プライバシーポリシーと利用規約の違いとは？

2つの文書は、それぞれ異なる問いに答えるものだと考えてください。プライバシーポリシーが答えるのは自分のデータはどうなるのか？という問いです。利用規約が答えるのはここでのルールは何か、問題が起きたらどうなるのか？という問いです。

並べて比べると次のとおりです。

• 目的：プライバシーポリシーは情報を伝えるもので、利用規約は事業者と利用者の間に拘束力のあるルールを定めるものです。
• 存在する理由：プライバシーポリシーは通常、プライバシー関連法やプラットフォームが求めるために存在し、利用規約は頼りにできる合意が欲しいから存在します。
• 主な読み手：プライバシーポリシーは利用者、規制当局、アプリ審査担当者に向けたもので、利用規約は利用者と、紛争になった場合には裁判所や仲裁人に向けたものです。
• 誰を拘束するか：プライバシーポリシーは自社の取り扱いを説明するもので、内容が不正確なら自社に不利な証拠になり得ます。利用規約は双方の義務を定めようとするものです。
• 同意：プライバシーに関する通知は提供しなければなりませんが、同意を得る必要はありません。利用規約は、契約として機能させるために一般に利用者の同意が必要です。

最後の点は、最も見落とされがちなポイントです。利用者に「プライバシーポリシーに同意する」よう求めても、それが契約になるわけではなく、データ処理に対する有効な同意にもなりません。プライバシーポリシーは事業者が人々に提供する義務のある情報です。利用規約は事業者が利用者に提示する取り決めであり、登録フローの中でこの2つを決して混同してはいけません。

ある文がどちらに属するかは、次の分け方で判断してください。

プライバシーポリシーで扱うトピック：

• 事業者が誰であり、プライバシーについてどう連絡できるか
• どのような個人データを、どの情報源から収集するか
• なぜそれを利用するか、またGDPRのもとでは目的ごとの法的根拠
• 処理者、広告パートナー、その他の提供先
• 国際的なデータ移転とその保護措置
• 保存期間
• 利用者の権利とその行使方法
• Cookieと類似のトラッキング技術

利用規約で扱うトピック：

• 利用資格、アカウント、セキュリティ上の責任
• 許容される利用と禁止行為
• 自社コンテンツの権利と、ユーザーコンテンツについて受けるライセンス
• 支払い、サブスクリプション、更新、解約、返金
• 利用停止と契約終了
• 法律の範囲内での免責と責任の制限
• 準拠法、紛争解決、利用規約の変更

両方に関わるトピックもあります。アカウントの削除は、契約上の事項として利用規約に、保存期間と権利の事項としてプライバシーポリシーに含まれます。その場合は、それぞれの文書が自らの観点を扱い、内容を繰り返す代わりにもう一方へリンクします。プライバシー面の全体像は、プライバシーポリシーに含めるべき内容をご覧ください。

多くの場合、答えは「はい」です。この義務は契約法ではなくプライバシー関連法から生じるもので、Webサイトの規模ではなく、何を収集するかによって決まります。

• EUと英国：GDPRと英国GDPRの第13条と第14条は、個人データを収集する際に、事業者の身元、目的、法的根拠、提供先、保存期間、権利などの特定の情報を本人に提供するよう求めています。
• カリフォルニア州：CalOPPAは、カリフォルニア州の住民から個人を特定できる情報を収集する商用Webサイトやオンラインサービスの運営者に、プライバシーポリシーを目立つように掲載することを求めています。
• その他の地域：カナダ、ブラジル、オーストラリア、ニュージーランドにも、透明性や通知の義務を定めるプライバシー関連法がありますが、適用の基準や細部は異なります。
• アプリストア：AppleとGoogle Playはどちらも、開発者の所在地にかかわらず、配信するアプリにプライバシーポリシーのリンクを求めています。

お問い合わせフォーム、ニュースレターの登録、アクセス解析のスクリプトがあるだけでも、通常は個人データが処理されているため、どのルールにも当てはまらない現実のWebサイトはごくわずかです。詳しくはプライバシーポリシーは必要かとGDPRのプライバシーポリシー要件をお読みください。自分のプロジェクトに必要だと分かったら、利用者や審査担当者に求められるのを待たず、公開前にプライバシーポリシーを掲載しましょう。

通常、プライバシーポリシーと同じように一律に求められるわけではありません。すべてのWebサイトが利用規約を公開しなければならないという一般的なルールはありません。利用規約を公開するのは、契約が事業者を守るからです。誰がサービスを利用できるか、何をしてはいけないか、コンテンツの権利は誰にあるか、支払いと返金はどうなるか、紛争をどう扱うかを定められます。

ただし、法律上、実質的に利用規約に相当する情報が求められる重要な例外があります。

• EUと英国でのオンライン販売：販売者は、総額、撤回権、苦情処理など、契約前の特定の情報を消費者に提供し、契約条件を保存・再現できる形で提供しなければなりません。
• EUでのユーザーコンテンツ：利用者の投稿やアップロードをホストする多くのサイトを含む仲介サービスは、デジタルサービス法に基づき、コンテンツの制限とモデレーションについて利用規約に記載しなければなりません。
• 米国でのサブスクリプション：定期課金を行う事業者には、連邦法や州法による開示、同意、解約のルールが適用されます。

これらのいずれにも当てはまらない場合、利用規約は法的義務ではなく経営判断の問題ですが、通常は公開しておくのが賢明です。利用規約は必要かのガイドではそれぞれの条件を順に確認できます。また、利用規約作成ツールを使えば、回答から作成したドラフトを無料でプレビューできます。

読み手が異なるため、書き方も異なります。

プライバシーポリシーは、GDPR第12条の言葉を借りれば、簡潔で、透明性があり、理解しやすく、容易にアクセスできるものでなければなりません。規制当局は、記載内容が製品の実際の動作と一致しているかを確認するために読みます。アプリ審査担当者は、リンクが存在して機能するかを確認します。プライバシーを重視する利用者は、共有、広告、削除に関する記述を探して目を通します。どの記載も、どの処理者を利用しているか、データをどれだけの期間保存するか、権利をどう行使できるかなど、裏付けのある事実でなければなりません。

利用規約が主に読まれるのは、返金をめぐる紛争、アカウントの停止、著作権の申し立て、チャージバックなど、何か問題が起きたときです。EUと英国の消費者法は不明確な条項を消費者に有利に解釈するため、ここでも分かりやすさは重要です。ただし、利用規約ははっきりと主張してかまいません。制限を設け、権利を留保し、リスクを配分するものです。

実務上の結論として、マーケティングページの約束をどちらの文書にも書き写してはいけません。広告ピクセルを使っているのにデータを「決して共有しない」と書いたプライバシーポリシーや、途切れないサービスを約束する利用規約は、身を守るどころか不利な証拠になります。どちらの文書も、確認されることを前提とした、平易で事実に即した文体で書きましょう。

1つのページに掲載することはできますが、メリットはほとんどなく、避けられるはずの問題が3つ生じます。

1. 同意が絡み合います。GDPR第7条第2項は、他の事項も含む書面による宣言の中で同意を求める場合、その同意の要請を他の事項と明確に区別できるようにしなければならないと定めています。データに関する許諾を契約の中に埋もれさせると、有効な同意を示すことが難しくなります。
2. 契約の文言が通知に入り込みます。「当社が収集できることに同意します」のような表現は、プライバシーに関する情報が利用者と交渉する対象であるかのような印象を与えます。GDPRのもとでは、契約への同意は処理への同意と同じではなく、目的ごとに法的根拠を平易に説明する必要があります。
3. 更新がぶつかります。新しいアクセス解析ツールを追加したときには、全員に契約全体へ同意し直してもらうことなくプライバシーポリシーを更新する必要があるかもしれません。その逆も同様です。

よりすっきりした形は、相互に参照し合う2つの文書です。利用規約には個人データの取り扱いはプライバシーポリシーで説明すると記載し、プライバシーポリシーは独立した通知のままにします。登録時に利用者に両方を見せたい場合は、同意ボタンの横に2つの別々のリンクを表示し、同意の対象は利用規約だけであることを明確にしましょう。

掲載場所は役割に応じて決まります。

• 全ページのフッター：訪問者がいつでも見つけられるよう、両方の文書にリンクします。
• 登録と決済：契約を成立させる操作の横に利用規約を置き、「アカウントを作成すると利用規約に同意したものとみなされます」のような文言を添え、さらに情報としてプライバシーポリシーへのリンクを示します。
• データ収集の場面：お問い合わせフォーム、ニュースレターの登録、リード獲得フォームでは、データを収集するその場所でプライバシーポリシーにリンクします。
• アプリストア：プライバシーポリシーのURLはストア掲載情報の欄に入力します。Appleには使用許諾契約用の別の欄もあります。
• アプリ内：設定画面やアプリ情報画面から両方の文書にリンクします。

掲載場所は飾りではありません。米国の裁判所は、フッターにリンクがあるだけで利用者が合理的に気付ける状態になかった利用規約について、執行を認めなかったことがあります。そのため、利用規約をどこに表示するかは、それが誰かを拘束するかどうかに直接影響します。収集の時点で誰も見つけられないプライバシーポリシーも、サイトのどこかに存在していたとしても、その役目を果たしていません。掲載パターンの詳細は、プライバシーポリシーのリンクを置く場所をお読みください。

プライバシーポリシーと利用規約の矛盾は、たいてい別々の時期に別々のテンプレートから作成したことが原因です。一方ではアカウントは30日後に削除されると書き、もう一方では90日と書いている。一方ではデータを販売しないと書き、もう一方ではパートナーにユーザーコンテンツのライセンスを与えている、といった具合です。

より安全な作業手順は次のとおりです。

1. 事実を一度だけ洗い出します。収集するデータ、処理者、支払い経路、ユーザーコンテンツ、対象地域、年齢制限です。
2. それらの事実からプライバシーポリシーを作成または生成します。
3. 同じ事実から利用規約を作成または生成します。
4. 共通するトピックを照合します。削除、保存期間、連絡、ユーザーコンテンツ、第三者サービスです。
5. 明確な発効日を付けて両方を公開し、旧バージョンを保管します。

Legal Policy Generatorはこの方法に沿っています。平易な質問に答えると、プライバシーポリシーまたは利用規約のための、バージョン管理された決定論的な条項を組み立てます。実行時にAIが条項を書くことはありません。質問票と完全なプレビューはアカウントなしで無料で、シンプルなHTMLまたはPDFのダウンロードも無料です。地域別の高度なモジュールやオプションのモジュールは$5です。生成される文書は入力した事実を反映したものであり、法的助言ではありません。