プライバシー関連法規プライバシー保護に関する手法・技法★★☆

Webサービスの会員登録画面で、取得した個人情報を提携先へ提供することについて 本人の同意を得たい。同意の取得の方法として、最も適切なものはどれか。

正解:

  1. 自社サイトでプライバシーポリシーを公表しておき、閲覧できる状態にしたことをもって同意とする。

    誤り。これは利用目的の公表であって、同意の取得ではありません。知らせる義務を 果たしただけで、本人が認めたかどうかは分からないままです。伝えることと、 本人が意思を示すことは別の行為です。

  2. 利用規約の末尾に提供することを記載しておき、登録が完了した時点で同意したものとみなす。

    誤り。長い規約の末尾に紛れ込ませると、本人がその内容を認識したとはいえません。 同意は、何をどこへ提供するのかを本人が分かる形で示したうえで得る必要があります。 「書いてあった」は認識したことの証明になりません。

  3. 同意欄に初めからチェックを入れておき、本人が外さなかった場合は同意したものとみなす。

    誤り。これはオプトアウトに近い作りで、本人が自ら意思を示したとは言いにくい方法です。 同意は本人が積極的に応じる意思表示なので、初期状態で同意済みにしておく設計は 同意の取得としては適切ではありません。

  4. 提供先と提供する項目を登録画面に明示し、本人が内容を確認したうえで同意ボタンを押させる。

    正解。同意とは、本人が取扱いの内容を認識したうえで「それでよい」と示す意思表示で、 事業者がそれを認識できる必要があります。画面に明示してからボタンを押してもらう形なら、 認識と意思表示の両方がそろいます。

同意は「伝えた」ではなく「本人が応じた」

個人情報保護法でいう本人の同意とは、本人が取扱いの内容を認識したうえで、それを認める 意思を示すことです。そして事業者側が、その意思表示を受け取ったと分かる状態になって 初めて同意を得たことになります。片方が伝えただけでは成立しません。

有効な同意にそろえるべき2つ

  • 認識できること … 誰に、どんな項目を、何のために提供するのかが、本人に分かる形で 示されている。規約の末尾に埋めたり、リンク先の奥に置いたりすると認識したとは言えない
  • 意思表示があること … 同意ボタンを押す、同意欄にチェックを入れる、書面に署名するなど、 本人の側から動く行為があること

初期状態でチェックを入れておく方式は、本人が何もしなくても同意した扱いになるため、 「本人が応じた」といえるかが疑わしくなります。同意を取るなら、本人に動いてもらう 設計にするのが基本です。

混同しやすいものとの違い

行為 何をしているか
同意の取得 内容を示し、本人から認める意思表示を受け取る
利用目的の通知・公表 使い道を知らせる義務を果たす。同意ではない
オプトアウト 断る機会を渡す仕組み。同意は取っていない

「公表したから同意を得た」という言い回しが選択肢に出てきたら、まず疑ってください。 公表は事業者が一方的に行う行為であり、本人の意思は何も表れていません。

次の問題へ