健二弁護士に伺いました。後編では、公正取引委員会の近時の動向や、個人情報保護法の改正を見据えた今後の見通しについて解説します。閲覧履歴を踏まえたページの表示や広告配信に用いられるCookieそもそもCookieとはどのような情報を指すのでしょうか。会員制ウェブサイトやSNSなどで、ID・パスワードなどのログイン情報をアクセスのたびに入力することなくスムーズに閲覧できるのは、Cookieが機能しているためです。ネットショッピングで商品をカートに入れた後で、いったんウェブサイトを閉じたとしても、再度ウェブサイトに戻ってくれば商品がカートに入ったままの状態から再開できるのも、同じくCookieが機能しているためです。ユーザーが訪問しているウェブサイトから直接発行されるCookieはファーストパーティCookieと呼ばれますが、その仕組みを簡潔に説明すると、以下のようになります。ユーザーがウェブサイトAを閲覧するウェブサイトAは、ユーザーのブラウザに対してCookieの作成を指示し、Cookieごとに割り当てられるCookieIDを送る(ブラウザごとに異なるCookieIDが発行される)ウェブサイトAでは、CookieIDとともに当該ブラウザの情報(閲覧履歴など)を保存するユーザーが当該ブラウザから再度ウェブサイトAを訪問すると、ブラウザはCookieIDをウェブサイトAのサーバに送信する。これによりウェブサイトAは同じブラウザから訪問されたことを認識し、過去の閲覧履歴等を踏まえたページを表示するCookieは、いわば「ブラウザごとに発行される整理番号付き足あと機能」のようなものです。ウェブサイト側は、Cookieによりどのブラウザからアクセスされたのかを把握したうえで、過去の閲覧履歴を踏まえた適切なページを表示します。ユーザーにとっては、より便利にウェブサイトを閲覧できるための仕組みであるといえます。Cookieはどのような事業分野で活用が進んでいますか。Cookieは、単にログインの手間を省くようなユーザーの利便性を高める目的のみでなく、インターネット広告配信を効率的に行うための技術(アドテクノロジー)にも活用されています。ウェブサイト上に広告を掲出する広告事業者が、当該広告を閲覧したブラウザに対してCookieを発行し、当該事業者によるほかの広告枠の閲覧履歴等の情報を踏まえて、ブラウザを利用しているユーザーの好みや趣味嗜好に合わせた広告を配信することが可能となります。このようにユーザーが訪問しているウェブサイト以外(広告事業者等)から発行されるCookieはサードパーティーCookieと呼ばれます。例としてサードパーティCookieを広告配信に活用する仕組みを簡潔に説明すると、以下の流れとなります。ユーザーがウェブサイトAを閲覧する。ウェブサイトAには、広告事業者が発行する広告枠が含まれているところ、広告枠に表示される内容については、広告事業者のサーバからユーザーのブラウザに送信される。その結果、ユーザのブラウザには、ウェブサイトAのサーバに保存された情報(ウェブサイトAの固有の情報)と、広告事業者のサーバに保存された情報(広告)がそれぞれ表示される。広告事業者は、ユーザーのブラウザに対してCookieの作成を指示し、CookieIDを送る(サードパーティCookie)。これにより広告事業者は、当該ブラウザを識別できる状態になる。広告事業者は、CookieIDとともに当該ブラウザの情報(閲覧履歴など)を保存する。広告事業者はウェブサイトAのみならず、別のウェブサイトBやCにも広告枠を保有している。ユーザーが別のウェブサイトBやCを訪問すると、ブラウザはCookieIDを広告事業者のサーバに送信することにより、広告事業者はAを閲覧したブラウザからBやCが閲覧されたことを認識でき、これらの閲覧履歴等を踏まえた広告を表示する。サードパーティーCookieは、ユーザーが訪問したウェブサイト以外(広告事業者等)により発行されるため、ユーザーとすれば自身がアクセスしたつもりのない広告事業者等からCookieIDを発行され、ブラウザを識別されることになります。ファーストパーティCookieではユーザーが訪問しているウェブサイトの運営主体から、サードパーティーCookieではユーザーが訪問したつもりのない広告事業者等から、それぞれブラウザの閲覧履歴等を取得されることになりますので、プライバシー権等を侵害する危険が生じないかが問題となります。Cookieに個人情報保護法の規制は及ぶか2019年12月現在、Cookieには個人情報保護法の規制は及ぶのでしょうか。個人情報保護法における個人情報にCookieが含まれるかが問題となります。個人情報保護法では、個人情報について、生存する個人に関する情報であって、以下のいずれかに該当するものを指すと定義しています(個人情報保護法2条1項)。当該情報に含まれる氏名、生年月日その他の記述等により特定の個人を識別することができるもの個人識別符号が含まれるものこれに対しCookie情報は、1ユーザーが使用するブラウザを識別できるものにすぎず、ユーザーという特定の個人を識別できる情報ではないこと、2個人識別符号にも該当しないことから、現在(2019年12月時点)の個人情報保護法においては、Cookie情報自体は個人情報には該当しないとされています。1特定の個人を識別することができる情報には「他の情報と容易に照合することができ、それにより特定の個人を識別することができることとなるものを含む」と定められているため(個人情報保護法2条1項1号)、たとえばウェブサイト事業者が、Cookie情報をユーザー個人の氏名等と合わせて管理している場合は、Cookie情報を含む全体の情報が個人情報に該当することとなります。例として図1におけるウェブサイトAがユーザーの氏名等の個人情報を保有しており、これらの個人情報とブラウザごとのCookie情報を紐づけて管理している場合は、Cookie情報を含む全体が個人情報となります。この場合、ウェブサイトAの運営会社は、Cookie情報の利用目的をできる限り特定し(個人情報保護法15条1項)、取得にあたっては利用目的を本人に通知公表等を行ったうえで(個人情報保護法18条1項)、利用目的の達成に必要な範囲内でのみCookie情報を利用できることになります(個人情報保護法16条1項)。これまでCookieの取得・利用に関して問題視された事例にはどのようなものがありますか。先ほど触れたように、Cookie情報はユーザーが使用するブラウザを認識するもので、ユーザー個人そのものを特定できるわけではありません。そのため、より精度の高い広告配信等のターゲティングを行おうとする場合、Cookie情報を特定の個人を識別できる情報と紐づけることが考えられます。この場合、ウェブアンケートにおけるCookie情報の取得に際して、その利用目的が適切に通知または公表がされていなければ、クライアント企業は個人情報保護法に違反するおそれがあるといえます(個人情報保護法15条1項、16条1項、18条1項)。よれば、2019年2月以前のスキームは、リクルートキャリアでは個人が特定できないCookie情報や企業特有のIDを、クライアント企業がリクルートキャリアに対して提供し、リクルートキャリアにおいてリクルートキャリア側が保有するCookie情報と突合したうえで内定辞退率スコアを算出し、クライアント企業に納品していたとのことでした。「『リクナビDMPフォロー』に係る当社に対する勧告等について」(2019年8月26日、2019年12月5日最終閲覧))しかしクライアント企業において、ウェブアンケートによりCookie情報と学生個人の情報を紐づけて管理していた場合、Cookie情報は個人を識別できる情報となるため、たとえ提供先であるリクルートキャリア内で個人が特定できなかったとしても、クライアント企業からリクルートキャリアへCookie情報を提供するにあたっては、個人データの第三者提供(個人情報保護法23条)の適法性が問題となります。リクルートキャリアからクライアント企業に対して内定辞退率スコアを提供する場合、2019年2月以前のスキームでは、たしかにリクルートキャリアにおいてはCookie情報や内定辞退率スコアから特定の個人を識別することはできないかもしれません。提供先であるクライアント企業においては、リクルートキャリアから提供された内定辞退率スコアと特定の学生の情報を照合し、個人を識別することが予定されていました。8、この問題について、これまで個人情報保護法や同法に関するガイドラインでは明確にされていませんでした。」において、「提供元では個人データに該当しないものの、提供先において個人データになることが明らかな情報について、個人データの第三者提供を制限する規律を適用する」旨を明記しました。規制を見据えたCookie(クッキー)情報取扱いのポイント」であらためて触れます。リクルートキャリアに対し、『リクナビDMPフォロー』における2019年2月以前のスキームについても「内定辞退率の提供を受けた企業側において特定の個人を識別できることを知りながら、提供する側では特定の個人を識別できないとして、個人データの第三者提供の同意取得を回避しており、法の趣旨を潜脱した極めて不適切なサービスを行っていた。保護に関する法律に基づく行政上の対応について」(2019年12月4日、2019年12月5日最終閲覧))。この勧告内容は、「制度改正大綱(骨子)」において「提供元では個人データに該当しないものの、提供先において個人データになることが明らかな情報について、個人データの第三者提供を制限する規律を適用する」旨を明記したことと関連するものと考えられます。「『いいね!』ボタン」は、フェイスブック以外のウェブサイトやブログ上で設置できるソーシャルプラグインとして、多くの公的機関や企業ウェブサイト等で設置されているものです。「『いいね!』ボタン」はその形状からして、ボタンをクリックした際にユーザーの閲覧履歴等の情報がフェイスブックに送信されることを想像させますが、実際はボタンクリックの有無に関係なく「『いいね!』ボタン」が設置されたウェブサイトを閲覧した段階でフェイスブック側にブラウザの閲覧履歴等が送信されるものでした。これはいわばサードパーティーCookieと同様の仕組みです。先に言及したとおり、ブラウザの閲覧履歴自体は個人情報には該当しません。ここで問題なのは、実名登録が原則のフェイスブックは登録会員情報を保有しており、ブラウザの閲覧履歴(Cookie情報)と自社が有する登録会員情報とを照合できてしまうため、「『いいね!』ボタン」から取得されるCookie情報は、フェイスブックにおいては特定の個人を識別できる情報となってしまい得る点です。デジタルマーケティング実践指南」(翔泳社、2016年)260頁参照。リクナビに行政指導」(2019年9月6日、2019年12月4日最終閲覧)。第二次改訂版」62頁において「事業者又は内部組織の間で組織的・経常的に相互に情報交換が行われている場合は、『容易に照合することができ』る場合に当たると考えられる」との記載がある。浩光「個人データ保護とは何だったのか」(「世界」2019年11月号54頁以下)、脚注12の論稿など。保護に関する法律に基づく指導について」(平成30年10月22日)。ボタンを押さなくともユーザーID、アクセスしているサイト等の情報が自動で送信されていた点について、ユーザーへの分かりやすい説明の徹底、本人の同意の取得、本人からの削除要求への適切な対応等を行うよう行政指導がなされた。2巻第2号、平成31年2月15日)。新規ウェブサービスのビジネスモデル構築、利用規約やプライバシーポリシーの作成を中心としたウェブサービス法務全般に携わる。顧問先企業として、ウェブサービス、アプリ開発、プラットフォームビジネス、コンテンツビジネス、AI/ITベンダ等、東証一部からスタートアップまで多数。ウェブサービスに関するブログ記事も多数執筆する(https://storialaw.jp/author/sugiura)。企業勤務を経て2007年弁護士登録(第一東京弁護士会)。Inc.弁護士ドットコム税理士ドットコムクラウドサイン。