プライバシーポリシーの在り方等に関する質問主意書

かつて経済産業省が公表していた「個人情報の保護に関する法律についての経済産業分野を対象とするガイドライン」（以下、「経産ガイドライン」という）には、事業者がプライバシーポリシーに盛り込むべき事項等が具体的に記載されていた（該当箇所は経産ガイドライン六十七頁以下）。しかし、経産ガイドラインは改正個人情報保護法の全面施行日（平成二十九年五月三十日）をもって廃止となっている。これは、改正個人情報保護法の全面施行日以降、それまでの各省庁のガイドラインは、原則として個人情報保護委員会が定めるガイドライン（「個人情報の保護に関する法律についてのガイドライン（通則編）」他三編。以下、「新ガイドライン」という）に一元化されることになるため、廃止されたものと説明がなされている（経済産業省ホームページ）。

改正個人情報保護法第十八条においては、「取得に際しての利用目的の通知等」について定められ、また、新ガイドラインにおいても、「利用目的の通知又は公表」についての定めがあることは承知している。しかしながら、新ガイドラインには、廃止された経産ガイドラインのように、プライバシーポリシーに盛り込むべき具体的内容等については記載がない。

以上を前提に以下質問する。

一　経産ガイドラインにおいてプライバシーポリシーに盛り込むべき内容が具体的に記載されていたにもかかわらず、新ガイドラインにおいては記載しないこととした理由はなにか。

二　プライバシーポリシーの記載内容や表示方法については、より消費者の理解の助けとなる記載内容や表示方法について、今後、ガイドライン等で具体的な記載内容等を示すべきと考えるが、政府の見解はどうか。

三　株式会社マクロミルは、二〇一七年五月に、インターネットリサーチの方法で全国の二十歳から六十九歳の男女千人を対象に個人情報に対する認識や意識の調査を実施した。調査において、会員登録などで個人情報を入力する際に、プライバシーポリシーの有無を確認しているか聞いたところ、「必ず確認する」は十二％であり、「確認する方が多い」の四十五％と合わせても五十七％と、四割強はあまり意識していない様子がうかがえる結果となった。また、プライバシーポリシーの内容を読むか否かを確認したところ、「隅々まで読む」はわずか五％で、「ざっと目を通す程度」が最も多く五十六％であったとのことである。この調査結果から、消費者の多くはプライバシーポリシーを読んでいないか、十分に理解していない人が多いことが明らかであり、現状のプライバシーポリシーによる同意の取得は機能不全に陥っているとも思われる。

このため、消費者が読まずにまたは理解することができずにプライバシーポリシーに形式的に同意し、消費者が自身の知らぬ間にパーソナルデータを提供しているという現状が生じているものと思われるが政府の見解はどうか。

また、その対策として、同意取得の際に企業側に特定の文章や個人情報の扱いの具体例を表示することを義務付けるなどの方策が考えられるが、政府の見解はどうか。

四　今日、利用者が多いサービスにおいては、日常生活においてそのサービスを利用しないことが難しい状況にもなってきている。さらに、これから社会全体のＩＣＴ化が進むにつれて、そういった状況は増大していくものと予想される。そのようななか、プライバシーポリシーの全てに同意しないとサービスの提供を受けられないとすれば、実質的に、消費者はプライバシーポリシーに同意せざるを得ない状況に置かれてしまうことになる。

この点に対応するため、事業者が提供するサービスの設計上、パーソナルデータを取得・利用しなくてもサービスの提供が可能な場合には、プライバシーポリシーの一部または全部に同意しなくてもサービスを利用できるようにすることを事業者に推奨または義務付けることも、個人情報保護政策として検討に値すると思われるが、政府の見解はどうか。

右質問する。

一及び二について

個人情報の保護に関する法律及び行政手続における特定の個人を識別するための番号の利用等に関する法律の一部を改正する法律（平成二十七年法律第六十五号）第二条の規定による改正後の個人情報の保護に関する法律（平成十五年法律第五十七号）においては、主務大臣に代わり、個人情報保護委員会が同法第二条第五項に規定する個人情報取扱事業者（以下「個人情報取扱事業者」という。）における個人情報の取扱いに関し一元的に監督することとなったところであり、個人情報の保護に関する基本方針（平成十六年四月二日閣議決定）において、「個人情報取扱事業者は、法の規定に従うほか、２の（２）の�@の個人情報保護委員会のガイドライン、認定個人情報保護団体の個人情報保護指針等に則し、例えば、消費者の権利利益を一層保護する観点から、個人情報保護を推進する上での考え方や方針（いわゆる、プライバシーポリシー、プライバシーステートメント等）を対外的に明確化するなど、個人情報の保護及び適正かつ効果的な活用について主体的に取り組むことが期待されているところであり、体制の整備等に積極的に取り組んでいくことが求められている。その際、事業の規模及び性質、個人データの取扱状況等に応じて、各事業者において適切な取組が実施されることが重要である。」と定めていることを踏まえ、いわゆる「プライバシーポリシー」等について、御指摘のように「ガイドライン等で具体的な記載内容等を示すべき」とは考えていない。

三について

御指摘の「株式会社マクロミル」による「個人情報に対する認識や意識の調査」の結果を前提としたお尋ねについて、政府としてお答えすることは差し控えたい。

四について

御指摘の「事業者が提供するサービスの設計上、パーソナルデータを取得・利用しなくてもサービスの提供が可能な場合」が具体的にどのような場合を指すのか必ずしも明らかではないが、いわゆる「プライバシーポリシー」等の内容については、個人情報取扱事業者において適切に判断されるべきものと考えている。