プライバシーポリシーとは、ウェブサイトに掲載する文章である、という認識を持つ方も少なくないかと思います。
もちろん、それは誤りとはいえず、個人情報保護法やそのガイドラインなどに基づいて、個人情報を取り扱う事業者（個人情報取扱事業者）が、取り扱うことになる個人情報の本人に対して、その取扱方針を示すための“外向け”の文書としてプライバシーポリシーが利用されていることは多いです。
しかし、このような外向けという利用方法以外にも、社内の教育や意識向上のツールとしても有効に活用できることもあります。
法的表示だけにしない
実際のところ、法律上の要請からプライバシーポリシーを整備している事業者は多いと考えられ、特にSaaSなどのWebサービス、ECサイト、会員制ビジネスなどでは、利用者からの信頼確保という目的の他にも、利用する他社サービスから求められるため作成・掲載しているケースも少なくないと思います。
しかし、せっかく作成したプライバシーポリシーであっても、その内容を実際に理解していない従業員が多いままでは、せっかく整備したルールもただの建前に終わってしまう危険があります。
だからこそ、プライバシーポリシーの作成をきっかけにして、しっかり従業員に対しても理解させる「社員教育」という側面も重要になってきます。
社内教育に使える理由
（１）判断基準を明確にすることでミスや事故を防げる
日常の業務においては、受け取った個人情報の扱いに関して様々な判断が求められます。
例えば次のような場合が想定されます。
- 名刺交換した情報を自社の顧客リストに登録してよいか
- お客様のメールアドレスを社外の共有ツールに入力してよいか
- テレワーク中に顧客名簿を個人PCで開いても問題ないか
こうした場面で、明確な方針が社内に共有されていなければ、「なんとなく」や「前からそうしていた」といった曖昧な運用になりかねません。
プライバシーポリシーには、情報の収集目的や利用範囲、共同利用、第三者提供の有無などが明記されているため、判断のよりどころとして活用できます。
（２）研修・教育資料として利用できる
新入社員や業務委託者、アルバイトなどに個人情報などの情報管理の重要性を伝えるには、具体的なルールが必要です。
そのときに、就業規則などと併せてプライバシーポリシーを読み合わせることで、「当社ではこういうルールを外部に向けて明示している」ということを伝えることができます。
また、社内研修のような場面においても、自社のポリシーに基づいた説明ができるよう教育することで、形式的な研修から一歩踏み込んだ実践的な教育につながります。
（３） 実務とのギャップが明らかになり、見直しのきっかけに
先述の２点を実践していくと、「プライバシーポリシーにはこう書いてあるけど、実際は違う運用をしている」という矛盾や齟齬に気が付く場合があります。
想定される事例としては、
- 「第三者提供はしない」と明記しているのに、ネット広告のカスタマーマッチ機能を利用するために広告配信事業者に送信していた
- 商品購入者に定期的に消耗品の案内メールを配信するようにしたが、「利用目的」にはそのような記載がなかった
こうした “プライバシーポリシーと実運用のズレ” を放置すれば、将来的なトラブルや法的リスクにつながります。
つまり、プライバシーポリシーを通じて社内を見直すことで、このようなリスクを軽減し、コンプライアンス水準を高める契機にもなります。
「ひな形をそのまま使っている」「法改正後に見直していない」という方は、意外と多いです。まず現状をお聞かせいただくだけでも構いません。
無料簡易相談はこちら形だけではなく、“伝える”ポリシーに
プライバシーポリシーは、ただ作成し掲載すればよいというものではありません。
”外側”にいる利用者や顧客だけでなく、”内側”の従業員間でもしっかり共有され、実際に“読まれる”ことで意味を持ちます。
どんな情報が、何のために、どのように利用されるか、という基本的な情報を社内外に“伝える”ためのドキュメントとしてプライバシーポリシーを再定義してみませんか？
制度や法律のためだけでなく、また何となく求められるからということではなく、日々の業務を守る道具として、今一度、自社のポリシーを見直す価値があるかもしれません。
社内向け文書も重要
本記事では、プライバシーポリシーを社内教育の教材として活用する方法をご紹介しました。実は、このドキュメント一枚で従業員の意識が大きく変わることも珍しくありません。
さらに一歩進めるなら、社内向けの「個人情報管理規程」を追加で作成することも有効です。プライバシーポリシーが「事業方針・考え方を伝えるもの」であれば、情報管理規程は「日々の実務で何をすべきか」を具体的に示すマニュアルになります。
個人情報管理規程に盛り込むべき項目としては、以下のようなものが考えられます。
- 部門ごとの取り扱い個人情報の種類と範囲
- システム・ファイルへのアクセス権限の管理方法
- パスワード・鍵・印鑑などの管理ルール
- 紙媒体・電子媒体それぞれの保管・廃棄方法
- 漏えいや流出を発見したときの報告手順
プライバシーポリシーで「心構え」を示し、情報管理規程で「具体的な動き」を定めるという”両輪”があると、個人情報保護の態勢がより堅牢になります。
個人情報管理規定の策定も検討されている場合は、ぜひご相談ください。
