安心安全なプライバシー保護体制の構築

PayPayのプライバシー保護の主な取り組み

PayPayは、お客様により良いサービスを提供し、ユーザー体験を向上させるため、データ利活用を推進しています。安全・安心なデータ利活用を進めるため、お客様のプライバシーを守る体制を整えており、パーソナルデータの取得・利用・連携についてWebページでご説明しています。お客様のパーソナルデータが国境を超える場合も安全にやり取りされることを示すCBPR認証も取得しており、お客様自身がプライバシーに関する設定の仕組みもご紹介しています。

PayPayでは、プライバシーリスク管理の方針・体制をチェックするため、NIST（米国立標準技術研究所）プライバシーフレームワーク（以降、NIST PF）に対する準拠状況について、専門的な第三者の助言を受けながら自主点検を実施しています。
当該ホワイトペーパーは、その自主点検結果とPayPayの先進的な取り組みについてご紹介します。

自主点検の結果

前述のとおり、自主点検はNIST PFをもとに実施しています。NIST PFとは、プライバシーリスク対策の効果を数値で評価し、管理するための概念を示すフレームワークです。
NIST PFのカテゴリの概要と自主点検結果は次の通りです。

NIST PFカテゴリ	カテゴリの説明	準拠状況	PayPayの先進的な取り組み
特定（IDENTIFY-P）	プライバシーリスクを管理するための組織的な理解を深めます	◎	サービス等のプライバシーへの配慮状況を確認しています（PIAの実施） PIAに係るワークショップを開催し、プライバシー保護の意識を高めています
統治（GOVERN-P）	プライバシーリスク管理のためのガバナンスを構築します	◎	越境移転に関するルールを策定・公開し、越境移転時のデータ・プライバシーの保護に配慮しています
制御（CONTROL-P）	プライバシーリスクを十分管理するための活動を展開し実行します	〇	お客様個人が特定されてしまわないよう、統計情報に関する利用を制限しています
通知（COMMUNICATE-P）	データの取り扱いとプライバシーリスクとの関連性について、ユーザーや社内に通知・対話します	◎	ユーザー配慮ガイドラインを策定し、お客様の信頼を維持する努力をしています「ユーザープライバシーについて」のページにて、パーソナルデータの考え方や利用事例を分かりやすくまとめています
防御（PROTECT-P）	適切なデータの取扱いのための保護手段を開発し、実装します	◎	お客様のデータの安全な取り扱いを可能にする、ゼロトラストの原則に基づいて環境を構築しています

【準拠状況の凡例】
◎：変化するリスクに対して柔軟に対応できる全社的な取り組みがある
〇：全社的な取り組みがある
△：部分的な取り組みがある
×：取り組みがない

PayPayの先進的な取り組み

カテゴリ毎のPayPayの先進的な取り組みについてご紹介します。

i.PIAの実施や関連するワークショップの開催
PayPayは、新しいサービスがリリースされる前にPIA（プライバシー影響評価）を実施しています。PIA実施部門とデータ利活用実施部門においては、配慮が必要なデータカテゴリの扱い、海外の先進的な規制情報、信用スコアリングモデルのリスクの考え方、アンコンシャスバイアスに関するワークショップを開催しています。これらの取り組みによって、データ利活用実施社員のプライバシーに対する意識を高く保ち、PayPayのシステム、サービス及び機能が、お客様のプライバシーに配慮していることを事前に確認できる体制を整えています。

ii.越境移転に関するルールの策定と情報開示
CBPR認証を取得していていることに加えて、お客様のデータとプライバシーの保護を配慮した越境移転に関する社内向けガイドラインやマニュアルを策定するとともに、外国の第三者への提供・業務委託、外国の第三者による相当措置（※）の実施に関する情報をお客様に向けにご説明しています。

外国の第三者が適切に個人情報を取り扱うために実施すべき措置で、個人情報を取り扱う国内の事業者が日本の個人情報保護法で求められる措置と同等のもの（利用目的の特定、適切な安全管理措置の実施、従業者の監督、漏えい等発生時の報告等）

iii.統計情報の利用制限
PayPayではマーケティング等を目的として、お客様からご提供いただいたデータに基づく統計情報を利用しています。この際に、各種データを組み合わせて絞り込むことで、お客様個人が特定されてしまうような可能性があるデータの利用を禁止しています。

iv.ユーザー配慮ガイドラインに基づく取り組みや「ユーザープライバシーについて」のページの設置
PayPay社内向けに「ユーザー配慮ガイドライン」を策定しており、お客様の信頼を維持するための努力を行うことを社員に周知・徹底しています。
お客様に向けては、「ユーザープライバシーについて」のページを設置し、お客様のパーソナルデータに対する私たちの基本的な考え方や具体的な利用事例を分かりやすくまとめています。

v.ゼロトラストでの環境構築
PayPayでは、ゼロトラストの原則に基づいて環境構築しており、ネットワーク環境のセキュリティを検証することで、お客様のデータの安全な取り扱いを可能にしています。
PayPayのセキュリティへの取り組みについては、ユーザーセキュリティについても併せてご確認くさだい。

PayPayのコミットメント

PayPayは、お客様をはじめとした当社に関わる全ての皆さまのプライバシー保護を経営の最重要課題の一つと捉えています。
PayPayでは、お客様ご自身でデータをコントロールできる機能など、プライバシーに配慮したよりよいサービスを提供できるよう努めてまいります。
また、テクノロジーの進歩等の環境変化や今後のデータ利活用のさらなる推進に応じ、PIAを高度化させ、データ保護のためのセキュリティ対策を講じるとともに、データの取扱いを適宜見直し、ルールを更新・拡充します。