ホームページのプライバシーポリシーとは、そのサイトを運営する事業者が、集めた個人情報を何のために使い、どう管理し、問い合わせや開示の求めにどう応じるかを示す文書です。個人情報保護法で本人に示すことが求められている事項を、サイトの実態に合わせて書くのが基本です。この記事では、法律で求められる項目、問い合わせフォームやアクセス解析・Cookieの書き方、作る手順、置き場所、更新の仕方までを順番に説明します。なお、この記事は一般的な解説で、法的な助言ではありません。業種や取り扱う情報によって必要な記載は変わるため、判断に迷う点は弁護士などの専門家にご相談ください。

プライバシーポリシーとは何か

プライバシーポリシーは、個人情報保護法の「利用目的の公表」や「保有個人データに関する事項を本人の知り得る状態に置く」といった決まりを、ホームページ上でまとめて満たすための文書として使われています。法律に「プライバシーポリシー」という名前の書類が定められているわけではありませんが、必要な事項をひとつのページにまとめておくのが一般的な形です。

個人情報保護方針との違い

「個人情報保護方針」は、会社として個人情報をどう大切に扱うかという姿勢を示す宣言です。「プライバシーポリシー」は、それに加えて利用目的や窓口などの具体的な取り扱いを書いたものを指すことが多く、ホームページではひとつのページに両方をまとめて載せる形がよく見られます。名前よりも、法律で求められる事項がそろっているかが大切です。

個人情報保護法で示す事項

個人情報保護委員会のガイドラインでは、保有個人データについて、次の事項を本人の知り得る状態に置くこととしています。本人の求めに応じて遅滞なく回答する方法でもよいとされていますが、ホームページに掲載しておくのが分かりやすい方法です。

第三者への提供や外国にある第三者への提供については、別の条文（法27条・28条）で本人の同意などのルールが定められています。条文の詳しい内容は、個人情報保護委員会の「個人情報の保護に関する法律についてのガイドライン（通則編）」でご確認ください。

事業者の名称・住所・代表者

最初に、誰がこの個人情報を扱うのかを示します。法人の場合は代表者の氏名も書きます。会社概要ページと表記をそろえ、移転や代表者の交代があったときは忘れずに直します。

利用目的はできる限り具体的に

利用目的は、できる限り具体的に特定することが求められています。ガイドラインでも「事業活動に用いるため」のような書き方では特定したことにならないとされています。「お問い合わせへの回答のため」「ご依頼いただいた見積書・請求書の送付のため」「当社サービスに関するご案内をお送りするため」のように、何に使うのかが読み手に伝わる書き方にします。

第三者提供と委託の扱い

個人データを第三者に渡すときは、法令に基づく場合などの例外を除き、あらかじめ本人の同意が必要です。一方、配送業者や決済代行会社、メール配信サービスなどに業務を任せる「委託」は、第三者への提供には当たらないとされています。プライバシーポリシーには、原則として同意なく第三者に提供しないこと、業務を委託する場合があること、その際は委託先を適切に監督することを書いておくのが一般的です。

開示等の手続と苦情の窓口

本人から、保有個人データの開示や訂正、利用の停止などを求められたときの受付方法を書きます。受付の窓口、本人確認の方法、手数料を取る場合はその額を示します。あわせて、取り扱いに関する苦情を受け付ける窓口を、担当部署の名前、住所、電話番号やメールアドレスとともに書きます。

安全管理措置の書き方

安全管理のために何をしているかも示します。ガイドラインでは、基本方針の策定、取扱規程の整備、責任者の設置などの組織的な措置、従業者の研修などの人的な措置、入退室管理などの物理的な措置、アクセス制御などの技術的な措置が例として挙げられています。ただし、公表すると安全管理に支障が出るような細かな内容（認証の方式など）まで書く必要はありません。反対に、「ガイドラインに沿って措置を講じています」とだけ書くのは適切でないとされています。

ホームページ特有の書き方

ホームページでは、問い合わせフォーム、アクセス解析、Cookieや広告のタグなど、サイトの仕組みに合わせた記載が必要です。実際に使っているものだけを書くのが原則です。

問い合わせフォームで取得する情報

フォームで受け取る項目（氏名、会社名、メールアドレス、電話番号、問い合わせ内容など）と、その利用目的を書きます。フォームの送信内容がメールで届くだけでなく、WordPressのデータベースや外部のフォームサービスに保存される場合は、その旨も把握しておきます。サイト制作の観点では、フォームを作り直したときに項目が増えたのに、プライバシーポリシーが古いままになっている例をよく見かけます。

アクセス解析ツールを使っている場合

Google アナリティクスなどのアクセス解析を使っている場合は、ツールの名前、Cookieなどを使って閲覧の情報を集めていること、データは個人を特定しない形で集計していること、ブラウザの設定などで収集を止められることを書きます。Google アナリティクスの利用規約でも、利用していることの開示が求められています。規約の内容は Google の公式ページでご確認ください。

Cookie・広告・SNSのタグ

広告の計測タグ、リターゲティング広告、SNSの埋め込みや共有ボタン、動画の埋め込みなども、閲覧者の端末から外部へ情報が送られる仕組みです。電気通信事業法の「外部送信規律」は、会社の案内や商品紹介のサイトなど、多くの企業サイトは対象外とされていますが、送信先と目的を書いておくと閲覧者に分かりやすくなります。Cookieの利用が多いサイトでは、プライバシーポリシーとは別に「Cookieポリシー」のページを設ける方法もあります。

プライバシーポリシーを作る手順

プライバシーポリシーは、ひな形を探す前に、自社が何の情報をどこで集めているかを洗い出すところから始めます。順番に進めると、書き漏れを防げます。

ステップ1｜集めている個人情報を洗い出す

問い合わせフォーム、資料請求、採用応募、メールマガジン、ネットショップ、予約、セミナーの申込みなど、個人情報が入ってくる入り口をすべて書き出します。ホームページの外（電話・名刺・紙の申込書）で集める情報も、同じ方針で扱うなら含めて書きます。

ステップ2｜使っているツールと委託先を確認する

アクセス解析、広告タグ、フォームサービス、メール配信サービス、予約システム、決済サービスなど、情報が流れる先を一覧にします。サイトの管理画面やタグの管理ツールを見ながら、使っていないタグが残っていないかもあわせて確認します。

ステップ3｜項目ごとに文章にする

前の章の表の項目に沿って、事業者の情報、利用目的、第三者提供、開示等の手続、安全管理措置、苦情の窓口、アクセス解析・Cookieの順に書きます。ひな形を使う場合も、自社に当てはまらない文を残さないようにします。

ステップ4｜社内で確認して公開する

書き上げたら、実際に個人情報を扱う担当者に読んでもらい、実態と違う点がないかを確かめます。取り扱う情報が多い業種や、海外の利用者がいるサイトでは、公開前に専門家に確認してもらうと安心です。最後に制定日を入れて公開します。

プライバシーポリシーの置き場所

プライバシーポリシーは、どのページからでもたどり着ける場所に置きます。閲覧者が探さなくても見つけられることが大切です。

フッターに常にリンクを置く

全ページ共通のフッターに「プライバシーポリシー」のリンクを置くのが基本です。WordPressでは「設定」→「プライバシー」でプライバシーポリシーのページを指定でき、テーマによってはフッターやログイン画面に自動でリンクが表示されます。

フォームの送信ボタンの近くにも置く

問い合わせフォームや申込みフォームでは、送信ボタンの近くにプライバシーポリシーへのリンクと「内容に同意のうえ送信してください」といった一文を置きます。同意のチェック欄を設ける場合は、はじめからチェックが入った状態にしないようにします。

更新の仕方と見直すタイミング

プライバシーポリシーは、一度作ったら終わりではありません。サイトや業務の変化に合わせて見直し、改定日を示して更新します。

見直すタイミング

次のようなときは見直しの合図です。

• 問い合わせフォームの項目を増やした、新しいフォームを作った
• アクセス解析や広告のタグ、外部サービスを追加・変更した
• 会社の名称・住所・代表者・窓口が変わった
• 新しいサービスを始め、利用目的が増えた
• 法律やガイドラインが改正された

改定日と変更の伝え方

ページの末尾に「制定日」と「最終改定日」を書きます。利用目的を変える場合は、変更前の目的と関連があると合理的に認められる範囲に限られ、変更後の目的を本人に通知するか公表することが求められています。大きく変えたときは、お知らせ欄で改定したことを知らせると親切です。

よくある失敗とトラブル対処

プライバシーポリシーの失敗の多くは、実態と書いてあることがずれていることから起きます。公開後にも定期的に読み返して確認します。

ひな形の文言がそのまま残っている

別の会社の名前や、自社では扱っていないサービス（会員登録、ポイントなど）の記載が残っている例があります。読み手の信頼を損なうため、ひな形を使ったときは一文ずつ自社に当てはまるかを確認します。

利用目的があいまいなまま

「当社の事業に利用します」のような書き方では、利用目的を特定したことになりません。実際に使っている場面を具体的に書き直します。

使っているツールが書かれていない

アクセス解析や広告タグを後から入れたのに、プライバシーポリシーに書き足していない例です。タグを追加する手順の中に「プライバシーポリシーの確認」を入れておくと、書き漏れを防げます。

よくある質問

Q. 個人のホームページにもプライバシーポリシーは必要ですか？

A. 個人事業主でも、事業のために個人情報を扱っていれば個人情報保護法の対象になります。問い合わせフォームを置いているなら、利用目的などを示すプライバシーポリシーを用意しておくのが基本です。

Q. ひな形をそのまま使ってもよいですか？

A. そのままの利用はおすすめしません。ひな形は書き方の参考にし、自社が集めている情報、使っているツール、窓口の情報に合わせて書き直します。

Q. プライバシーポリシーと利用規約は同じページでよいですか？

A. 役割が違うため、別のページに分けるのが一般的です。利用規約はサービスを使うときの約束ごと、プライバシーポリシーは個人情報の取り扱いを示すものです。

Q. 英語版も用意する必要がありますか？

A. 日本の利用者向けのサイトであれば日本語で足ります。海外の利用者に向けてサービスを提供している場合は、その国の法律が関わることがあるため、専門家に相談したうえで用意を検討します。

Q. 改定したときに利用者全員に知らせる必要がありますか？

A. 利用目的を変更した場合は、変更後の目的を本人に通知するか公表することが求められています。ホームページでの公表に加え、お知らせ欄で改定を知らせる方法がよく使われます。

THREE D PLUS は大阪の Web 制作会社です。ホームページ制作から公開後の運用・改善までまとめてご相談いただけます。お問い合わせはこちら。