※この記載の内容に関しては、弊社顧問弁護士事務所であるT＆K法律事務所様
（https://tandkpartners.com/partner/）のご協力の基、改定個人情報保護法を確認し、
議論を重ねた結果、関係者各位様に公表しているものでございます。

アドインテの主事業であるリテールメディア事業（※弊社におけるリテールメディア事業の概念は、小売事業者様より委託を受け、小売事業者様の個人情報に該当しない範囲のID-POSデータを参照し、弊社独自の機械学習手法にて小売事業者様のお客様に対し有益な広告情報を配信することを指します。）を実施する上で、今回の改定個人情報保護法に対して以下のような整理をし、事業を推進して参りたいと考えております。

Q、そもそも小売事業者様内における顧客情報は個人情報となり得るか？
～容易照合性の観点から以下整理～

　小売事業者様において事業部門ごとに別々に個人情報が保管されており、相互にアクセスできる状態にある場合であっても容易照合可能性が認めらない場合が想定できるかという点にまず着目すると、「他の情報と容易に照合することができる」とは、事業者の実態に即して個々の事例ごとに判断されるべきではありますが、通常の業務における一般的な方法で、他の情報と容易に照合することができる状態をいいます。通常の業務における一般的な方法で、他の情報と容易に照合することができない状態は「他の情報と容易に照合することができない」こととなり容易照合可能性がないこととなります。

小売事業者様内の各取扱部門が独自に取得した個人情報を取扱部門ごとに設置されているデータベースにそれぞれ別々に保管している場合において、例えばICT部門で氏名・住所・年齢・性別・会員ID・POSデータを保管、マーケティング部門で年齢・性別・会員ID・POSデータを保管している場合であって、双方の取扱部門やこれらを統括すべき立場の者等が、規程上・運用上、双方のデータベースを取り扱うことが厳格に禁止されていて、特別の費用や手間をかけなければ、通常の業務における一般的な方法で双方のデータベース上の情報を照合することができない状態である場合は、容易照合性は認められないと考えられるため、マーケティング部門における年齢・性別・会員ID・POSデータは個人情報としての扱いにはなりません。この点は各小売事業者様の体制次第ということになります。

個人情報は、生存する個人に関する情報であり、特定の個人を識別できるものであり、容易照合性により特定の個人を識別できるものを含みますが、自部門が持つ購買データ自体が特定の個人を識別できない状態であり、他部署にある会員情報を管理している会員情報マスターデータベースと容易に照合できなければ、自部門が持つ購買データ自体は個人関連情報となります。
一方、双方の取扱部門の間で、通常の業務における一般的な方法で双方のデータベース上の情報を照合することができる状態である場合は、容易照合可能性が認められると考えられます。

Q、アドインテの情報取得経路の整理をしたうえで、それぞれ改定個人情報保護法の観点から注意すべき点はどこか？

各情報取得経路別に整理すると、以下のとおりとなります。

生活者接点と、取得する情報種別の概要：小売事業者様にフル機能を導入した場合

• ※AIBeacon端末（ビーコン端末）について
  「通信の秘密に関して」
  アドインテのAIBeaconはスマートフォンから発出されるプローブ要求信号を受信しているのみで、プローブ要求信号は、個々の通信を成立させる前提として電気通信事業者に機械的に送られる情報に過ぎないことから、プローブ要求信号の受信は通信の秘密に当たらないものと解されます（総務省『電気通信事業における個人情報保護に関するガイドライン（平成２９年総務省告示第１５２号。最終改正平成２９年総務省告示第２９７号）の解説』１１３頁及び１１４頁、総務省　緊急時等における位置情報の取扱いに関する検討会『位置情報プライバシーレポート』５０頁及び５１頁）。
  このため、AIBeaconの行っている上記の通信によって取得する情報はスマートフォン利用者の通信の秘密に該当しません。
  「MACアドレスの取得に関して」
  アドインテのAIBeaconはMACアドレスを取得しておりますが、MACアドレスは、単体では特定の個人を識別することができない情報であり、いかなる個人情報とも紐づけないため、個人情報保護法上の個人情報に該当しません。
  このため、AIBeaconが取得する個々の端末のMACアドレスは個人情報に該当せず、第三者提供に当たり本人の同意は必要ありません。
  なお、MACアドレスは生存する個人に関する情報として個人関連情報に該当しますが、個人関連情報に該当する場合であっても、第三者に対し提供しない又は提供先の第三者が個人関連情報を個人データとして取得することが想定されない場合は、取得及び提供先において本人の同意は必要ありません。
• (1)資料１段目（会員ID・POSデータ）
  会員IDは、一般に会員登録時の氏名、住所等の個人情報と容易に照合することができますので、会員IDと氏名、住所等の個人情報が別々のデータベースに保管されている場合であっても、通常の業務における一般的な方法で双方のデータベース上の情報を照合することができる場合には、個人情報に該当します。会員ID及びPOSデータは、両者が一体となったID-POSデータとして共有サーバに保管される場合は、アドインテにID-POSデータという個人データが提供されることとなります。（※個人情報と個人データはほぼ同義ですので、より一般的な個人情報という用語で説明しています。正確には個人データです。「下記(2)及び(3)も同様です。」） 一方、通常の業務における一般的な方法で双方のデータベース上の情報を照合することができない場合、個人関連情報となります。アドインテは、個人データを保有しておらず小売事業者様から提供を受けたID-POSは、個人関連情報として取り扱います。この場合、小売事業者様のプライバシーポリシー等に①当該プライバシーポリシーが適用される範囲、②情報を取得する事業者の氏名又は名称、③想定されうる取得する個人関連情報の種類、④取得方法が特定できる場合には取得方法、⑤個人関連情報の利用目的、⑥個人関連情報を第三者に提供する場合はその旨を記載して会員様へ告知することが望ましいと考えられます。（小売事業者様はJIAAの会員ではないと存じますが、インターネット広告ビジネスにおけるインフォマティブ情報の取扱いに関するガイドライン（一般社団法人　日本インタラクティブ広告協会（JIAA）『プライバシーポリシーガイドライン』）第4条によれば、上記①から⑧の事項をプライバシーポリシーに定めておくことが望ましいとされております。必須ではありません。）
• (2)資料2段目（ビーコンID・会員ID・広告ID） 会員IDが個人情報に該当する場合、会員IDと結びついたビーコンID及び広告IDも個人情報に該当しますので、小売事業者様からアドインテへの個人データの提供に該当します。会員IDが個人情報に該当しない場合、個人関連情報に該当します。
• (3)資料3段目（ビーコンID・MACアドレス）、添付資料4段目（GPS広告ID） 来店者スマホからビーコン端末を介して取得するビーコンID及びMACアドレス並びにアドインテ提携アプリから取得するGPS及び広告IDは、小売事業者様に提供していないため個人関連データの提供に該当いたしません。ビーコンID及びMACアドレスは個人情報と紐づくものではなく、連続的に位置情報に変換していない為、個人を表象することはできないようになっております。よって、取得したビーコンID及びMACアドレスは個人関連情報となります。

Q、アドインテが個人データの提供を受ける場合、改定個人情報保護法上どのような点に気を付けるべきか？

アドインテが仮に個人データの提供を受ける場合における個人情報保護法上の検討₁をすると、個人情報取扱事業者が利用目的の達成に必要な範囲内において個人データの取扱いの全部又は一部を委託することに伴って当該個人データが提供される場合、当該個人データの提供を受ける者は第三者に該当せず、第三者提供の同意等の第三者提供規制を受けないこととなります（個人情報保護法第23条第5項第1号（改正後第27条第5項第1号））。委託先となった場合には、小売事業者様には委託先であるアドインテに対し、取扱いを委託した個人データの安全管理が図られるよう必要かつ適切な監督を行う義務（個人情報保護法第22条（改正後第25条））が新たに生じます。委託先となることにより、アドインテに個人情報保護法上の義務が新たに生じることはございませんが、委託元が上記の監督義務を履行するため、提供される個人データの安全管理措置に関し委託契約に規定された場合には、契約上規定された安全管理措置を講ずる義務が生じます。

1.会員IDが個人情報に該当することが前提の検討です。

Q、そうなると機能別（ケース別）における改定個人情報保護法の注意すべき点はどうでしょうか？

上記を踏まえ、アドインテと小売事業者様が導入しようとする機能別に、個人情報保護法上の注意点を検討すると、以下のとおりとなります。

• (1)小売事業者様アプリをインストールしている小売事業者様会員の来店者
  小売事業者様から提供を受けたID-POSデータと、小売事業者様アプリから取得したビーコンID、会員ID及び広告IDを突合して来店者のスマホの広告IDを特定し（以下「本件突合」といいます。）、その広告IDに対して広告を配信する。
  
  ア．個人データの取扱いの委託としてID-POSデータの提供を受ける場合
  ①委託として認められる条件
  個人情報保護法上の「個人データの取扱いの委託」とは、契約の形態・種類を問わず、個人情報取扱事業者が他の者に（自らの）個人データの取扱いを行わせることをいいます。 ビーコン端末から取得する個人データ並びにビーコン端末に反応した小売事業者様アプリから取得する個人データの取扱いの権限のみで一義的に「個人データの取扱いの委託」の該当性が判断されることはなく、総合的に判断されることとなります。具体的には、①ビーコン端末から取得する個人データの取扱いの権限が委託元となる小売事業者様に帰属している、②小売事業者様が当該個人データの内容を確認できる、③アドインテにおける当該個人データの取扱いに制限が設けられているなどの場合、委託先となるアドインテはいわば委託元となる小売事業者様の手足に過ぎない従属的な地位にあると認められ、委託に該当すると考えられます。必ずしも①から③の要素全てが満たされている必要はありませんが、仮に「個人データの取扱いの委託」に該当しないと判断された場合、本人の同意等のない個人データの第三者提供となる可能性が高いため、「個人データの取扱いの委託」と整理するには、①から③全てを満たすのが望ましいとされております。
  
  ②委託の制限
  上記のとおり、個人データの取扱いを委託できる業務の範囲は、委託元の個人情報の利用目的の範囲に限られますので、本来委託元が行うことのできる個人データの取扱いのみ委託することができます。
  来店時に小売事業者様アプリで取得したビーコンID、会員ID及び広告IDが小売事業者様に帰属しており小売事業者様がその内容を確認できるなどの場合であれば、通常、アドインテによるその処理は委託に該当すると解されます。
  他方、委託先が独自に取得した個人データ又は個人関連情報と突合する業務及び突合した上で新たな項目を付加して委託元に戻す業務は、本来委託元が行うことのできる個人データの取扱いではありませんので、原則として委託には当たりません。このため、委託によって本件突合を行う場合、アドインテが独自に取得したビーコンID、会員ID及び広告ID₂を突合に使用することはできません。
  もっとも、このような処理を行う場合は、本件突合に関する委託に必要なデータの取得として、ビーコンID、会員ID及び広告IDを取得することについても委託を受け、当該委託に基づいて取得したビーコンID、会員ID及び広告IDのみを本件突合に使用すれば、委託として整理することが可能です。₃
  なお、上記のとおり、個人データの取扱いを委託できる業務の範囲は、委託元の取り扱う個人情報の利用目的の範囲に限られますので、本件突合を行う場合には、その旨を委託元である小売事業者様の利用目的に定める必要があります。
  また、個人データの取扱いの委託において、委託元と委託先とは一体として扱われますので、個人データに該当するかの容易照合性の判断も委託元と委託先を一体として行われます。したがって、この場合のアドインテにおけるデータの分類は以下のとおりとなります。
• »ID-POSデータ：個人データ（委託元の小売事業者様で個人データであるため）
• »本件突合に関する取得の委託を受けて取得したビーコンID、会員ID及び広告ID：個人データ（委託先のアドインテにおいては容易照合性がないが、委託元の小売事業者様において会員IDを介して会員の氏名等の個人情報と容易に照合できる場合）
• »アドインテが独自に取得したビーコンID、会員ID及び広告ID：個人関連情報₄

• イ．ID-POSデータを個人データとして提供を受ける場合
  この場合、小売事業者様からアドインテに対し個人データの第三者提供に該当する為、あらかじめ小売事業者様が、生活者本人の同意等を取得する必要があります。
  但し、この場合小売事業者様とアドインテは別々の主体として扱われますので、アドインテが独自に取得したビーコンID、会員ID及び広告IDを突合に使用することは制限されません。また、第三者提供を受けた個人データは、アドインテの利用目的の範囲内で利用することとなりますので、本件突合を行う旨は委託先であるアドインテの利用目的に定める必要があります。

2.例えば、本件突合に関する業務委託契約以前に取得したもの、本件突合に関する業務委託契約とは別の契約に基づき取得したもの、第三者提供を受けて取得したものがこれに該当します。
3.委託を受けて取得したこれらの情報は、アドインテが独自に取得した個人データ又は個人関連情報に該当しません。
4.これらのデータはアドインテが独自に取得したものですので、アドインテと小売事業者様は一体として扱われず、アドインテを基準に容易照合性が判断されることとなります。この場合、アドインテにおいてこれらのデータは容易照合性がありませんので、個人関連情報となります。

なお、個人データの第三者提供において提供元と提供先は別々の主体として扱われ、個人データに該当するかの容易照合性の判断も提供元と提供先別々に行われます。したがって、この場合のアドインテにおけるデータの分類は以下のとおりとなります。

• »ID-POSデータ：
  個人関連情報（提供先のアドインテにて容易照合性がないため）
• »ビーコンID、会員ID及び広告ID：
  個人関連情報（提供先のアドインテにて容易照合性がないため）

(2)小売事業者様アプリをインストールしていない来店者
小売事業者様から提供を受けた購買時刻を含むPOSデータと、来店者スマホから取得した取得時刻を含むビーコンID及びMACアドレス並びにGPS及び広告IDを多対多で類推して来店者のスマホの広告IDグループを抽出し、その広告IDグループに対して広告を配信する場合、購買時刻を含むPOSデータは、他の情報と照合しても特定の個人を識別することができませんので、個人関連情報に該当します。このため、購買時刻を含むPOSデータを小売事業者様からアドインテに提供する行為は、提供先であるアドインテにて個人データとならない個人関連情報の提供となります。
また、取得時刻を含むビーコンID、MACアドレス並びにGPS及び広告ID（GPS情報が付加された広告IDも含みます。）も、他の情報と照合しても特定の個人を識別することができませんので、個人関連情報に該当します。 したがって、(2)のプロセスにおいては個人関連情報同士を組み合わせて分析しているに過ぎず、かつ個人を表象するような処理はしておりません。

(3) 小売事業者様会員でない来店者 来店者スマホから取得したMACアドレスとビーコン端末から渡されるビーコンID、GPS付広告IDを多対多で類推して来店者のスマホの広告IDグループを抽出し、その広告IDグループに対して広告を配信する場合、小売事業者様から何も情報の提供を受けていませんので小売事業者様にて生活者へ何かしらの同意を得る必要はありません。なお、(2)と同様にMACアドレス、ビーコンID並びにGPS及び広告IDはいずれも個人関連情報に該当します。

以上現段にて、上記の整理の基、アドインテは小売事業者様と共に改定個人情報保護法に沿ってリテールメディア事業を推進して参りたいと考えております。

2022年3月
株式会社アドインテ