企業法務マンサバイバル : スマートフォンプライバシーイニシアティブ

　
ようやく『スマートフォンプライバシーイニシアティブ　Ⅱ（SPI Ⅱ）』に目を通しました。

総務省がこのたびまとめた「スマートフォン安心安全強化戦略」の中で、スマートフォンにおける利用者情報に関する課題への対応にフォーカスし、昨年８月の『スマートフォンプライバシーイニシアティブ（SPI Ⅰ）』を踏襲して作成された文書がこの『SPI Ⅱ』。意見公募締切が8/2締め切りで、今は案段階ですが、『SPI Ⅰ』の前例を見ると、ほぼこのまま採用されるかと思います。私と同様、なかなか読む気がしない方も多いかと思いますが、『SPI Ⅰ』が及ぼした影響に鑑みると、Ⅱも早めに読んで対策を検討した方がよいかと。

それでも読むのが面倒だというみなさんのために、以下ポイントをまとめてみます。

改訂版ではなく発展・応用編

『SPI Ⅰ』を改訂したものかと勝手に想像していたんですが、全然そうじゃなかったことに唖然。というか、だからVersion2と言わずにⅡだったのかと合点。

全体の構成は

1章・2章で、昨年11月の『SPI Ⅰ』リリース後の世の中の反応・流れをまとめ、
3章で、新たな発展的提案として、プライバシーポリシーの記載と技術的なアプリ挙動との整合性を第三者によって検証する必要性について述べ、
4章では事業者だけでなく、利用者側のリテラシー向上の必要性についても課題として取り上げ、
5章で諸外国プライバシー制度との比較を行う

ものとなっています。

1章・2章は参考までに

1章は、『SPI Ⅰ』で総務省が提唱した内容やモデル案が各業界でも踏襲されスタンダードとなりつつあることを、総務省が自画自賛気味に（笑）まとめた章。その後に悪質なスマホアプリの情報収集の実態が例を挙げて説明されています。このあたりはご存知の方も多いと思いますので、軽く読み流していただいてよろしいのではと。

ただし、1点見逃せないのは、『利用規約の作り方』を共著していただいた我らが雨宮先生属するAZX法律事務所が、このSPI基準のプライバシーポリシー普及の立役者としてP10の脚注に取り上げられている点。これは大拍手ものですね！

2章では、プライバシーポリシーの掲示の方法について、事業者ごとに統一感がまだ無いことについて課題視する記述が印象的。日米の実情を比較し、GooglePlayやAppStore等アプリをダウンロードするサイト（『SPI Ⅱ』では「アプリケーション提供サイト」や「GooglePlay紹介ページ」などと表現されている）にプライバシーポリシーを貼っていないことを問題視している点は、ちょっとケアをしておきたいところです。

実際、あそこにプライバシーポリシーを置いても見る人は少ないので、アプリ立ち上げ時に利用規約とともに確認するようなフローがあればアプリ内だけでもいいのではと思ったりもしますが、ダウンロード前にプライバシーポリシーを確認できた方がいいと言われればまあそうかな、とも思います。

一番の読みどころは3章

肝心なのは3章です。

解決すべき課題として、SPI基準のプライバシーポリシーを制定している企業が少ないことに加え、ユーザーがわかり得ない方法でスマホ内にあるパーソナルデータをかすめとるアプリが存在することを指摘しています。そして、これを無くしていくために、技術的な側面からも検証力をもった第三者機関によって、プライバシーポリシーの記載と技術的なアプリ挙動との整合性をチェックする必要性があると述べます。

さらに注目は、P47にまとめられた「検証の基準」でしょう。

以下②の検証の基準において、「●」の事項はいわば必須項目であり、これらの項目が満たされている場合には、一定の信頼性あるアプリケーションということができる。一方、「・」の事項については推奨項目であり、これらが併せて満たされている場合は更に透明性や信頼性の高いアプリケーションであると考えられる。

最低ラインは大きな黒丸●、透明性を追求するなら小さな黒丸・の基準をめざせと、2つの基準が提示されたわけです。その上で取得される利用者情報とサービス内容、目的の関係が示している（←「示されている」の誤字ですね）こと

プライバシー性の高い情報（参考）を取得するアプリケーションの場合、個別に同意を取得していること
が最低ラインと明確に位置づけられたのは、実際まだまだ日本の実情はそうはなっていないだけに、影響が大きい点かと思います。また後者は、個別同意の「個別」とはどのレベルか、常に個別同意がユーザービリティの観点からも本当に現実的なのかといったところが、事業者からもっとも意見が寄せられそうな箇所ですね。

5章は外国法制度の調査の端緒として役立ちます

諸外国のプライバシー保護規制を整理・比較する５章も貴重な存在。1章につづき自画自賛気味なのはさておいて、米国・韓国等のスマホ先進国の取り組みを日本語でまとめてくれているのは、大変ありがたいです。こういう簡単なまとめで概略がつかめさえすれば、詳細はこちらで原典を探して調査できますんで。

たとえば、米国COPPAが今年の7月1日に改定されていて、写真や位置情報（以前から対象とされていた住所ではなく）の収集については保護者への通知・同意が要件として追加されている、というあたりの細かい情報は、お恥ずかしい話英語文献だけではフォローできていませんでした。これ、自分のまわりでもあまり話題になってないんですが、みなさん対応済みなんでしょうか？また、同ページにまとめられたEU個人データ保護指令→規則の流れなんかも、up to dateで助かります。

以上、ご紹介を省略した４章でも、事業者ばかりでなく利用者のリテラシーのなさにも課題ありという目線もあったりと、よく読むとSPIⅠよりも視点の多様さ／情報の量／密度の濃さいずれも盛り沢山な文書となっているSPI Ⅱ。ここで私が紹介しきれていない要素もあろうかと思いますので、ご自身のビジネスに関係ある人は早めにご一読の上、正式版がリリースされた暁にはフォローアップされることをおすすめします。
　

タグ：: #スマートフォンプライバシーイニシアティブ; #利用規約; #プライバシーポリシー

　
何がやばいかって、読んでみたら全然スマートフォンの話に限定されていない総務省による「新しい個人情報保護法解釈基準」と「プライバシーポリシー作成ガイドライン」だったのです。タイトルにだまされて、スルーするところでした。

▼総務省がスマホプライバシー基準を公開端末IDに個人情報並みの扱い求める（日経コンピュータレポート）

今回の提言は、事業者への拘束力が弱い点は配慮原則と同じだが、各スマートフォンに固有のIDの扱いや、プライバシーポリシーに記述する項目の具体的な基準を示すなど、適正か、不適かの線引きをはっきりさせた点が大きく異なる。

　例えば、利用者が簡単に変更できない契約者・端末固有IDについては、氏名などの個人情報に準じた形で取り扱うことが適切としている。固有IDは単体では個人を特定できないが、IDにひも付く情報が蓄積、流通することで個人を特定できる可能性があるためだ。具体的には、取得の事実や利用目的をプライバシーポリシーに明記する必要がある。

この記事で紹介されているスマホプライバシー基準というのが、今回の文書『スマートフォンプライバシーイニシアティブ（案）』です。

容易に変更できない情報は個人情報

「個人情報」とは、生存する個人に関する情報であって、当該情報に含まれる氏名、生年月日その他の記述等により特定の個人を識別することができるもの（他の情報と容易に照合することができ、それにより特定の個人を識別することができることとなるものを含む。）をいう。

こちらは、もう皆様見飽きてしまったどころかすらすら暗誦さえできると思われる、個人情報保護法第2条に書かれた個人情報の定義。この定義をとってもシンプルにまとめれば、
　１）生存性
　２）個人識別性
の２つの要素に集約されるわけですが、今回の文書のすごいところは、今までハッキリと定義されてこなかったこの2番めの“個人識別性”の判断基準・評価軸として、“利用者が容易に変更できるか否か”がポイントであると具体的に言及しているところ。

そしてその“変更可能性”基準に従って、スマートフォンに内蔵される情報について、個人識別性を評価・分類した表がこれ。

ところがこの表、タイトルこそ「スマートフォンにおける～」となっていますが、よく見るとGPSやAndroidIDなどのスマホ特有の情報だけでなく、普通にPCでウェブサービスを運営していても収集してしまいそうな項目も含まれているんですね。「スマホに限らず、ここで変更可能性に×や△がついた情報は個人識別性が高い＝個人情報として取り扱うべし」と総務省は考えているように私には読めます。

プライバシーポリシーを詳細化せよ

さらにP47あたりには、保護法の利用目的の特定（15条）義務についても、

例えば「マイニングすれば何か役に立つ情報を抽出できるかもしれない」等との意図の下、明確な利用目的を示さずに個人情報を取り扱うことは、法第 15 条の違反となる可能性が高い。

と、スマホの話はどこかに忘れて、よくあるプライバシーポリシーテンプレート文言への具体的ダメ出しに。

さらにP59に各論として、プライバシーポリシーのお手本までもが掲示されています。

③、④、⑥、⑧あたりは特に注意したいところ。特に⑧にはさり気なく

当初取得した同意の範囲が変更される場合、改めて同意取得を行う。

と、企業がよく使う「利用者に通知して◯日後に変更（みなし同意）」はＮＧと書いてありますよ・・・。

この『スマートフォンプライバシーイニシアティブ（案）』に素直に従うと、ざっくり見積もって７～８割方の企業のプライバシーポリシーは、修正する必要がでてくるんじゃないでしょうか。事実、すでに「この文書を読んで気づいたセキュリティ・法務担当者が何人も相談に来ている」とは、ある弁護士先生の談。

読む時間がない人は、法務系LTに参加しよう（未承諾広告）

確かにウェブ利用環境がPC前提であった時代から個人情報の塊であるスマホの時代に変わり、ブラウザだけ気にしていればよかった時代からブラックボックス化したアプリの時代に変われば、総務省の考え方も変わるんだといわれればそうですが、いやーそれにしても恐ろしい。これはよく読んで皆さんとディスカッションしたい・・・。

ということで、7/31（火）19:00より、三軒茶屋のレクシスネクシス・ジャパンさんの会議室をお借りして、第２回の法務LT（ライトニングトーク）イベントで、この『スマートフォンプライバシーイニシアティブ』についてしゃべることにしました！はい、そうです。イベントの宣伝です。

▼第２回法務系ライトニングトーク（ATND）

詳細は上記ATNDのページでご確認を。あ、もちろん『スマートフォンプライバシーイニシアティブ』について喋るのは私だけで、他の参加者のみなさんはそれぞれご自身のご専門についてお話いただけるので、どうぞご安心を。ふるってご参加ください！

2012/7/22　14:00　追記

このエントリについて高木浩光先生よりtwitterでRTおよびコメントを頂きました。ありがとうございます。

難なくできるはずのことがこれまでこんなことになっていたのは、要するに、この期に及んで「やばい」とか言っちゃう企業法務部風情が「そんなの書かなくていいよ、個人情報じゃないし。」とか言っちゃってきたからなんだろうね。
— Hiromitsu Takagi (@HiromitsuTakagi) July 22, 2012

企業法務部風情・・・相変わらず手厳しくていらっしゃいますが、企業法務部の多くのみなさんは「そんなの書かなくていいよ、個人情報じゃないし。」とは思っても言ってもいなかったと思います。むしろこのような解釈を社内で述べても、経営者を説得できずにいたところに、今回この文書というある意味の“援軍”が来た、というのが本音じゃないかと。ただし確かに私自身、情けないですが一部において経営者を説得しきれなかった経験はあり、そのことは反省しております。あと、迷いながらもキャッチーさを狙って「やばい」という語を使ったのも、よくなかったなと思います。
　