海外に向けてWebサービスやソフトウェアを展開する際、準備しておきたいものの一つが、海外の個人情報保護規制を考慮したプライバシーポリシーです。

特にEU（欧州連合）では、GDPR（EU一般データ保護規則）という個人情報保護に関する規則が設けられています。

日本の事業者であっても、EU域内の個人に向けてサービスを提供する場合などには、GDPRが適用されることがあります。

当事務所では、海外展開を予定するソフトウェアについて、GDPRを考慮したプライバシーポリシーの作成と英訳手配に対応しています。

このような業務で重要なのは、GDPRの規定を理解することだけではありません。

実際にサービスがどのような個人情報を取得し、それをどこで、どのように取り扱っているのかを正確に把握することです。

本記事では、当事務所での対応事例を踏まえながら、海外向けプライバシーポリシーの作成で確認すべき事項や、英語版を用意する際のポイントについて解説します。

1. 海外向けサービスではGDPRへの対応が必要になる場合がある

GDPRは、EUにおける個人データの保護に関する規則です。

日本の個人情報保護法と同様、個人情報の取扱いに関するルールを定めていますが、事業者に求められる義務や、個人に認められる権利には違いがあります。

また、GDPRはEU域内に拠点を置く企業だけを対象とするものではありません。

例えば、日本の企業がEU域内にいる個人に向けてサービスを提供し、そのサービスに関連して個人データを取り扱う場合には、GDPRが適用される可能性があります。

ただし、海外から自社のWebサイトにアクセスできるというだけで、当然にGDPRが適用されるわけではありません。対象となる個人に向けて商品やサービスを提供しているかなど、実際の事業内容によって判断する必要があります。

海外向けにWebサービスやアプリケーションを公開する場合は、対象とする国・地域を確認したうえで、適用される個人情報保護規制を検討することが重要です。

2. GDPR対応のプライバシーポリシーでは何を定めるのか

GDPRでは、個人データの取扱いについて、本人に一定の情報を提供することが求められています。

主な確認事項には、次のようなものがあります。

取得する個人データの種類
個人データを利用する目的
個人データを処理する法的根拠
個人データの保存期間、またはその決定基準
個人データの提供先
EU域外へのデータ移転に関する事項
本人によるアクセス、訂正、削除などの権利
個人データの取扱いに関する問い合わせ先

日本のプライバシーポリシーにも共通する項目がありますが、GDPRでは、個人データの処理について法的根拠を明らかにすることなどが求められます。

例えば、利用者の同意に基づいて個人データを処理するのか、契約の履行に必要な処理なのか、事業者の正当な利益に基づく処理なのかといった点です。

これらは単に文章を追加すればよいというものではありません。

実際のサービスにおける個人データの取扱いと整合する内容にする必要があります。

3. 【対応事例】ソフトウェアが取り扱う個人情報の整理

当事務所では、海外展開を視野に入れたソフトウェアについて、GDPRを考慮したプライバシーポリシーの作成と英訳手配に対応した事例があります。

このような文書を作成するうえで、特に重要となるのが、ソフトウェア内部で取り扱われる情報の整理です。

3-1. 利用者の端末に保存される情報とサーバーに保存される情報

ソフトウェアが取り扱う情報は、必ずしもすべて事業者のサーバーに送信されるわけではありません。

利用者の端末内に保存される情報もあれば、インターネットを経由してサーバーに送信・保存される情報もあります。

また、外部サービスとの連携によって、別の事業者が管理するサーバーに情報が送信される場合もあります。

プライバシーポリシーを作成する際には、こうした情報の流れを把握する必要があります。

例えば、利用者が入力した情報が端末内にのみ保存されるのか、それとも事業者が利用するクラウドサービスに送信されるのかによって、確認すべき事項は異なります。

ただし、端末内に保存される情報だからGDPRの対象外になるというわけではありません。誰が、どのような目的で個人データを処理しているのかを踏まえて判断する必要があります。

3-2. 開発者への個別の確認が必要になることも

ソフトウェアの開発者であっても、個々の情報の用途や保存先を、プライバシーポリシーの作成に必要な形で整理しているとは限りません。

当事務所での対応事例でも、情報の取扱状況を確認するため、開発者に対して個別の質問を行いました。

例えば、次のような質問です。

「これは何のためのデータですか？」

「このデータはどこのサーバーに保存されますか？」

こうした確認を一つずつ行い、開発者に調査していただきながら、個人情報の取扱状況を整理していきます。

ここでは、単に「取得する個人情報を教えてください」と尋ねるだけでは十分ではありません。

データがどのような仕組みで取得され、どこに保存され、どのように利用されるのかを理解する必要があります。

プライバシーポリシーは法律文書ですが、その作成にはソフトウェアの仕組みを理解する知識が求められることがあります。

当事務所では、行政書士としての法務知識に加え、ソフトウェア開発に携わった経験を生かし、こうした技術的な事項の確認にも対応しています。

4. プライバシーポリシーの作成前に事業者が整理しておきたい情報

GDPRを考慮したプライバシーポリシーの作成を依頼する際には、事前にサービスの仕組みと個人情報の取扱状況を整理しておくことをお勧めします。

特に重要なのは、次の2つです。

4-1. 取得する個人情報と保存先の一覧

まず、サービスが取得する個人情報を洗い出します。

例えば、氏名、メールアドレス、アカウント情報、アクセスログなど、サービスの仕組みに応じて確認する必要があります。

そのうえで、各情報について、取得目的、利用方法、保存先などを整理します。

この一覧があると、プライバシーポリシーに記載すべき事項を検討しやすくなります。

4-2. サービス全体のシステム構成

もう一つ重要なのが、サービスのシステム構成です。

例えば、AWS（Amazon Web Services）を利用しているのか、それ以外のクラウドサービスを利用しているのか。

どのサービスに、どのような情報を保存しているのか。

外部の認証サービス、決済サービス、アクセス解析サービスなどを利用している場合には、それらとの間でどのような情報のやり取りが発生するのか。

こうした仕組みを把握しておくことが重要です。

なお、AWSなどのクラウドサービスを利用しているという事実だけでは、データの保存国や移転先まで確定するわけではありません。実際に利用しているサービスやリージョン、設定などの確認も必要になる場合があります。

システム構成図や利用している外部サービスの一覧があれば、確認作業を進めやすくなります。

プライバシーポリシーの作成では、事業者自身がこうした情報を把握していることが理想的です。

当事務所でも、必要に応じて技術的な事項について質問を行いますが、開発者による確認が不可欠な情報もあります。

事前に情報を整理しておくことで、文書作成を円滑に進めることができます。

5. 英語版プライバシーポリシーの作成について

海外向けにサービスを提供する場合には、プライバシーポリシーの英語版が必要になることがあります。

ただし、GDPRが求めているのは、単に英語で文章を用意することではなく、対象となる本人に対して、個人データの取扱いに関する情報を分かりやすく提供することです。

そのため、実際の提供地域や利用者に応じて、使用する言語を検討する必要があります。

日本語版を確定させてから英訳する

当事務所では、まず日本語版のプライバシーポリシーを作成し、内容を確定させたうえで、外部の翻訳者に英訳を依頼しています。

先に日本語で情報の取扱状況や法的な規定を整理しておくことで、原文の内容を明確にした状態で翻訳を進めることができます。

英語版の作成にあたっては、単に文章を翻訳するだけでなく、原文との整合性にも注意が必要です。

また、日本語版と英語版のどちらを優先するかという問題と、海外の利用者に対して必要な情報を適切に提供できているかという問題は、区別して考える必要があります。

当事務所では、プライバシーポリシーの日本語版作成から英訳の手配まで、一連の業務に対応しています。

6. プライバシーポリシーを作成するだけではGDPR対応は完結しない

ここまで、プライバシーポリシーの作成について説明してきました。

ただし、GDPRへの対応は、プライバシーポリシーを作成・公開すれば完了するものではありません。

例えば、実際の個人データの取得方法、保存・削除の仕組み、本人から開示や削除の請求があった場合の対応などについても、必要な措置を検討しなければなりません。

また、サービスの仕様変更によって取得する情報や利用する外部サービスが変われば、プライバシーポリシーの見直しが必要になることもあります。

重要なのは、実際の個人情報の取扱いと、プライバシーポリシーの記載内容が一致していることです。

そのためにも、文書の作成に先立って、サービスの仕組みとデータの流れを整理しておくことが大切です。

7. GDPR対応のプライバシーポリシー作成・英訳のご相談

坂本倫朗行政書士事務所では、IT・Webサービスを提供する事業者様に向けて、プライバシーポリシーや利用規約の作成・チェックを行っています。

海外展開を予定しているサービスについても、GDPRを考慮したプライバシーポリシーの作成や、外部翻訳者による英訳手配に対応しています。

当事務所の特徴は、行政書士としての法務知識に加え、ソフトウェア開発の経験を有していることです。

プライバシーポリシーの作成にあたっては、取得する個人情報の種類や利用目的だけでなく、必要に応じてシステム構成やデータの保存先なども確認しながら、実際のサービスに即した文書の整備を進めています。

GDPR対応のプライバシーポリシー作成・英訳については、専用のサービスページで詳しくご案内しています。

▶ GDPR対応プライバシーポリシーの作成代行・英訳サービスはこちら

※当事務所では、GDPRの規定を考慮したプライバシーポリシーの作成・チェックおよび英訳手配に対応しています。なお、GDPRへの対応には、文書の整備だけでなく、個人情報の管理体制やシステムの運用なども関係するため、これらについては事業者様において別途対応いただく必要があります。