プライバシーポリシーがないとどうなるのか

ポリシーなしでデータを収集していたことに気づいたら、慌てずに順序立てて対応しましょう。

1. 個人情報に関わるすべてのフォーム、アカウント機能、アクセス解析や広告のタグ、SDK、委託先を棚卸しする
2. 利用者に応じて必要な地域別セクションも含め、それらの事実を正確に説明するポリシーを作成する
3. 同意が必要なCookieやトラッカーが利用者の同意前に動作していないか、同意の設定を確認する
4. ポリシーを変わらないURLで公開し、フッター、フォーム、アプリの設定画面、ストアの掲載情報からリンクする
5. App Store、Google Play、その他のプラットフォームの掲載情報を新しいリンクで更新する
6. 施行日を設定し、今後の版を追跡できるようアーカイブを保管する
7. センシティブなデータや子どものデータを扱う場合、苦情を受けた場合、規制当局から連絡があった場合は、法的助言を受ける

各ステップはプライバシーポリシーの書き方のガイドで詳しく解説しています。すぐに始めたい場合は、プライバシーポリシー作成ツールが同じ棚卸しを案内し、アカウントなしで完全なポリシーを無料でプレビューできます。

世界共通の単一の法律はありませんが、オンラインで個人情報を収集するなら、ほぼ確実に少なくとも1つのルールが適用されます。主なものは次のとおりです。

• GDPRとUK GDPR：EUや英国に拠点を置く組織と、域外からそこにいる人々に商品やサービスを提供したり、その行動を監視したりする組織に適用されます。第13条と第14条は、データ収集時に特定の情報を提供することを求めています。
• CalOPPA：カリフォルニア州の住民から個人を特定できる情報を収集する商用Webサイトやオンラインサービスのすべての運営者に、プライバシーポリシーを目立つ形で掲載することを求めており、売上の基準はありません。
• CCPA：2025年1月1日からの調整後で年間総収入が$26,625,000を超えるなど、いずれかの基準を満たす営利事業者に詳細なプライバシーポリシーを求めています。
• その他の米国の州とCOPPA：多くの州に包括的なプライバシー法があり、COPPAは13歳未満の子どもを対象とするサービスにオンラインでの通知を求めています。
• カナダ、ブラジル、オーストラリア、ニュージーランド：PIPEDA、LGPD、オーストラリアとニュージーランドのPrivacy Actは、いずれも個人情報の取扱いについての公開性を求めています。

プライバシーポリシーは必要かのガイドでは、状況ごとにさらに詳しく解説しています。

はい。そしてこれは、多くの場合デベロッパーが直面する最初の結果です。AppleのApp Reviewガイドライン5.1.1(i)は、すべてのアプリがApp Store Connectのメタデータ欄と、アプリ内の容易にアクセスできる場所にプライバシーポリシーへのリンクを含めなければならないと定めています。Google Playのユーザーデータに関するポリシーは、すべてのアプリがPlay Consoleとアプリ内にプライバシーポリシーのリンクを掲載しなければならないとしており、個人情報やセンシティブなユーザーデータに一切アクセスしないアプリでも提出が必要です。

ポリシーがなければ、新規の提出は却下される可能性が高く、既存のアプリも後の審査で措置を受けることがあります。Google Playの措置には却下、削除、停止が含まれ、重大な違反や繰り返しの違反はデベロッパーアカウント自体を危険にさらしかねません。ポリシーは、提出するプライバシーラベルやデータセーフティのフォームとも一致している必要があります。

モバイルアプリを公開する場合は、Google PlayのプライバシーポリシーとApple App Storeのプライバシーポリシーのガイドで、各ストアの具体的な要件を確認できます。

利用しているツールの多くは、プライバシーポリシーを利用の契約上の条件としています。たとえばGoogleアナリティクスの利用規約では、Cookie、モバイル識別子、またはそれに類する技術の使用を開示したプライバシーポリシーを掲載し、Googleアナリティクスの使用と、それがデータをどう収集・処理するかを開示することが求められます。広告プログラムでもCookieや広告のパーソナライズについて同様の開示が一般的に求められ、メール配信サービスは送信者に購読者データの使い方を説明することを期待しています。

提供元の規約に違反すると、提供元は通常、その規約に基づいてアクセスを制限、停止、終了できます。広告収入やマーケティングリストに依存している事業にとって、アカウントを失うことは規制当局からの書簡より大きな打撃になりえます。聴聞の機会もなく実行され、元に戻すのに時間がかかることがあるからです。

対処法は簡単です。利用している各ツールを、その規約が求める形でポリシーに開示しましょう。GoogleアナリティクスのプライバシーポリシーとAdSenseのプライバシーポリシーの要件に関するガイドで、各提供元が求める記載のトピックを紹介しています。

すべての影響が規制当局から来るわけではありません。法人顧客は、調達手続きやベンダーのセキュリティ審査の際に、日常的にプライバシーポリシーの提出を求めます。ポリシーがない、あるいは明らかに製品を説明していないポリシーだと、疑問が生じて商談が遅れたり止まったりします。自らもプライバシーに関する義務を負う大口顧客では特にそうです。

ほかにも、見落としがちな実務上の影響があります。

• Googleでのログインやブラウザ拡張機能のストアなど、パートナーや連携のプログラムでは、承認前にポリシーのURLが求められることが多い
• 決済、メール、マーケティングの提供元は、加盟店が顧客データの取扱いを説明することを期待している
• 投資家や買収企業はデューデリジェンスの際にプライバシー関連の文書を確認する
• 利用者は、メールアドレスやカード番号を渡す前にプライバシーのリンクを探すことが増えている

どれも制裁金を伴うものではありませんが、それぞれが、正確なポリシーを公開するのに必要な時間よりも大きな損失や遅れをもたらしかねません。明確で誠実なポリシーは、サイトのすべてのページでさりげなく信頼を示すサインにもなります。

GDPRは透明性を中核的な義務として扱っています。第83条(5)の下では、利用者に提供すべき情報を含む、第12条から第22条のデータ主体の権利に関する規定への違反に対し、最大2,000万ユーロまたは前会計年度の全世界年間売上高の4%のいずれか高いほうの行政制裁金が科されることがあります。UK GDPRでは、これに相当する上限を1,750万ポンドまたは4%としています。

これらは上限であり、出発点ではありません。第83条(2)は、違反の性質、重大性、期間、影響を受けた人数、故意か過失か、被害を軽減するために取った措置、組織の協力度を当局が考慮することを求めています。制裁金は効果的で、比例的で、抑止力のあるものでなければなりません。

制裁金だけが手段でもありません。第58条の下で、監督機関は警告や戒告を発し、処理をGDPRに適合させるよう命じ、関係する人々に情報を伝えるよう命じ、禁止を含む処理の一時的または確定的な制限を課すことができます。小規模事業者にとっては、理論上の最大制裁金よりも、マーケティング施策の停止命令のほうが大きな意味を持つことがあります。

カリフォルニア州には重なり合う2つの制度があります。CCPAは、カリフォルニア州で事業を行い、年間総収入が$26,625,000を超える、100,000以上の消費者または世帯の個人情報を購入・販売・共有する、年間収入の少なくとも半分を個人情報の販売・共有から得る、といった基準のいずれかを満たす営利事業者に適用されます。カリフォルニア州プライバシー保護庁（CPPA）が発表した2025年1月の調整後、行政制裁金と民事罰は違反1件あたり$2,663、または故意の違反1件あたり$7,988に達することがあり、事業者が16歳未満と知っている消費者の個人情報に関わる違反も後者の対象です。同庁は行政手続きで執行し、州司法長官は民事訴訟を提起できます。

CalOPPAには規模の基準がありません。運営者は、不遵守の通知を受けてから30日以内に適合したポリシーを掲載しない場合に違反となります。CalOPPA自体には罰金額の定めはありませんが、違反はカリフォルニア州の不正競争防止法に基づいて追及されることがあり、ビジネス・職業法第17206条により民事罰は違反1件あたり$2,500に達することがあります。

違反1件あたりの金額は、利用者ごとやダウンロードごとに数えられると、すぐに膨らみます。カリフォルニア州向けの開示に何を含めるべきかは、CCPA・CPRAガイドで解説しています。

米国には、すべての事業者にプライバシーポリシーの公開を義務付ける一般的な連邦法はありません。しかし、連邦取引委員会法は商取引における不公正または欺瞞的な行為・慣行を禁止しており、FTCは長年にわたり、プライバシーに関する記述が誤解を招くものだった企業や、自ら約束したことに反する取扱いをした企業に対してこの権限を行使してきました。和解では、プライバシープログラム、独立した評価、報告などの長期的な義務が課されることが多く、FTCの命令に違反すると民事罰が科されることがあります。

子ども向けサービスには、より厳しいルールがあります。COPPA規則は、13歳未満の子どもを対象とするWebサイトやオンラインサービスの運営者、またはそうした子どもから個人情報を収集していることを実際に知っている運営者に、オンラインでのプライバシー通知の掲載と、検証可能な保護者の同意の取得を求めています。FTCのCOPPAガイダンスによると、裁判所は違反者に違反1件あたり最大$53,088の民事罰を科すことができ、この金額はインフレに応じて調整されます。

教訓は、沈黙も不正確さもリスクを伴うということです。取扱いが不公正であれば、ポリシーがないことでFTCの監視を免れることはできず、誤った内容のポリシーはそれ自体が欺瞞の問題を生みます。

利用者がこれらの国にいる場合、その国の法律もデータの取扱いについての公開性を求めています。

• カナダ：PIPEDAの公開性の原則は、組織が自らの方針と実務に関する情報を容易に入手できるようにすることを求めています。プライバシー・コミッショナー事務局が苦情を調査し、ケベック州のLaw 25は独自の公表義務を追加しています。
• ブラジル：LGPDは、処理に関する明確な情報を得る権利を人々に与えています。制裁には警告や、ブラジル国内売上高の最大2%、1件の違反につき上限R$5,000万の制裁金が含まれます。
• オーストラリア：Privacy Actの対象となる事業体（一般に年間売上高がA$300万を超える事業者と一部の小規模事業者）は、APP 1に基づき、明確に表現された最新のプライバシーポリシーを備えなければなりません。OAICは調査を行い、重大なプライバシー侵害について民事罰を求めることができます。
• ニュージーランド：Privacy Act 2020は、収集について人々に知らせることを機関に求めており、プライバシー・コミッショナーは苦情を調査し、遵守通知を発することができます。

詳細は国によって異なるため、対象とする各国についてプライバシー法のハブを確認しましょう。