メールフォームでセッションcookieを利用する場合には、cookieも個人情報にあたる可能性があるのでしょうか

Question

２件ほど回答をいただいておりますが、当初の質問が分かりにくかったので、あらためて記載しました。
**

webサイトに掲載するプライバシーポリシーの文言について考える中で、cookieと個人情報について調べていたところ、

・「Cookieが個人情報であるかどうかは極めて微妙です。」
・「個人を特定する情報がWebサイト側へ伝わらないケースでは、Cookieは個人情報にあたらないと一般的には考えられます」
という記事（https://www.oracle.com/jp/corporate/features/pr/cookie-gdpr-before-after/）を読みました。

ということは逆に考えると、メールフォームで氏名やメールアドレス等の個人情報を入力し、確認・送信する際にセッションcookieを利用する場合には、cookieも個人情報にあたる可能性があるということなのでしょうか？

しかし、セッションcookieはすぐに削除するから、個人情報の収集には当てはまらないのでは？とも思うのですが。

いわゆる「Cookie」は使用せずメールフォームでのみ「セッションCookie」を使用しているWEBサイトの場合は、プライバシーポリシーにその旨を記載する必要があるのかと思い、ご質問いたしました。
どなたか詳しい方がいらっしゃればご意見いただければと思います。

※GDPRではなく、日本の個人情報保護法の範囲での対応の場合です。
※直接的にプログラミングに関する質問ではありませんが、関連していると思い質問させていただきました。

Comments

[otn]

「微妙であるという記事」どれでしょうか？

[newmountain]

https://www.oracle.com/jp/corporate/features/pr/cookie-gdpr-before-after/

[newmountain]

こちらの、「１．Cookieは「個人情報」か」という節に書かれていました。

[mather]

参考にしている記事にも書かれていますが、この質問のタイトルの「Cookie（=個人情報）」がそもそも誤りです。

[newmountain]

使い方によっては個人情報になる可能性がある。ということで単純にそのように書いてしまいました。分かりづらく失礼しました。

Answer 1

個人情報になるかは使い方によるのでわかりませんが、法律云々はおいておいて、”クレーム除け”として書いておいた方がいいと思いますよ。

Comments

[newmountain]

ご回答ありがとうございます。
おっしゃる通り、いずれにしても断り書きとして、cookieを利用している旨を記載しておくのが良い策かもしれません。

Answer 2

cookie そのものがどうなのかは、日本の個人情報保護法においてあまり意味を持たないはずです。システムとしてどう取り扱っているかという設計の問題です。

逆説的ですが、個人情報の範疇だったとして刹那的に「ユーザの端末」に保存される内容です。
サーバ側での処理（データの保存/非保存）が正しくなされていれば問題ないかと。

Comments

[newmountain]

ご回答ありがとうございます。
プライバシーポリシーごとに、ここではどんな個人情報を扱うのか（氏名、メールアドレス等）を書き連ねた方が良いのかと思い込んでいたので、cookieも個人情報なら一緒に書かないといけないのかな、、、と思っておりました。

個人情報保護法で定義されている個人情報についての取扱方針を示せば良いので、あえて書かなくて良いということが分かりました。

Answer 3

最初、「Cookieは個人情報か？」という質問かと勘違いしましたが、違うのですね。

匿名のメールフォームであれば、「個人情報は書き込まないでください」と書いておくのでしょうか。それであればそもそも「個人に関する情報」が存在しない。

名前、メールアドレスなど、個人情報を書き込むメールフォームであれば、セッションが個人と対応するので、セッションCookieも個人情報の一部をなすように思います。
但しこの場合は、個人情報受け入れについての文言を書くのでしょうから、ことさらCookieについて記述する必要はないのでは？

コンビニで現金で買い物をした場合、レシートに伝票番号が書いてあり、システムでもその伝票番号で買い物の情報が蓄積されると思いますが、「伝票番号を個人情報として扱わせていただきます」と言われた事はない。
クレジットカードや電子マネーで買い物した場合は伝票番号が個人とひもづくので、個人情報の一部になると思いますが、そのあたりはおそらくカードの利用規約に小さい字で書いてあるのだろうと思います。

Comments

[newmountain]

質問が分かりづらくなってしまい、失礼いたしました。
意図を汲んでくださりありがとうございます。

メールフォームで個人情報を入力し送信する際にセッションcookieを利用した場合には、cookieは個人情報にあたる可能性があるのか？という質問でした。

「個人を特定する情報がWebサイト側へ伝わらないケースでは、Cookieは個人情報にあたらないと一般的には考えられます」と前出のページ（https://www.oracle.com/jp/corporate/features/pr/cookie-gdpr-before-after/）に記載されていたので、

それでは、メールフォームで氏名やメールアドレス等の個人情報を入力し、確認・送信する際にセッションcookieを利用する場合には、cookieは個人情報にあたる可能性があるということなのか？
しかしセッションcookieはすぐに削除するので、cookieと個人情報は容易に照合できなくなり、cookieは個人情報ではないということだろうか？
などなど考えていたら解釈がよく分からなくなり、質問した次第です。

おっしゃる通り、そもそも氏名やメールアドレス等の収集に関して文言を入れるので、それで事足りているのかもしれません。
ご回答ありがとうございます。