフは、より緩やかなデータの取扱いを採用し、利用規約やプライバシーポリシーをひそかに遡及的に改訂することでしか人々に伝えない企業は、不公正または欺瞞的な行為に及んでいる可能性があると警告しました。この投稿は、消費者に通知も同意の取得もせずに第三者とデータを共有するようプライバシーポリシーを変更した企業の事例を含む、過去の事例を挙げています。

重大な変更に対する安全な基本方針は次のとおりです。

• 新しい取扱いは、変更後に収集したデータにのみ適用する、または
• すでに保有しているデータに適用する前に、明確で積極的な同意を求める

どちらが当てはまるか分からない場合は、変更を公開する前に資格のある弁護士に助言を求めましょう。

適切な版の管理をしておけば、今後のあらゆる質問に答えやすくなります。最低限、ポリシーにはCalOPPAが求める施行日と、CCPA規則が対象事業者に求める最終更新日を表示しましょう。多くのサイトでは、ポリシーの冒頭や末尾に短い変更の概要も加えています。

裏側では、次のアーカイブを保管します。

• 公開したすべての版と、その施行日および差し替えられた日
• 何がなぜ変わったのかを1行でまとめた概要
• 送信した変更通知のコピーと送信日
• 同意が必要だった変更について取得した同意の記録

このアーカイブがあれば、利用者の登録時にどのポリシーが適用されていたかを示し、規制当局や顧客の質問に正確に答え、当時何を約束したかをめぐる争いを解決できます。記憶ではなく過去の判断の記録から始められるため、年1回の見直しも速くなります。

Legal Policy Generatorは回答から決定論的に選択されるバージョン管理された条項を使うため、回答を更新すると、再生成された文言は事実や基になる条項のバージョンが変わった箇所だけが変わります。どのツールを使う場合でも、自分でコピーを保管しましょう。

法律も変わります。最近のいくつかの動きがポリシーに影響する可能性があります。

• 米国の州：インディアナ州、ケンタッキー州、ロードアイランド州の包括的なプライバシー法が2026年1月1日に施行され、ターゲティング広告、販売、プロファイリングに対するオプトアウトの権利を定める州の一覧に加わりました。一般的な開示事項は米国州プライバシー法ガイドにまとめています。
• カリフォルニア州：改正されたCCPA規則が2026年1月1日に施行され、自動化された意思決定技術、リスク評価、サイバーセキュリティ監査に関するルールが段階的な遵守期限とともに追加されました。
• 子ども：改正COPPA規則が2025年4月に公布され、通知と同意の要件が改められました。
• 英国：Data (Use and Access) Act 2025が段階的に施行されており、英国のデータ保護の枠組みの一部を改正しています。詳しくはUK GDPRプライバシーポリシーガイドで解説しています。
• ニュージーランド：Privacy Amendment Act 2025により、情報を間接的に収集する場合に人々に通知することに関する新しい原則が追加されました。

すべての法案を追いかける必要はありません。代わりに、年1回の見直しのたびに対象地域の公式情報源を確認し、利用者にとって重要な規制当局の更新情報を購読しましょう。

カレンダーに定期的な予定を入れ、毎年、または大きなリリースの後はそれより早く、次の手順を進めましょう。

1. データの棚卸しをやり直す：フォーム、アカウント、SDK、タグ、委託先、AI機能
2. ポリシーと比較する：新しいもの、削除されたもの、説明が異なるものはないか
3. 委託先を確認する：名称、役割、所在地、移転の保護措置を確認する
4. 地域を確認する：新しい国や州を対象にしていないか、CCPAなどの基準を超えていないか
5. 公式情報源を確認する：対象とする各地域で新しい法律やガイダンスがないか調べる
6. 権利の請求をテストする：ポリシーに記載したそれぞれの窓口からテストの請求を送る
7. 同意ツールやストアのラベルと比較する：バナー、App Storeのプライバシーラベル、Google Playのデータセーフティのフォームがポリシーと一致しているか
8. 更新して記録する：新しい日付で変更を公開し、古い版をアーカイブし、重要な変更であれば利用者に通知する

何も変わっていなければ、見直しを行ったことを記録します。更新した回答からポリシーを作り直したい場合は、プライバシーポリシー作成ツールで公開前に結果を無料でプレビューできます。各セクションの書き方を含む全体の流れは、プライバシーポリシーの書き方をご覧ください。