ブログのプライバシーポリシー：すべてのブロガーが開示すべきこと

まずブログのプラグインと設定を確認しましょう。記事の閲覧、コメント、購読、問い合わせで扱う情報と、その情報を受け取るサービス事業者を書き出します。記事を読む、コメントする、購読する、リンクをクリックする、問い合わせるといった、読者がブログで行うことを軸にポリシーを構成しましょう。そのうえで、権利、保存期間、データ移転、変更に関する標準的なセクションを追加します。手順の全体は、Webサイトのプライバシーポリシーを作成するためのステップ別ガイドで説明しています。

白紙から始めたくない場合は、Webサイト用プライバシーポリシー作成ツールが、使用しているトラッキング技術、必須ではないトラッキングを開始するタイミング、読者が設定を変更する方法、Google Analytics、Mailchimp、reCAPTCHAなど利用している提供事業者について質問します。そして、回答に合った条項を組み立てます。プレビューとシンプルなHTMLのダウンロードは無料で、HTMLはWordPressのページや任意のサイトビルダーにそのまま貼り付けられます。

プライバシーポリシーは、記事内のアフィリエイトの開示や、必要な場合の同意バナーの代わりにはならないことを覚えておきましょう。透明性のあるブログを作るための一部であって、それだけで全部が済むわけではありません。

個人ブログは小さすぎて関係ないと考えたくなるかもしれません。しかし、法律が最初に見るのは規模ではありません。個人データを収集しているかどうか、そしてそれが誰のデータかを見ます。

• GDPRと英国GDPR： 純粋に個人的または家庭内の活動に対する適用除外は範囲が狭く、読者のコメント、メールアドレス、アクセス解析データを収集する公開ブログに当てはまる可能性は低いでしょう。
• CalOPPA： カリフォルニア州の住民から個人を特定できる情報を収集する商用Webサイトの運営者に適用されます。ニュースレターのある収益化されたブログは典型的な例です。
• プラットフォームの規約： Google AdSenseとGoogle Analyticsはアクセス数にかかわらずプライバシーポリシーを求めており、ニュースレター配信サービスにも購読者のアドレスの収集・利用方法に関する独自の規約があります。

実務的な答えはこうです。ブログにコメント、ニュースレター、アクセス解析、広告、アフィリエイトリンクのいずれかがあるなら、プライバシーポリシーを公開しましょう。全般的なガイドプライバシーポリシーは必要かでは、法的な適用条件を国ごとに説明しています。

ブログはプラグイン、テーマ、埋め込みコンテンツで構成されており、その多くは目立たない形でデータを収集しています。ブログを点検する際は、次のチェックリストを使いましょう。

• コメント： 名前、メールアドレス、Webサイト、コメント本文、そして多くの場合はコメント投稿者のIPアドレス。
• コメント用のCookie： 多くのプラットフォームは、コメント投稿者の情報をブラウザーに記憶させる機能を提供しています。
• スパムフィルタリング： 確認のためにスパム対策サービスへ送られるコメントやフォームの内容。
• サーバーとセキュリティのログ： ホスティング事業者やセキュリティプラグインが記録するIPアドレスとユーザーエージェント。
• アクセス解析： ページビュー、参照元、端末情報、識別子。
• 広告とアフィリエイトリンク： 広告ネットワークやアフィリエイトプログラムが設定するCookieや識別子。
• 埋め込みコンテンツ： 他社からコンテンツを読み込むYouTube動画、SNSの投稿、地図。
• フォントとCDN： 外部サーバーから読み込まれ、読者のIPアドレスを受け取るファイル。
• ニュースレターのフォームとポップアップ： メールアドレスと登録情報。
• お問い合わせフォーム： 名前、メールアドレス、メッセージ。

見つけた項目ごとに、その背後にあるプラグインやサービスと、データを受け取る会社を書き留めましょう。

コメントはブログが最初に収集する個人データであることが多く、短くても独立したセクションを設ける価値があります。WordPress自身が提案するプライバシーポリシーの文例は、初期設定で何が起きるかを思い出させてくれます。訪問者がコメントを残すと、サイトはコメントフォームに表示されるデータに加え、スパム検出のために訪問者のIPアドレスとブラウザーのユーザーエージェント文字列を収集すると説明しています。また、プロフィール画像の有無を確認するために、メールアドレスのハッシュ値がGravatarに送信される場合があることにも触れています。

コメントのセクションでは、次の点を扱いましょう。

1. コメントフォームで何を収集し、何を公開表示するか。
2. 自動のスパム対策サービスがコメントを確認するかどうか、またそれはどのサービスか。
3. コメント投稿者の情報をCookieに記憶させるかどうか、またその期間。
4. コメントとそのメタデータの保存期間。
5. コメント投稿者が自分のデータの編集、エクスポート、削除をどのように依頼できるか。

WordPressではプライバシーポリシーのページを指定でき、文例付きのガイドも用意されていますが、どのプラグインをインストールしたかまでは把握できません。設定画面とプラグインのルールについては、WordPressのプライバシーポリシーガイドで説明しています。

ニュースレターは、気軽な読者をメールアドレスのリストに変えます。これは長期にわたって保有することになる個人データです。ポリシーでは次の点を説明しましょう。

• 収集する情報： 通常はメールアドレスで、名前、登録日、登録したページを含むこともあります。
• メールを送信するプラットフォーム： リストを運営者に代わって処理するため、メール配信サービスの名前を挙げます。
• 開封やクリックを追跡するかどうか： 多くのメール配信サービスは、トラッキングピクセルやリダイレクトリンクで初期設定のまま追跡を行います。
• 配信停止の方法： すべてのメールに有効なリンクを含め、ポリシーにもその旨を記載します。
• 同意： EUと英国では、狭い例外に当たる場合を除き、個人へのマーケティングメールには原則として事前の同意が必要です。

米国では、CAN-SPAM法により、商業メールには分かりやすいオプトアウトの方法と有効な郵便の住所を記載する必要があり、オプトアウトの依頼には速やかに対応しなければなりません。これらのルールはプライバシーポリシーではなくメール自体に適用されるものですが、両者の内容は一致させるべきです。詳しくはメールニュースレターのプライバシーポリシーガイドをご覧ください。

はい。Google Analyticsの利用規約は、適切なプライバシーポリシーを用意してそれを遵守すること、Google Analyticsの利用と、それがデータをどのように収集・処理するかを開示すること、関係するCookieや識別子について通知することを求めています。また、Googleのサービスを利用するサイトからの情報をGoogleがどのように使うかを説明するGoogleのページへの目立つリンク、またはそれと同等の通知も求めています。

一般的なブログで記載すべき内容は次のとおりです。

• 読者がどの記事を読み、どのようにブログを見つけたかを把握するためにGoogle Analyticsを使っていること。
• 閲覧ページ、参照元、端末とブラウザーの情報、おおよその位置など、関係するデータの種類。
• GoogleシグナルやGoogle広告とのリンクなど、データを追加する機能を有効にしているかどうか。
• 読者がCookieの選択を変更したり、アクセス解析をブロックしたりする方法。

EUや英国に読者がいる場合、アクセス解析用のCookieは、各国の狭い例外を除き、原則として読み込む前に同意が必要です。プライバシーに配慮したアクセス解析ツールに切り替えれば収集するデータを減らせることもありますが、それを説明する必要がなくなるわけではありません。Google Analyticsのプライバシーポリシーガイドをご覧ください。

Google AdSenseで収益化している場合、プライバシーポリシーは任意ではありません。必須コンテンツに関するAdSenseのヘルプ記事は、ポリシーに含めなければならない記載事項を挙げています。

• Googleを含む第三者配信事業者が、ユーザーがそのWebサイトや他のWebサイトに過去にアクセスした情報に基づいて広告を配信するためにCookieを使用していること。
• Googleが広告Cookieを使用することにより、Googleとそのパートナーが、そのサイトやインターネット上の他のサイトへのアクセス情報に基づいて広告を配信できること。
• ユーザーは、Googleの広告設定でパーソナライズ広告をオプトアウトできること、または業界のオプトアウトページで一部の第三者配信事業者のCookieをオプトアウトできること。

EEA、英国、スイスに訪問者がいるパブリッシャーは、GoogleのEUユーザーの同意ポリシーにも従う必要があります。このポリシーは、法律が求める場合のCookieの利用と広告のパーソナライズについて同意を求めています。Googleは、EEAと英国のユーザーに広告を配信する際、広告プロダクトを利用するパブリッシャーにGoogle認定の同意管理プラットフォームの使用を求めています。

他の広告ネットワークも利用している場合は、その名前を挙げ、オプトアウトページへのリンクを掲載しましょう。チェックリストの全体はAdSenseのプライバシーポリシーガイドにあります。

いいえ。この2つを混同するのは、ブログで最もよくある間違いの一つです。両者は異なる規制当局に対して、異なる問いに答えるものです。

アフィリエイトやエンドースメント（推奨）の開示は、読者がクリックや購入をしたときに運営者が収益を得る場合があることを伝えるものです。米国では、エンドースメントに関するFTCのガイダンスが、ブロガーはアフィリエイト関係を明確かつ目立つように開示すべきであり、開示は推奨箇所に近いほど良いとしています。ページの最下部に埋もれた開示や、「Legal」と書かれたリンクの先にある開示は見落とされやすいものです。そのため、アフィリエイトの開示はプライバシーポリシーだけでなく、各記事のリンクの近くに置くべきです。

プライバシーの開示は、データの側面を説明するものです。読者がアフィリエイトリンクをクリックすると、アフィリエイトネットワークや販売事業者が、売上を紐づけるためにCookieを設定したりクリックを記録したりすることがあります。プライバシーポリシーでは、アフィリエイトリンクにこうしたトラッキングが伴う場合があることに触れ、利用しているプログラムの名前を挙げましょう。

アフィリエイトプログラムの多くは、運営契約の中に独自の開示ルールを定めています。他のブログから流用した文言に頼るのではなく、参加している各プログラムの最新の契約を読みましょう。

埋め込みコンテンツは自分で作ったものではないため、つい忘れがちです。WordPressが提案するプライバシーの文例は、これをうまく表現しています。他のWebサイトからの埋め込みコンテンツは、訪問者がその別のWebサイトを訪れた場合とまったく同じように振る舞う、というものです。つまり、YouTube動画、Instagramの投稿、地図を通じて、その会社がデータを収集し、Cookieを設定し、埋め込みコンテンツとのやり取りを追跡できるということです。

埋め込みコンテンツの種類ごとに、ポリシーで提供事業者の名前を挙げ、埋め込みコンテンツが読み込まれる際にその提供事業者がデータを収集する場合があることを説明しましょう。次のものについても同様です。

• Webフォントやスクリプトライブラリ： 外部サーバーから読み込まれ、読者のIPアドレスを受け取ります。
• SNSのシェアボタン： ソーシャルネットワークからスクリプトを読み込みます。
• コメントシステム： 第三者がホスティングしているものです。

読者が選んだときにだけ埋め込みコンテンツを読み込むクリック読み込み式のプレースホルダーを使ったり、フォントを自分でホスティングしたりすることで、影響を減らせます。埋め込みコンテンツが設定するCookieにEUや英国の同意ルールが適用される場合、こうしたプレースホルダーは同意前の読み込みを避けるのにも役立ちます。