連載 新しい事業のつくり方
新しい事業のつくり方 第4回 システム2 申込受付システムとデータ戦略
1. はじめに
今回は、システム（コンピューターシステム）に関するトピックの第２回として、申込受付システムに関する注意点についてお話したいと思います。申込受付システムというのは、文字通り、サービス利用者から申し込みを受け付けるためのシステムになります。
また、サービス利用者から申し込みを受け付ける場面は、サービス提供者にとってはサービス利用者に関する情報を取得する場面でもあるため、そこから一歩踏み込んで、データ戦略を検討する際に留意すべきポイント等についてもお話をしたいと思います。
前回までと比べると、今回は、実務的な細かい事項が中心となります。また、筆者はIT技術者ではないので、システムを構築する際の技術的なノウハウやテクニックではなく、主に法律的な観点から機能や仕様面において、どのような点に留意してシステムを構築していくべきであるのかという点が中心となります。
なお、念のためですが、筆者からお話する内容は、あくまでも個人としての意見・見解であり、過去に所属した組織の見解やノウハウを記載するものではありません。また、内容としても、必ずしも網羅的で完全性を有するものではありません。
2. 申込受付システムにおいて必要な機能
(1) 利用規約やプライバシーポリシーへの同意
最初に、なぜ、あえて申込受付システムを取り上げるかを説明します。法律の観点からは、民法（第522条第1項）によると、契約は、申込者による申込みに対して相手方が承諾したときに成立すると定められています。
このため申込受付システムは、サービス提供者とサービス利用者の間での契約締結プロセスの一つを構成しており、法律的な観点からは、サービス利用者との間での取引開始のスタート地点として重要なものであると考えられます。
上記の民法の規定では、「申込み」とは、「契約の内容を示してその締結を申し入れる意思表示」とされていますので、サービス提供者は、申込みを受けるに際して、契約（利用規約）を提示しなければなりません。なお、民法では、一定の種類の契約を除き、契約締結の方式（利用規約への同意方法等）について、方式が定められている訳ではありません。
また、申し込みに際して、サービス提供者は、サービス利用者から一定の情報を取得し、その中には、多くの場合に個人情報（サービス利用者が法人であっても、代表者名や担当者のメールアドレス等）が含まれることになると考えられますので、サービス提供者のプライバシーポリシー等も提示する必要があると考えられます。
なお、プライバシーポリシーに記載される事項のうち、個人情報の利用目的等については、本人に対して通知又は公表を行う必要がありますが（個人情報保護法第21条第1項）、プライバシーポリシーに記載する全ての事項について、本人（サービス利用者）から同意を取得することが必要な訳ではありません。
ただし、サービス提供者が、個人データ（データベース等を構成する個人情報）を第三者に提供する場合（個人情報保護法第27条第1項）、個人情報の利用目的を大きく変更する場合（個人情報保護法第18条第2項）等には、本人（サービス利用者）から同意を取得する必要があります。
特に、サービスの仕様上、サービス提供者が個人データ（データベース等を構成する個人情報）を第三者（法人が異なればグループ会社に対して提供する場合も含みます）に対して提供することを予定しているのであれば、プライバシーポリシー等において、第三者提供に関する記載を設け、本人（サービス利用者）から同意を取得する必要があります。
そして、この同意の方式については、個人情報保護委員会が定める「個人情報の保護に関する法律についてのガイドライン（通則編）」に以下の方式が記載されています（同ガイドライン28頁）。
【本人の同意を得ている事例（抜粋）】
- 事例4）本人による同意する旨の確認欄へのチェック
- 事例5）本人による同意する旨のホームページ上のボタンのクリック
以上を踏まえると、民法においては、利用規約に同意を取得する方法に関する明確な規定は存在しないものの、ウェブサービスにおいては、利用規約と同時にプライバシーポリシーについても同意を取得するケースが多いことを考慮すると、申込受付システムにおいては、利用規約とプライバシーポリシーについて、チャックボックスやボタンのクリック等のサービス利用者によるアクションによって意思の有無を明確に確認する仕様を設けておくことが望ましいと考えられます。
特に、プライバシーマーク等のセキュリティ認証を取得する場合には、上記の点を含めて個人情報保護法のガイドラインを遵守しているか否かという点が重要となることには、留意が必要となります。
(2) 広告宣伝のメールを送信することへの同意
さらに、「同意」の関連でいうと、サービス利用者に対して、広告宣伝の電子メールを送付することを予定している場合には、「特定電子メールの送信の適正化等に関する法律」（特定電子メール法）に基づいて、オプトイン（チェックボックス等を設けて明確な許可を貰う）の方式によって同意を取得する必要があります（「特定商取引に関する法律」（特定商取引法）でも同様の規定があります）。
そして、この特定電子メール法に関する同意については、そのガイドライン上で、サービス利用に際して、同意を強制させてはならないとされていますので、同意をせずにサービスを利用することができる仕様を準備しておく必要があります。
なお、特定電子メール法では、広告宣伝メールの送信先が法人であるか個人であるのかによって特に区別を設けていませんので、法人のサービス利用者に対して広告宣伝メールを送信する場合にも、上記の同意が必要であると考えられます。
(3) 特定商取引法に基づく表示事項と最終確認画面
これに加えて、インターネットを介したB to C（対消費者向け）のビジネスを立ち上げる場合、即ち、ウェブサービス（通信販売）のサービス利用者が消費者である場合には、「特定商取引に関する法律」（特定商取引法）に基づいて、サービスの広告と最終確認画面（利用規約に同意して会員登録する時ではなく、商品・サービスの購入時の最終確認画面）において、所定の事項について表示や情報提供を行うことが必要となります。
また、別の法律の規定からも、サービス利用者による商品・サービスの購入時に「最終確認画面」を設ける必要があります。具体的には、「電子消費者契約に関する民法の特例に関する法律」（電子消費者契約法）により、原則として、最終確認画面を設けておかなければ、消費者であるサービス利用者が契約の錯誤無効による取消が可能であるとされています。
最近では、スマートフォンを通じた商品・サービスの購入が主流となっており、「ワンクリック購入」など、なるべくサービス利用者に余計な手間を取らせずに、スムーズに商品・サービスの購入を可能とする操作仕様の導入を目指す傾向にあります。
しかしながら、「ワンクリック購入」を導入するためには、上記の法律等の規定を踏まえた要件を充足する必要があり、これを考慮せずに「ワンクリック購入」を導入してしまうと、法律の規定に違反し、思わぬリスクを生じさせることになる点には、注意が必要となります（特に特定商取引法の改正により、商品ページ等から本当に「ワンクリック」だけで購入手続を完了させてしまうことは難しくなったと考えられます）。
(4) 申込受付システムを構築する際の注意事項
以上をまとめると、申込受付システムを構築する際には、以下の機能を設けることを検討した上で、必要な仕様を定めて開発を行う必要があります。
特に、必要な仕様が抜けており、後からシステムの仕様を変更しなければならない場合、システムの修正のために余計な費用と時間を要することになるため、予め、法律的な観点から申込受付システムに必要な機能について、十分な検討を行う必要があります。
【申込受付システムを構築する際の注意事項】
- ・利用規約への同意
- ・プライバシーポリシーへの同意
- ・広告宣伝メールを送付することへの同意
- ・特定商取引法に関する所定の事項の表示
3. 申込を受ける際に取得すべき情報
サービス提供者は、申込受付システムを通じて、サービス利用者に関する情報を取得しますが、どのような情報を取得しておく必要があるのでしょうか。
最近では、極論を言うと「メールアドレス」を登録するだけで利用ができてしまうサービスもあるため、法律的な観点からは、最低限、どのような情報を取得しておくべきなのかという点を検討しておく必要があります。
この点については、サービス提供者が、少なくとも「有償」で（サービス利用料の支払いを受けて）サービスを提供するのであれば、「サービス利用者本人を特定し、場合によっては訴訟を提起することができるだけの情報」について取得しておく必要があると考えられます。
即ち、有償でサービスを提供する場合には、クレジットカード等で決済を行うことになっていたとしても、必ずクレジットカード等によって正しく決済が行われるとは限らず、場合によっては訴訟を提起してサービス利用料を回収することができる状態を確保しておく必要があると考えられます。
また、サービス利用者が、何らかの違反行為を行って、サービス提供者に対して損害を与える可能性もゼロではないため、その際にサービス利用者に対して損害賠償を請求することができる状態を確保しておく必要があると考えられます。
具体的には、「名前（個人名又は法人名）と住所」が、「サービス利用者本人を特定し、場合によっては訴訟を提起することができるだけの情報」に当たります。
法人であれば、会社法の下では、同一商号について、同一住所で登記することができないため、法人名と住所が分かれば、サービス利用者を完全に特定することが可能です。そして、商業登記簿謄本等を取得すれば、代表者名等の情報について、誰でも取得することが可能です。逆に、商号だけでは法人を特定することが困難なケースが存在します。
個人の場合にも、「名前」と「住所」が分かれば、基本的には、本人を特定して訴訟を提起することが可能です（親子で同じ住所に住み、同じ名前を使っているようなレアなケースは除きます）。弁護士は、訴訟提起を行うためであれば、住民票を取得することができるので、転居していても追跡することが可能です。
以上を踏まえると、申込受付システムを構築する際には、本人を特定して、法的な請求が必要になった場合にはその準備を行うために、サービス利用者から「名前（個人名又は法人名）と住所」について取得する必要があると考えられます。
4. データ戦略を検討する際のポイント
(1) データ収集に関する基本的な考え方
上記の観点に加えて、サービス提供者が、サービス提供を通じて、どのような情報を収集し、それをどのような利用目的で活用していくのかという点は、マーケティング戦略やサービス開発・拡張を考える上でも、非常に重要なものであり、サービス提供者におけるデータ戦略に直結するものと考えられます。
サービス利用者からより多くの情報を収集した方が、マーケティング等の観点からは、サービス利用者に適したサービスを提供することが可能となります。さらに、サービス提供者は、より多くの情報を収集した方が、新規のサービス等を開発していく際に、それらの情報を役立てることが可能となります。
しかしながら、サービス利用者からより多くの情報を収集するためには、例えば、申込受付画面等において、サービス利用者により多くの情報を入力して貰わなければならないケースが増えると考えられます。
そして、サービス利用者からすれば、入力の作業に際して、入力の面倒臭さや広範囲な個人情報をサービス提供者に取得されることへの抵抗感等を実感するようになり、入力が必要な情報を増やせば増やすほど、サービス利用者が申込受付のプロセスから離脱する可能性を高める結果につながると考えられます。
さらに、サービス提供者が、より多くの情報を保有するということは、それだけ情報漏えいのリスクを高めることになり、加えて、実際に情報漏えいが発生した場合には、漏えいする情報の項目がより増加する危険性にもつながることから、サービス提供者にとって情報漏えいが発生した場合に被るダメージを高めることになると考えられます。
したがって、サービス提供者は、サービス利用者に関する情報を何でもかんでも収集すればいいという訳ではありません。
データの収集に関するサービス提供者のメリットは、サービス利用者のデメリットに直結する関係にあるため、サービス提供者は、以下の点等を考慮して、どのような情報を取得すべきであるのかを検討していく必要があると考えられます。
【データ戦略を検討する際のポイント】
- ① サービス利用者を特定し、法的な請求を行うために必要な情報（氏名、住所、料金決済のための情報等）
- ② サービス提供者が、申込を受けたサービスを提供するために必要な情報（購入する商品、連絡先、商品の配達先等）
- ③ マーケティングや今後のサービス開発・拡張に役立つ情報（年齢、性別、職業、購入の目的・理由、よく使うサービス、経由してきたウェブページの情報等）
- ④ 収集に際して、サービス利用者がサービスを離脱する可能性（入力の手間、収集されることに対する抵抗感等）
- ⑤ 情報漏えいのリスク、漏えいした場合のダメージ（悪用される危険性の高さ、プライバシー性の高さ）
(2) 具体的な検討のステップ
まず、上記ポイントの①から③は、サービス提供者側での「必要性」を考慮して出てくるポイントになります。
上述のとおり、サービス提供者が、サービス利用者に対して、「有償」でサービスを提供するためには、まず、サービス利用者を特定して、法的な請求を行うことができなければなりません。①は、そのために必要な情報の取得です。
次のステップとして、サービス提供者は、サービス利用者に対して、サービス利用者が申し込んだサービスを提供する必要があります。②は、そのために必要な情報（サービスの履行に必要な情報）の取得です。この情報は、サービス提供者がどのようなサービスを提供するのかによって決まることになります。
さらに、サービス提供者は、様々なデータを収集することで、現状のサービスを改善し、また新しいサービス等を開発することが可能となります。③は、そのために必要な情報の収集です。
以上のように、①から③については、①を最も「核」となる情報として、次に、②から③へと情報の収集範囲を広げていくことになります。基本的に、②までは、サービス提供者としてサービスを提供する上で必須の情報になると考えられます。
③については、対象となる情報の範囲は広く、その中でも濃淡が存在すると考えられます。即ち、②からの広がり（サービス利用者に対するサービスの提供）を考慮した場合には、「サービス利用者が現に利用しているサービスの改善に必要な情報」や「サービス利用者が現に利用しているサービスと強い関連性を有するサービスの開発に活かせる情報」の方が、より「必要性」が高い情報と考えることができます。
逆に、②からの広がりを考慮した場合には、サービス提供者において「全く別のサービスを開発するために必要な情報」については、優先度が下がることになると考えられます。
他方で、上述のとおり、データの収集に際しては、サービス利用者側のデメリット、言い換えると、サービス提供者としての「許容性」（サービス利用者側のデメリットを考慮した上でも、そのような情報の取得が許容されるのか）を検討していく必要があります。上記ポイントの④と⑤は、そのような「許容性」を考慮して出てくるポイントとなります。
このような「許容性」を検討する際に重要な視点として、個人情報保護法などのデータに関する法律は、法的な義務としての最低限度のルールを定めたものであり、法律を守っていたからといって、問題が起きない訳ではないということを十分に理解しておく必要があります。
即ち、一般のユーザーのプライバシーや自己の情報の取り扱われ方に関する興味や関心は非常に高く、ユーザーは、サービス提供者に対して、法律で定めらえたルールよりも遥かに高いレベルでの倫理観と適正性の確保を求めていると考えるべきです。
サービス提供者における「必要性」のみを重視してデータ戦略を検討していくことは、たとえサービス提供者に法的な義務の違反がなかったとしても、いわゆる「炎上」のように、レピュテーション（信用、評判）に深刻な問題を生じさせるリスクが高く、この点には、極めて慎重な対応が必要であると考えられます。