EC取引（電子商取引）におけるプライバシーポリシーの作成

１．商品やサービスの販売手段として実店舗で販売するのではなく、インターネットなどを通じた電子商取引（EC取引）による販売は一般的な手段となっています。

また、EC取引により、日本国内の顧客だけでなく海外の顧客に対しても簡単に販売できるようになっています。

自社のウェブサイトを制作してEC取引を行う事業者は、自社のウェブサイトを通じて顧客から氏名、住所、生年月日、メールアドレス、クレジットカード情報など様々な個人情報を取得することになり、その個人情報をどのように取り扱うのかが問題となります。

事業者が、顧客から取得した個人情報の取扱いに関するルールを何も定めていないと、個人情報保護法に違反するばかりか、そもそも顧客が、個人情報の取扱いルールすら定めていない事業者から商品やサービスを購入するか？という事業者に対する信用の問題となるでしょう。

そのため、事業者としては、プライバシーポリシー（個人情報保護指針）を作成して、自社のウェブサイトにおいて公表し、それに従って個人情報を取り扱うべきです。

２．プライバシーポリシーの作成に当たって、どのような内容を定めるのが適切でしょうか。

これはなかなか一概には言えません。なぜなら、どこの国の顧客から、どのような個人情報を取得するのか、どのような目的で個人情報を利用するのか、個人情報をどのようにして利用したり、処理・管理したりするのかなど、事業者によってそれぞれ異なるからです。

ただし、個人情報保護法では、個人情報の利用目的や、個人情報の提供者による個人データ（個人情報データベースを構成する個人情報）の開示、訂正、削除などの請求手続を公表するよう求めており、少なくともこれらのことは公表する必要があります。

一方で、あまりに詳細な内容のものを定めても、社内でプライバシーポリシーを運用できるのかという問題もありますし、社内での事業内容や運用方法の変更や法令変更のたびにプライバシーポリシーを改正する必要が出てきます。

共通する最低限の内容としては、

どのような個人情報を取得するのか

個人情報の取得目的は何か（どのように個人情報を利用するのか）

個人情報の提供者から同意を得る必要がある場合

個人データの開示、訂正、削除などの請求手続

などを定めることになるでしょう。

特に注意する必要があるのは、個人情報を子会社を含めた国内外の第三者に提供したり、海外の業者に個人データの取扱いを委託する場合は、原則として個人情報を提供する顧客の同意が必要になる点です。同意を得ずにこれらのことを行っていると個人情報に違反していることになり、大きな問題となります。

また、子会社を含めた第三者と個人情報を共同利用する場合も、同意は必要ありませんが、①共同利用をする旨、②共同して利用される個人データの項目、③共同して利用する者の範囲、④利用する者の利用目的、⑤当該個人データの管理について責任を有する者の氏名又は名称をプライバシーポリシーに定めて公表する必要があります。

３．また、日本の顧客に販売することのみ想定してプライバシーポリシーを定めていることも多いと思いますが、越境EC取引により、海外の顧客にも商品やサービスを販売する場合、その顧客の居住する国の個人情報保護法を遵守しているかという点も問題となります。

欧州（EU）やカリフォルニア州などでは、日本の個人情報保護法よりも厳格な個人情報保護法を定めており、そういった地域の顧客に商品やサービスを販売することを想定しているのでしたら、欧州（EU）やカリフォルニア州の個人情報保護法令に対応したプライバシーポリシーを定める必要があります。

EC取引（電子商取引）におけるプライバシーポリシーの作成でお困りの方は弁護士 吉崎 猛（弁護士法人桜橋総合）までご相談ください。