衣袋教授の新・Googleアナリティクス入門講座

御社サイトのプライバシーポリシーは新GAに対応済み? 5月までに必ず確認しておきたい変更点[番外編]

GAで広告向けの機能変更に伴うメッセージが表示されるようになった。この機会に、見落としがちなWebサイトのプライバシーポリシーについて確認しておこう。

最近Googleアナリティクスにログインすると、上部に図1のような注意書きが表示されないだろうか? 広告向けの機能を有効にしているプロパティが1つもないアカウントでは表示されないかもしれないが、多くのアカウントで確認できるのではないだろうか。

図1:2017年4月上旬からレポート上部に注意書きが表示されはじめた

図1:2017年4月上旬からレポート上部に注意書きが表示されはじめた

これは「Googleアナリティクスと連動するAdWords広告向けの機能が変更されることに伴って、サイト運営側のプライバシーポリシーに影響がでるかもしれない」という注意書きだ。みなさんは、Googleアナリティクスを使うときには自社サイトのプライバシーポリシーに項目を追加しなければならないことを把握しているだろうか?

普段あまり気にしていないかもしれないが、重要な話だ。この機会に、今回は番外編としてGoogleアナリティクス利用時のプライバシーポリシーについて解説する

ただし筆者はプライバシーや関連法の専門家ではないので、用語や定義の厳密性に欠ける部分があるかもしれない。ここでは基本的な考え方と姿勢について平易に説明するつもりだ。実際に記述の変更が必要かどうかは、社内の法務部や外部の専門家に相談していただきたい。

この記事で学べること:
  • Googleアナリティクス利用時に必要なプライバシーポリシーの内容を確認する
  • 2017年5月に変更される内容を理解する

そもそも「プライバシーポリシー」とは?

まずは「プライバシーポリシー」の定義を確認しておこう。ウィキペディアには、次のように記述されている。

プライバシーポリシー (英語: privacy policy) は、 インターネットのウェブサイトにおいて、収集した個人情報をどう扱うのか(保護するのか、それとも一定条件の元に利用するのか)などを、サイトの管理者が定めた規範のこと。

eコマースサイトであれば商品購入時に住所や氏名などの個人情報の入力が必要になるし、何かの無料サービスを利用する場合でも、メールアドレスを入力してユーザー登録を行ったりする必要があるだろう。われわれはさまざまな情報をさまざまなサイトで記入し、一度登録した情報を継続的に利用している。また、多くのサイトではユーザーの行動データを記録している。普段これらの情報がどのように扱われているのかあまり気にすることはない。

しかし「通販会社で購入者リストがインターネットを利用した不正アクセスによって流出」といったニュースが報じられることがあるように、まれに一般消費者の個人情報や匿名情報が外部に漏れてしまう事件が起きる。個人情報を第三者に販売する業者も絶滅したとは言いがたい。

また、「あるeコマースサイトで商品詳細のページを見たら、その後別のサイトで毎日その商品の広告が表示されるようになり、追いかけ回されているようで気持ち悪い」といった話もよく聞くだろう。

こういうことがあると、利用者は次のような不安に襲われる。

  • われわれのプライバシーは守られているのだろうか?
  • 記入した情報やどんなページを見ていたかといった情報はどのように扱われているのだろうか?
  • この会社は信用できるのだろうか?
  • このWebサイトは安心なのだろうか?

「Webサイトで収集した情報をどのように扱っているのか」という方針を明確に打ち出しておくことは、信用を得るうえでも重要なわけだ。

Googleアナリティクスなどのアクセス解析ツールでサイト利用者の行動データを収集している場合も、「データを収集している事実」や「それらのデータをどのように使っているのか」をプライバシーポリシーで記述しておく必要がある。

ちなみにWeb担当者Forumを運営するインプレスのプライバシーポリシーは次のとおりだ。

「個人情報とは何か」「個人情報保護法とは」などもう少し突っ込んだ話については、下記の記事を参照していただきたい。

Googleアナリティクスのセキュリティとプライバシーを再確認する

ここからは、Googleアナリティクスに関する話をしていこう。Googleアナリティクスのセキュリティとプライバシーに関しては、Googleアナリティクスのヘルプにある「データの保護」で網羅的に記述されている。

Web担当者であればひと通り読んでおくとよいだろう。今回はその記述に含まれる3つのポイントを取り上げる。

  • ポイント1: Googleアナリティクスに氏名やメールアドレスなどの個人情報を送ってはいけない
  • ポイント2: Googleアナリティクスでクッキーを利用していることを通知しなければならない
  • ポイント3: 2017年5月にGoogleアナリティクスの何が変わるのか? プライバシーポリシーに変更は必要なのか?

ポイント1
Googleアナリティクスに氏名やメールアドレスなどの個人情報を送ってはいけない
プライバシーポリシーではないがデータの扱いに関する規約

1つ目から解説しよう。Googleアナリティクスの利用規約の第7条の冒頭には次のように書いてある。

お客様は、Google が個人情報として使用または認識できる情報を Google に送信したり、第三者によるかかる行為を支援または許可したりしないものとします。

つまりGoogleアナリティクスで、計測している対象サイトにおいて、「利用者の氏名」「メールアドレス」「住所」などの個人情報をGoogleアナリティクスのサーバーに送信してはいけないということだ。Webサイトの運営者は、Googleアナリティクスを利用してサイト利用者の行動データの収集内容をカスタマイズできるが、そこで個人情報を収集してはいけないとしているのだ。

「個人情報」の定義は、国や地域によって違いがあるので、少なくとも日本の法規にのっとった運用を行う必要がある。世界展開している企業のサイトでは、場合によっては最も厳しい法規制をクリアすることを前提にしないとまずい場合もあるだろう。

たとえばヨーロッパ連合(EU)においては、「IPアドレスも個人情報の一種だ」という解釈もある。Googleアナリティクスではこれに対応すべく、IPアドレスをあらかじめ匿名化して収集するようなオプションを用意している。

上記IPアドレスの匿名化のようにデータを積極的に取らないオプションや、本人の求めに応じてデータの収集を拒否する「オプトアウト」の仕組みなども用意されている。一度、自社サイトが展開する国が定める個人情報を確認しておこう。

ポイント2
Googleアナリティクスでクッキーを利用していることを通知しなければならない

2つ目はGoogleアナリティクスが利用しているクッキー(Cookie)についてだ。Googleアナリティクスではオプションの利用状況によって多数のクッキーが利用されている。Webサイトの運営者は、Googleアナリティクスでクッキーを利用してデータ収集していることを必ずプライバシーポリシーで通知しなければならない

先ほどと同じGoogleアナリティクスの利用規約の第7条には次のように書かれている。

お客様はプライバシー ポリシーを公開し、そのプライバシー ポリシーで、お客様がデータ収集のために Cookie を使用していることを必ず通知するものとします。

Googleアナリティクスで利用されるクッキーには、主に2つの種類がある。

1つがWebサイトの利用行動の計測のために利用されるファーストパーティクッキー。もう1つがGoogleアナリティクスと連携したAdWordsなどの広告配信管理および最適化のために利用されるサードパーティクッキーだ。

前者のファーストパーティクッキーは基本的にすべてのGoogleアナリティクスで利用されている。Googleアナリティクスにおける「ユーザー」の判定は、このファーストパーティクッキーによって判定されている。そのあたりの仕組みは連載の第12回でも取り上げた

ファーストパーティクッキーとは、Webサイト自身が発行するクッキーのことだ。ほとんどのブラウザが標準でファーストパーティクッキーを受け入れる状態になっているはずだ。そしてほとんどのユーザーはその設定を変更していないだろう。そうでないと、同一ブラウザの利用行動が連続していることを判別できなくなるので、たとえばeコマースサイトでまともに買い物することもできなくなってしまうからだ。

一方後者のサードパーティクッキーは、そのWebサイト自身ではなく第三者であるグーグルが発行したクッキーだ。こちらはAdWords広告の最適化などの目的で利用され、オプションとして用意されている。ユーザーの嗜好を把握して適切に広告を配信するためには、複数サイトを横断してユーザーの利用行動を一元管理する必要がある。別のサイトでどういう行動をしたかのデータを知るために、グーグルが発行するサードパーティークッキーを利用するわけだ。

ただ、サードパーティクッキーはスマートフォンのブラウザの多くが標準で受け入れない設定になっているなど、どうしてもデータの精度は粗くなるという課題があることも知っておきたい。

自社サイトのプライバシーポリシーが、クッキーの利用について正しく記述しているか確認しておこう。

ポイント3
2017年5月にGoogleアナリティクスの何が変わるのか? プライバシーポリシーに変更は必要なのか?

ポイント1と2を踏まえたうえで、最後に今回のアナウンスについて解説する。「管理」画面の「プロパティ」項目にある「トラッキング情報」をクリックすると、「データ収集」(図2赤枠部分)という項目が表示される。ここをクリックすると、やはり上部に「2017年5月15日より~」という注記(図2青枠部分)が目立つように表示されている(2017年4月時点)。

図2:「トラッキング情報」にある「データ収集」画面

図2:「トラッキング情報」にある「データ収集」画面

文中にある「詳細情報」(図2緑枠部分)をクリックすると、「Googleアナリティクス リマーケティングに関する重要な更新」(図3)が表示される。ここに今回の更新の内容が詳しく書いてある。

図3:Googleアナリティクス リマーケティングに関する重要な更新

図3:Googleアナリティクス リマーケティングに関する重要な更新

真ん中あたりに書いてあるのが、今回の更新内容の仕組みだ(図3赤枠部分)。簡単に言うと、「同一のグーグルアカウントにログインしたユーザーは、別のクッキー(別端末の別ブラウザ)でも同一ユーザーとしてデータをひも付ける。それを広告表示用のユーザーリスト構築のために使うよ」ということだ。

今までは「ユーザー」とはクッキー、つまりブラウザ単位で識別するのが基本だった。しかし今後はグーグルアカウントのIDベースで複数のブラウザ利用をひも付けるようになる。そして「ユーザー」の精度を高めて広告表示に利用するというわけだ。

次のパラグラフには、「特にサイト運営者側でこれに対応するために必要な措置はない」ということが書いてある(図3青枠部分)。ただし、「従来のクッキーとは異なった仕組みでユーザー行動をひも付けて利用するので、プライバシーポリシーの記述を変更する必要があったら対応してね」ということだ。

今回は上部に目立つ注意書きが表示されたが、グーグルとしては「これは大事な変更なのだ」ということを示したかったのだろう。

プライバシーポリシーは定期的に見直そう

技術の進歩によって、今回のようにデータ収集の方法や活用の応用範囲も広がっていく。Googleアナリティクスも、データをもとにしてビジネスを成功に導くために活用することが大事だが、その一方でそのデータ収集の仕組みや規約、制限事項などにも定期的に気を配っていただければと思う。

今回のグーグルのアナウンスは、そのきっかけを与えてくれたものと思い、通常の連載の間に番外編として挟ませていただいた。

◇◇◇

📝筆者が継続的に主催している講座群(Google アナリティクス中心)に興味がある方はこちらをご確認ください。
http://xfusion.jp/train.html

この記事が役に立ったらシェア!
メルマガの登録はこちら Web担当者に役立つ情報をサクッとゲット!

人気記事トップ10(過去7日間)

今日の用語

Python
「Python」(パイソン)は、プログラミング言語の1つ。プログラマのグイド・ヴ ...→用語集へ

インフォメーション

RSSフィード


Web担を応援して支えてくださっている企業さま [各サービス/製品の紹介はこちらから]