企業法務マンサバイバル : ショートフォーム

　
米国商務省電気通信情報局（NTIA）が、スマホアプリ事業者向けのガイドラインとなる"SHORT FORM NOTICE CODE OF CONDUCT TO PROMOTE TRANSPARENCY IN MOBILE APP PRACTICES"のドラフトを出した件が、アメリカのいくつかのメディアで取り上げられています。

▼US telecom agency issues draft mobile app code of conduct with guidelines for user data collection (The Next Web)

The US government’s National Telecommunications and Information Administration today issued its first draft of what will be a mobile apps code of conduct intended to better protect consumers and their privacy. If made final, policy states that publishers must provide consumers with “short-form” notices in multiple languages informing them of how their data is being used.

アプリビジネスにおいてプライバシー情報の不正な取り扱いが行われないよう、プライバシー保護の透明性をこの“ショートフォーム“を作らせて事業者に表明させようとするこのアメリカの動き。アプリマーケットは結局グローバルにつながっているわけですから、いずれ日本のアプリ事業者にも影響を及ぼすことになるのではと思います。英語は読みやすく一読すればわかる文章になっていますので、特に解説の必要もないかもしれませんが、自分自身の理解と整理がてらメモを作ってみました。

何を収集し、誰に個人特定情報をシェアするのかを具体的に

I. Preamble: Principles Underlying the Code of Conductに、ジャブ気味に、

When appropriate, some app developers may elect to offer short form notice in multiple languages.

と多言語対応の必要性にふれられているのを横目にスルーしつつ（苦笑）、NTIAが設置を推奨する“ショートフォーム”には何を入れればいよいのかを見てみると、以下の４つであるとII. Short Form Noticesの項で規定されています。

(a) the collection of types of data listed in Section II.A whether or not consumers know that it is being collected;
(b) a means of accessing a long form privacy policy, if any exists;
(c) the sharing of user-specific data, if any, with thirdparties listed in Section II.B as defined below; and
(d) the identity of the entity providing the app.

(b)はロングフォーム、すなわちプライバシーポリシー本文へのリンクがあればそれを明示しろというだけですし、(d)はアプリを提供している責任主体（法人なら社名と住所ってあたりでしょう）を特定せよというだけのこと。問題は、(a)どんな情報を収集し、(c)集めた情報の中の個人特定情報（user-specific data）を誰に提供するのかを書け、という２点。しかしこの２点については、ちゃんと明示すべき事項がリストとしてはっきり書いてあるのがわかりやすい！この辺が、断定的にものを言わない日本の総務省・経産省との違いかもしれません。

まず(a)どんな情報を収集しているかについて、Section II.Aには、以下の情報を収集している場合には、それをショートフォームに書きましょう、と規定されています。

Biometrics (information about your body,including fingerprints,facial recognition, signatures and/or voiceprint.)
Browser History(a list of websites visited)
Phone or Text Log (a list of the calls or texts made or received.)
Contacts (including list of contacts, socialnetworking connections or their phonenumbers, postal, email and text addresses)
Financial Info (includes credit, bank and consumer-specific financial information such as transaction data.)
Health, Medical or TherapyInfo(including healthclaims and other information used to measure health or wellness.)
Location(precise past or current location of where a user has gone.)
User Files (files stored on the device that contain your content, such as calendar, photos, text, or video.)

なお、上記のリストに該当するデータであっても、ユーザーがオープンフィールドに自分で能動的に書き込んだような場合や、in-app purchaseである意味受動的に課金情報が収集される場合については、いちいちショートフォームを見せる必要はない、という補足説明がついています。

そうして集めた情報の中に、(C)の個人を特定する情報（user-specific data）があった場合で、かつ以下のような第三者に渡すのであれば、そのことをショートフォームに明示しましょうと、Section II.Bに規定されています。

Ad Networks (Companies that display ads to you through apps.)
Carriers (Companies that provide mobile connections.)
Consumer Data Resellers (Companies that sell consumer information to other companies for multiple purposes including offering products and services that may interest you.)
Data Analytics Providers (Companies that collect and analyze your data.)
Government Entities (Any sharing with the government except where required by law or expressly permitted in an emergency.)
Operating Systems and Platforms (Software companies that power your device, app stores, and companies that provide common tools and information for apps about app consumers.)
Other Apps (Other apps of companies that the consumer may not have a relationship with.)
Social Networks (Companies that connect individuals around common interests and facilitate sharing.)

この中で注意したいのは、下から３つ目のOS・プラットフォーム事業者でしょうか。日本でも、アドネットワークやSNSへのシェアについて言及するプライバシーポリシーも出て来ましたが、これはちょっと盲点だったかもしれませんね。

つづくSection II.Cには、例外規定として、ほとんどのアプリで必要不可欠な情報や法律上の要請に基づく情報については上記A/Bに該当しても対象外である旨が規定されています。

その他、III. Short Form Design Elementsでは、ショートフォームの表示上の留意点がいくつか列挙されています。デバイスの特性に応じた表示を認めながらも、フォントサイズを小さくしたり、上記Ⅱ.A/Bを一覧表示しなかったり、アクセスがしにくい場所に置いたりすることのないようにという、常識的ではあるけれども結構細かな注意があります。

予想はハズれましたが…

日本でも今年の５月、経産省のパーソナルデータWGで、崎村先生がこのショートフォームにかなり近いアイデアである「情報共有ラベル」の導入を提唱されていました。さらに最近では、スマートフォンプライバシーイニシアティブⅡにおいて、「（アプリプライバシーポリシーの）概要版を作成・公表していること」が推奨事項として定められていたのは、記憶に新しいところです。私の中では、そういったものはアイデアとしてはいいが、しかし実際に作るとなると、省略した表現とプライバシーポリシー本体との齟齬が生じないかという不安が先立ち、そういう流れにはならないんじゃないかと予想していましたが（そしてブログにもそんなことを書いていましたが）、この予想が全くハズれた形となりました（恥）。

一方で、この文書が、まさに私が不安を感じていた「ショートフォームには書くべきことは何か、逆に書かなくてよいことは何か」を明らかにしてくれましたので、ここは心機一転前向きにそのショートフォームとやらを作ってやろう、という気になっております。事業者を動かすには、事業者がどうしたらいいかわからなくて困っていることを、現実的なラインでさっさと文字にしてくれるのが一番助かりますね。現時点ではまだドラフトではあるものの、これが揉まれて確定版になるころには、私もショートフォームの具体案を完成させたいと思っています。

今まさに国内でも、パーソナルデータ論やSPI Ⅱがじわじわと浸透しつつあるところ。もしかするとその浸透を待たずに、こういった外国のガイドラインがアプリ競争のグローバル化にさらされることによって、日本のアプリ事業者のプライバシーの透明度が否が応にも高まっていく、という展開もありそうです。
　