法令順守は最低限のエチケット？

株式会社ビーアイシーピー・データ　代表取締役
渡邉桂子氏

電通レイザーフィッシュ（現電通アイソバー）、サイズミック・テクノロジーズ、楽天において、第三者配信、位置情報、クロスデバイスなど最先端テクノロジーを活用したソリューションの導入支援や商品開発などを担当。2018年12月より現職。

──ここ数年でプライバシー保護の機運は高まっているように見えますが、渡邉さんからご覧になって日本企業の対応状況はいかがですか？

　取り組みを進める企業が増えた一方、表面的な対応にとどまっている企業もまだ多いと感じます。ほとんどの場合はチェックリストを点検するように法令を順守するだけで、本質的な対応ができていないのではないでしょうか。

　法令は最低限のベースラインです。順守は身だしなみを整える程度のアクションであり、能動的な対応とは言えません。経産省や総務省が策定したプライバシーガバナンスガイドブックにも「企業の能動的な対応が求められる」と明記されているように、企業は法令と自社のありたい姿の折衷案を考える必要があります。本質的な対応とは、このような能動性を備えたアクションのことです。プライバシーポリシーの改定一つとっても、競合他社の内容と照らし合わせるだけで「その文言が自社の全ビジネスをカバーできているか」という吟味にまで踏み込んでいるケースは少ない気がします。

──なぜ表面的な対応にとどまってしまうのでしょうか？

　大きな要因は組織の体制にあると考えます。個人データの取得に対する同意をユーザーから得るにあたり、肝心なのは同意の対象である（個人データの）利用目的です。「マーケティング利用のため」では抽象的で、できる限り特定するようにとガイドライン内に記載があります。しかしながら「誰の責任において何から始めるべきか」がはっきりせず、バレーボールで言う“お見合い”が社内で起こってしまうのです。同意管理はデータの活用を推進するマーケティング部門のイシューであると同時に、法令に関わる以上は法務部門のイシューとも言えます。CMP（同意管理プラットフォーム）を導入する場合は情シスも絡むでしょう。このうち誰がボールを持てば良いかわからないため、能動的なアクションが起こりにくいのだと思います。

関係各所の対話と上層部の理解が不可欠

──お見合いを解消するための方法を教えてください。

　データマネジメントを司る専門組織を設置するなど方法は様々ありますが、とにかくまずは関係各所で話し合えば良いと思います。あるクライアントの場合、当社が支援に入るまでマーケティング部門と法務部門の会話はほとんどありませんでした。プライバシー保護組織を新設して会話の機会をつくったところ、マーケティング部門から悩みや迷いの声が上がったのです。その声から議題を設定して話し合った結果、法務の担当者がプライバシーポリシーの改定に動き、マーケティング担当者は改定が完了するまで施策を保留することになりました。

──新しい組織の立ち上げはハードルが高そうです。

　専任者をいきなり抜擢して一気に進めようとすると難しいかもしれません。先ほどのクライアントの場合、まずは各部署の担当者が通常業務を兼任しながら旗振り役を務めていました。そのやり方ですら、一部の上層部からは「20%のリソースを割いてどれほどのリターンが得られるのか？」と難色を示されたくらいです。個人データ保護に向けた対応は、一見するとコストでも、顧客の信頼を生みブランドアセットに紐づく活動である。そのことを多くのビジネスパーソンが理解すべきだと思います。