法学研究 96 巻 8 号（2023：8）

プライバシーポリシーに対する契約アプローチの意義と限界
丸

山

絵

美

1

問題の所在

2

アメリカの議論――「プライバシーポリシーと契約」を中心に子

3 ヨーロッパ・ドイツの議論――GDPR と約款規制法を中心に
4

日本における議論の整理と方向性

1 問題の所在
消費者がサービスの利用や商品の購入をするに際し、利用規約や契約約款
1）と並んでプライバシーポリシー が表示ないし交付され、または、個人情報等の取扱いに関する条項が利用規約や契約約款の中に含まれていることがある。プライバシーポリシーは、個人情報の保護に関する法律（以下、「個人情報保護法」という） 等において個人情報取扱事業者に義務づけられている、

個人情報取得時の通知・公表・利用目的の明示（個人情報保護法 21 条 1 項 2項参照）等を遵守するために作成され、あるいは目的外利用・要配慮情報取得・第三者提供・第三者のところで個人情報となる場合等に必要とされる本人の同意取得（個人情報保護法 18 条 1 項 2 項、27 条 1 項、31 条） を、プライ
バシーポリシーへの同意取得によって行うために用いられるなどされている。
1） 本稿では、用いられている名称にかかわらず、プライバシーポリシーを、個人情報等の取得、利用、管理、提供、本人の権利行使等について、取扱いの方針を明文化したものであり、多くの場合、公表され、取引の相手方に示されるか、交付されている
文書・表示を指すものとする。
(67)70プライバシーポリシーに対する契約アプローチの意義と限界

基本的には、個人情報保護法や関連法令の遵守のための文書であり、個人情報を取得される本人との関係では一定の情報提供機能を果たすことになる。
このようなプライバシーポリシーについて、そこに記載された諸条項に契約としての拘束力（契約条項の性質）を認め、さらには定型約款規定（民法548 条の 2 ～ 548 条の 4） や消費者契約法による不当条項規制（同法 8 条～ 10条）など内容規制を及ぼすという議論が展開している。すなわち、プライバ

シーポリシー上の条項は、相手方たる利用者から見れば、契約条件の一つと捉えられるとし、フランス法を参照のうえ、「個人情報取得・利用の目的について明示していない条項」や「収集・利用目的を事業者が一方的に変更する条項」等について消費者契約法 10 条や民法 548 条の 2 第 2 項による規制
2）の可能性を示す大澤の見解 や、プライバシーポリシーに第三者提供等に同意する旨が記載され、利用規約によってプライバシーポリシーへの同意取得を確保するという流れが存在することを前提に、第三者取得等への同意は、私法的にはプライバシーに関する契約をしていると評価できるとし、提供先を問わずに同意をすることになる条項は人格権を放棄したものとして無効となる可能性があり、また、体制不整備の子会社との共同利用を定めるような条項は他の状況もあいまって消費者契約法 10 条違反の可能性があるといっ3）た板倉の見解 が示されている。
ここでは、次のような場面における、個人情報の取扱いの適正化に係る民事的手法の可能性が問われている。たとえば、「当社は、以下の場合にパー
ソナルデータを適法かつ公正な方法により取得いたします。また、パーソナ

2） 大澤彩「民法・消費者法からみた『同意』――事業者・消費者間取引における消費者の個人データ取得の場面等を素材に」NBL1167 号（2020 年）4 頁、同「AI と消費者」法時 1180 号（2022 年）23 頁、24―25 頁。同「プライバシーポリシーの法的性質に関する一考察―民法・消費者法の観点から」消費者庁消費制度課個人情報保護推進室『個人情報の保護に関する事業者の取組実態調査報告書（平成 23 年度）』
（平成 24年 3 月）151―161 頁も参照。
3） 板倉陽一郎「プライバシーに関する契約についての考察（1）（2）」情報法制研究 1 号（2017 年）28 頁、同 2 号（2017 年）67 頁。
69(68)

法学研究 96 巻 8 号（2023：8）

ルデータの取得にあたっては、あらかじめその利用目的を通知または公表（次条による利用目的の公表を含みます）します。1 号……」、「お客様からご依

頼がない限り、お客様のお名前、メールアドレスなど、お客様を個人として特定できる情報を広告主と共有することはありません。」といったプライバ
シーポリシー上の条項があり、条項の内容に違反して個人情報の売却等が行われていた場合、情報を提供していた本人は、条項の遵守、損害賠償、すでに取得・提供された情報の削除を請求できるのであろうか。それはどのような法的構成によるのか。また、「当社はお客様の個人情報を、次の目的で利用いたします。……〇号取得した行動履歴等の情報を分析し、信用スコアを作成のうえ、お客様の登録された氏名、電話番号、メールアドレスとともに、第三者に提供することがあります。
」という条項があり、ブラウザラッ
プ（利用規約等のリンクが表示されているウェブサイトの利用など）やクリック
ラップ（「同意する」ボタンをクリックするなど）によって同条項を含むプライ
バシーポリシーや利用規約への同意はとられている場合、第三者が特定されておらず、悪用の懸念があるとして、かかる条項の利用停止やすでに取得・提供された情報の削除を、本人や適格消費者団体は請求できるのであろうか。
それは、どのような法的構成によるのか。
以下では、同種の問題を扱っているアメリカや EU・ドイツにおける裁判例・学説の展開を確認のうえ、日本の法制を前提とした理論的な整理と、
データ利活用と個人情報の保護という目的を最適に達成するため、個人情報保護委員会のみならず、私人や適格消費者団体などの民間団体が一定の役割を担う可能性やそれに伴う課題という観点から考察を加えることにしたい。

2 アメリカの議論――「プライバシーポリシーと契約」を中心に（1）前提：プライバシーポリシー適正化政策と FTC によるエンフォース
アメリカでは、1990 年代、個人データの売却に関心が寄せられたが、同4）

意を得ていない売却行為等について、不法行為の成立は否定され 、通信の秘密等に関するその他の法令によって対応できない状況であった。個人情報(69)68

プライバシーポリシーに対する契約アプローチの意義と限界等の取得・利用に対する規整は、自主規制であるプライバシーポリシーの策定が政策として推進され、個人情報等を取得される本人に対する「通知と選択」の必要性を基礎に、個人情報等保護の規範形成・エンフォースともに、
5）FTC（連邦取引委員会）が主要な担い手となっていった 。連邦レベルの個
人情報保護法が存在しない中、FTC は、プライバシーポリシーを、不公正かつ欺瞞的な取引慣行を監督する権限を通じてエンフォースしてきた。介入の法的根拠は、FTC 法 5 条「商業活動に関する不公正な競争手段と、商業活動に関する不公正又は欺瞞的な行為又は慣行は、違法であることがここに宣言される。（15 U.S.C.§45(a)(1)）」である。
FTC による規範形成をプライバシーコモンローと称し、その展開を詳し
6）

く描く Solove & Hartzog の研究 によれば、FTC は反トラストおよび消費者保護について、行政的措置と司法的措置（裁判所を介しての措置）を行い得るが、FTC が自主規制のバックアップ、促進とエンフォースを担っていくにあたり、ほとんどすべてのプライバシー案件は和解・同意命令によって終結してきたということである。和解は FTC と企業双方にとって低コストであり、和解であれば、企業が責任を認めることも不要であるなど和解が選択される要因があると説明されている。Solove & Hartzog によれば、FTCと違反嫌疑者との和解を前提とする同意命令の内容は、問題とされた活動の禁止にとどまらず、消費者への利益吐き出し等も含む金銭の支払、消費者への通知やプライバシーポリシーの変更、命令遵守状況についての独立した専
4） プライバシー侵害の不法行為は、不法侵入、氏名等の盗用、私的事実の公開、公衆の 誤 認 の 場 合 に 認 め ら れ（Restatement(Second) of Torts §652B, §652C, §652D,§652E）、個人情報の取得・利用の場面では、不法行為の成立が認められなかった（Dwyer v. American Express Co. 652 N.E. 2d 1351, 1356, Shibley v. Times Inc. 341
N.E. 2d. 337, 339）。
5） FTC による個人情報保護については、クリス・フーフナグル / 訳・宮下紘ほか『アメリカプライバシー法―連邦取引委員会の法と政策』（勁草書房、2018 年）第 1 章などですでに紹介されているところである。
6） Daniel J. Solove & Woodrow Hartzog, The FTC and the New Common Law ofPrivacy, 114 COLUM. L. REV. 583 (2014).
67(70)

法学研究 96 巻 8 号（2023：8）

門家による査定・コンプライアンスレポート提出等にわたり、FTC の和解による合意内容は先例的価値があるような運用がなされ、FTC のその他のソフトロー手段（ガイドライン、プレスリリース等）と相まって、弁護士の助言内容に取り込まれ、企業が従うものとなっていった。そして、FTC によるルール形成と執行は、FTC 法 5 条の①欺瞞的、②不公正な、③制定法等の執行概念の下で、プライバシーポリシー違反のみならず、不十分な通知、
遡及的なポリシーの変更、惑わすような形でのデータ収集、データの不適切利用、不公正なデザイン、不公正な情報セキュリティ慣行に広がり、また、
和解の集積によってスタンダードからルール化を遂げていると評価されている。そして、違反の判断基準も、プライバシーポリシーの約束違反という観点から、消費者の認知限界や合理的無関心などを踏まえた消費者期待違反への移行がみられるということである。
（2）「プライバシーポリシーは契約か」（a）従前の判例法の理解（1）でみたように、アメリカにおける個人情報の保護は、州法を別とすれ
ば、FTC 法 5 条と FTC による執行が主要な役割を果たしてきたが、策定が促進されてきたプライバシーポリシーについて、「その違反に対する契約法による救済は可能か」という問題については、1999 年に、これを肯定する
7）

Scott の論文 が登場していた。Scott は、プライバシーポリシーが契約内容となり得ることを前提に、クリックラップによる明確な同意をとることの望
ましさや明確かつ簡潔なプライバシーポリシーの起草のあり方を提言した。
その後、Norton の 2016 年の論文では、プライバシーポリシーの強制可能性について、裁判所は契約理論を回避し、当事者間のプライバシーに関する
8）

合意の存在を認めない傾向にあるという分析が示された 。そのような状況に対し、個人情報保護政策において採用されている「通知と選択」に契約的

7） Scott Killingsworth, Minding Your own Business: Privacy Policies in Principle andin Practice, 7 J. INTELL. PROP. L. 57 (1999).
(71)66

プライバシーポリシーに対する契約アプローチの意義と限界

拘束力を認めないことによる問題を指摘し、利用者の信頼やプライバシー政
策の実効性の確保（FTC による執行の限界の補完） には契約としての拘束力を認めたほうがよいこと、利用者のみならず、プライバシーポリシーにおいてリスクマネジメントを行っている事業者にとっても、拘束力がない帰結に
9）「通知と承諾」と契約法を架橋は問題があるという評価を示す 。そして、するため、方式による解決策として、プライバシーポリシーのクリックラップ合意としての構築、あるいは利用規約への埋め込み、技術による解決策として、ウェブブラウザプラグインによる情報処理の実現などにより、契約と10）しての拘束力を根拠づけるという方向性を提案していた。

（b）消費者契約法リステイトメント試案におけるプライバシーポリシーの分析
Norton の分析と異なり、2017 年・2019 年・2022 年と草稿が公表されている消費者契約法リステイトメント

11）のレポーター（Bar-Gill, Ben-Shahar,

Marotta-Wurgler） は、消費者契約の定義に関連するレポーターノートにおいて、プライバシーポリシーの位置づけを取り上げ、プライバシー通知が契8） Thomas B. Norton, The Non-Contractual Nature of Privacy Policies and a New
Critique of the Notice and Choice Privacy Protection Model, 27 FORDHAM INTELL. PROP. MEDIA & ENT. L.J. 181 (2016), 189―191: Norton の論文では、プライバ
シーポリシーについて契約というより一般的な宣言であると捉えている判決として、Northwest Airlines Privacy Litigation, 2004 WL 1278459 (D. Minn. June 6, 2004)（原
告は、被告ノースウェスト航空の顧客であり、NASA（アメリカ航空宇宙局）の要請に応じて、乗客の氏名、搭乗便番号、クレジットカード番号、ホテル予約、車のレン
タル、旅行添乗員の情報を提供した被告会社に対して、その行為が、ECPA（電子通信プライバシー法）違反、FCRA（公正信用報告法）違反、プライバシー侵害、財産権侵害、過失による不実表示、契約違反、明示の保証違反となるとして、訴訟を提起した事件である。裁判所は、原告は、このプライバシーステイトメントを、個人情報を提供する前に、実際に読んでいたことを証明していないなどとし、ステイトメント
やポリシーは契約ではないことに言及のうえ、ノースウェスト航空のウェブサイトのプライバシーポリシーは、片務契約とならないとした）などが挙げられている。
9） Norton, supra note 8, at 201―205.
10） Norton, supra note 8, at 205―210.
65(72)

法学研究 96 巻 8 号（2023：8）

約内容となり得ることを肯定する判決が優勢であるという分析を示している

12）。定量分析に基づき、2004 年から 2022 年までの関連事件（プライバ

シー通知の内容に違反する取扱いが契約違反となることを消費者が主張するケー
スおよびプライバシー通知が契約として強制力をもつと事業者が主張するケース）

58 ケースのうち、46 のケース

13）において、裁判所はプライバシー通知が契約に分類されるかをという問題を扱い、このうち 42 のケースについて、裁判所は、プライバシー通知は契約上の義務を生じるとしているという。2005
年に登場した JetBlue Airways Corp. Privacy Litigation, 379F. Supp. 2d 299
14）（E.D.N.Y. 2005） 、Am. Airlines, Inc., Privacy Litigation, 370 F. Supp. 2d 522
15）（N.D.Tex. 2005） に従うものが多く、2004 年の Northwest Airlines のように

プライバシー通知は契約成立を意図するものではないとしてプライバシー通知は契約内容とならないとするものは、Northwest Airlines を含め 4 ケース（Dyer v. Nw. Airlines Corps., 334F. Supp. 2d 1196 (D.N.D. 2004), Starkey v.
11） 本稿が参照したのは、Restatement of the Law Consumer Contracts, Tentative
Draft No. 2 (April 2022) [Tentative Draft No. 2] である。2019 年草稿とそれに対する批判状況は、赤坂亮太「消費者契約としてのプライバシーポリシー―米国における消費者契約法リステイトメント策定の議論を参考に―」Nextcom Vol. 46（2021）32 頁に概要の紹介がある。
12） Tentative Draft No. 2, at 15―16, 19―22.
13） 12 のケースでは、裁判所は、契約違反の請求を、たとえプライバシー通知が契約上の義務をもたらし得るものであったとしても、約因の欠如や相互性の欠如、条項の採用となるには不十分な通知、損害が確認できないといった理由で認めなかったため、ここでの分析対象から外される。
14） ジェットブルー航空が、氏名、住所、電話番号、航空便情報の記載された乗客記
録を、無断で国防総省の契約会社に提供したものであり、プライバシー侵害を理由に、乗客が損害賠償を請求した集団訴訟である。判決は、プライバシーポリシーが運送約款の条項を構成することを示唆しているが、最終的には、原告は損害賠償に関する要件を充足しないとして、契約違反の主張は退けられている。
15） アメリカン航空が、米運輸保安局に乗客情報を無断で提供し、乗客が損害賠償請求の集団訴訟を起こした事件である。原告は、プライバシーポリシーは運送契約の一部となっていると主張したところ、事実の問題として、アメリカン航空のウェブサイ
トのプライバシーポリシーは運送契約の一部であると述べている。
(73)64

プライバシーポリシーに対する契約アプローチの意義と限界

Staples Inc., 2013 WL 5936898（M.D.Tenn. Nov. 5, 2013）, Lucky v. Ky. Bank
Nos.05-54625, 10-5085（Bankr. E. D. Ky. Mar. 21, 2011））にとどまるされる。判決 の 引 用 回 数 分 析 か ら、 契 約 と し て の 性 質 を 肯 定 す る Jet Blue 判 決 とAmerican Airlines 判決の影響が大きく、2015 年以降の判例法の調査として
は、裁判所はプライバシー通知の契約としての強制力を認めるようになって16）いると評価されている。レポーターは、定義（§1）のコメントにおいて、データやプライバシーに関する契約に言及し、データやプライバシーに関する条項が、契約や消費者契約の定義を充足する形で提示されるなら、消費者契約に関するリステイトメントが適用されるとし、例示において、ウェブサ
イトでの商品購入に際し、利用規約と並んで個人データの取得・利用・提供の範囲と安全に関する合意（agreements）が存在する場合を挙げている。また、消費者契約法リステイトメント試案においては、標準契約条項の契約への採用に際し、当該条項とこれを消費者契約の条項に含める意図の合理的な通知、および条項を吟味する合理的機会があったうえでの、取引への明白な同意を要件としているところ（§2(a)(1)(2)）
、ブラウザラップによる要件充
足を一律的に否定するものではないが、消費者への警告が目立たなかったり、とられる行動と条項の採用の結びつきが不明確である場合には、要件充足を事業者が証明することは困難になると説明されている。事実に基づく解釈の問題とはなるが、目に必ず入る明確なリンク表示、内容確認の機会があった
16） Tentative Draft No. 2, 21：Kuhns v. Scottrade, Inc., 868 F. 3d 711 (8th Cir. 2017)（情報プライバシー条項違反を理由とする契約違反を認めた）; Yahoo! Inc. Customer
Data Sec. Breach Litig., 2017 WL 3727318 (N.D. Cal. Aug. 30, 2017)（消費者の個人識
別情報の保護に関する条項に事業者が違反していることを認めた）; Fero v. Excellus
Health Plan, Inc., 236 F. Supp. 3d 735 (W.D.N.Y. 2017)（消費者契約におけるレファレ
ンスによって組み入れられたプライバシー通知が契約違反となり得ることを認めた）;
Silver v. Stripe Inc., 2021 WL 3191752 (N.D.Cal. July 28, 2021)（消費者は売主のプラ
イバシーポリシーに、注文毎に同意しており、契約上の義務が生じていると述べる）;
Marriot International, Inc., Customer Data Security Breach Litigation, 440 F. Supp.
3d 447 (D.Md.2020)（契約上の請求棄却を求める企業の理由付けを否定し、原告はプライバシーポリシー違反を理由とする契約違反の請求権を有すると述べる）.
63(74)

法学研究 96 巻 8 号（2023：8）

うえでの同意がないと、プライバシーポリシーの契約内容化の認定は困難であることになる。
プライバシーポリシーの契約内容化に関するレポーターの分析に対しては、
17）

再調査を行い、分析の的確さ等について批判的な研究も登場し、また、プ

ライバシーポリシーだけでは契約としての拘束力をもたないが、利用規約にプライバシーポリシーが埋め込まれ、クリックラップがある場合に、裁判所
は契約の一部となることを肯定しているという分析の下で、否定例・肯定例
18）を説明している研究なども存在することに留意を要するが、2019 年、2022 年の試案において、レポーターの分析・コメント等は維持され、2022
年試案は同年の ALI の総会において承認を得た状況にある。
（3）連邦レベルの個人情報保護立法の動向と私訴
アメリカでは、個人情報保護を目的とする制定法は、連邦レベルでは存在せず、州法（著名なものとして、カリフォルニア州消費者プライバシー法［CCPA］）にとどまっていたが、ヨーロッパにおける一般データ保護規則（General
Data Protection Regulation［GDPR］） の採択後、いくつかの連邦レベルの消費者保護法が提案され、現在、検討されているのは、アメリカデータプライ
バシー保護法（American Data Privacy and Protection Act［ADPPA］）の草案
19）（2022 年 6 月公表）である。本稿ではその内容の詳細には立ち入らないが、個人識別情報、個人関連情報、端末情報等を保護対象データとし、データ最小化やデータ提供に左右される価格サービスの禁止などの忠実義務を定め、消費者のデータ権利として、アクセス権、訂正権、消去権、データポータビ
リティ権を導入し、ポリシー変更の際の手続等の規定を有する内容となっている。執行主体は、新たな当局が FTC 内に置かれるほか、FTC や州の司法
17） Gregory Klass, Empricism and Privacy Policies in the Restatement of Consumer
Contract Law, 36 YALE J. ON REG 45 (2019).
18） Neil Richards and Woodrow Hartzog, The Pathologies of Digital Consent, 96
Wash. U. L. REV. 1461 (2019), at 1479.
19） H.R.8152―117th Congress.
(75)62

プライバシーポリシーに対する契約アプローチの意義と限界

長官に事前通知のうえでの個人に差止や損害賠償の訴訟権限付与が構想されている（損害賠償については、現実の損害とされており、定額化や懲罰的損害賠償等の規定はない）。私訴の法的構成は少なくとも契約・契約違反構成はとられていないと考えられるが、私訴の性格やそもそも ADPPA が成立するか
20）

は不透明な状況である
（4）小

。

括

アメリカでは、連邦レベルの個人情報保護法がない中、州法のほか、適正なプライバシーポリシー策定という個人情報の取扱いに関する自主規制が推進され、競争政策・消費者政策を担う FTC によって個人情報の取扱いの適正化とエンフォースが図られてきた。
そして、私人による執行・救済という点では、不法行為法による救済が難しい中、プライバシーポリシーが契約内容化することを肯定し、事業者の契約違反を問うアプローチが一定程度注目され、また、消費者契約法リステイ
トメント試案においても、プライバシー通知の消費者契約の内容化について
一定の紙幅が割かれていた。このような法的構成は、個人情報の保護法益性や情報に関する権利性という問題を詰めなくとも、個人情報等の取得や利用の仕方を定める条項について当事者の合意を認定し、約束的禁反言の法理により、それに違反する行動を禁止する可能性を開き、また、契約違反による損害を認定できれば、損害賠償請求を可能とするという特徴がある。もっとも、損害賠償請求については損害を認定できるのかという問題があるほか、
適切なプライバシーポリシー上の条項の遵守・実現を求めるアプローチであ21）

る点で、プライバシーポリシーの適切さ自体は自主規制や FTC のガイドによって確保されている必要がある。また、プライバシーポリシーやこれが20） 商業目的の監視と緩いデータセキュリティに関する取引規制の必要性について、FTC の規制権限を強化するパブコメが開始されており、連邦法が成立するのか、
FTC の権限強化にとどまるのかなど今後の動向が注目される状況にある。
21） 消費者契約法リステイトメント試案でも、非良心性法理の箇所では、プライバ
シーポリシーの適正化といった問題は言及されていない。
61(76)

法学研究 96 巻 8 号（2023：8）

埋め込まれた利用規約へのクリックラップ合意がある場合には、契約内容化が肯定され得るとしても、ブラウザラップである場合やプライバシーポリ
シーのリンク等の態様によっては、契約内容化は否定される場合もある。さらに、アメリカにおいては、「通知と選択」モデルの機能的限界が指摘され、かつ、契約構成では不適切な第三者提供の際に第三者に対応を求めることに困難が生じることから、個人情報の保護に関しては、情報フィデュシャリー
22）（信任義務）論が展開をみせている。ADPPA 草案における法違反と結びついた私訴は契約違反構成を前提とするものではないと考えられ、「プライバシーポリシーは契約か」という議論は、実効的な個人情報の保護や救済の観点からは、他の構成や立法の必要性を論ずるための前提的検討という位置づけを与え得るかもしれない。

3 ヨーロッパ・ドイツの議論――GDPR と約款規制法を中心に（1）ドイツにおける消費者団体訴訟と背景事情
23）

EU（欧州連合）では、GDPR（EU 一般データ保護規則）が個人データの22）「通知と選択」アプローチの限界に関するアメリカの議論の展開を検討するものとして、佃貴弘「アメリカにおける Privacy as Trust 論の理論的前提―新たなプライバ
シー権論の構築に向けて ―」北陸大学紀要第 49 号（2020）37 頁、同「Privacy as
Trust 論における Trust の意味―プライバシー保護での信認義務の内容画定のために―」北陸大学紀要 53 号（2022 年 9 月）107 頁。憲法学の観点からアメリカ法上の情報プライバシー権の展開を検討する研究として、音無知展『プライバシー権の再構成』（有斐閣、2021 年）も参照。
23） GDPR4 条 1 項の個人データ（personal data）は日本の個人情報等（個人情報保護法 2 条参照）に近いものではあるが、定義には違いがある。「‘個人データ’とは、識別された自然人又は識別可能な自然人（‘データ主体’）に関する情報を意味する。識別可能な自然人とは、特に、氏名、識別番号、位置データ、オンライン識別子、位置
データ、オンライン識別子のような識別子を参照することによって、又は、当該自然人の身体的、生理的、遺伝的、精神的、経済的、文化的又は社会的な同一性を示す一つ又は複数の要素を参照することによって、直接又は間接的に、識別され得る者をいう」(77)60プライバシーポリシーに対する契約アプローチの意義と限界取扱いにおける個人の保護とともに、個人データの自由な流通に対する寄与24）を目的として制定されている（GDPR 1 条）。GDPR

やドイツ国内の個人情報保護法（Bundesdatensgesetz [BDSG]）の規定の存在25）を前提としつつ、ドイツでは、利用規約やプライバシーポリシーにおける個人データの取り扱いに関する条項について、約款規制法

26）

や不正競争防止法（Gesetz gegen den

unlauteren Wettbewerb [UWG]） に違反するものとして、消費者団体が差止訴訟を提起し、裁判所による判断が示されている。約款規制法が持ち出さ
27）

れ る 背 景 の 一 つ と し て、GDPR の 前 文（42） に お い て 不 当 条 項 指 令（93/13/EEC） に従った透明性の要請が言及されているものの、その趣旨が明確ではないという事情がある。また、ドイツにおいては消費者団体が個

24） ドイツ語表記では、DSGVO（Datenschutz―Grundverordnung）となるが、本稿では、一般に知られている英語の GDPR 表記を用いていく。
（a）は、特定目的のための個人データの取扱いについてデータ主体
25） GDPR 6 条 1 項が同意を与えた場合、その取扱いが適法となる旨を定めるが、GDPR 7 条において、同意要請の透明性（同条 2 項）を要求し、任意性判断において同意が契約履行に条件づけられているか否かを十分考慮する（同条 4 項）ことが求められている。GDPR において要求される同意の有効要件は厳格であると評価されている（小向太郎・石井夏生利『概説 GDPR』［NTT 出版、2019 年］60―64 頁参照）。
26） ドイツでは、約款規制法が民法典の中に取り込まれており、本稿では、ドイツ民法（Bürgerliches Gesetzbuch [BGB]）の 305 条から 310 条の部分を「約款規制法」と呼んでいる。
27） GDPR の前文（42）は、「データ処理がデータ主体の同意に基づく場合、データ管理者はデータ主体がデータ処理に同意を与えたということを証明できなければならない。
特に、他の事項に関する文書では、保護措置は、同意が与えられることになるという事実及びその同意が与えられる範囲についてデータ主体が認識することを確保しなけ
ればならない。理事会指令 93/13/EEC に従い、データ管理者によって事前に定式化された同意があるという記述は、理解しやすく、用意にアクセスできる方式により、明確かつ平易な文言を用いて示されなければならない。情報を与えられた同意というためには、少なくとも、データ主体が、管理者の身元、個人情報等によって予定される取扱いの目的を認識していなければならない。データ主体が真の、もしくは自由な選択を有しておらず、または、不利益なしの同意の拒絶や撤回権を有していない場合には、同意は自由に与えられたものとはみなされない」と規定している。
59(78)

法学研究 96 巻 8 号（2023：8）

人 情 報 の 取 扱 い に 関 す る 条 項 を 差 止 め る に 際 し、 差 止 請 求 訴 訟 法（Unterlassungsklagengesetz [UklaG]） による訴権があるとするために、ドイツの UWG 違反や約款規制法違反を問う必要があるという事情がある。
（2）ドイツ国内の判決とヨーロッパ裁判所の判断
利用規約上の個人情報の取扱いに関する条項について、約款規制法違反があるとして、消費者団体が差止めを求め、これを肯定する判決が登場した。
判決ではプライバシーポリシー（「データ保護指針」や「データ保護宣言」などと表記されている）に含まれる条項について、普通取引約款であるか否かは

相手方基準によって判断され、客観的な文言によって、相手方に契約上の法律関係を確定する文章という印象を与えるのであれば、契約条件は存在することになるとして約款該当性が肯定される（約款一般について、BGH U. v.
03.07.1996 BGHZ 133, 184, BGH U. v. 09.04.2014 BGHZ 200, 362. プライバシーポリ
シーについて、KG Berlin U. v. 27.12.2018 DB 2019, 2018 参照）。注意喚起、推奨、事実の指示にとどまるものは約款ではないが、サービスを利用する消費者に、
プライバシーポリシーに書かれている実務を容認しなければならないという印象を与える場合には、法的効果をもたらす約款であることが肯定されると述べる判決もある（KG Berlin U. v. 21.03.2019 Ｋ＆Ｒ 2019, 414）。プライバ
シーポリシーの約款該当性が肯定される場合、問題となっているデータの取扱いに関する条項について、BGB 307 条 1 項後段にいう不透明性を理由に、
または、GDPR との抵触を理由に BGB 307 条 2 項 1 号該当性を肯定して、当該条項は消費者を BGB 307 条 1 項前段にいう不当に不利に扱うものであ
り無効であるとされている（LG Berlin U. v.16.1.2018 BeckRS 2018, 1060［BGB
307 条のほか、立証責任の不利益変更に関する BGB309 条 12b 号違反も認定］, KG
Berlin U. v. 22.09.2017 BeckRS 2017, 129993, KG Berlin U. v. 27.12.2018 DB 2019,2018-1021, KG Berlin U. v. 21.03.2019 Ｋ＆Ｒ 2019, 414-419, KG Berlin U. v. 20.12.
2019 MMR 2020, 239）。

ド イ ツ で は、UWG 違 反 を 理 由 に 差 止 め を 認 め る 判 決 も 少 な く な い。
UWG 違反の判決の動向の参照は、ここでの消費者団体訴訟の文脈を理解す(79)58

プライバシーポリシーに対する契約アプローチの意義と限界るために有益である。すなわち、フェイスブック（メタ）のデータ取扱いに対する UWG 違反を理由とする差止訴訟（事案については、KG Berlin U. v.
22.09.2017 K&R 2018, 121 参照）に関し、BGH は、GDPR 80 条 2 項（加盟国には、個人関連データ保護違反者に対しその処理の結果侵害を受けた自然人の権利を、団体が主張していくケースのみが予定されているように読める）との関係で、消費者団体に UWG 違反を理由とする差止訴訟の提訴権限がそもそも認められるのかという前提問題があるとし、2020 年 5 月 28 日の決定（IZR 186/17,
GRUR 2020, 896）によって手続を中断して、ヨーロッパ裁判所に、GDPR 80

条 1 項 2 項、84 条 1 項との関係で、関係者の具体的権利侵害がない場合にも、競業者や権限のある団体に差止訴訟権限を認めることが矛盾しないか否かについて質問を提出した。2022 年 4 月 28 日のヨーロッパ裁判所の判決（C―319/20, GRUR2020, 920）は、GDPR 80 条 2 項の解釈問題であるとしたう

えで、不公正な取引慣行禁止違反や無効な約款の利用禁止違反を理由に消費者団体が個人関連データ保護違反の疑いのある違反者に対して、具体的な権
利侵害や個人からの委任なしに訴訟できるとする国内法に対し GDPR 80 条
2 項は障害となるものではないという判断を示した

28）。GDPR 80 条 2 項は、団体による差止めではなく、個人の集合による集団訴訟手続を想定するもの
ではあるが、影響を受ける個人やグループを指定すればよく、個人の特定の権利侵害を前提とする規定ではなく、GDPR 80 条 2 項だけでは消費者団体訴訟による予防機能は保証されない可能性があり、GDPR 違反が同時に消費者保護の規定や不公正商慣行となる可能性はあることなどが言及されている。
GDPR との関係で、個人の具体的権利侵害が認定されていない場合における客観訴訟としての差止訴訟が許容されるのかという問題は、約款規制法違反を根拠とする場合も同様に存在する。ドイツでは、上記のヨーロッパ裁判
所の判断が出る前ではあるが、学説にはプライバシーポリシーに約款規制を
28） さらに、BGH は、同事件に関連して、2022 年 11 月 10 日の決定によって、再び、
ヨーロッパ裁判所に、GDPR 12 条 1 項 1 文、13 条 1 項 c）および d）による情報提供義務が履行されないことを理由とする関係者の権利侵害を根拠に消費者団体は訴えを提起できるのかを照会している。
57(80)

法学研究 96 巻 8 号（2023：8）

及ぼすことについて異なる評価がみられた。問題の所在を明確化するためにも、代表的な学説をみておこう。
（3）学説

いずれの見解も、データ主体にとって GDPR から不利益となるような変更を契約によってなし得ないことを前提に、GDPR と並列的に、プライバ
シーポリシーないし個人情報の取扱いに関する条項を約款規制法によって適正化するアプローチの可能性とその意義について論じている。
29）（a）Wendehorst/Westphalen の見解

Wendehorst/ Westphalen によれば、プライバシーポリシー等がたんに情報提供の機能を果たしているにすぎない場合には、約款規制の対象とはならないが、事前に定式化された諸条項に対し、相手方がワンクリック等で同意を表示し、データ処理がデータ主体の同意に基づき行われるような場合、あるいは、データの利用が契約の履行に必要な範囲を超えて事業者の商業利益のために利用される場合、プライバシーポリシーは BGB 305 条 1 項 1 文にいう契約の諸条項的性格を有すると評価してよいとされる。この場合、GDPR の審査だけとなるのは説得的ではなく、約款規制法に服することになるという。GDPR と約款規制法が部分的に重複し（約款規制法で透明性がない
場合は、GDPR 上必要な同意も欠くことになる）、かつ重複しない部分で補完しあう関係になる。
約款規制法の適用が肯定される場合、同意があるとみなすような条項を含
めデータ処理について定める条項が不透明である場合（BGB 307 条 1 項 2 文、
3 項 2 文）、data privacy by design 等の原則違反がある場合（GDPR 25 条、
BGB307 条 2 項 1 号）
、そして、契約上の権利義務について明らかな不均衡があると評価できる場合（BGB 307 条 1 項 2 号）、当該条項は無効となるという。

29） Chrisitiane Wendehorst / Friedrich Graf von Westphalen, Das Verhältnis
zwischen Datenschutz-Grundverordnung und AGB―Recht, NJW 2016, 3745―3750.
(81)56

プライバシーポリシーに対する契約アプローチの意義と限界約款規制によって無効となる条項を事業者は援用できず、かつ差止訴訟の対象となり、さらに契約締結上の過失による損害賠償責任、不当利得による清算（BGB 818 条 1 項 1 文、818 条 2 項 ） も あ り 得 る と す る。 約 款 規 制 法 がGDPR と重複しながら、部分的には GDPR ではカバーされていない部分の審査の基準となり得るという理解が示されている。
30）（b）Hacker の見解

プライバシーポリシーの約款該当性については、基本的に判例と同じく、単なる情報記述的なものは契約条件ではないが、相手方からみて、サービスの利用のための条件と捉えられるものは、データ保護法上の同意を予め標準条項化しているものも含め、約款として把握され得るとする。
GDPR との関係では、その前文考慮事由 42 に基づき、GDPR と並んで、不当条項指令・約款規制法が適用され得ると理解する。内容規制の局面において、透明性の要請（BGB 307 条 1 項 2 文） 等については、GDPR による情報提供義務等のほうが詳細であり、約款規制法に独自の意義はないものの、
内容規制の局面では、約款規制法が独自の意義をもつ可能性があるとする。
まず、BGB 307 条 3 項 1 文（法規からの逸脱の場合に約款規制を可能とする規定）との関係では、本来、中心条項に約款規制は及ばないところ、同意が主たる給付義務の履行として与えられている場合も含めて、規制の可能性を肯定するという解釈を示す。そのうえで、不当に不利な扱いの基準について、従来の判例にみられた、BDSG 違反の規定が同時に約款規制法違反となるという考え方は、GDPR の場合にも引き続き妥当するものとなるが、この場面
では、約款規制を持ち出す独自の意味はないことになる。しかし、たとえば、GDPR 5 条 1 項ｃ、25 条が規定するデータ最小化原則や data privacy bydesign に関連して、GDPR では、違法性が認定されない事例であっても、約款上の契約条項としては、BGB 307 条 2 項 1 号を通じ、同条 1 項 1 文にいう不当に不利な条項と評価されることがあり得るとする。Wendehorst /30） Philipp Hacker, Datenprivatrecht, Mohr Siebeck 2020, 420ff..
55(82)

法学研究 96 巻 8 号（2023：8）

Westphalen と同様、GDPR と約款規制法は重なりながら、約款規制法が独自の規制の意義をもつ領域はあり得るという理解を示している。
（c）McColgan の見解

31）

前二者の見解に対し、プライバシーポリシーの約款規制法による内容規制や消費者団体による差止請求について、方法論として疑問を提起するのが、McColgan の見解である。
McColgan は、プライバシーポリシー上のデータの取扱いに関する条項に対し、約款規制を行うことを肯定する裁判例が増えており、判決では、プラ
イバシーポリシーが約款かどうかは、相手方の客観的理解において拘束的な契約という印象が生じるかどうかが基準とされており、データ処理を可能とする同意が事前に定式化されているのみならず、相手方においてデータ利用を受忍しなければ、サービスの利用をあきらめなければならない印象を抱かせるプライバシーポリシーも約款規制法の下に置かれていることを確認する。
そのうえで、問題の本質は、完全調和を要請する GDPR の規律と国内法による内容規制との関係であり、しばしば言及される GDPR の考慮事由 42
は、編纂上の誤りである可能性を指摘する。現在登場している判決は、BGB
307 条 1 項 1 文・307 条 2 項 1 号を根拠とする場合でも、実際には、形式的な同意要件の審査を行っており、契約条項の実体的な内容規制を行っている
わけではなく、本来、GDPR に違反するため無効である同意を、約款規制法を通じて行うという循環論法的審査となっているという分析を示す。
ここで重要なのは、約款規制法や UWG 違反を構成するとした場合、消費者団体による差止訴訟（UKlaG 1 条）が可能となる点であるが、同意の有効性に関する形式的な規制と、内容規制という実体的な規制が判決では混同されており、また、GDPR 80 条 2 項は、個人の権利侵害を前提とする集団訴

31） Peter McColgan, Die Inhaltskontrolle von Datenschutzerklärungen ist keine Inhaltskontrolle Zum Verhältnis von Datenshutzrecht und AGB―Recht, AcP 221, 695―
731.
(83)54

プライバシーポリシーに対する契約アプローチの意義と限界

訟の代理といった場面を想定しているものであって、客観的抽象的な条項審査である差止訴訟は想定されていないことを指摘していく。
GDPR 違反の執行の補強という観点から、本来必要であるのは、現実に違法なデータ処理が行われている場合に、その処理を差止めるような私法上の訴権であるとし、不透明性等を理由とする有効な同意への疑義は GDPR 違反を理由に同意を無効とすべき場面であり、内容規制（いかなるデータ処理
であれば最適か）については、判例法によってこれを先導することも難しいと述べている。
（4）小括

ドイツの裁判例・学説では、プライバシーポリシーや利用規約における個
人情報等の取扱いに関する条項が、約款上の契約条項と言えるのかについて、客観的な文言から、相手方に契約上の法律関係を確定する文章という印象を与える場合、あるいは、当該条項によるデータの取得・利用を受忍しなければサービスの利用をあきらめなければならないという印象を利用者に与える
場合に、約款上の契約条項と評価できるとされ、約款規制法の適用が認められていた。その他、本稿では詳細を取り上げていないが、プライバシーポリ
シーの表示態様が、誤認をもたらすような態様の場合に、UWG 違反が問われている。
このようなアプローチは、学説が指摘するように、透明性の確保という点では、ヨーロッパでは、GDPR の規律と重複するものであり、McColgan が指摘するように、約款規制法違反や UWG 違反の構成を採用する意義は、消費者団体による差止訴訟の可能性をもたらすという点に尽きるように思われる。そうであるならば、GDPR に、消費者団体による GDPR 違反行為の差止訴訟を制度化するほうが直截であろう。さらに進んで、学説の議論にみられるように、GDPR によって必ずしも違法とされない個人情報等の取扱いに関する条項の内容規制を可能とするものとして、約款規制法に個人情報保護のための独自の意義を肯定すべきかが問題となる。ヨーロッパ裁判所は消費者法制において差止めの要件充足が肯定される場合、GDPR はそれを妨げる
53(84)

法学研究 96 巻 8 号（2023：8）

ものではないという判断を示したが、問題の本質は、個人データの提供の範囲や取得・利用の態様に関し、データ保護法制における政策判断と矛盾せずに、消費者法・約款規制法が内容規制の基準を実効的に構築できるかであろう。

4 日本における議論の整理と方向性
1 で述べたとおり、プライバシーポリシーの契約的拘束力の問題について、
日本においても、これを肯定し、内容規制の可能性を論じる見解が存在していた32）。まずは、プライバシーポリシーないし個人情報の取扱いに関する条項の契約内容化の肯否・不当条項規制の可否という問題と、個人情報保護法上の同意要件の充足という問題を混同すべきではないことから、これらは別次元に位置づけられる問題であることの確認から始めることにしよう。
（1）個人情報保護法上の同意と個別条項の契約内容化問題の峻別
定型約款規定の立案担当者が指摘しているように、個人情報保護法において第三者提供等に際し要求されている「同意」の解釈は、同法の趣旨に則り33）解釈されるべき問題である。個人情報保護法には、「同意」に関する定義はないところ、個人情報保護委員会の「個人情報の保護に関する法律についてのガイドライン（通則編）」（以下、「個人情報 GL」という）の「2-16 本人の同意」では、「本人に同意を得（る）」とは、本人の承諾する旨の意思表示を
当該個人情報取扱事業者が認識することをいうと定義され、また、本人が同意に係る判断を行うために必要と考えられる合理的かつ適切な方法によらなければならないと説明されており、具体例では、確認欄へのチェックやホー
ムページ上のボタンのクリック等が示されている。「個人情報 GL」においては、同意したことによって生ずる結果について判断のうえ本人が同意をす

32） 大澤・前掲注 2）、板倉・前掲注 3）参照。
33） 村松秀樹＝松尾博憲『定型約款の実務Ｑ＆Ａ』（商事法務、2018 年）79 頁。
(85)52

プライバシーポリシーに対する契約アプローチの意義と限界るというモデルが想定されていると考えられ、また、「個人情報 GL」における例示は本人の積極的な同意がある場合が挙げられている。他の GL をみると、「金融分野における個人情報保護に関するガイドライン」（令和 4 年 4月）では、「あらかじめ作成された同意書面に確認欄を設け本人がチェックを行うこと等、本人の意思が明確に反映できる方法により確認を行うことが望ましい。
」と述べられているが、その一方で、「電気通信事業における個人情報保護に関するガイドライン」（令和 5 年 3 月 31 日）（以下、「電気通信 GL」という）の解説では、個人情報保護法上必要となる本人の同意について、個別の同意がある場合だけではなく、電気通信役務の提供に関する契約約款において第三者提供に関する規定があり、当該契約約款に基づき電気通信役務の提供に関する契約が締結され、かつ、当該規定が私法上有効であるとき、個人情報保護法上の本人の同意があると解されるが、無制限に第三者提供を認める約款の規定等が利用者利益を阻害している場合には電気通信事業法上の改善命令の対象となり得る、通信の秘密に該当する個人情報については個
別具体的かつ明確な同意が必要であり、契約約款等による包括的同意では原則として有効な同意取得とならないが、例外的に有効とされる場合もあると34）いう解釈が示されている。

平成 29 年の民法改正によって導入された民法 548 条の 2 第 1 項は、定型
約款上の個別条項の組入れ合意がある場合（同法同条同項 1 号）のほか、定型約款準備者による定型約款を契約の内容とする旨の予めの表示（2 号）があれば、個別条項の契約内容化を認める規定となっている。定型約款規定の立案担当者の解説によれば、インターネットポータルサイトにおいて、「利用規約」リンクが表示されていれば、民法 548 条の 2 第 1 項第 2 号の要件は充足され、ページの最下部にこのようなリンクがある場合も、ページとしての一体性があれば、「表示していた」と評価され得ると解説されている

35）。

34）「電気通信 GL」38 頁。同ガイドラインの立場については、石井夏生利「『同意』の横断的考察」NBL1167 号（2020 年）35 頁において、公法上の意思表示に対し一般には民法の法律行為に関する規定が適用されるという理解を前提としたものと指摘されている。
51(86)

法学研究 96 巻 8 号（2023：8）「電気通信 GL」は、個人情報保護法上の同意要件充足の認定を、私法上の契約の成否や有効性に結びつける説明をしているが、プライバシーポリシー
や個人情報の取扱いに関する条項を含んだ利用規約のリンクが検索サイト等のトップ画面に表示され、検索サービス等の利用が開始される場合、民法上は、民法 548 条の 2 第 1 項第 2 号によって、定型約款（利用規約）の個別条
項のみなし合意が法規定によって認められ得るとしても、ここで相手方の同意が黙示にせよ存在すると説明すべきか（できるのか）について、民法学説
上は議論があり（民法 548 条の 2 第 1 項第 2 号をいわゆる法規説の立場で理解す
れば、定型約款上の個別条項は相手方の同意のなしにも定型取引の契約内容化を生じることになる）、立案担当者は黙示の合意の有無の判断を不要とする立場
36）

である

。さらに、民法 548 条の 2 第 1 項は、契約締結時における条項の内容を確認する機会（いわゆる開示）を契約内容化の要件とするものではな
いので、たとえば、自動販売機に「契約条件は、当社の〇〇約款による。問合先電話番号」のシールが貼ってあり、自動販売機で顧客がジュースを購入した場合、その場において容易に閲覧可能ではない定型約款上の個別条項が売買契約の契約内容化する帰結がもたらされる

37）。しかし、個人情報保護法上必要とされる「同意」があるというために、積極的行為（プライバシー
ポリシーへの「同意します」クリック等）が必要なのか、クリックは不要でもサービス等の利用開始前に条項「内容」の表示が必要なのか、それともリンクによる閲覧可能性で足りるのか、閲覧可能性（リンク） すら必要なく、「サービスの利用によって当社プライバシーポリシーに同意したことになります」という表示だけがあって、利用が開始されていれば、プライバシーポ
リシーの内容に同意したことになるのかは、個人情報保護法上の「同意」の35） 村松＝松尾・前掲注 33）72 頁。
36） 村松＝松尾・前掲注 33）12 頁。
37） 村松＝松尾・前掲注 33）70 頁。技術の進歩により、街中における初めての自動機
械の利用が個人情報に結びつく事態は想定され、その時点と場所において本人に閲覧可能性のないプライバシーポリシーに本文中のような表示をもって同意があったとしてよいのかが問われることになる。
(87)50プライバシーポリシーに対する契約アプローチの意義と限界

解釈の問題として詰められるべきであると考える

38）。民法における定型約

款上の個別条項の契約内容化要件をスライドさせることは、実質的には「同意」を擬制するに等しい場面を生じ得るため、個人情報の種類や条項の内容
によってはそれでよいとするのかを正面から個人情報保護法の同意の解釈問
題として議論する必要がある。
民法との関係では、個人情報保護法上の同意は、不法行為の違法性ないし責任阻却事由とされてきた同意に近いものと解される。もっとも、一方では、
違法性・責任阻却をもたらす同意の意思表示も解釈の対象となるため、限定のない包括的な第三者提供に対し形式的に同意がとられたような場合、個人情報保護法上の同意として十分か否かの結論とは直結させずに、私法上は、合理的な範囲・態様による第三者提供への同意があるにすぎないとして、たとえば、詐欺的取引をするような悪質業者への個人情報の売却があった場合などには免責されない（不法行為責任を生じ得る）といった解釈は可能であろう。他方では、同意のない個人情報の第三者提供について、個人情報保護法施行前の事件に関する最判平成 15・9・12 民集 57 巻 8 号 973 頁は、当該事案（講演参加学生情報の警察への提供）の下で、プライバシーに係る情報の適切な管理について、原告の合理的な期待が裏切られた場合に、損害賠償責任を肯定したにすぎないが

39）、現在は、個人情報保護法に禁止規範（同意を要求する行為としての規範化）が存在することによって、個人情報保護法違反の行為について、以前よりも広く民事の責任（違法性の承認）を肯定する可能性もあろう。

38） プライバシーポリシーを定型約款とみて、民法 548 条の 2 第 1 項第 1 号による同意取得や、同法 548 条の 4 第 1 項 2 号による変更の有効性を論じる見解（加藤伸樹「本人の同意の理論的検討」NBL1181 号［2020 年］47―48 頁）もあるが、同法 548 条の 2 第 1 項第 2 号のケースについては言及されておらず、また変更については、変更合意を不要とする同法 548 条の 4 第 1 項を根拠とする以前に、個人情報保護法上の同意の趣旨を踏まえて、変更時に必要な同意取得の態様を論じるべきであろう。
49(88)

法学研究 96 巻 8 号（2023：8）（2）個人情報の取扱いに関する条項の契約内容化の意義と限界
個人情報の取扱いに関する条項が、利用規約と並列されたプライバシーポ
リシーの中にある場合や、利用規約の中に埋め込まれている場合に、その種の条項が、契約内容化するかは、（1）の個人情報保護法上の同意要件の充足問題とは別の次元に位置づけられ、民法・契約法の理論的課題として問題とし得る。違法性・責任阻却をもたらす同意があるだけの場合とは異なり、契約の成立は、一方または双方に、合意内容に即した契約上の債務を生じさせ、契約内容規制の発動可能性をもたらす。この点に関し、民法の定型約款規定の立案担当者は、個人情報保護法上必要となる事項について規約を設け、顧客の同意を求める場合、この同意は契約の成立に向けられたものではなく、契約内容とすることを目的として準備されたものでもないので、定型約款に40）関する規定は直接適用されないと述べるが41）、大澤の論文やドイツの議論にみられたように、ある文書や表示が契約条件であるか否かは、約款準備者の主観のみで決定されるものではなく、解釈の余地のある問題（定型約款
規定においては「契約の内容とすることを目的としてその特定の者により準備された条項の総体」の解釈問題であり、また契約の成立・内容確定一般の解釈問題として議論することも定型約款規定によって排除されたわけではない）と解し得る。

39） 同判決が「合理的期待の裏切り」に言及したことの意義をいかに解するかは民法研究者による理解も分かれており（水野謙「判批」判例セレクト 2003［法教 282 号別冊付録］21 頁、前田陽一「判批」ジュリ 1269 号 90 頁など参照）、私法上、自己情報
コントロール権構成を採用し得るかによって、個人情報保護法上の同意の私法的性質が異なり得ることも論じられている（米村滋人「個人情報の取得・第三者提供に関す
る『同意』の私法的性質」河上正二＝大澤彩編『廣瀬久和先生古稀記念

人間の尊厳と法の役割』［有斐閣、2018 年］321 頁参照）が、最判平成 15 年自体は自己情報コン
トロール権構成を採用するに至っていないという読み方（窪田充見編『新注釈民法（15）債権（8）』（有斐閣、2017 年）539 頁以下［水野謙執筆担当］）が、判旨の理解としては説得的であると考えられる。
40） 村松＝松尾・前掲注 33）79―80 頁。
41） 大澤・前掲注 2）NBL1167 号 5 頁以下。
(89)48

プライバシーポリシーに対する契約アプローチの意義と限界

まず、個人情報保護法と契約との関係について、たとえば、要配慮個人情報の第三者提供に関し、個人情報保護法上の同意としては、個別具体的な同意が必要と解され、それが欠けている場合に、利用規約中に要配慮個人情報の第三者提供ができる旨の条項が存在し、民法 548 条の 2 第 1 項によれば、
当該条項を含めて契約内容化していると解釈され得る場合でも、当該条項は、個人情報保護法の禁止規範に違反していることを考慮して無効となると解される（民法 90 条）。
その一方で、プライバシーポリシーや利用規約における、「……の場合は、利用の停止・第三者提供の停止に対応いたします。
」「共同利用者の範囲は、……に限定されます」、C to C 取引の PF 運営の規約にみられる「お客様は、……他のお客様の情報を第三者に提供してはなりません」などの条項等については、条項準備者の側が、契約的拘束力をもたせたい意図で、プライバ
シーポリシーや利用規約中に記載している場合のみならず、相手方にとって契約条項と捉えられ得る表現や位置づけにある場合には、契約内容化し得ると解釈できるのではなかろうか。文書・表示の意義や明確さを促進するという観点から、一方的に作成される文書・表示を契約の文書・表示と捉え得るかについては、ドイツの議論と同様、相手方基準を採用すべきではないかということである。また、相手方基準を採用できないとしても、契約成立の一般論からすれば、表示の客観的解釈が基準となり、契約成立と解釈される場
合、異なる内心の意思は錯誤レベルで考慮されるはずである。したがって、
プライバシーポリシーが、利用規約とは明確に分離され、その表現上も情報提供的な確認的記述を徹底している場合には、契約条項という認定は難しくなるが、その一方で、個人情報の取扱いに関する条項が利用規約中に埋め込まれていたり、あるいはその文言表現的に、契約条項と捉え得る場合には、そのような条項は契約内容となるという主張も理論的に可能と考えられる。
以上の検討からは、個人情報の取扱いに関する条項が契約条項か否かは一律的な判断とはならない。さらに言えば、事業者は、契約的拘束を望まない
場合には、プライバシーポリシーの記載は必要な事項の確認的記述にとどめ、消費者の同意をとる場合も、私法的には不法行為の違法性・責任阻却の意義
47(90)

法学研究 96 巻 8 号（2023：8）

をもつにすぎないことを明らかにしつつ、契約的な拘束力をもたせたい条項
については別に利用規約中に記載をし、契約条項の一つであることを明らかにするといった対応もできる。そして、プライバシーポリシーや個人情報の取扱いに関する条項について、契約内容化を認めるアプローチについては、
そもそもプライバシーポリシーの記載内容について、その適切さが確保できなければ、アメリカのような、契約遵守を求める意義はない。それでは、契約条項と認定できる場合に、民法や消費者契約法の内容規制を及ぼすというアプローチに積極的意義を見出すことはできるのであろうか。
（3）契約の内容規制・不当条項規制構成の意義と限界
個人情報の取扱いに関する条項が契約条項であると認定できる場合に、契約の内容規制に係る規定が適用されるかがここでの問題である。
まず、消費者契約法 10 条は任意法からの逸脱を要件としており、みなし同意条項のようなものは規制できるものの、「個人情報等の利用態様や提供の範囲」そのものは、任意法が存在するような事項ではないことを指摘できる。
ドイツの学説の議論にみられたように、個人情報の提供に対価性を肯定できると考える場合には

42）、個人情報の取得と範囲に関わる条項について給付記述的な契約条項の性格があると評価したうえで、不透明な場合に、特約不成立（最判平成 17・12・16 判時 1921 号 61 頁）や民法 548 条の 2 第 2 項によるみなし不合意と判断する可能性

43）、あるいは給付の不均衡の法理から民法 90 条による無効を論じることは理論的にはあり得るが、対価性を承認できるのかという問題を詰める必要性があるほか、一方では、プライバシーポ
42） 個人情報提供の対価性の問題については、別稿を予定しているが、欧州の動向を踏まえた検討として、馬場圭太「消費者契約における個人データの定位」消費者私法の現代的課題（2022 年）1 頁がある。
43） 条項の不透明性と約款規制については、丸山絵美子「約款取引・消費者契約における意思決定の空洞化と法規範の役割」沖野眞已他編『これからの民法・消費者法Ⅱ
河上正二先生古稀記念』（信山社、2023 年）346 頁以下で論じたところである。
(91)46

プライバシーポリシーに対する契約アプローチの意義と限界

リシーの透明性は、契約内容化し得るかどうかにかかわらず、プライバシー
ポリシー全般について、個人情報保護法の「通知」「公表」「容易に知り得る状態」、「同意に係る判断を行うために必要と考えられる合理的かつ適切な方法」等の意味を明らかすることを通じて確保すべきと考えられ、また、給付の不均衡法理については不均衡を判断する基準の形成に困難がある。そして、民法によって契約不成立や無効となる場面は、適格消費者団体による差止訴訟の対象とならず、個人訴訟には期待できないという問題があることを指摘できる。民法・消費者契約法が、契約規制の側面から、個人情報保護に果たすことのできる役割は、理論的に法適用の可能性があるとしても、実践的・実効的意義は大きいものとはならないと考える。
（4）個人情報保護政策における消費者の観点と民事的手法の可能性
比較法からの示唆としては、消費者団体が、個人情報等の取扱いに関する条項に対する差止訴訟を通じて、個人情報の取扱いの適正化に寄与している状況が注目される。個人情報保護の執行にインセンティブをもつのは、プライバシーセンシティブな消費者や団体であり、そのような団体による個人情報保護の執行補完という観点は重要に思われる。
まず、個人情報保護法上必要な同意取得の態様を厳格化しても、個人の自己決定確保という局面では、約款問題と同様、実効性を欠く帰結となることが予測される。したがって、データ流通における個人情報の取扱いに関する
内容規制（禁止されるべき利用態様を明確化し、また、不適正利用や杜撰管理の懸念のある事業者と個人情報を共有しないようにするなどの配慮義務の設定など）の議論を深めたうえで、個人情報を提供した消費者の直接の契約相手か否かを問わず、不適切な事業者の行動を、情報問題に強い民間団体や適格消費者団体などが差止めをするという民事的手法の導入を議論することが考え得るのではないか。データの利活用を推進すべきであるとしても、情報管理の杜
撰さ等による「消費者のプライバシーの危殆化」や、相手方を問わない共有
等による「取引等における悪用の危険」という負の側面への手当てなしには、社会全体の利益となるとは言い難い。個人情報が商業利益のために利用され45(92)

法学研究 96 巻 8 号（2023：8）

る現況では、「プライバシーの危殆化」という人格権侵害の懸念のほか、「取引等における悪用の危険」という財産権侵害の懸念も払拭される必要がある。
もっとも、個人訴訟の提起には期待できないことから

44）、抽象的危険の大きいプライバシーポリシーや個人情報の取扱い実務に対し、専門的な知識と探知技術を備えた民間団体が適格消費者団体と連携して差止訴訟を提起できるようにするといった制度構築の発想が必要ではなかろうか。個人情報保護法など情報法における禁止規範や配慮義務の設定は、私法における違法性認定の要因ともなり、私人や適格消費者団体が機能する素地を与えることになる。人格権的側面と公共財的側面をあわせもつ個人情報の保護のあり方は、
まずは情報政策の問題として議論されるべきであるが、プライバシー侵害や財産権侵害のリスクに直面するのは消費者であり、諸外国でみられるように、
消費者政策の観点をとり込みながら、データ利活用と個人情報保護の両立という目的に、「民」が役割を果たしていく後押しを、政府や関連当局も検討すべきではなかろうか。

44） 個人による差止め・原状回復（個人情報の利用停止・削除請求）が事案によっては理論的に可能であるとしても、また、たとえば、悪質業者など不適切な第三者に個
人情報の提供が現実に行われた場合に、精神的損害や財産的損害の賠償請求（民法709 条）が理論的には可能であるとしても、個人訴訟にはコスト面でのハードルがある。金銭の損害賠償請求については、「消費者の財産的被害等の集団的回復のための民事の裁判手続の特例に関する法律」により、特定適格消費者団体が共通義務確認訴
訟をすることも考えられるが、精神的損害のみに留まる事案では、令和 5 年 10 月 1日施行の改正によっても、事業者に故意がある場合だけが対象となり（特例法 3 条 2
項 6 号ロ）、僅少損害額であれば、分配コストが高すぎ機能しないことになる。
※

本研究は、JSPS 科研費 22H00801 の助成を受けたものである。

※

脱稿後、松尾博憲他『利用規約・プライバシーポリシーの作成・解釈』（商事法務、
2023 年）に接した。
(93)44