正当な利益とは？
同意とは異なり、正当な利益では、本人が処理に積極的に同意することを必要としません。ただし組織は、その処理がなぜ適法で、必要であり、比例的であるのかを正当化できなければなりません。
この分析を文書化するために、一般に正当な利益評価（LIA）が用いられます。
重要: 正当な利益は、同意要件を一律に免除するものではありません。とりわけ、正当な利益を用いたからといって、適用される ePrivacy のルールが同意を求める場合に、必須でない Cookie、広告トラッカー、その他の技術が自動的に許容されるわけではありません。
正当な利益をかんたんに言うと
正当な利益とは、組織が個人データを利用する真正かつ適法な理由を有し、その目的を達成するために処理が必要であり、かつ本人のプライバシー上の利益が組織の利益に優先しないことをいいます。
たとえば、組織は次のような事項について正当な利益を有し得ます。
- 不正の防止
- ネットワークおよび情報セキュリティの保護
- 濫用の検知
- 既存の顧客関係の維持
- 一定の形態のダイレクトマーケティング
- 債権の回収
- 法的請求の保全
- 社内業務の改善
- サービスの不正利用の防止
正当な利益が適用されるかどうかは、個別の状況によって決まります。
ある活動が商業的に有用であるからといって、それが自動的に正当な利益になるわけではありません。
正当な利益は GDPR における適法根拠ですか？
はい。
GDPR の第 6 条第 1 項(f) は、個人データを処理するための適法根拠の一つとして正当な利益を認めています。
次の場合に適用されます。
- 組織または第三者が正当な利益を有していること。
- その利益のために個人データの処理が必要であること。
- 本人の利益、権利または自由が、その正当な利益に優先しないこと。
これらの条件は累積的です。三つすべてを満たす必要があります。
正当な利益の三要素テスト
正当な利益の中核は、三つの要素からなる評価です。
目的テスト
まず、正当な利益を特定します。
問い:
- 私たちは何を達成しようとしているのか。
- その処理によって誰が利益を得るのか。
- その利益は適法か。
- その利益は明確に定義されているか。
- 真正かつ現在の利益が存在するか。
考えられる利益には、商業的、個人的、業務上、セキュリティ上、またはより広い社会的な利益が含まれ得ます。
その利益は、「事業上の目的」といった曖昧な言葉で説明するのではなく、明確に述べられるべきです。
必要性テスト
次に、その利益を達成するために個人データの処理が実際に必要であるかどうかを判断します。
問い:
- 提案されている処理は、特定された目的の達成に役立つか。
- その処理は合理的に必要か。
- 同じ目的を別の方法で達成できないか。
- より侵害の程度が低い方法はないか。
同等に効果的で、プライバシーへの侵害がより小さい方法が合理的に利用できる場合、正当な利益は適切な根拠とならないことがあります。
したがって必要性テストは、単に処理が便利であることを意味するものではありません。
利益衡量テスト
最後に、組織の正当な利益と、本人の利益、権利および自由とを衡量します。
検討事項:
- どのような個人データが処理されるのか。
- それはどの程度機微なものか。
- 個人にどのような影響が生じ得るか。
- 個人はその処理を合理的に予期するか。
- 組織の利益はどの程度強いものか。
- その処理は侵害的か。
- 子どもや脆弱な立場にある個人が関係するか。
- 影響を軽減するためにどのような保護措置を講じられるか。
本人の利益、権利または自由が組織の正当な利益に優先する場合、その処理について第 6 条第 1 項(f) に依拠することはできません。
正当な利益評価（LIA）とは何ですか？
正当な利益評価（LIA）とは、特定の処理活動について正当な利益が適切な適法根拠であるかどうかを判断するために用いる、文書化された評価です。
優れた LIA では、通常、次の事項を文書化すべきです。
- 処理の目的
- 追求している正当な利益
- 利益を得る当事者
- 対象となる個人データ
- 処理が必要である理由
- 検討した代替手段
- 個人に生じ得る影響
- 個人の合理的な期待
- 関連する保護措置
- 利益衡量の結論
- 処理に関する条件または制限
この評価は、処理について正当な利益に依拠する前に行うべきです。
ICO は、LIA を、提案されている処理の個別の状況にもとづく軽量なリスク評価と説明しており、その結果を文書化することを推奨しています。
正当な利益は同意に代わるものになりますか？
いいえ、一般にはなりません。
正当な利益は、特定の処理活動について GDPR 上の別の適法根拠となり得る場合もありますが、他の法的要件に優先するものではありません。
この区別は、ウェブサイトにとって特に重要です。
たとえば、組織はウェブサイトのセキュリティ維持について正当な利益を有し得ます。しかしそれは、あらゆる分析用または広告用の Cookie を同意なしに設置できることを自動的に意味するわけではありません。
Cookie および電子通信に関するルールは、GDPR の適法根拠の分析を超えた追加的な要件を課すことがあります。
したがって、次のようになります。
GDPR の適法根拠 ≠ Cookie やトラッキング技術を設置する自動的な許可。
これは、プライバシー担当チームが理解すべき最も重要な区別の一つです。
正当な利益と Cookie
正当な利益を、必須でない Cookie についての一律の正当化根拠として用いるべきではありません。
たとえばウェブサイトは、適用される Cookie/ePrivacy のルールが事前の同意を求めている場合に、広告トラッカーに「正当な利益」という表示を付けるだけで、そのトラッカーを同意前に読み込めると考えることはできません。
適切な分析では、次の点を個別に検討すべきです。
- その個人データの処理に有効な GDPR 上の適法根拠があるか。
- 情報を収集またはアクセスするために用いる技術が、追加的な Cookie/ePrivacy の要件の対象となるか。
- その技術が動作する前に同意が必要か。
- その処理が本人の期待および権利と整合するか。
この区別により、組織が GDPR の適法根拠と、Cookie の保存・アクセスに関する要件とを混同することを防げます。
正当な利益と分析
分析には、いくつかの異なる処理活動が含まれ得ます。
組織は、すべての分析を自動的に正当な利益として分類すべきではありません。
次の点を検討してください。
- どのような情報が収集されるのか。
- そのデータは集計されたものか、識別可能なものか。
- 永続的な識別子が用いられているか。
- 情報が第三者と共有されるか。
- サイトをまたいだトラッキングが関係するか。
- プロファイリングが行われるか。
- ユーザーはどのような期待を持っているか。
- Cookie や類似技術が関係するか。
- より侵害の程度が低い別の分析手法を利用できるか。
影響の小さい社内向けの分析活動は、ウェブサイトやサービスをまたいだ行動トラッキングとは異なる法的分析になり得ます。
したがって適法根拠は、実際の実装にもとづいて評価されるべきです。
正当な利益と不正防止
不正防止は、正当な利益として一般によく検討されるものです。
組織は、次のような事象を検知することについて強い利益を有し得ます。
- アカウントの乗っ取り
- 決済の不正
- 偽アカウント
- 認証情報の濫用
- 自動化された攻撃
- 不審な取引
- サービスの不正利用
ただし、組織がセキュリティに関わるものと説明しているという理由だけで、不正防止が自動的に適法になるわけではありません。
組織は、それでもなお必要性、比例性、影響、合理的な期待、および適用される保護措置を評価すべきです。
正当な利益とダイレクトマーケティング
ダイレクトマーケティングは、GDPR / UK GDPR のもとで正当な利益に依拠できる場合もありますが、これには文脈に即した分析が必要であり、電子的マーケティングに関する追加のルールの対象となることがあります。
ICO は、適用される電子通信のルールが同意を求めていない場合において、処理が比例的で、プライバシーへの影響が最小限であり、予期しないものでなく、また正当な理由のない異議を招くおそれがないことを条件として、正当な利益がダイレクトマーケティングに適用され得ると述べています。
このため企業は、次の表現を、
「当社はマーケティングについて正当な利益を有している」
それ自体で十分な正当化根拠として扱うべきではありません。
個別に検討すべき事項は次のとおりです。
- 関係性の性質
- 既存顧客であるかどうか
- 個人が合理的に予期する内容
- マーケティングの種類
- コミュニケーションのチャネル
- 適用される ePrivacy/ダイレクトマーケティングのルール
- 本人の異議を述べる権利
正当な利益とプロファイリング
プロファイリングは正当な利益にもとづいて行える場合もありますが、個人への影響が大きくなるほど、その分析はいっそう重要になります。
次の点を検討してください。
- どのような情報が用いられるのか。
- どのような特性が推測されるのか。
- そのプロファイリングは広告のために用いられるのか。
- 製品やサービスの利用可否に影響するのか。
- 個人に重大な影響が生じるのか。
- 人々はそのプロファイリングを合理的に予期するか。
- 異議を述べることができるか。
- どのような保護措置を利用できるか。
正当な利益評価は、プロファイリングを通常の処理として扱うのではなく、そのプロファイリングが実際にもたらす結果を反映したものであるべきです。
正当な利益とデータ主体の権利
処理が正当な利益にもとづく場合であっても、個人は重要な権利を保持します。
GDPR のもとで、個人は自らの特定の状況に関する理由にもとづき、第 6 条第 1 項(e) または第 6 条第 1 項(f) にもとづく処理に異議を述べることができます。
その異議がダイレクトマーケティングに対するものである場合、異議を述べる権利はより強いものとなり、その個人データはダイレクトマーケティングの目的で処理してはならなくなります。
つまり、正当な利益に依拠する組織は、次の事項についてのプロセスを備えるべきです。
- 異議の受付
- 異議の評価
- 異議の記録
- 処理に関する設定の更新
- 必要な場合の処理の停止
- 認められる場合に処理を継続する適法な理由の文書化
正当な利益と子ども
子どもについては特別な配慮が必要です。
GDPR の第 6 条第 1 項(f) のもとでは、データ主体の権利および自由、とりわけその本人が子どもである場合が、正当な利益の分析において明示的に関係するものとされています。
したがって、子どもが関係する処理には、より強力な保護措置と、より慎重な利益衡量の評価が必要となる場合があります。
組織は、成人にとって許容される正当な利益が、子どもについても自動的に適切であり続けると考えるべきではありません。
正当な利益と機微なデータ
第 6 条第 1 項(f) の正当な利益だけでは、GDPR のもとで特別な種類の個人データを処理するのに十分ではありません。
特別な種類の個人データが関係する場合、組織には一般に次のものが必要です。
- 第 6 条にもとづく適法根拠、および
- 第 9 条にもとづく適用可能な条件。
したがってその分析では、追加的な法的保護措置が必要になることがあります。
同様に、犯罪歴に関するデータにも追加的な要件があります。
正当な利益と契約の比較
正当な利益と契約上の必要性は、別個の適法根拠です。
契約上の必要性
本人との契約を履行するため、または契約の締結前に本人の求めに応じて措置を講じるために、処理が必要である場合です。
正当な利益
三要素の利益衡量テストを前提として、正当な利益のために処理が必要である場合です。
組織は、処理が自社の事業にとって有用であるというだけの理由で、契約を根拠として用いるべきではありません。
同様に、契約上の必要性のほうが適切な根拠である場合には、正当な利益を用いるべきではありません。
適法根拠は、その処理の実際の目的と必要性を反映したものであるべきです。
正当な利益と法的義務の比較
法的義務は、組織に課された法的要件を遵守するために処理が必要である場合に適用されます。
正当な利益はこれとは異なります。
たとえば次のとおりです。
法的義務:
適用される法令によって求められる処理。
正当な利益:
利益衡量テストを満たす、正当な事業上、セキュリティ上、業務上、または第三者の利益のために必要な処理。
適法根拠を正しく選択することが重要なのは、それに伴う権利やコンプライアンス上の要件が異なり得るためです。
正当な利益とプライバシー通知
正当な利益に依拠する場合、組織はプライバシー情報の中で、該当する正当な利益を説明すべきです。
プライバシー通知には、次のように記載するだけでは足りません。
「当社は正当な利益にもとづいてお客様の情報を処理します。」
追求している正当な利益について、意味のある情報を提供すべきです。
これにより、個人は次のことを理解しやすくなります。
- なぜ自分のデータが処理されるのか
- 組織が何を達成しようとしているのか
- その処理が自分にどのような影響を与えるのか
- 自分にどのような権利があるのか
- どのように異議を述べられるのか
EDPB のガイダンスは、第 6 条第 1 項(f) に依拠する管理者が、追求している正当な利益をデータ主体に伝えるべきであると述べています。
DPDPA における正当な利益
インドの 2023 年デジタル個人データ保護法（DPDP Act）は、GDPR とは異なる構造を採用しています。
同法は、個人データが適法な目的のために、次のいずれかにもとづいて処理され得ると定めています。
- 同意、または
- 一定の正当な利用。
第 7 条はこの「一定の正当な利用」を定義し、Data Fiduciary が個人データを処理できる具体的な状況を列挙しています。
これは重要な区別です。
第 6 条第 1 項(f) にもとづく GDPR の正当な利益という概念を、そのままインドの DPDPA コンプライアンスの枠組みに持ち込むべきではありません。
そうではなく、次のとおりです。
GDPR:
正当な利益は、第 6 条第 1 項(f) にもとづく特定の適法根拠です。
DPDPA:
「一定の正当な利用」は、第 7 条にもとづく個別の法定の根拠です。
ConsentX は、インド向けのコンテンツ全体を通じてこの区別を維持すべきです。
DPDPA における一定の正当な利用の例
第 7 条には、Data Principal が任意にデータを提供し、かつ同意しない旨を示していない特定の目的のために個人データを処理する場合など、具体的な状況が含まれています。
同法はまた、次のような分野に関わるその他の正当な利用のカテゴリーも定めています。
- 国による給付およびサービス
- 国の職務
- 法的義務および開示
- 医療上の緊急事態
- 一定の雇用に関する目的
- 特定の状況における公開された個人データ
具体的な条件は、適用される規定と状況によって決まります。
したがって ConsentX は、DPDPA が単に GDPR 型の「正当な利益」という適法根拠を備えていると説明することは避けるべきです。
この区別は、欧州とインドの双方で事業を行う組織にとって特に重要です。
正当な利益と同意管理プラットフォーム
同意管理プラットフォーム（CMP）は、主として同意と設定に関するシグナルを管理するものです。
それは、組織が正当な利益に依拠できるかどうかを自動的に判断するものではありません。
CMP は次のような場面で役立ち得ます。
- 同意の記録
- 拒否の記録
- 設定変更の管理
- 同意の選択の適用
- プライバシーの選択肢の提示
- 監査証跡の裏付け
ただし組織は、自らの適法根拠の分析を別途文書化すべきです。
正当な利益については、関連するプライバシーおよび処理の記録とあわせて LIA を維持することが含まれ得ます。
正当な利益は記録すべきですか？
はい。
文書化された LIA は、なぜ正当な利益が選択されたのか、また組織がその処理をどのように評価したのかを示すのに役立ちます。
その記録は、関連のない処理活動にまたがって流用される汎用のテンプレートであるべきではありません。
有用な LIA は、次の事項に即した具体的なものであるべきです。
- 処理の目的
- 対象となるデータ
- 影響を受ける人々
- 用いる技術
- 想定される影響
- 適用する保護措置
- 結論
ICO は、三要素の評価の結果を文書化し、処理を開始する前にそれを行うことを推奨しています。
正当な利益評価チェックリスト
正当な利益に依拠する前に、次の点を確認してください。
目的
- 私たちはどのような正当な利益を追求しているのか。
- それは適法で、明確に定義されているか。
- 誰が利益を得るのか。
必要性
- 個人データの処理は実際に必要か。
- それはその目的に実質的に寄与するか。
- より侵害の程度が低い代替手段はないか。
利益衡量
- その処理はどのような影響をもたらすか。
- 個人は何を合理的に予期するか。
- そのデータは機微または私的なものか。
- その処理は損害を生じさせ得るか。
- 子どもが関係するか。
- 個人の権利は組織の利益に優先するか。
保護措置
- データを最小化できるか。
- 保持期間を短縮できるか。
- 情報を仮名化できるか。
- アクセスを制限できるか。
- プロファイリングの範囲を縮小できるか。
- 個人に意味のあるコントロールを提供できるか。
説明責任
- LIA は文書化されているか。
- プライバシー通知は更新されているか。
- 正当な利益は明確に説明されているか。
- 異議に対応するプロセスはあるか。
- なぜその適法根拠を選択したのかを組織は示せるか。
正当な利益でよくある誤り
正当な利益を「同意は不要」という意味に捉える
正当な利益は GDPR のもとで適法根拠となり得ますが、他の法令が特定の技術や通信について引き続き同意を求める場合があります。
LIA を省略する
プライバシーポリシーに「正当な利益」と書くだけでは、三要素テストを実施したことにはなりません。
汎用の LIA を用いる
正当な利益評価は、実際の処理と文脈を反映したものであるべきです。
合理的な期待を無視する
人々がその処理を合理的に予期するかどうかは、利益衡量における重要な要素です。
より侵害の程度が低い代替手段を無視する
同じ目的を、より少ない個人データの処理で合理的に達成できる場合、必要性が認められないことがあります。
商業上の利益で十分だと考える
事業上の利益が、自動的に個人の権利および自由に優先するわけではありません。
Cookie 同意を回避するために正当な利益を用いる
GDPR の適法根拠は、適用される Cookie や ePrivacy の要件に自動的に優先するものではありません。
GDPR の正当な利益と DPDPA の正当な利用を同一のものとして扱う
この二つの枠組みは異なる法的構造を用いており、別個に分析すべきです。
正当な利益と ConsentX
ConsentX は、組織がプライバシーの枠組み全体にわたって同意、プライバシー設定、同意記録、監査証跡を管理できるよう支援します。
正当な利益に関するワークフローについて、ConsentX は、組織が次のものを区別できるよう支援することで、同意管理を補完できます。
- 同意を必要とする処理
- 別の適法根拠にもとづく処理
- 同意に関する設定
- 異議および設定の変更
- 同意の証跡
- プライバシーコンプライアンスの文書
この区別は、分析、広告、パーソナライゼーション、その他のサードパーティ技術を利用するウェブサイトにとって特に重要です。
ConsentX は、ある処理活動が正当な利益に該当すると自動的に判断するものとして位置づけられるべきではありません。適法根拠を判断し文書化する責任は、引き続き組織にあります。
正当な利益: 要点
- 正当な利益は、第 6 条第 1 項(f) にもとづく GDPR および UK GDPR の適法根拠です。
- 目的、必要性、利益衡量という三つの要素からなる評価が必要です。
- 正当な利益評価（LIA）は、通常、処理を開始する前に文書化すべきです。
- 正当な利益は積極的な同意を必要としませんが、説明責任と個人の権利の保護は必要とします。
- 個人は、適用される状況において、正当な利益にもとづく処理に異議を述べる権利を有します。
- ダイレクトマーケティングでは、適用される電子的マーケティングのルールについて追加の検討が必要です。
- 正当な利益は、必須でない Cookie やトラッキング技術を自動的に許容するものではありません。
- 特別な種類の個人データおよび犯罪歴に関するデータには、追加的な要件があります。
- インドの DPDPA のもとでは、第 7 条にもとづく一定の正当な利用は、GDPR の第 6 条第 1 項(f) とは異なるものです。
- CMP は同意と設定を管理するものであり、それ自体で正当な利益が適用されることを立証するものではありません。
- しっかりしたプライバシープログラムでは、一つの法的根拠があらゆる場面に適するものとして扱うのではなく、処理活動ごとに適法根拠を文書化します。