日本の個人情報保護法（APPI / 個人情報保護法）は、同意・開示・データの取扱いについて、GDPRとは異なる独自の要件を定めています。しかも2022年の改正によって、その要件は日本にユーザーを持つ外国企業にまで及ぶようになりました。GDPRのポリシーを翻訳しただけでは、APPI対応にはなりません。本記事では、その差を生むローカライズ上の判断を解説します。
日本進出を準備する海外SaaSチームが最もやりがちな誤りは、APPIを、概念は同じで言語だけ違うGDPRの軽量版として扱うことです。そうではありません。APPIとGDPRは、個人の個人情報を守るという目的は共通していますが、それを別々の法的枠組みで表し、同意モデルも違い、微妙なケースでは個人情報の定義も分かれ、課される開示義務も異なります。SaaSのUIとプロダクトの文言に最も直接的に効いてくる5つの違いは、次のとおりです。
| 観点 | GDPR | APPI（日本） |
|---|---|---|
| 取扱いの法的根拠 | 複数の適法根拠（同意・正当な利益・契約・法的義務・重大な利益・公共の任務） | 同意または利用目的の通知；適法根拠の枠組みはより明示的でなく、目的の特定が中心的な仕組みとなる |
| Cookie同意の要件 | 非必須Cookieについて事前の明示同意が必要（eプライバシー指令＋GDPR第7条） | Cookieそのものに対する同等の事前明示同意の義務はない；Cookieデータが識別された個人と紐づく場合に個人情報のルールが適用される |
| データ管理主体の特定 | 「管理者（Controller）」として名称・連絡先、該当する場合はDPOを明示 | 個人情報取扱事業者——事業者名・住所・代表者名の開示が必須 |
| 第三者へのデータ共有 | 処理者に対する処理者契約；受領者の区分の開示 | 第三者提供：区分に応じて事前同意またはオプトアウト；委託（処理）と共同利用は、それぞれ別に定められた例外 |
| データ主体の権利 | アクセス・訂正・消去・ポータビリティ・制限・異議——広範で、個人が行使できる | 開示等の請求——開示・訂正・削除・利用停止；手続き上の決まりごとが細かく、開示請求には手数料を課すことができる |
プロダクトチームにとって、実務上の結論はこうです。プライバシーポリシーの構造、同意UIを出すタイミング、データ主体の権利の流れ、第三者共有の開示は、どれも単に翻訳するのではなく、APPI向けに作り直す必要があります。GDPR向けに作ったプライバシーUIのまま日本に展開すると、この5つの領域それぞれに不備が出てきます。
日本のAPPIは2022年に大きく改正されました（2022年4月施行）。海外SaaS企業にとって最も関係が深い変更は、域外適用の規定です。改正法では、日本国内にいる個人の個人情報を、日本国内の人への商品・サービスの提供に関連して取り扱う外国事業者にもAPPIが適用されます。これにより、日本にユーザーを持つ海外SaaSプロダクトは、本社の所在地やサーバーの設置場所にかかわらず、APPIの適用対象に直接入ります。
2022年の改正では、プロダクトのUIとプライバシーポリシーの内容に影響する規定もいくつか強化されました。オプトアウト権が拡張され、日本国内の個人はオプトアウトの手続きを通じて、自分のデータを第三者に提供されることを拒否できるようになりました。そのオプトアウトの仕組みは、プライバシーポリシーで開示しなければなりません。要配慮個人情報（人種・信条・社会的身分・病歴・犯罪歴その他一定の区分に関する情報）は、収集と利用に明示的な事前同意が必要で、オプトアウトという選択肢はありません。さらに、外国の第三者へ個人情報を提供する際の新しいルールが入り、提供先の国の開示と、同等の保護が整っているかの確認が求められるようになりました。
日本のユーザーからデータを集め、日本国外のサーバーで処理する海外SaaS企業にとって、この最後の点は直接関わってきます。プライバシーポリシーでは、データが外国へ移転されていること、その国の名称、その国のデータ保護制度に関する情報、あるいは移転の根拠（ユーザーの同意など）を開示しなければなりません。GDPR中心のプライバシーポリシーでは、日本向けにこれを明示的に扱うことがほとんどなく、開示上の穴になりがちです。
APPIに準拠した日本語のプライバシーポリシー（プライバシーポリシーまたは個人情報保護方針）には、必ず入れなければならない開示セクションがあります。これらは文書を整理するための任意の見出しではなく、APPIが定める法的な開示義務そのものです。抜けがあったり、見出しの付け方を間違えたりすると、コンプライアンス上の不備になります。次のセクションが最低限必要な開示事項です。
APPIの同意モデルは、GDPRのオプトイン義務より細かい作りになっています。APPIで原則として求められるのは、ユーザーへの利用目的の通知です。これはユーザーが閲覧できる形でプライバシーポリシーを公表すれば満たせ、ほとんどのデータ区分では能動的な同意クリックは要りません。能動的なオプトイン同意が特に必要になるのは、要配慮個人情報を収集・利用する場合、同等の保護が不確かな外国の第三者へ個人情報を提供する場合、そして利用目的を当初の開示から変更する場合です。
標準的なSaaSプロダクトが集める個人情報の大半（氏名・メールアドレス・利用データ・請求情報）について、APPIが求めるのは利用目的の開示と、ユーザーがデータ主体の請求を行える仕組みです。GDPR第7条が同意ベースの取扱いに求めるような、収集時点での能動的な同意クリックまでは求めていません。つまり、どんなデータ収集にも一律で「クリックして同意」のフローを出すのは、日本ではGDPR流の過剰設計です。害があるわけではありませんが、法律が求めているものでもありません。しかも、必須の同意ゲートを見た日本のユーザーは、それを「法律が実際に求める以上のリスクの高さ」を示すものと受け取ってしまい、かえって混乱しかねません。
日本のプロダクトで同意UIを実際に出す必要があるのは、次の場面です。要配慮個人情報（医療データ、経済的困窮を示す情報、人種・信条の情報）を収集する前。以前に収集したデータについて記載済みの利用目的を変更するとき。そして、十分性認定もユーザーの移転への明示的な同意もないまま、外国の第三者へ個人データを送るときです。
GDPR＋eプライバシー指令の枠組みでは、非必須のCookie（分析Cookie、広告Cookie、サービスに厳密には不要な機能Cookie）について事前の明示同意が求められます。EUのユーザーがいるほぼすべてのウェブサイトで今や見かける、あのCookie同意バナーはこれが理由です。APPIには、Cookieに対する同等の事前明示同意の義務はありません。
APPIでは、Cookieは特定の個人または識別できる個人と紐づけられない限り、それ自体は個人情報ではありません。匿名のセッションCookieはAPPIの適用範囲の外にあります。一方、Cookieの値がデータベース上でユーザーの氏名・メールアドレスその他の個人情報と結びつく場合は違います。ユーザーIDを使ったログイン中のトラッキング、CRM連携、広告リターゲティングはすべてこれに当たり、結びついたデータはAPPIが対象とする個人情報になります。そのデータの利用目的は、プライバシーポリシーで開示しなければなりません。
実務上の指針はこうです。分析Cookieと広告Cookieに事前オプトインの制御を付ける、EU型の本格的なCookie同意バナーは、APPIでは必須ではありませんが、禁止もされていません。EUのユーザーも抱える日本企業ではよく使われています。Cookie関連データについてのAPPIの最低限の義務は、どのCookieデータを集め、どう使い、個人情報と紐づけられうるかをプライバシーポリシーで開示することです。明確なCookieポリシー、またはCookieを扱うプライバシーポリシーのセクションへのフッターリンクがあれば、これを満たせます。日本のB2B・エンタープライズユーザーはこの開示を当たり前に期待するようになっています。コンプライアンス上のリスクがあるのは、EU型バナーの有無ではなく、この開示が無いことです。
APPIは、個人情報を取り扱う主体を指す独自の用語を使います。個人情報取扱事業者（こじんじょうほうとりあつかいじぎょうしゃ、「個人情報を取り扱う事業者」）です。これはGDPRのデータ管理者に相当しますが、日本語の法務文書では同じように使える語ではありません。個人情報取扱事業者の代わりに「データ管理者」（"data controller" の直訳）を使っている日本語プライバシーポリシーを見れば、その文書がAPPI向けに作られたものではなく、GDPRから翻訳されたものだと分かってしまいます。
日本語のプライバシーポリシーで個人情報取扱事業者を開示するときは、次の項目を含めなければなりません。事業者の名称（法人名または個人事業主の氏名）、住所（日本式の住所表記）、そして代表者の氏名です。外国企業の場合は、海外法人の名称とその海外住所、または日本に子会社や駐在員事務所があればその名称を記載します。海外法人が個人情報取扱事業者になる場合、住所が海外でも差し支えありませんが、開示の格式に合わせた統一的な書式で記載すべきです。
このラベルは、プロダクトのUIでもいくつかの場所に登場します。登録フローでは、個人情報を最初に集める場面で個人情報取扱事業者に触れる必要があります。アカウント設定やプライバシーのセクションでは、ユーザーのデータを誰が保有しているかを示します。データ主体の請求（開示等の請求）のフローでは、その請求がどの個人情報取扱事業者宛てなのかを明確に書くべきです。
APPIは、日本国内の個人に、個人情報取扱事業者が保有する自分の個人情報について、開示・訂正・追加・削除・利用停止・第三者提供の停止・利用目的の通知を請求する権利を認めています。これらの権利はまとめて開示等の請求と呼ばれ、法律は事業者に対し、請求を受け付けて対応するための手続きを整えるよう求めています。
SaaSプロダクトに実務上求められるのは、次のとおりです。これらの請求を受け付ける、見つけやすい窓口や手続きを用意すること（ウェブフォーム、メールアドレス、郵送先住所のいずれでも要件を満たします）。その手続きをプライバシーポリシーで開示すること。合理的な期間内に対応すること。そして、開示請求に手数料を課す場合は、その手数料を事前に開示することです。法律が特定のUIパターンを義務づけているわけではありませんが、日本のエンタープライズユーザー、とりわけ調達の役割にある人は、プライバシーポリシーの中の開示等の請求のセクションと、それを実際に行使できる窓口を探します。
APPIは、GDPR流のプライバシーポリシーではひとまとめにされがちな2種類のデータ共有を区別します。委託（いたく——委ねること、委託処理）と共同利用（きょうどうりよう——共同での利用）です。どちらが自社プロダクトの実際のデータフローに当てはまるかを見極めれば、何をどう開示すべきかが決まります。
委託とは、個人情報取扱事業者と、その指示に基づいて動く処理者との関係です。クラウドホスティング事業者、第三者の分析プラットフォーム、チケットデータを扱うカスタマーサポートツールなどが当たります。APPIでは、委託は第三者提供のルールに設けられた例外のひとつです。データ管理主体（個人情報取扱事業者）は、委託先（委託を受けた処理者）とデータを共有するためにユーザーの同意を得る必要はありませんが、その処理者を適切に監督しなければならず、処理者がデータを誤って取り扱った場合には責任を負います。プライバシーポリシーには、サービス提供のためにデータを第三者へ委託することがある旨を開示すべきですが、必ずしもすべての処理者を名指しする必要はありません（処理者の区分の開示を求めるGDPRとは異なります）。
共同利用とは、2者以上の特定された事業者が共通の目的で個人情報を共有するケースです。たとえば、関連会社のグループが顧客データベースを共有する、あるいはプラットフォームとその認定リセラーが共同のサービス提供のためにユーザー情報を共有する、といった場合です。共同利用も、APPIでは第三者提供のルールの例外として明記されていますが、開示要件はより細かくなります。プライバシーポリシーには、共同利用する者の名称、共有するデータの区分、目的を記し、どの共同利用者が個人情報の管理に責任を負うかを特定しなければなりません。
プライバシーマーク（Pマーク）は、JIPDEC（一般財団法人日本情報経済社会推進協会）が運用する日本のプライバシーマネジメント認証です。JIS Q 15001（日本の個人情報保護の規格）への準拠を認証するもので、日本のエンタープライズ購買担当者・官公庁・規制業種の調達チームから、有効な信頼のよりどころとして広く認知されています。多くの日本の大企業が、プライバシーマークまたは同等の認証を、ベンダー評価基準に含めています。
海外SaaS企業にとって、これは構造上の制約です。プライバシーマークには日本法人が必要です。米国や欧州に本社を置く企業は、認証を直接保有できません。保有できるのはその日本子会社だけです。つまり、日本法人を持たない海外SaaS企業は、代わりの信頼のよりどころに頼らざるを得ません。日本のエンタープライズ調達で最も有効な代替策は、次のとおりです。
これらの代替策は、日本語のプロダクトサイトのセキュリティページや信頼性のページで、各認証が何をカバーするのかを十分に説明した、分かりやすい日本語で示すべきです。ロゴを並べただけのバッジの列では不十分です。日本の調達担当者は、認証の証拠を社内の委員会に提示しなければならないことも多く、ISO 27001が何を意味するかを一文の日本語で説明してあるほうが、その手続きではロゴだけより役に立ちます。
プライバシーUIのローカライズ診断では、APPIで必須の開示用語、同意を求めるタイミング、データ管理主体の表示、第三者共有のラベル（委託 vs 共同利用）、データ主体からの請求のUI、信頼シグナルの伝え方を確認します。あなたプロダクトの現状に合わせた、具体的な改善前後の提案つきです。
ミニ診断を依頼する個人情報保護法（APPI）は、日本にユーザーを持つ海外SaaS企業にも適用されますか？
はい。2022年の個人情報保護法（APPI）改正以降、日本国内にいる個人の個人情報を取り扱い、かつ日本国内の人に商品・サービスを提供する外国の事業者にも、この法律が適用されます。いわゆる域外適用の規定です。日本にユーザーを持つ海外SaaS企業は、日本国内にいる個人の個人情報を取り扱い、日本国内の人にサービスを提供しているので、適用範囲に入ります。実務上の義務には、APPIの開示要件（利用目的の通知）への対応、特定のデータ区分についてのオプトアウト権、第三者提供のルールがあります。個人情報保護委員会（PPC）が外国事業者向けのガイダンスを公表しているので、法的助言とあわせて、まずそれを確認するのが適切です。
APPIのもとで、日本語プライバシーポリシーに必須となる開示事項は何ですか？
APPIは、プライバシーポリシー（個人情報保護方針またはプライバシーポリシー）で、少なくとも次の事項を開示するよう求めています。収集する個人情報の区分ごとの利用目的、データ管理主体の特定（個人情報取扱事業者の名称、つまり事業者名・住所・代表者）、データ主体からの請求の手続きと窓口（開示等の請求）、個人情報を提供する可能性のある第三者の区分（第三者提供）、そして共同利用の取り決めの有無です。根底にある趣旨は似ていても、これらの開示義務は構造や用語の面でGDPRと異なります。必須の開示区分・見出し・法的根拠の枠組みが違うため、GDPR準拠のプライバシーポリシーを日本語に訳しただけでは、APPIを満たすことにはなりません。
APPIはCookie同意をGDPRと比べてどう扱いますか？
APPIは、EUでGDPR第7条とeプライバシー指令が非必須Cookieに求めるような明示的な事前同意を、一律には義務づけていません。APPIでは、Cookie自体は特定の個人を識別できる場合を除き、個人情報に分類されません。たとえば匿名のセッションCookieは、一般にAPPIの個人情報の定義に当たりません。ただし、Cookieのデータが（たとえばログイン中のユーザーIDを介して）個人情報と紐づく場合、その紐づいたデータはAPPIの対象となる個人情報になります。つまり、あらゆるCookie区分に事前オプトインを求めるEU型のフル同意バナーは、APPI上は法的に必須ではありません。それでも、どのCookieを設定し何に使うのかを説明するプライバシー通知をフッターから開ける形で示すことは、日本のB2B・エンタープライズユーザーに対する実務上の慣行として期待されています。
プライバシーマークとは何ですか。日本でのSaaSエンタープライズ営業に影響しますか？
プライバシーマーク（PMやPマークと略されることもあります）は、JIPDEC（一般財団法人日本情報経済社会推進協会）が運用する日本のプライバシーマネジメント認証です。組織がJIS Q 15001（日本の個人情報保護の規格）を満たす個人情報マネジメントシステムを構築していることを認証するものです。日本でのエンタープライズSaaS営業では、プライバシーマークの取得状況が信頼を大きく左右します。特に、日本の大企業・官公庁・規制業種の調達では重要です。日本の大規模な組織の多くが、プライバシーマークまたは同等の認証をベンダー評価基準に入れています。プライバシーマークの取得には日本法人が必要なため、海外本社のSaaS企業は通常、認証を直接取得できません。代替策としては、ISO 27001認証（日本のエンタープライズ市場で広く知られています）の取得、認証を持つ日本のパートナー経由で進めること、あるいはGDPR準拠やSOC 2の取得状況を、その認証がカバーする範囲の適切な日本語の説明とあわせて、同等のデータガバナンスの証拠として明確に示すことが挙げられます。
日本語プライバシーポリシーにおける「委託」と「共同利用」の違いは何ですか？
どちらの用語も、最初に収集した者以外と個人情報を共有する状況を指しますが、APPIでの法的な扱いは異なります。委託（いたく）は、データ管理主体が処理を第三者の処理者（たとえばクラウドインフラ事業者や分析サービス）に任せることです。この場合も管理主体が責任を負い続け、処理者は管理主体の指示に従います。GDPRの管理者・処理者の関係におおむね相当します。共同利用（きょうどうりよう）は、特定された2者以上の当事者が共通の目的のために個人情報を共有することで、共同利用する当事者の名称・共有するデータ区分・目的をプライバシーポリシーで開示しなければなりません。GDPRと異なり、APPIは共同利用を第三者提供のルールに対する名前付きの例外（第三者提供の例外）として定め、各当事者の名称を明示するよう求めています。どちらの取り決めも日本語プライバシーポリシーで開示が必要で、実際の取り決めと違う用語を使うと、コンプライアンス上の不備になります。
必須の開示事項、同意を取るタイミング、データ管理主体の特定、第三者共有のラベル、データ主体からの請求に対応するUI。これらはすべてAPPIとGDPRで異なります。日本のエンタープライズ調達で指摘される前に、的を絞ったレビューで不備を押さえられます。