プライバシーポリシーの作り方

プライバシーポリシーを作成するにあたり、法令に基づき遵守すべき個人情報保護法の中身について確認します。

個人情報の定義（法第２条第１項）

生存する特定の個人を識別できる情報で文章・図画及び電磁的記録に記載又は記録されているもの。又は音声、動作等により特定の個人を識別することができるもの。

具体例
本人の氏名、生年月日、連絡先（住所・居所・電話番号・メールアドレス）、会社における職位等所属に関する情報について本人の氏名と組み合わせた情報、防犯カメラ等に記録された本人と識別できる映像、官報・電話帳・職員録・法定開示書類・新聞・ホームページ・SNS等で公にされている特定の個人を識別できる情報など

個人識別符号（法第２条第２項）

※一部改正で追加
次の①及び②に該当する文字、番号、記号その他の符号のうち政令で定めるもの。
①　特定の個人の身体の一部の特徴を電子計算機の用に供するために変換した符号で特定の個人を識別できるもの。
②　個人に提供される役務の利用・個人に販売される商品の購入に関し割り当てられ発行される文章若しくは電磁的に記録された符号等で特定の個人を識別できるもの。

政令で定めるもの（政令第１条関係）
①DNA、顔認証データ、虹彩、声紋、歩行の態様、手指の静脈、指紋、掌紋など
②旅券番号、免許証番号、住民票コード、マイナンバーの番号、基礎年金番号、国民健康保険証番号など公的な機関が発行した符号など

要配慮個人情報（法第２条第３項）

※一部改正で追加
「要配慮個人情報」とは、本人の人種、信条、社会的身分、病歴、犯罪歴、犯罪被害の事実等により差別、偏見、不利益等が生じないよう特に配慮を要するものとして政令で定めたもの。

政令第２条
身体障害、知的障害、精神障害、健康診断の結果、医師の診断や調剤記録、逮捕・拘留・差し押さえ等刑事事件に関する記録、少年法に係る保護事件の記録

法文やガイドラインに目を通して、個人情報に該当する範囲が広く、そんなことまで該当するのかと思ったのが正直な感想でした。違和感を感じたのは、官報・有価証券報告書（法的開示書類）・新聞・ホームページSNSで公開されている情報でも個人情報に当たるとされている点です。自ら公開しておいて個人情報って？ と思ってしまうのですが、法令的に個人情報なんだそうです。

注目すべき点は、法第２条第２項第２号に定める個人識別符号に該当する範囲です。法文の文字面だけを読めば、IPアドレスやcookieが含まれるように読めますが、今のところ公的機関が発行した識別符号に限定されており、IPアドレスやcookieは個人情報に含まないという点です。

「今のところ」とした理由は、欧米諸国はIPアドレスやcookieは個人情報に該当するとしてこれらの取り扱いについて制限をかけているからです。

EU加盟国等においては、「欧州一般データ保護規則（GDPR）」を定め個人情報の取り扱いを厳格にしています。（※参照「欧州一般データ保護規則（GDPR）に対応するプラグイン」）GDPRの施行当初は、日本の関係法令はGDPRが求める個人情報の取り扱い水準に十分に達していないとしてGDPRの十分性認定を認められませんでした。。

しかし、個人情報保護法の一部改正を踏まえて、欧州委員会は日本に対してGDPRの十分性認定を与える決定をしました（2018年9月）。私のようにEU諸国と関わり合いのない個人や企業にとっては何ら影響を与えない決定ですが、EU諸国に支店や取り引きのある企業にとっては実務的な手続きが軽減されるとても大きな決定です。

先の述べたとおり、個人情報保護法では個人情報に該当しないIPアドレスやcookieですが、欧米諸国では個人情報として取り扱われています。今後、IPアドレスやcookieの取り扱いが世界標準に合わす流れになるやもしれません。

この点は頭の片隅に残しておいた方がいいと思います。