プライバシーポリシー

プライバシーポリシーとは、当事者が顧客またはクライアントのデータを収集、使用、開示、および管理する方法の一部またはすべてを開示する声明または法的文書 (プライバシー法) です。^[1]個人情報は、個人を特定するために使用できるものであれば何でもかまいません。個人の名前、住所、生年月日、婚姻状況、連絡先情報、ID 発行日と有効期限、財務記録、信用情報、病歴、旅行先、商品やサービスの購入意図に限定されません。^[2]企業の場合、多くの場合、収集した個人情報の収集、保管、および公開方法に関する当事者のポリシーを宣言する声明です。収集される具体的な情報と、その情報が機密として保持されるか、パートナーと共有されるか、他の会社または企業に販売されるかをクライアントに通知します。^{[3] [4]}プライバシー ポリシーは通常、より詳細で具体的な傾向のあるデータ使用声明とは対照的に、より広範で一般的な扱いを表します。

特定のプライバシー ポリシーの正確な内容は、適用法によって異なり、地理的境界や法域を越えた要件に対応する必要がある場合があります。ほとんどの国には、誰が対象で、どのような情報を収集でき、何に使用できるかに関する独自の法律とガイドラインがあります。一般に、ヨーロッパのデータ保護法は、公共部門だけでなく民間部門も対象としています。ヨーロッパのプライバシー法は、政府の運営だけでなく、民間企業や商取引にも適用されます。

1968年、欧州評議会は、これまで広く利用できなかった方法でリンクや送信ができるコンピュータ技術がもたらす新たな脅威を認識し、技術が人権に与える影響について研究し始めた。1969年、経済協力開発機構（OECD）は、個人情報が国外に流出することの影響を調査し始めた。その結果、評議会は、民間部門と公共部門の両方が保有する個人データを保護するための政策を策定するよう勧告し、条約108号が制定された。1981年には、個人データの自動処理に関する個人の保護に関する条約（条約108号）が導入された。史上初のプライバシー法の1つは、 1973年のスウェーデンのデータ法で、その後、1977年の西ドイツデータ保護法、1978年のフランスの情報科学、データバンク、自由に関する法律が続いた。^[5]

米国では、1960年代後半から1970年代にかけてプライバシー ポリシーに関する懸念が高まり、公正信用報告法が成立した。この法律はプライバシー法として制定されたものではないが、消費者が自分の信用ファイルを調べて誤りを訂正する機会を与えた。また、信用記録の情報の使用にも制限を設けた。1960年代後半には、いくつかの議会研究グループが、個人情報の自動収集と他の情報との照合がますます容易になっていることを調査し、その 1 つが米国保健福祉省の諮問委員会で、1973 年に公正情報慣行と呼ばれる原則の草案を作成した。諮問委員会の作業は、1974 年にプライバシー法の制定につながった。米国は1980 年に経済協力開発機構のガイドラインに署名した。 ^[5]

カナダでは、 1977年にカナダ人権法に基づいてカナダのプライバシーコミッショナーが設立されました。1982年には、プライバシーコミッショナーの任命が新しいプライバシー法の一部となりました。カナダは1984年にOECDガイドラインに署名しました。^[5]

EU のデータ保護法と米国のデータ プライバシー法には大きな違いがあります。これらの基準は、EU で事業を展開する企業だけでなく、EU 市民に関する個人情報を転送する組織も満たす必要があります。2001 年、米国商務省はオプトイン セーフ ハーバー プログラムに基づいて米国組織の法令遵守を確保する取り組みを行いました。FTC は、eTRUST が米国と EU 間のセーフ ハーバーへの合理化されたコンプライアンスを認定することを承認しました。

1995年、欧州連合（EU）は 加盟国に対してデータ保護指令^[6]を導入しました。その結果、EU内で事業を展開する多くの組織は、この指令に準拠するためのポリシーを起草し始めました。同年、米国連邦取引委員会（FTC）は、個人情報の商業利用に関する拘束力のない一連の管理原則を提供する公正情報原則^[7]を発表しました。これらの原則はポリシーを義務付けるものではありませんが、プライバシーポリシーをどのように起草するかという懸念の高まりに対するガイダンスを提供しました。

米国には、プライバシー ポリシーの普遍的な実施を規定する特定の連邦規制はありません。議会は、消費者インターネット プライバシー強化法^[8]や 2001 年のオンライン プライバシー保護法^{[9]など、オンラインでの情報収集を規制する包括的な法律を検討したことがありますが、いずれも制定されていません。2001 年に、FTC は「より多くの法律ではなく、より多くの法執行」 [10]}を優先すると明確に述べ、業界の自主規制に引き続き重点を置くことを推進しました。

多くの場合、FTCは、不公正または欺瞞的なマーケティング行為を禁止するFTC法第5条によって付与された権限を使用して、プライバシーポリシーの条件を消費者に対する約束として執行します。 ^[11] FTCの権限は、場合によっては法的に制限されています。たとえば、航空会社は連邦航空局（FAA）の権限に服し、^{[12]携帯電話会社は}連邦通信委員会（FCC）の権限に服します。^[13]

場合によっては、民間当事者が集団訴訟を起こしてプライバシーポリシーの条項を執行し、和解や判決に至ることもあります。しかし、プライバシーポリシーやその他の利用規約に仲裁条項があるため、そのような訴訟は選択肢にならないことがよくあります。^[14]

一般的に適用される法律は存在しませんが、次のような特定の状況では、いくつかの連邦法がプライバシー ポリシーを規定します。

• 児童オンラインプライバシー保護法（ COPPA ）^[15]は、 13歳未満の子供に関する情報を故意に収集するウェブサイト、または13歳未満の子供を対象としたウェブサイトに適用されます。^[16]このようなウェブサイトはプライバシーポリシーを掲載し、列挙された情報共有制限を遵守する必要があります。 ^[17] COPPAには、業界の自主規制を促進するための「セーフハーバー」条項が含まれています。^[18]
• グラム・リーチ・ブライリー法^[19]は、金融活動に「大きく関与している」^[20]機関に対し、情報共有の実践について「明確で目立つ正確な説明」を行うことを義務付けている。この法律は、金融情報の使用と共有も制限している。^[21]
• 医療保険の携行性と責任に関する法律（HIPAA）のプライバシー規則^[22]では、医療サービスのプライバシー慣行について書面で通知することが義務付けられており、この要件は医療サービスが電子化されている場合にも適用されます。^[23]
• カリフォルニア州消費者プライバシー法（CCPA）は、企業が収集する個人情報に対する消費者のコントロールを強化し、CCPA規制は法律の実施方法に関するガイドラインを提供します。^[24]
• 2020年カリフォルニア州プライバシー権利法（CPRA）は、カリフォルニア州で事業を行っているほとんどの雇用主のプライバシーと情報セキュリティの義務を拡大しています。^[25]

一部の州では、プライバシー ポリシーに関してより厳しい規制を実施しています。2003 年カリフォルニア州オンライン プライバシー保護法- 事業および職業法 22575-22579 条では、「カリフォルニア州の居住者の個人情報を収集する商業ウェブサイトまたはオンライン サービスは、そのサイトにプライバシー ポリシーを明示的に掲載する必要があります」と規定しています。^[26]ネブラスカ州とペンシルベニア州の両州では、ウェブサイトに掲載されたプライバシー ポリシー内の誤解を招くような記述を欺瞞的または詐欺的なビジネス慣行として扱う法律があります。^[27]

民間部門に適用される カナダ連邦プライバシー法は、正式には個人情報保護および電子文書法（PIPEDA）と呼ばれています。この法律の目的は、商業組織による個人情報の収集、使用、開示を管理する規則を確立することです。組織は、状況に応じて合理的な人が適切と考える量の情報を収集、開示、使用することができます。^[28]

この法律は、組織に対して申し立てられた苦情に対処するオンブズマンとしてカナダのプライバシーコミッショナーを設置しています。コミッショナーは、強引な強制ではなく、自発的な遵守を通じて問題を解決するよう努めています。コミッショナーは、苦情を調査し​​、監査を実施し、プライバシー問題に関する意識を高め、調査を実施します。^[29]

プライバシーの権利は、ヨーロッパでは高度に発達した法分野である。欧州連合（EU）加盟国はすべて、欧州人権条約（ECHR）の署名国でもある。ECHR第8条は、一定の制限の下で、個人の「私生活、家族生活、住居、通信」を尊重される権利を規定している。欧州人権裁判所は、判例においてこの条項を非常に広く解釈している。^[30]

1980年、欧州全域にわたる包括的なデータ保護システムの構築を目指して、経済協力開発機構（OECD）は「プライバシーの保護と個人データの国境を越えた流通に関するガイドラインに関する理事会勧告」を発行しました。^[31] OECDの個人データ保護に関する勧告 の7つの原則は次のとおりです。

1. 通知 - データ主体には、データが収集される際に通知される必要があります。
2. 目的 - データは明記された目的にのみ使用され、他の目的には使用されません。
3. 同意 - データ主体の同意なしにデータを開示してはならない。
4. セキュリティ - 収集されたデータは、潜在的な悪用から保護する必要があります。
5. 開示 - データ主体は誰がデータを収集しているかについて知らされる必要があります。
6. アクセス - データ主体は自分のデータにアクセスし、不正確なデータを修正できる必要があります。
7. 説明責任—データ主体は、データ収集者が上記の原則に従わなかった場合に説明責任を負わせるための手段を持つべきである。^[32]

しかし、 OECDのガイドラインには拘束力がなく、データプライバシー法はヨーロッパ各地で依然として大きく異なっていました。米国はOECDの勧告を支持したものの、米国内でそれを実施するためには何もしませんでした。^[32]しかし、7つの原則はすべてEU指令に組み込まれました。^[32]

1995年、EUはEU内での個人データの処理を規制するデータ保護指令を採用しました。EUのデータ保護と同等の米国のデータプライバシー法には大きな違いがありました。これらの基準は、EUで事業を展開する企業だけでなく、EU市民に関して収集された個人情報を転送するすべての組織が満たす必要があります。2001年、米国商務省はオプトインセーフハーバープログラムの下で米国組織の法令遵守を確保するために取り組みました。^[33] FTCは、米国とEU間のセーフハーバーへの準拠を認定するために、いくつかの米国のプロバイダーを承認しました。2010年以来、セーフハーバーは、不一致が明らかになった後も定義されたルールが適切に実装されていないと主張するFTCの意志のために、特にドイツの公選プライバシー保護者から批判されています。^[34]

2018年5月25日発効、データ保護指令は一般データ保護規則（GDPR）に置き換えられ、EU加盟国全体でプライバシー規則を調和させます。GDPRは、EUのデータ主体に属する個人情報の収集に関してより厳格な規則を課し、個人情報の収集、処理、保管、転送に関する開示においてプライバシーポリシーをより簡潔で明確な言葉で表現し、透明性を確保することを要求しています。データ管理者は、データを共通形式で移植可能にし、特定の状況下でデータを消去する機会も提供する必要があります。^{[35] [36]}

1988年プライバシー法は、オーストラリアにおけるプライバシーの法的枠組みを規定している。^[37]この法律には、いくつかの国家プライバシー原則が含まれている。^[38]プライバシー法には13のプライバシー原則がある。 [ ^39]この法律は、人々の個人情報の収集、使用、開示を監督および規制し、違反があった場合に誰が責任を負うのか、そして個人が自分の情報にアクセスする権利があるかを確認している。^[39]

2008 年情報技術 (改正) 法は、2000 年情報技術法に大幅な変更を加え、第 43A 条を導入しました。この条項は、法人が合理的なセキュリティ慣行および手順の実装と維持に怠慢であり、それによって不当な損失または不当な利益を誰かに与えた場合の補償を規定しています。これは、法人が所有、管理、または運営するコンピューター リソースで機密の個人データまたは情報を保有、取引、または処理する場合に適用されます。

2011年、インド政府は情報技術（合理的なセキュリティ慣行および手順、および機密性の高い個人データまたは情報）規則2011 ^[40]を官報で公表して定めました。^[41]これらの規則では、法人に対して、機密性の高い個人データまたは情報を含む個人情報の取り扱いまたは取引に関するプライバシーポリシーを提供することを義務付けています。^[42]このようなプライバシーポリシーは、規則に従って、以下の情報で構成されている必要があります。

1. 自社の実践と方針に関する明確かつ容易にアクセスできる声明。
2. 収集される個人情報または機密性の高い個人データまたは情報の種類。
3. 当該情報の収集および利用の目的。
4. 機密性の高い個人データまたは情報を含む情報の開示。
5. 合理的なセキュリティの実践と手順。

プライバシーポリシーは、法人のウェブサイトで公開され、適法な契約に基づいて個人情報を提供した情報提供者が閲覧できるようにする必要があります。

オンライン認証または「シール」プログラムは、プライバシー ポリシーの業界自主規制の一例です。シール プログラムでは通常、認証プログラムで決定された公正な情報慣行の実装が求められ、継続的なコンプライアンス監視が求められる場合があります。最初のオンライン プライバシー シール プログラムであるTRUSTArc (旧 TRUSTe) ^[43]には、 2007 年までに 1,800 を超えるメンバーが参加しました。^[44]その他のオンライン シール プログラムには、Trust Guard Privacy Verified プログラム、^[45] eTrust ^[46]、Webtrust ^[47]などがあります。

一部のウェブサイトでは、 P3Pまたはインターネット コンテンツ評価協会(ICRA)を使用してプライバシー ポリシーを定義し、ブラウザーがサイトが提供するプライバシーのレベルを自動的に評価し、サイトのプライバシー慣行がユーザーのプライバシー設定と一致している場合にのみアクセスを許可できるようにしています。ただし、これらの技術的ソリューションでは、ウェブサイトが主張するプライバシー ポリシーに実際に従うことを保証するものではありません。これらの実装では、ユーザーが自分のブラウザーのプライバシー設定を構成するために最低限の技術的知識を持っていることも必要です。^[48]これらの自動化されたプライバシー ポリシーは、ウェブサイトにもそのユーザーにも人気がありません。^[49]個々のプライバシー ポリシーを解釈する負担を軽減するために、ポリシー サーバーから利用できる再利用可能な認定ポリシーが、Jøsang、Fritsch、および Mahler によって提案されました。^[50]

多くの批評家が、インターネット上のプライバシー ポリシーの有効性と正当性を攻撃してきました。業界が規制するプライバシー ポリシーの有効性については懸念があります。たとえば、2000 年の FTC レポート「オンライン プライバシー: 電子市場における公正な情報慣行」では、調査対象の Web サイトの大部分が何らかの形でプライバシーを開示していたものの、ほとんどが FTC 原則で設定された基準を満たしていないことがわかりました。さらに、多くの組織がポリシーの条件を一方的に変更する明示的な権利を留保しています。2009 年 6 月、EFF のWeb サイト TOSback は、 Amazon、Google、Facebookのプライバシー ポリシーの監視を含む、56 の人気インターネット サービスにおけるそのような変更の追跡を開始しました。^[51]

消費者がプライバシー ポリシーを理解しているかどうか、またプライバシー ポリシーが消費者のより情報に基づいた決定に役立つかどうかについても疑問がある。スタンフォード大学説得技術研究所の 2002 年の報告書では、消費者が Web サイトの信頼性を評価する際、Web サイトの視覚的なデザインは Web サイトのプライバシー ポリシーよりも影響力が大きいとされている。[52] カーネギー メロン大学の2007^年の調査では、「プライバシーに関する情報が目立たない場合、消費者は、そのサイトのプライバシー ポリシーに関係なく、最も安い価格のベンダーから購入する可能性が高い」とされている。^[53] しかし、同じ調査では、プライバシー慣行に関する情報が明確に提示されている場合、消費者はプライバシーをよりよく保護する小売業者を好み、一部の消費者は「プライバシーをより保護する Web サイトから購入するためにプレミアムを支払う」ことをいとわないことも示されている。さらに、カリフォルニア大学バークレー校の 2007 年の調査では、「消費者の 75% は、サイトにプライバシー ポリシーがある限り、第三者とデータを共有しないと考えている」ことがわかり、プライバシー ポリシーの存在と広範なプライバシー保護を混同している。^[54]この誤解の一般的な性質に基づいて、研究者のジョセフ・トゥローは、米国連邦取引委員会に対して、「プライバシーポリシー」という用語は欺瞞的な取引慣行を構成しており、代わりに「お客様の情報をどのように使用するか」などの代替表現を使用する必要があると主張しました。^[55]

プライバシー ポリシーは、一般的に、データ使用ステートメントの新たな形式と比較すると、正確性に欠けるという問題を抱えています。プライバシー ステートメントはデータの収集と使用に関するより一般的な概要を提供しますが、データ使用ステートメントはより具体的な取り扱いを示します。その結果、プライバシー ポリシーは、データ使用ステートメントが提供する透明性に対する高まる需要を満たせない可能性があります。

批評家たちは、消費者がプライバシー ポリシーを読んでいるのか、あるいは読んだ内容を理解できるのかについても疑問を呈している。プライバシー リーダーシップ イニシアティブによる 2001 年の調査では、消費者のわずか 3% がプライバシー ポリシーを注意深く読んでおり、64% はざっと目を通したか、まったく読んでいないとしている。^[56]プライバシー ポリシーを一度読んだ Web サイト ユーザーは、平均的な場合、以前よりも Web サイトの信頼性について不安を感じる可能性がある。^{[57] [58]考えられる問題のひとつは、ポリシーの長さと複雑さである。2008 年の}カーネギー メロン大学の調査によると、プライバシー ポリシーの平均長さは 2,500 語で、読むのに平均 10 分かかる。この調査では、「プライバシー ポリシーは読みにくい」ため、「あまり読まれない」としている。^[59]しかし、情報をより見やすくするための努力は、情報を単純化して、ユーザーのデータがどの程度共有され、販売されているかを伝えないようにしている。^[60]これは「透明性のパラドックス」として知られている。

企業のウェブサイトのプライバシーポリシーを評価するために研究者によって多くの研究が行われてきました。ある研究では、自然言語処理とディープラーニングを使用して、企業のプライバシーポリシーの効率性を自動的に評価し、ユーザーの意識を高めるためのソリューションを提案しています。^[61]

• Gazaleh, Mark (2008) 「 Web プライバシー ステートメントの消費者によるオンライン信頼と認識される有用性」、WBS ロンドン、35 ページ。
• Cavoukian, Ann (1995)。Who Knows: Safeguarding Your Privacy in A Networked Worldwide (ペーパーバック)。Random House of Canada : Random House。ISBN 0-394-22472-8。