ジョディ・ダニエルズはプライバシーのコンサルタントであり、プライバシーに注力する数少ない女性企業の1社であるRed Clover Advisorsの創業者兼CEOである。
古代ローマ人は、今日の多くの企業が苦手としていることを理解していた。それは、同時に2つの方向を見ることの価値である。転換の神であるローマ神話のヤヌスには2つの顔があり、一方は過去を見つめ、もう一方は地平線の彼方を見渡していた。
プライバシープログラムにも同じ双方向の視点が必要だ。あらゆる業務機能と同様に、プライバシーは定期的な確認と更新がなければ、いつの間にか現実からずれていく。しかし、第1四半期はそれを行う絶好の機会となる。年末レビューは終わっている。新たな予算は承認され、企業は何が機能しているかを評価し、先を見据えて計画する余裕を持ちやすい。
そこで、やるべきことのリストを手に取り、以下を確認してほしい。第1四半期のプライバシープログラム見直しに向けて評価すべき5つの領域を紹介する。
1. プライバシー通知は最新か？
プライバシー通知は、収集する個人情報の種類、その利用方法、共有先、そして人々が有する権利について、消費者と規制当局に伝える。これは透明性を担保する手段であると同時に、実際の運用を表明内容と一致させるという法的コミットメントでもある。
しかし、事業の変化は不正確さを招き得る。年の途中で新しいマーケティングプラットフォームを追加したり、ベンダーを切り替えたりすれば、収集するデータやデータの受領者が変わる可能性がある。誰も通知を更新しなければ、通知とデータ実務の乖離は大きくなり得る。
プライバシー見直しチェックリスト：
• 現行の通知を、実際の事業運用と照合する。
• 記載されている個人情報の各カテゴリが、現時点でシステムが収集している内容と一致しているかを検証する。
• 第三者への開示について、現行のベンダー関係と照合する。
• 保管期間が実際の運用を反映していることを確認する。
• 新製品や新サービスを開始している場合、通知がそれらをカバーしていることを確認する。
これらの活動には、特定のプライバシー法が個別の要件を設けている場合がある点に留意し、当該義務に整合する形でプライバシーの見直しを進めてほしい。
2. 同意管理ソフトウェアは正しく動作しているか？
クッキー同意ツールは、ウェブサイトがデータを収集する方法を制御する。これらのシステムは、特に広告と分析に関して、どのクッキーを動作させるかというユーザーの選択を尊重しなければならない。
しかし、同意ツールは万能ではない。ウェブサイトは絶えず進化する。マーケティングは新たなトラッキングピクセルを追加し、開発者は新しい分析ツールを統合し、サードパーティベンダーはSDKを更新する。こうした変更が構成の更新なしに起こると、同意が取得される前に新しいトラッカーが発火したり、カテゴリ未分類のクッキーが制御をすり抜けたりすることがある。
その一方で、同意バナーは、基盤となる強制機能が正しく動作していなくても、見た目上は通常どおり表示され続ける。
プライバシー見直しチェックリスト：
• ウェブサイト全体でクッキー同意をテストし、クッキーが目的別に正しく分類されていることを検証する。
• ユーザーが非必須クッキーを拒否した場合、それらのクッキーが実際に読み込まれないことを確認する。
• 同意の選択が、適切にセッション間で保持されることを確認する。
• ブラウザの開発者ツールを用い、ユーザーが選択する前後でどのクッキーが設定されるかを確認する。
• 同意実装後に大幅なサイト更新を行っている場合、新しい追跡技術が追加され、同意システムを通じて管理されているかを監査する。
定期的なテストは、ユーザーの苦情や規制当局の調査の後になって不具合を知るのではなく、同意メカニズムが意図どおりに機能していることを確認する助けとなる。
3. ユニバーサルオプトアウトの仕組みは機能しているか？
ユニバーサルオプトアウトメカニズム（UOOM）は、ブラウザのシグナルを通じて、ユーザーが複数のウェブサイトにまたがりデータの販売および共有を自動的にオプトアウトできるようにする仕組みである。オレゴン州など一部の州では、企業に対してこれらのメカニズムを尊重することを求めている。
Global Privacy Control（GPC）は、最も広く認知されているUOOMである。これはブラウザのシグナルまたは拡張機能として機能し、ユーザーが訪問するあらゆるウェブサイトに対してオプトアウトの意思を伝える。
しかし、UOOMの処理はバックグラウンドで行われるため、誰にも気づかれないまま失敗することがある。プラットフォーム更新後にサイトの技術設定がシグナルを検知できなくなる場合もあれば、同意ツールとバックエンドシステムの連携が壊れることもある。サードパーティのスクリプトがGPCの制御を完全に迂回してしまう可能性もある。サイトは一見すると正常に動作しているが、オプトアウト要求を無視しているという状態になり得る。
プライバシー見直しチェックリスト：
• GPC設定をテストする：GPCを有効化してサイトにアクセスし、検知が行われることを確認する。GPCが有効な場合と無効な場合で、データ収集と第三者共有の挙動が異なることを確認する。
• 技術スタックのどこでGPC処理が行われているかを文書化する。
• 同意管理プラットフォームを利用している場合、GPCに対して正しく構成されていることを確認する。
• 自社実装の場合、コードが意図どおりに機能し続けているかを確認する。
カリフォルニア州の2027年要件でブラウザがオプトアウトシグナルを有効化することが求められれば、GPCの普及が進み、技術的な不具合の影響はより大きくなる可能性がある。
4. プライバシー権の請求対応は十分か？
プライバシー法は、消費者に対し、自身のデータへのアクセス、削除、訂正に加え、特定の利用のオプトアウトといった権利を付与する。企業には、請求を受け付け、本人確認を行い、請求を履行し、法定期限内に回答するためのプロセスが必要である。
しかし、請求対応プロセスはスケールさせるのが難しい場合がある。月5件を手作業で扱うワークフローは、50件や500件になった途端に立ち行かなくなりがちだ。プライバシー権に対する消費者の認知は着実に高まっている。DataGrailによれば、データ主体の請求（DSR）は2023年と比べて2024年に43%増加した。
プライバシー見直しチェックリスト：
• 現在の請求件数と回答までの所要時間を見直す。
• ワークフローの遅延ポイントを特定する。
• 本人確認手順が文書化され、一貫して適用されていることを確認する。
• 期限を落とすことなく件数増に対応できるかを評価する。
• 手作業プロセスで件数が増えている場合、どこに自動化やワークフローツールが有効かを特定する。
• 完了まで最も時間を要した請求を精査する。そうしたケースは、修正可能なプロセス上の欠陥を示していることが多い。
5. データインベントリは正確か？
データインベントリは、収集する個人情報、その保管場所、利用方法、アクセス者、保管期間を記録する。これは、通知の作成から権利請求への対応、ベンダーリスクの評価に至るまで、プライバシーに関する意思決定に影響する。
しかし、インベントリは事業の変化とともに陳腐化する。新たなベンダーが登場し、システムが統合され、製品がローンチされる。変化のたびにデータの状況は変わるが、インベントリが正確であり続けるには、能動的なメンテナンスが不可欠である。
プライバシー見直しチェックリスト：
• 最後に完全なインベントリを実施した時期を確認する。1年以上経過している、または大きな事業変更があった場合、新規作成のタイミングである。
• 各システムが収集する個人情報、そのデータを必要とする業務目的、受領する第三者、保管期間を文書化する。
• 前回のインベントリ以降に追加されたベンダーやシステム、既存データの利用方法の変更を評価する。
• 新たな処理活動を見直し、新しいデータ収集の実務が文書化されていることを確認する。
第1四半期は、プライバシープログラムに勢いをつける機会となる。機能している点を確認するにせよ、機能していない点を調整するにせよ、いずれの結果も、2026年に向けてプログラムと顧客関係を強化することにつながる。
