インターネットイニシアティブ（IIJ）は6月24日、「日本企業が英語サイト公開時に留意すべき海外のプライバシー保護・クッキー規制とは」と題したウェビナーを開催した。第一部では森・濱田松本法律事務所外国法共同事業パートナー、弁護士・ニューヨーク州弁護士で慶應義塾大学大学院法学研究科特任教授（非常勤）の田中浩之氏が「グローバルデータ保護法対応のTO DOポイント ～グローバルプライバシーポリシーとクッキー管理を中心に～」と題して解説した。第二部ではIIJビジネスリスクコンサルティング本部の加藤博一氏が、グローバルサイトでクッキーバナーを利用する際の注意点を紹介した。
共通のグローバルプライバシーポリシーに個別対応を追加
田中氏は第一部で、世界各国の個人情報保護制度を紹介した。欧州ではEUのGDPR（一般データ保護規則）が欧州経済領域（EEA）内に統一的に適用されており、EUを離脱した英国でもEUのGDPRをもとにした法制が整備されている。米国には連邦法としての包括的なデータ保護法が存在せず、医療・子供関連などの分野別連邦法と、包括的・分野別の州法でデータ保護が行われている。アジア諸国やロシア・ブラジルなどにもそれぞれ異なる規制が設けられているという。
すべての国について個別に一から対応するのは時間・費用・人員の負担が大きく、国ごとに管理も分断されてしまう。一方で、各国ごとに異なる法制度に対応できる基準を一本化するのも難しい。そこで、グローバルで共通するひな形を作成したうえで、各国ごとの規制に対応する項目を別紙として追加したり、ひな形を修正したりする方法で法域ごとの要求に対応する「グローバルプライバシーポリシー」の作成という考え方が示された。
グローバルポリシー本体と別紙の構成を採る場合、個別対応する法域の優先順位や対応範囲は、重要拠点の有無や当該法域の規制の厳しさ、そこで扱うデータの性質などに基づくリスクベースドアプローチで決定する。グループ企業全体でポリシーを統一するか、グループ内の各社ごとに作成するかについては、田中氏は「いずれもあり得る」と指摘。統一することで管理上のメリットはあるものの、そのためには各社の個人情報処理に共通性があり、各社で統一ポリシーに従った管理が可能でなければならないと注意点を挙げた。
本体に盛り込む要素と別紙に分ける要素
ある要素をグローバルプライバシーポリシーに盛り込むか別紙対応とするかは、基本的に各国で要求されることが多い項目は本体に、そうでないものは別紙にするという判断になる。ただし、グローバルプライバシーポリシーに含めた項目は規制が厳しくない国にも適用されることになる。逆に盛り込む項目を最小限にすると本体の内容がほとんどなくなってしまう。
適用対象事業者や適用場面、利用目的、共有先、その他の一般的な定めは共通のものとしてグローバルプライバシーポリシーに記載することが考えられる。一方、さまざまな法的根拠や各国の法に特有の要求事項は共通化が難しく、別紙などでの対応が妥当となる。現地語でサービスを提供する場合は、利用者が理解できる言語でポリシーを示すことが基本だ。プライバシーポリシーへの同意も法域によって位置付けが異なるため、法的に同意が必要な場面と、内容を確認したことを示す場面を区別して設計する必要があるという。
国・地域で異なるクッキー規制にCMPで対応
クッキーの利用に関する規制も、国・地域によって考え方が異なる。欧州では、通信に不可欠なものなどの例外を除き、原則として事前のオプトイン同意が必要だ。利用者が同意する前に解析・広告用クッキーを動作させないこと、同意と拒否を同程度に選びやすくすること、同意を後から撤回できるようにすることが求められる。
米国カリフォルニア州の州法であるCCPA（カリフォルニア州消費者プライバシー法）でも、個人情報の「販売」「共有」にあたる利用について、原則としてオプトアウトの機会を提供する必要がある。16歳未満の未成年者についてはオプトイン方式の規制が設けられている。日本では、電気通信事業法の令和4年改正で外部送信規律が導入されたが、欧州に比べると相当緩やかな規制となっている。
最も厳しい欧州基準を全世界に一律適用する方法もある。だが、IPアドレスなどによりユーザーの所在地を判別し、クッキー同意管理ツール（CMP）を用いてアクセス元に応じて、欧州向けはオプトイン型、米国向けはオプトアウト型、日本向けは情報提供を中心とする形と、法域別に表示と制御を切り替える方法が現実的だという。クッキーポリシーとバナー上の説明、実際のタグ制御が一致していなければ法対応として不十分となり、利用者の信頼も損ないかねない点に注意が必要とされた。
IIJのCMP「STRIGHT」によるクッキーバナー管理
第二部では、加藤氏がIIJの自社開発CMP「STRIGHT」を例に、その機能と必要性を解説した。CMPはウェブサイトなどにおいて、クッキーや類似トラッキング技術の利用についてユーザーの同意を取得・管理・反映するための仕組みだ。利用者向けインタフェースとして一般的に用いられるクッキーバナーでは、各国法規制で求められる情報提供に加え、同意の取得・記録・技術的制御などを行う。
加藤氏は欧州、英国、米国カリフォルニア州などにおけるクッキー規制の内容と、それに対応したクッキーバナーの実装例を紹介。日本国内で令和4年改正電気通信事業法により求められる対応や、個人情報保護法の令和8年改正案で想定される対応についても解説した。
さらに、同意・拒否の操作が機能しない、拒否してもタグが停止しないといった法的要件を満たしていないものを不適切な「なんちゃってクッキーバナー」として紹介。ダークパターンもクッキーバナーの不適切な例として挙げた。クッキーバナーの形態や同意モデルによる拒否率の違い、英語サイトを公開すると海外法の適用対象になるのかといった点にも触れた。
そのうえで、Webサイトにおけるクッキーの利用についてユーザーに不信感を与える設計や説明になっていないかを簡易的に診断する無料サービスを提供していることや、クッキーバナーやCMPの基本を学べるSTRIGHTのハンズオンセミナーを開催していることを紹介し、ウェビナーは終了した。
