ようやく『スマートフォン プライバシー イニシアティブ �供�SPI �供�』に目を通しました。
総務省がこのたびまとめた「スマートフォン安心安全強化戦略」の中で、スマートフォンにおける利用者情報に関する課題への対応にフォーカスし、昨年８月の『スマートフォン プライバシー イニシアティブ（SPI �機�』を踏襲して作成された文書がこの『SPI �供戞０娶�公募締切が8/2締め切りで、今は案段階ですが、『SPI �機戮料偉磴鮓�ると、ほぼこのまま採用されるかと思います。私と同様、なかなか読む気がしない方も多いかと思いますが、『SPI �機戮�及ぼした影響に鑑みると、�兇眩瓩瓩貌匹鵑蚤从�を検討した方がよいかと。
それでも読むのが面倒だというみなさんのために、以下ポイントをまとめてみます。
改訂版ではなく発展・応用編
『SPI �機戮魏�訂したものかと勝手に想像していたんですが、全然そうじゃなかったことに唖然。というか、だからVersion2と言わずに�兇世辰燭里�と合点。
全体の構成は
- 1章・2章で、昨年11月の『SPI �機戰螢蝓璽晃紊寮い涼罎糧娠�・流れをまとめ、
- 3章で、新たな発展的提案として、プライバシーポリシーの記載と技術的なアプリ挙動との整合性を第三者によって検証する必要性について述べ、
- 4章では事業者だけでなく、利用者側のリテラシー向上の必要性についても課題として取り上げ、
- 5章で諸外国プライバシー制度との比較を行う
1章・2章は参考までに
1章は、『SPI �機戮覗輒馨覆�提唱した内容やモデル案が各業界でも踏襲されスタンダードとなりつつあることを、総務省が自画自賛気味に（笑）まとめた章。その後に悪質なスマホアプリの情報収集の実態が例を挙げて説明されています。このあたりはご存知の方も多いと思いますので、軽く読み流していただいてよろしいのではと。
ただし、1点見逃せないのは、『利用規約の作り方』を共著していただいた我らが雨宮先生属するAZX法律事務所が、このSPI基準のプライバシーポリシー普及の立役者としてP10の脚注に取り上げられている点。これは大拍手ものですね！
2章では、プライバシーポリシーの掲示の方法について、事業者ごとに統一感がまだ無いことについて課題視する記述が印象的。日米の実情を比較し、GooglePlayやAppStore等アプリをダウンロードするサイト（『SPI �供戮任蓮屮▲廛螢院璽轡腑鹹鷆．汽ぅ函廚筺�GooglePlay紹介ページ」などと表現されている）にプライバシーポリシーを貼っていないことを問題視している点は、ちょっとケアをしておきたいところです。
実際、あそこにプライバシーポリシーを置いても見る人は少ないので、アプリ立ち上げ時に利用規約とともに確認するようなフローがあればアプリ内だけでもいいのではと思ったりもしますが、ダウンロード前にプライバシーポリシーを確認できた方がいいと言われればまあそうかな、とも思います。
一番の読みどころは3章
肝心なのは3章です。
解決すべき課題として、SPI基準のプライバシーポリシーを制定している企業が少ないことに加え、ユーザーがわかり得ない方法でスマホ内にあるパーソナルデータをかすめとるアプリが存在することを指摘しています。そして、これを無くしていくために、技術的な側面からも検証力をもった第三者機関によって、プライバシーポリシーの記載と技術的なアプリ挙動との整合性をチェックする必要性があると述べます。
さらに注目は、P47にまとめられた「検証の基準」でしょう。
以下�△慮‐擇隆霆爐砲�いて、「●」の事項はいわば必須項目であり、これらの項目が満たされている場合には、一定の信頼性あるアプリケーションということができる。一方、「・」の事項については推奨項目であり、これらが併せて満たされている場合は更に透明性や信頼性の高いアプリケーションであると考えられる。
最低ラインは大きな黒丸●、透明性を追求するなら小さな黒丸・の基準をめざせと、2つの基準が提示されたわけです。その上で
- 取得される利用者情報とサービス内容、目的の関係が示している（←「示されている」の誤字ですね）こと
- プライバシー性の高い情報（参考）を取得するアプリケーションの場合、個別に同意を取得していること
5章は外国法制度の調査の端緒として役立ちます
諸外国のプライバシー保護規制を整理・比較する５章も貴重な存在。1章につづき自画自賛気味なのはさておいて、米国・韓国等のスマホ先進国の取り組みを日本語でまとめてくれているのは、大変ありがたいです。こういう簡単なまとめで概略がつかめさえすれば、詳細はこちらで原典を探して調査できますんで。
たとえば、米国COPPAが今年の7月1日に改定されていて、写真や位置情報（以前から対象とされていた住所ではなく）の収集については保護者への通知・同意が要件として追加されている、というあたりの細かい情報は、お恥ずかしい話英語文献だけではフォローできていませんでした。これ、自分のまわりでもあまり話題になってないんですが、みなさん対応済みなんでしょうか？また、同ページにまとめられたEU個人データ保護指令→規則の流れなんかも、up to dateで助かります。
以上、ご紹介を省略した４章でも、事業者ばかりでなく利用者のリテラシーのなさにも課題ありという目線もあったりと、よく読むとSPI�気茲蠅盪訶世梁人佑機疹霾鵑領漫震�度の濃さいずれも盛り沢山な文書となっているSPI �供�ここで私が紹介しきれていない要素もあろうかと思いますので、ご自身のビジネスに関係ある人は早めにご一読の上、正式版がリリースされた暁にはフォローアップされることをおすすめします。
