適切な同意取得、できていますか？データのマーケティング活用における「同意」と、同意が必要になるケースについて

はじめに

Cookieや個人情報の活用がデータドリブンなビジネス成長の鍵を握る一方で、プライバシーポリシーや規約の変更、同意取得に関する不安を抱えている方も多いと思います。

どのようなときに同意を取得する必要があるか、どのようなものがあれば同意といえるか、整理が難しいという声も多くあります。

本記事では、個人情報保護委員会が提供する「個人情報の保護に関する法律についてのガイドライン」とそれに関するQ&A（以下、それぞれガイドライン、Q&A）を参照しながら、データのマーケティング活用における「同意」の基本的な考え方から、再同意が必要となる具体的なケース、そしてその取得に際しての課題と解決策まで、マーケティング担当者が知るべきポイントを詳しく解説します。

個人情報保護法での「同意」とは何か：規約・個人情報の基本ルール

データのマーケティング活用にあたっては、個人情報保護法の規律について目配りが必要となります。

個人情報保護法において「同意」とは、本人の承諾する旨の意思表示を個人情報取扱事業者が認識することを指します。

本人からの同意する旨の意思表示を確認する具体的な方法として、ガイドラインでは以下の例が取り上げられています。

・口頭による意思表示
・書面（電磁的記録を含む）の受領
・メールの受信
・確認欄へのチェック
・ホームページ上のボタンのクリック
・音声入力
・タッチパネルへのタッチ
・ボタンやスイッチ等による入力

メールでの確認も排除されていませんが、返信率やその管理の問題が残ります。

Q&Aにおいては、

本人に対して（中略）電子メールを送り、（中略）一定期間回答がなかったことのみをもって、一律に本人の同意を得たものとすることはできません。

との記載もあります。

最適な対応は施策の内容や状況によって様々ですが、企業が丁寧な対応を心がける上で、明確な承諾をどのように取得するか、悩ましいケースは少なくありません。

次は同意取得が必要になるケースを、マーケティング活用の視点でピックアップしたうえで、具体例を交えてご紹介したいと思います。

どんなケースで同意が必要になるか：規約変更とビジネスニーズの判断基準

同意が必要なケースは様々ですが、データのマーケティング活用において代表的なケースを、以下の通り３つピックアップします。

① 利用目的の達成に必要な範囲を超えて個人情報を取り扱う場合
② 個人データを第三者に提供する場合
③ 個人関連情報を個人データとして取得する場合

「① 利用目的の達成に必要な範囲を超えて個人情報を取り扱う場合」の例としては、例えば、以下のようなケースが考えられます。

利用目的を「会員カード等の盗難・不正利用発覚時の連絡のため」としてメールアドレス等を取得していた場合において、当該メールアドレス等を「当社が提供する商品・サービスに関する情報のお知らせ」に利用する場合

「② 個人データを第三者に提供する場合」の例としては、事例に応じて検討が必要ではありますが、個人データである顧客のメールアドレスや電話番号を広告プラットフォームにインポートしたうえで、広告キャンペーンを実施するケースが考えられます。

「③ 個人関連情報を個人データとして取得する場合」とは、例えば、自社の顧客が、自社以外のサイトや物理店舗でどのような買い物をしていたのか、第三者から情報提供を受け、自社の顧客の個人データとして付加・管理するようなケースが考えられます。

③の「個人関連情報」の例としては、ガイドラインの中に以下の通り記載されています。

・事例 1）Cookie 等の端末識別子を通じて収集された、ある個人のウェブサイトの閲覧履歴
・事例 2）メールアドレスに結び付いた、ある個人の年齢・性別・家族構成等
・事例 3）ある個人の商品購買履歴・サービス利用履歴
・事例 4）ある個人の位置情報
・事例 5）ある個人の興味・関心を示す情報

マーケティング施策の具体的な中身にもよりますが、上記のようなケースに該当する場合は、ユーザーからの同意が必要となる可能性がありますので、同意を取得する方策を検討しておくことが有益です。

ユーザーからの同意取得は、規約やプライバシーポリシー変更の際にも多く行われています。

次のパートでは、規約変更、再同意取得の際に考えられる実務について、一例としてご紹介します。