プライバシーポリシーの改定案を外部送信規律に沿ってClaudeで下書きする手順

プライバシーポリシーの改定は、条文を読む作業と、自社サイトの実態を洗い出す作業に分かれます。Claudeに向くのは後者の整理と、整理結果を文章に起こす部分です。条文の当てはめと送信先の事実確認は、人が決めます。

この記事では、改定の根拠が2本の法律にまたがることを先に押さえます。そのうえで、サイトのタグ一覧を表にしてClaudeに渡し、改定案を下書きさせるところまでを順に示します。

改定の根拠は2本ある — 個人情報保護法と電気通信事業法

プライバシーポリシーに載せる内容は、1つの法律だけでは決まりません。個人情報の取扱いに関する公表事項は個人情報保護法、ブラウザなどから外部へ情報が送られることの通知・公表は電気通信事業法が根拠です。

外部送信規律は、送られる情報が個人情報であることを前提にしていません。条文の文言は「利用者に関する情報」です。Cookie IDだけを送るタグのように、単体では個人情報に当たらない情報でも、27条の12の対象になり得ます。

個人情報保護法の側のCookie・広告IDの線引きは、Claudeにログを渡す前に確認する個人関連情報の線引きにまとめています。この記事は、ポリシー本文を直す側の手順です。

外部送信規律が自社サイトに及ぶかを先に確かめる

27条の12の義務を負うのは、電気通信事業者または第三号事業を営む者のうち、総務省令で定める電気通信役務を提供する者です。施行規則22条の2の27が、その役務を4つに分けています。

• 他人の通信を媒介する役務
• 他人の通信の用に供する設備に情報を記録し、不特定の利用者の求めに応じて送信する機能を持つ役務
• 検索情報に対応して、ウェブページの所在に関する情報を出力する機能を持つ役務
• 上記のほか、不特定の利用者の求めに応じて情報を送信する設備を他人の通信の用に供する役務で、不特定の利用者による情報の閲覧に供することを目的とするもの

いずれも、ブラウザその他のソフトウェアで提供されるものが対象です。条文だけでは、自社の情報発信サイトが4号に含まれるかを決めにくいため、総務省の外部送信規律FAQの答えを並べます。FAQは、そもそも「電気通信事業」を営んでいるかを入口に置いています。

FAQにコーポレートサイトそのものを名指しした問いはありません。会社紹介や商品案内が中心のサイトは案内ページの答えに近く、記事や情報を事業として配信するメディアはニュース配信の答えに近い、というのが読み方の目安です。どちらに寄るか迷う運営形態は、法務に確認する対象です。FAQは、Cookieを使っていなくても、端末から外部へ情報を送らせるプログラムを送る行為なら規律の対象になるとも答えています(問1-7)。

Claudeに頼めるのは、判断の材料を並べることまでです。たとえば「役務の内容」「ログイン機能の有無」「誰でも閲覧できるか」を箇条書きにさせ、人が4つの類型と照らします。

通知・公表に載せる3事項と、載せ方の条件

対象になる場合、外部送信ごとに載せる事項は、施行規則22条の2の29が3つに定めています。

載せ方にも条件があります。22条の2の28は、日本語で、専門用語を避け、平易な表現を用いることを求めています。操作しなくても文字が適切な大きさで表示されることも条件です。

利用者が容易に知り得る状態に置く方法を選ぶ場合は、次のいずれかに当たる必要があります。

1. 外部送信を行うウェブページ、またはそこから容易に到達できるページに表示する
2. ソフトウェアを使うときに最初に表示される画面、またはそこから容易に到達できる画面に表示する
3. 上記と同等以上に容易に到達できるようにする

プライバシーポリシーのページに載せる運用は、この「容易に到達できる」を満たす位置にリンクがあるかで決まります。FAQは、外部送信を指令するページから、遷移先に通知事項があると利用者に分かる形でリンクが置かれていれば、その遷移先は「容易に到達できるウェブページ」に当たると答えています(問3-11)。同等以上の方法の例には、ウェブサイトのトップページに表示することが挙がっています(問3-13)。

フッターの小さなリンクが「分かる形」に当たるかは、FAQにも書かれていません。リンクの文言と位置を画面ごとに確かめる作業が要ります。

プライバシーポリシーへのリンクで利用目的を示すこと自体は認められています。ただし、リンク先の内容の概略を併せて示すことが望ましいとされています(問4-6)。

例外 — 通知・公表が要らない情報がある

27条の12は、次の4種類の情報について通知・公表の義務を外しています。

1号の「必要な情報」は、施行規則22条の2の30が5つに具体化しています。画面を適正に表示するための情報、入力内容を再表示するための情報、入力した認証情報を再表示するための情報、不正な行為の検知に必要な情報、設備の負荷軽減など運用に必要な情報です。いずれも、必要の範囲内で送信する場合に限られます。

アクセス解析や広告のタグは、この5つのどれにも当たらないものが多いはずです。ただし、これは自社のタグごとに確かめる項目で、一般論では決められません。

4号のオプトアウトを使う場合、22条の2の31が7つの事項を容易に知り得る状態に置くよう求めています。措置を講じている旨、停止する行為の別、求めの受付方法、利用制限の内容、そして送信される情報・取り扱う者・利用目的です。

タグの棚卸し表を作る

Claudeに渡す前に、サイトのタグを表にします。この表に個人データは含まれません。ページに埋め込まれたタグの名前と送信先の情報だけです。

外部ドメインをHTMLから洗い出す

ページのHTMLに直接書かれた外部ドメインは、コマンドで拾えます。

curl -s https://example.com/ \
  | grep -oE '(src|href)="https?://[^"/]+' \
  | sed -E 's/^(src|href)="https?:\/\///' \
  | sort | uniq -c | sort -rn

この方法で拾えるのは、HTMLに直接書かれたものだけです。タグ管理ツール経由で後から読み込まれるタグや、同意操作のあとに動き出すタグは出てきません。ブラウザの開発者ツールのネットワークタブで、実際の通信先を重ねて確認します。

棚卸し表の列

列は次の6つが扱いやすい構成です。

「送信先の事業者名」と「利用目的」は、Claudeに推測させません。ベンダーの契約書や管理画面の設定が根拠です。空欄のまま渡し、空欄は空欄のまま返すよう指示します。

Claudeに下書きさせる

棚卸し表と現行のプライバシーポリシー本文を渡し、改定案と確認事項を分けて出させます。

指示の例は次のとおりです。

あなたは、自社サイトのプライバシーポリシー改定案を作る補助役です。
入力は「現行ポリシー」と「タグ棚卸し表」だけです。個人データは含みません。
 
守ること:
- 棚卸し表の空欄は推測で埋めず、「要確認」と書く。
- 送信先の事業者名と利用目的は、表にある語だけを使う。
- 日本語で、専門用語を避け、平易な表現にする。
- 出力は次の2つに分ける。
  1. 改定案(節ごと。変更箇所に印を付ける)
  2. 人が確認する表(論点 / 該当箇所 / 確認する人)
- 「法的に問題ない」「適法です」とは書かない。

出力の形は、たとえば次のようになります(書き方の例示で、実際の出力ではありません)。

■ 外部送信について(改定案)
当サイトでは、サービス改善のため、以下の事業者のツールを利用しており、
お使いの端末から次の情報が送信されます。
・アクセス解析: 〇〇社 / 閲覧したページのURL、Cookie ID / 閲覧状況の分析
・広告配信: 要確認 / 要確認 / 要確認
 
■ 人が確認する表
| 論点 | 該当箇所 | 確認する人 |
| 広告配信タグの送信先事業者名 | 外部送信の節 | 広告担当 |
| 1号〜4号の例外に当たるか | 解析タグ | 法務 |

Claude Codeで手元のファイルを直接読ませる場合は、claude -p で標準入力から渡す形が使えます。

cat policy-current.md tag-inventory.md \
  | claude -p "上のポリシーとタグ表から、外部送信の記載案と確認表を作る"

claude -p は、作業ディレクトリの設定やフックも読み込みます。スクリプトから呼ぶ場合は --bare を付けると読み込みを省けます。

個人情報保護法の側で見直す箇所

外部送信の記載を足すついでに、個人情報保護法の側の公表事項も点検します。Claudeには、条文の項目ごとにポリシーの該当箇所を引かせ、ない項目を挙げさせると手早く進みます。

利用目的は具体的に書き直す

個人情報保護委員会の通則編ガイドラインは、「事業活動に用いるため」「マーケティング活動に用いるため」を、具体的に特定していない例に挙げています。行動・関心を分析する場合は、「取得した閲覧履歴や購買履歴等の情報を分析して、趣味・嗜好に応じた新商品・サービスに関する広告のために利用いたします」のように、分析の中身が分かる書き方が具体例として示されています。

利用目的を変えるときは範囲を見る

17条2項は、変更前の目的と関連性を有すると合理的に認められる範囲を超えた変更を認めていません。変更した場合は、21条3項で本人への通知または公表が要ります。Claudeに旧版と新版の利用目的を並べさせ、追加された目的を抜き出させます。範囲内かどうかは人が判断します。

保有個人データの公表事項を揃える

32条1項は、事業者の名称・住所・代表者名、利用目的、請求手続に加えて、政令で定める事項を求めています。政令10条の事項は、安全管理のために講じた措置、苦情の申出先、認定を受けた団体の対象事業者である場合の、その団体の名称と申出先です。

第三者提供の表現を点検する

27条5項は、委託、事業承継、共同利用の場合の提供先を、第三者に当たらないとしています。共同利用は、共同して利用する旨、項目、範囲、目的、責任者の氏名または名称を、あらかじめ通知または容易に知り得る状態に置くことが条件です。

外国の事業者に個人データを渡す場合は、28条で原則として外国にある第三者への提供を認める旨の同意が要ります。タグの送信先が海外のベンダーでも、渡しているのが個人データに当たるかが先に問われます。同意取得時の情報提供と契約の見直しは、Claude Data Residencyと外的環境の把握の整理が参考になります。

人が確認する欄 — Claudeに任せない部分

下書きは速くなりますが、次の4点は人が決める欄として残します。

• 自社のサービスが27条の12の対象役務に当たるか
• 各タグの送信先事業者名と利用目的(ベンダーの契約・資料で確認)
• 例外の区分(1号〜4号)の当てはめ
• 利用目的の変更が、変更前と関連性を有すると合理的に認められる範囲に収まるか

Claudeに入れてよいもの、入れないもの

渡してよいのは、現行ポリシー本文、タグの名称・事業者名・利用目的、条文の抜粋です。入れない方がよいのは、実在の顧客の個人情報、アクセスログの生データ、問い合わせ内容です。

ポリシーの改定案づくりに必要なのは、取扱いの種類であって、個々の人のデータではありません。生成AIに個人情報を入力する前に確認する窓口と契約の整理は、個人情報保護委員会の注意喚起とClaudeの契約・設定の対応に書いています。

まとめ

改定の作業は、タグの棚卸し表を作る、Claudeに改定案と確認表を分けて出させる、人が確認欄を埋める、の順に進みます。Claudeの出力は、空欄が空欄のまま返ってくるかで信頼度を測れます。埋まっていない欄が埋まっていたら、ベンダー資料と突き合わせて根拠を確かめてください。

外部送信規律の記載は、利用者が容易に到達できる場所に置いて初めて意味を持ちます。ポリシー本文の改定が終わったら、どの画面からどう辿り着くかを実際にクリックして確かめるところまでが、改定の作業範囲です。