個人情報保護法に関わる場合、特に令和3年の改訂に伴う部分で、オプトアウトという言葉への理解は必須となります。
特に、海外でオプトアウトという言葉が使われることがあります。メール配信サービスなどでよく使われており、日本の個人情報保護法におけるオプトアウトと若干に意味合いが違う場合もあるので、注意が必要です。
オプトインとオプトアウト
まず、そもそもオプトアウトばかりが個人情報保護法では伝えられますが、その反対の言葉的にオプトインというものもあります。この違いをまずは説明します。
オプトイン
「オプトイン」とは、個人情報（個人データ）の本人から、「私の個人データを第三者に提供してよいですよ」というはっきりした同意を得ることをいいます。
オプトアウト
「オプトアウト」とは、個人情報（個人データ）の本人から「私の個人データを第三者に提供してよいですよ」というはっきりした同意はとらないけれど、本人が「私の個人データの第三者提供を止めてください」と求めたときは、個人データの第三者提供をやめる、という形で個人データを第三者に提供する形のことです。
個人情報保護法のルールでは、民間企業や組織などが個人データを第三者に提供するには、「オプトイン」の方法で本人から同意をとらなければならないのが原則です。これは、プライバシーポリシーに記載するなどで対応は可能です。
オプトアウトする場合には届出等、様々な手続きが必要
先の説明で、イメージが湧くと思いますが、オプトアウトする場合は、同意を得ていないので、様々な義務が必要になります。また、令和4年の改正によって、以下の情報はオプトアウトしてはいけないことになりました。
- 要配慮個人情報
- 不正な手段で取得された個人情報
- オプトアウトの方法による第三者提供の方法によって取得した個人情報
- 上記(2.) または(3.)を複製（コピー）したり加工したりしたもの（改正後個人情報保護法23条2項ただし書き）
オプトアウトをする場合は、私たちはオプトアウトしますと個人情報保護委員会に「オプトアウト届出」をしないといけません。ただ、言葉通り届出なので、審査等も特になく、適切な記載があれば、対象企業として登録してもらえます。個人事業主でも登録可能です。
通常のネットショップはオプトアウトする事はない
ここまで見ていただければ、分かるかと思いますが、プライバシーポリシーのページで個人情報の利用する用途の説明がしっかりできていれば、ネットショップにおいてオプトアウトの対策をする必要はほぼありません。
シンプルにいうとオプトアウトをする事業者は「個人情報取扱事業者」となって、個人情報を利用して商売をする方々になります。名簿販売などがそれに当たります。
プライバシーポリシーのページに個人情報の利用の内容以外の業務が発生する場合は、「個人情報取扱事業者」として登録をすれば対応できるという見方も出来ます。ちなみに登録をせずに行うと罰則の対象になる可能性が高いです。ですので、オプトアウト的なことをすることが発生し場合には必ず「オプトアウト届出」を行なって、短期の場合は、すぐに停止届を出せばいいと思います。
この辺りはうやむやにはせずに、違法なことをしないのであれば手続きだけすれば可能なので、しっかりと対応すべきと思います。