広告審査におけるプライバシー規制（個人情報保護規制）への対応（プライバシーポリシー）

Contents

１．データプライバシー保護に対応する必要性
- （１）プライバシー保護の新時代
- （２）広告審査で個人情報保護規制に対応する必要性
２．海外でのプライバシー規制強化
- （１）アメリカ
- （２）ヨーロッパ
３．日本における規制の強化
- （１）個人情報保護法
- （２）電気通信事業法
４広告審査で求められる対応

１．データプライバシー保護に対応する必要性

（１）プライバシー保護の新時代

デジタル時代の進化とともに、世界的にユーザーのデータプライバシーへの関心が高まっています。

それに伴い、インターネット広告の広告主がユーザーの個人情報等をどのように収集、利用、保護するかについて、日本でも法規制が強化されております。

（２）広告審査で個人情報保護規制に対応する必要性

広告審査のプロセスも、その影響を受けています。

特に、個人情報の保護に関する法律（個人情報保護法）の改正によってCookieの取り扱いが厳しくなり、従来のプライバシーポリシーのままではインターネット広告に掲載するための審査を突破するのが難しい状況となっております。

２０２５年、広告主や広告代理店は、インターネット広告やLPにおいて、個人情報等のデータ取扱いに関する規制に対して的確に対応することが重要となります。

２．海外でのプライバシー規制強化

（１）アメリカ

アメリカ・カリフォルニア州では、２０２０年１月から「カリフォルニア消費者プライバシー法２０１８年（California Consumer Privacy Act of 2018）」が施行されていましたが、２０２３年、カリフォルニア州プライバシー権利法（California Privacy Rights Act of 2020）に改正されました。

これによって、より厳格に消費者のプライバシー保護が求められ、ルールが厳しくなりました。

（２）ヨーロッパ

EUにおいても、一般データ保護規則（General Data Protection Regulation）で、EU領域内のプライバシー保護、データ処理・移転に関する規制が強化されています。

このGDPRは、EU領域内の事業者だけでなくEU域外の事業者にも適用されます。

EU内に所在するユーザーの個人情報データを扱う全世界の事業者が対象となっているので、日本の会社であっても注意が必要です。

３．日本における規制の強化

（１）個人情報保護法

（ア）個人情報保護法の適用対象

個人情報の保護に関する法律（個人情報保護法）は、個人情報を取り扱う事業者の遵守すべき義務等を定めることにより、個人情報の有用性に配慮しつつ、個人の権利利益を保護することを目的とする法律です。

「個人情報取扱事業者」に対して、個人情報の適正な取扱いについて遵守すべき各種の義務を負わせています。

「個人情報取扱事業者」とは、個人情報データベース等を事業の用に供している者のことです。

現代社会において、データベース化された個人情報を利用することなく、日常業務を行うことは困難です。

したがって、ほぼすべての会社が「個人情報取扱事業者」として個人情報保護法上の義務を負っています。

（イ）個人情報保護法の改正

２０２０年６月、個人情報保護法が改正され、２０２２年４月１日から施行されています。

個人情報に対する意識の高まり、技術革新を踏まえた保護と利用のバランス、個人情報が多様に利活用される時代における事業者責任の在り方、および、越境移転データの流通増大に伴う新たなリスクへの対応等の観点から、改正が行われたのです。

（ウ）「個人関連情報」の新設

この改正で、「個人関連情報」に関する規制が新設されました。

「個人関連情報」とは、生存する個人に関する情報で、個人情報、仮名加工情報、及び、匿名加工情報のいずれにも該当しないものを指し、非常に広い概念です。

具体的には、ユーザーの属性情報（性別、年齢、職業等）、Cookie等の端末識別子を通じて収集されたユーザーのウェブサイトの閲覧履歴、ユーザーの商品購買履歴やサービス利用履歴などが該当します。

※Cookie（クッキー）とは

ウェブサイトを訪れたユーザーの情報を一時的にユーザ―のブラウザに保存する仕組みで、足跡のようなものです。再度そのウェブサイトを訪れた際に、過去の閲覧履歴やID情報をスムーズに呼び起こしてくれるなど利便性もありますが、ウェブユーザーのプライバシーを脅かすものとして規制が加速しています。

会社がユーザーの「個人関連情報」を第三者に提供する場合において、提供先が個人関連情報を「（本人が識別される）個人データとして取得することが想定されるとき」には、本人の同意を得ること（第三者提供の同意）が必要となりました。

したがって、このような「個人関連情報」の利用形態が存在・想定される場合には、プライバシーポリシー等で定めている個人関連情報の利用目的や、ユーザーからのデータの取り方が適切かを検証し、不適切であれば、インターネット広告を審査する際に修正することが必要です。

（２）電気通信事業法

さらに、２０２３年に施行された改正電気通信事業法において、外部送信規律が設けられて、この規律の対象となる事業者は、Cookieをはじめとするユーザー情報について情報送信指令通信を行おうとする場合には、ユーザーに対し所定の事項を通知するなど確認の機会を付与することが義務付けられました。

４広告審査で求められる対応

（１）「プライバシーポリシー」の重要性

「プライバシーポリシー」をそもそも策定・公表していない場合や、策定・公表している場合でもその記載内容に不備がある場合、会社は重大な不利益を被る可能性があります。

近時では、「プライバシーポリシー」の不備が原因となってユーザーから批判が殺到して炎上するケースや、その結果、監督機関から調査や指導を受けるケースも報道されています。

ユーザーの個人情報保護に対する意識が高まっている今日においては、「プライバシーポリシー」を的確に策定・公表して、ユーザーのデータプライバシーを尊重しつつ、効果的なインターネット広告をする必要があります。

インターネット広告において、ユーザーのデータプライバシーを重視するブランドイメージを打ち出すことができれば、ユーザーの信頼を獲得することに繋がるでしょう。

広告審査を通じて的確な「プライバシーポリシー」を策定して公表・実践することが、ユーザーからの信頼を獲得して長期的な顧客関係を育むことにつながると思われます。

（２）「プライバシーポリシー」と個人情報保護法の関係

個人情報保護法は「プライバシーポリシー」の策定を義務として定めてはいません。

しかし（ア）個人情報保護法のガイドライン、（イ）個人情報保護に関する基本方針において、会社が「プライバシーポリシー」を策定することを想定しています。

（ア）個人情報保護法のガイドライン

個人情報保護法のガイドラインの中で、通則ガイドラインが、個人情報保護法に定める安全措置として「個人情報取扱事業者は、個人データの適正な取扱いの確保について組織として取り組むために、基本方針を策定することが重要である」として、「プライバシーポリシー」のような基本方針を策定する重要性について言及しています。

（イ）個人情報保護に関する基本方針

官民の幅広い主体を対象とし「個人情報保護を推進する上での考え方や方針」の例として、「プライバシーポリシー」「プライバシーステートメント」等が挙げられていることから、「プライバシーポリシー」の策定が求められているといえます。

（３）「プライバシーポリシー」の意義

（ア）法令遵守

①「プライバシーポリシー」は、一般的に「個人情報の取得、利用、管理、提供、本人の権利行使等の取扱いの方針を明文化したもの」等と説明されており、個人情報保護法またはその関連法令を遵守するための手段として策定され、インターネット広告等においても公表されています。

具体的には、

ⅰ．「通知」「公表」「容易に知り得る状態に置く」「知り得る状態に置く」こと等が義務付けられている事項、例えばデータの収集目的や利用方法を「プライバシーポリシー」に記載してユーザーに対して情報提供し明確に説明するとともに、

ⅱ．「同意」を取得することが求められている事項について記載した「プライバシーポリシー」にユーザーを同意させることで、「本人の同意」を得ることが行われています。

②また、日本の法令のみならず外国のデータ保護法を順守するという観点からも策定されます。

上記EUのGDPRやアメリカのCCPAには「プライバシーポリシー」に記載すべき事項が定められているため、これらの適用が想定される場合には、日本の個人情報保護法対応とは別の「プライバシーポリシー」を策定して公表する必要があります。

（イ）透明性の確保

法令上必ずしも義務付けられていない事項であっても、ユーザーにとって自己に関する情報がどのように取り扱われているか把握できるように「プライバシーポリシー」に盛り込んで、透明性の確保を図る場合もあります。

一般社団法人日本インタラクティブ広告協会（JIAA）が公表している「プライバシーポリシーガイドライン」や「行動ターゲティング広告ガイドライン」は、インターネット広告に関わる事業者が「プライバシーポリシー」を策定する際に参照するものですが、これらのガイドラインでは個人情報保護法上の個人情報に該当しないようなユーザデータをも対象としています。

これは透明性の確保の観点から遵守されているものと位置付けられます。

（４）弁護士に御相談を

このように個人情報保護法が会社に公表等を義務付けている情報は、インターネット広告の「プライバシーポリシー」において記載されることが通常となっております。

したがって、広告審査において「プライバシーポリシー」を検討する際には、

①まず、個人情報保護法上、公表などが義務付けられているものが的確に盛り込まれているかどうかの観点から確認が必要です。

②さらに、個人データの第三者提供について「プライバシーポリシー」の中に定めておいてインターネット広告の中で「プライバシーポリシー」に同意してもらうことによって第三者提供についての同意を取得する場合など、公表等以外の個人情報保護法上の義務を履行するための手段として「プライバシーポリシー」を活用する場合には、当該観点からの確認も必要となります。

このような対応を通じて、ユーザーの個人情報等のデータ取扱いを再点検し、個人情報保護規制に適合するよう努めることが重要です。

・「プライバシーポリシー」の作成に不安のある方

・広告審査に関して悩みのある方

・個人情報保護規制に関して詳しい情報が知りたい方

上記に当てはまる方は、森大輔法律事務所へお気軽にご相談ください。