どのような事業を行っていますか？

当社では、対面占い館「雨照（アメテラス）」を運営しています。

雨照は、相談者様と占い師をつなぎ、占いを通じて今後の人生や行動を前向きに考えていただくためのサービスです。対面店舗に加えて、今後は電話占いなどのオンラインサービスも展開していく予定です。

占いでは、恋愛、結婚、仕事、人間関係、家族、将来など、非常に個人的でデリケートなお悩みを伺います。また、サービスの中心となる占い師の登録・契約などに伴う情報も取り扱います。

相談者様と占い師の双方に安心してサービスを利用してもらうため、個人情報を適切に管理することは、事業運営の前提だと考えています。

プライバシーマークを取得したきっかけを教えてください。

占い領域への参入を決めた時点で、サービス立ち上げの早い段階にプライバシーマークを取得しなければならないと考えていました。

占い業界は、非常に重要な個人情報を取り扱う業界です。当社では、大手企業や上場企業を中心にプライバシーマークの取得が進んでいるという認識を持つ一方で、業界全体を見ると、取得していない事業者も少なくないと感じていました。特に、当社が取得を検討していた当時に調べた範囲では、対面占い館を運営する企業による取得例は限られていました。

対面店舗では、人による接客や鑑定、手書きのメモ、電話受付、Web予約、店舗管理システムなど、オンラインサービスとは異なる複雑な情報の流れが発生します。そのすべてを適切に管理するためには、サービス完成後にルールを追加するのではなく、最初から個人情報保護を前提としてシステムやオペレーションを設計する必要があります。

そのため、経営陣だけでなく、社員、店舗スタッフ、占い師、エンジニアなど、GOGONや雨照のサービスに関わるすべての人が、共通して高い意識を持つための土台として、プライバシーマークの取得を決意しました。

取得にあたって、最も大切にしていたことは何ですか？

お客様から見たときに、プライバシーマークが安心材料になることはもちろん重要です。ただ、当社が最も大切だと考えているのは、マークそのものよりも、取得に至るまでのプロセスです。

自社がどのような個人情報を、どの場面で、何のために取得しているのか。誰が閲覧できるのか。どこに保存され、いつ削除されるのか。万が一の事象が起きたときに、誰がどのように対応するのか。

取得プロセスを通じて、こうした点を一つずつ洗い出し、経営、システム、店舗運営、教育のすべてに反映できたことに大きな価値がありました。

プライバシーマークを「取得するための制度」としてではなく、個人情報を大切にする組織をつくるための学習と改善の機会として捉えていました。

取得までに苦労したことはありましたか？

申請や制度設計には細かな確認事項が多く、相応の工数はかかりました。ただ、それを「余計な負担」や「苦労」と感じることはありませんでした。個人情報を扱う事業者として、本来すべきことをしているという認識を、代表を含む社内の全員が持っていたためです。

強いて挙げるとすれば、個別のルールを覚えてもらうだけではなく、「なぜ個人情報の取り扱いが重要なのか」「なぜ占い業界で自分たちが高い基準を示す必要があるのか」という根本から理解してもらうため、初期教育を徹底したことです。

ルールだけを伝えると、想定外の事象が発生した際に判断できません。背景や目的まで理解していれば、新しい機能をつくるときや、新しい業務が生まれたときにも、それぞれが適切な判断を行えます。

この「ルールの本質を理解してもらうこと」が、取得プロセスにおいて最も力を入れた部分です。

実際の運用では、どのような工夫をされていますか？

Web登録時には個人情報の取り扱いについて同意をいただき、管理システムでは、担当者の役割に応じて閲覧権限を分けています。誰もがすべての情報を見られる状態にはせず、必要な担当者だけが、業務上必要な範囲で閲覧できる設計です。

システム上の閲覧・操作ログも記録し、一定期間サービスの利用がない場合には、定めたルールに基づいてデータを削除する仕組みを整えています。

店舗においても、占い師が鑑定中に作成した手書きのメモは、鑑定後に定められた方法で適切に処分します。紙、システム、社内コミュニケーションなど、情報が存在する場所ごとに管理方法を定めています。

ただし、私たちが重視しているのは、決められた作業を形式的に実施することだけではありません。なぜ同意が必要なのか、なぜ閲覧権限を分けるのか、なぜログを残すのかを、メンバー全員が理解することを大切にしています。

お客様から質問を受けたときにも、単に「会社の決まりです」と回答するのではなく、その目的や考え方まで説明できる状態を目指しています。

社内の意識が表れた具体的な例はありますか？

たとえば、システムの不具合対応などで個人情報を含む情報を一時的に取り扱う必要が生じた場合にも、アクセス権限を限定した環境で共有し、対応が完了した後には、不要になった情報を削除する運用を行っています。

こうした対応についても、不要になった個人情報を残さないという判断が、特別な指示を出さなくても現場で行われるようになりました。

こうした部分は、制度上のルールとして定めるだけでは十分ではない領域かもしれません。しかし、事故やインシデントの可能性を下げるためには、表から見えるルール以上に、日々の細かな判断が重要だと考えています。

現在では、何かが起きてから対処するだけでなく、そもそも個人情報を不要に取得しない、必要以上に表示しない、不要になった情報を残さないという前提で、機能開発やオペレーション構築を行えるようになっています。

現地審査はいかがでしたか？

現地審査は、自社の体制を客観的に見直すことのできる非常に貴重な機会でした。

審査員の方々には、当社の事業形態や、対面店舗とWeb予約システムを組み合わせた運営体制について詳しく説明しました。その過程で、自社の運用や制度について改めて確認・整理する機会となり、こちらからも多くの質問をさせていただきました。

審査は、プライバシーマークの要求事項に照らして自社の個人情報保護体制を確認する機会であると同時に、自社の運用を改めて見直すきっかけにもなったと感じています。審査を通じて制度への理解がより具体的になり、私自身の理解や意識もさらに高まりました。

このような機会をいただけたことに、心から感謝しています。

VLCセキュリティの支援はいかがでしたか？

制度設計から申請、審査に向けた質疑対応まで、非常に幅広く支援していただきました。

当初から、プライバシーマークを取得することや、そのプロセスが重要であるという認識は持っていました。しかし、具体的に何を、どの順番で、どの水準まで整備すればよいのかという部分は、漠然としていました。

VLCセキュリティさんには、当社の事業形態や実際の運用を理解したうえで、その考えを実際の規程、教育、システム、店舗オペレーションへ落とし込むために、必要な事項を一つずつ整理していただきました。

単に申請に必要な書類や手続きを整えるだけではなく、取得後も継続して運用できる制度となるよう一緒に考えていただけたことが、非常に大きかったです。自分たちだけでは判断に迷う部分についても、制度の趣旨や当社の実態を踏まえながら整理していただいたことで、納得感を持って体制を構築することができました。

VLCセキュリティさんの支援がなければ、現在の社内体制や、私自身を含めたメンバーの意識水準は実現できなかったと思っています。本当に感謝しています。

取得後、社内にはどのような変化がありましたか？

一つの機能を開発するとき、一つの商談をするとき、お客様から質問を受けたときなど、あらゆる行動において個人情報保護の観点を持てるようになりました。

誰か一人の管理担当者だけが意識するのではなく、それぞれのメンバーが自分の業務の中で「この情報は本当に必要か」「この共有方法で問題ないか」「いつまで保存するべきか」を考えられるようになったことが、最も大きな変化です。

取得した時点で完成したとは考えていませんが、組織全体の判断基準が一段上がったことは、非常に良い変化だと感じています。

今後のプライバシーマークの維持・更新について、どのように考えていますか？

プライバシーマークは、取得後の維持と更新こそ重要だと考えています。

今後、新しい占いサービスや事業が生まれれば、新しい形の個人情報を取り扱う可能性があります。その都度、従来のルールをそのまま当てはめるのではなく、そのサービスに合わせて、どのように個人情報をより強固に守るかを考えていかなければなりません。

また、新しいメンバーが加わった際の教育も重要です。教える側にとっても、制度の背景や本質を改めて理解する機会になります。

プライバシーマークを保持し続けることを通じて、経営陣、社員、スタッフ、占い師、エンジニアを含むすべての関係者が、高い意識を持ち続けられる組織をつくっていきたいと考えています。

ありがとうございました。