プライバシーポリシーとは、Webサイト運営者が個人情報やCookieなどをどのように取得・利用・管理するかを利用者へ示すための方針です。
お問い合わせフォーム、資料請求、会員登録、メールマガジン、アクセス解析などを利用するサイトでは、何の情報を集め、何の目的で使うのかを整理しておくことが重要です。
ただし、他社サイトの文章をそのままコピーしても、自社サイトで実際に行っているデータ処理と一致しなければ意味がありません。 プライバシーポリシーは「置いておけばよい固定ページ」ではなく、実際の運用内容を説明するページとして作ります。
30秒でわかる結論
30秒でわかる結論
- お問い合わせ・会員登録などで個人情報を扱うサイトは、利用目的を明確にする
- 利用目的は「サービス向上のため」だけでなく、本人が使い道を予測できる程度まで具体化する
- 第三者提供、委託、安全管理、開示等の手続、問い合わせ窓口も必要に応じて記載する
- Cookieやアクセス解析を使う場合は、取得する情報・目的・外部サービスの利用状況も確認する
- WordPressの自動生成テンプレートは出発点であり、そのまま公開すれば法令対応完了という意味ではない
- 会社サイトではフッターなどから常時確認できる位置に置くと分かりやすい
- 海外利用者を対象にする場合は、日本法だけでなくGDPRなど別法令の確認も必要になる
プライバシーポリシーとは？
プライバシーポリシーは、サイト運営者が利用者に関する情報をどのように扱うかを説明する文書です。
日本の個人情報保護法では、個人情報取扱事業者に対して、個人情報の利用目的をできる限り特定し、原則として本人へ通知または公表することなどが求められています。
プライバシーポリシーで整理する主な内容
- 何の情報を取得するか
- 何のために利用するか
- どのように管理するか
- 第三者へ提供することがあるか
- 外部サービスへ処理を委託するか
- 本人からの開示・訂正・削除等へどう対応するか
- 問い合わせ先はどこか
法律上の義務はサイトの事業内容や取り扱う情報によって異なります。 そのため、この記事では一般的な会社・店舗・WordPressサイトで確認しやすい項目を中心に解説します。
プライバシーポリシーは必ず必要？
すべてのWebサイトに「プライバシーポリシー」という名前の固定ページを必ず設置しなければならない、と単純に決まっているわけではありません。
一方、事業者が個人情報を取得する場合は、利用目的の特定・通知または公表など、個人情報保護法上の対応が必要になります。 その情報を利用者がいつでも確認しやすい形にまとめる方法として、プライバシーポリシーの固定ページは非常に実用的です。
教科書の考え方
お問い合わせフォーム、資料請求、予約、会員登録、購入、採用応募などで個人情報を取得する会社・店舗サイトでは、プライバシーポリシーを用意するのが基本と考えてください。
どんなサイトで必要性が高い？
会社サイト
必要性：高
問い合わせ、資料請求、採用応募などで氏名・メールアドレス等を取得することが多いためです。
店舗サイト
必要性：高
予約フォーム、問い合わせ、会員登録などを利用する場合は個人情報の取扱いを明確にします。
ECサイト
必要性：非常に高
氏名、住所、電話番号、購入履歴など、多くの個人情報を扱います。
個人ブログ
構成による
問い合わせフォーム、アクセス解析、広告、コメントなどを使う場合は取扱情報を確認します。
プライバシーポリシーに必要な主な項目
| 項目 | 内容 |
|---|---|
| 事業者情報 | 誰が情報を取り扱うか |
| 取得する情報 | 氏名・メール等 |
| 利用目的 | 何のために利用するか |
| 第三者提供 | 第三者へ渡す場合の考え方 |
| 委託 | 外部事業者へ処理を任せる場合 |
| 安全管理 | 個人データを守る措置 |
| 開示等 | 本人からの請求への対応 |
| Cookie等 | アクセス解析・広告等 |
| 問い合わせ窓口 | 相談・請求先 |
| 改定 | ポリシー更新の扱い |
項目1．事業者の名称・運営者情報
まず、誰が個人情報を取り扱っているのか分かるようにします。
記載候補
- 法人名・屋号
- 代表者名が必要な場合の表示
- 所在地
- 問い合わせ窓口
個人情報保護法では、保有個人データに関して事業者の名称等を本人の知り得る状態に置く必要があります。 サイトの会社概要と重複する内容は、会社概要ページへリンクして整理する方法もあります。
項目2．取得する個人情報
サイトで実際に取得している情報を整理します。
会社サイトの例
- 氏名
- 会社名
- 部署名
- 電話番号
- メールアドレス
- 問い合わせ本文
EC・会員サイトなら追加されやすい情報
- 住所
- 配送先
- 購入履歴
- 会員ID
- ログイン履歴
- サービス利用履歴
「個人情報を取得することがあります」という抽象的な文だけで終わらせず、利用者が想定できる範囲で整理すると分かりやすくなります。
項目3．個人情報の利用目的
利用目的は、プライバシーポリシーの中でも特に重要な項目です。
個人情報保護委員会は、利用目的について、本人が「どのような事業で、どのような目的に使われるのか」を一般的かつ合理的に予測できる程度まで特定する必要があると説明しています。
「サービス向上のため」だけでは曖昧
何に利用するか本人が予測しにくい表現だけではなく、問い合わせ回答、契約手続、サービス提供、本人確認など、具体的に書き分けます。
利用目的の例
- お問い合わせへの回答のため
- 資料請求への対応・資料送付のため
- 商品・サービスの提供および契約管理のため
- 本人確認のため
- 重要なお知らせを連絡するため
- 利用状況を分析し、サービス改善へ利用するため
問い合わせフォームでは利用目的を近くに表示する
本人からフォームなどの書面・電磁的記録を通じて直接個人情報を取得する場面では、利用目的の明示が必要になるケースがあります。
そのため、問い合わせフォームではプライバシーポリシーをサイトの奥に置くだけでなく、送信ボタン付近から確認できるようにすると分かりやすくなります。
導線例
入力フォーム
↓
「プライバシーポリシーをご確認ください」
↓
送信
フォームで同意チェックボックスが法的に必須かどうかは、取得内容・処理内容・適用法令によって変わります。「チェック欄を付ければすべて適法になる」とは考えないでください。
項目4．個人データの第三者提供
個人情報保護法では、個人データを第三者へ提供する場合、法令上の例外を除き、原則としてあらかじめ本人の同意を得る必要があります。
ポリシーで整理する内容
- 第三者提供を行うことがあるか
- 行う場合の条件
- 法令に基づく例外
「当社は一切第三者提供しません」と書く場合は、本当に実態と一致するか確認してください。 外部サービス利用がすべて法律上の「第三者提供」に当たるとは限りませんが、データの流れ自体を把握しておく必要があります。
第三者提供と委託は同じ？
同じではありません。
たとえば、メール配信、クラウド保存、問い合わせ管理、配送などを外部事業者へ任せる場合、個人データの取扱いを「委託」する構成になることがあります。
| 項目 | 考え方 |
|---|---|
| 第三者提供 | 第三者が自ら利用する形で提供する場合など |
| 委託 | 自社業務の一部として処理を任せる場合など |
実際の契約・データ利用目的で判断する
「外部サービスを使っている＝全部第三者提供」「委託と書けば全部委託」と決めつけることはできません。サービス規約や契約内容を確認してください。
項目5．安全管理措置
個人データを扱う事業者には、漏えい、滅失、毀損などを防ぐために必要かつ適切な安全管理措置を講じることが求められます。
個人情報保護委員会のQ&Aでは、保有個人データの安全管理措置について、ホームページに概要と問い合わせ窓口を掲載し、具体的な内容は本人からの問い合わせに応じて回答する方法も示されています。
安全管理の例
- 取扱ルールの整備
- 従業者への教育
- アクセス権限の管理
- パスワード・多要素認証
- 通信の暗号化
- バックアップ
- 委託先の管理
セキュリティ詳細を書きすぎない
防御方法を細かく公開しすぎる必要はありません。利用者へ必要な概要を示しつつ、攻撃に利用されるような内部構成までは公開しないようにします。
項目6．開示・訂正・利用停止等の手続
保有個人データについては、本人から利用目的の通知、開示、訂正、利用停止等を求められた場合の対応が必要になります。
プライバシーポリシーでは、どこへ申し出ればよいのか、本人確認をどう行うかなどを案内しておくと分かりやすくなります。
記載する内容の例
- 受付窓口
- 申請方法
- 本人確認方法
- 手数料を設定する場合の扱い
- 回答方法
項目7．Cookieについて
Cookieは、Webサイトがブラウザへ保存する小さな識別情報などを利用する仕組みです。 ログイン維持、カート、アクセス解析、広告などに使われます。
個人情報保護委員会は、Cookie等の端末識別子について、それ自体が個人情報に該当しない場合でも、通常は「個人関連情報」に該当すると説明しています。 また、他の情報と容易に照合して特定個人を識別できる場合は、全体として個人情報に該当することがあります。
Cookie項目で確認すること
- Cookieを使用するか
- 何の目的で使うか
- アクセス解析を使うか
- 広告配信を使うか
- 第三者サービスへ情報が送られるか
- ブラウザでCookieを拒否できるか
Google Analyticsを使う場合は？
Google Analyticsなどのアクセス解析サービスを使う場合は、どのサービスを利用し、何の目的でアクセスデータを分析しているか確認します。
記載候補
- アクセス解析サービス名
- 利用目的
- Cookie等を利用すること
- サービス提供者側の規約・プライバシー情報への案内
- 必要に応じたオプトアウト方法
Google Analyticsだけでなく、ヒートマップ、広告タグ、チャット、SNS埋め込みなどもデータを送信する場合があります。 利用中サービスを一覧化して確認してください。
項目8．個人関連情報を外部へ提供する場合
Cookie ID、閲覧履歴、位置情報などは、条件によって「個人関連情報」に該当します。
個人情報保護法では、個人関連情報を第三者へ提供し、その提供先が個人データとして取得することが想定される一定の場合に、本人同意が得られていること等の確認義務が生じます。
広告・DMP・外部計測は契約内容まで確認
Webサイト側だけでは判断しにくい場合があります。外部サービスの仕様・利用規約・データ連携方法を確認し、必要に応じて専門家へ相談してください。
項目9．問い合わせ窓口
プライバシーポリシーには、個人情報に関する問い合わせ先を分かるようにしておきます。
窓口例
- 専用問い合わせフォーム
- 問い合わせページ
- 担当部署
- 郵送先
迷惑メール対策などの理由でメールアドレスを直接公開しない場合は、問い合わせフォームを窓口にする方法もあります。
項目10．プライバシーポリシーの改定
サイト機能、利用サービス、法令などは変わるため、プライバシーポリシーも更新が必要です。
見直すタイミング
- 問い合わせフォーム項目を増やした
- 会員機能を追加した
- 新しいアクセス解析を導入した
- 広告配信を開始した
- 外部クラウドサービスを変更した
- 法令・ガイドラインが改正された
「制定日」「最終改定日」を掲載すると、いつの内容か利用者にも管理者にも分かりやすくなります。
WordPressにはプライバシーポリシー作成機能がある
WordPressには、「設定 → プライバシー」からプライバシーポリシーページを作成・指定する機能があります。
WordPress公式によると、新規ページを作成すると、プライバシーポリシー作成の参考になる見出しや説明が提示されます。
ただしテンプレートは完成品ではない
WordPress公式も、提示される文章は作成を支援するものであり、サイト管理者自身が実際のデータ収集・共有内容や適用法令に合わせて正確に編集・維持する責任があると説明しています。
WordPressのテンプレートをそのまま使ってよい？
おすすめしません。
WordPressの標準案内は、コメント、メディア、Cookie、埋め込みコンテンツなど一般的な機能を確認するための出発点です。
しかし、実際のサイトではテーマ・プラグイン・外部サービスによって収集する情報が異なります。
追加確認が必要な例
- Contact Form系プラグイン
- ECプラグイン
- 会員プラグイン
- Google Analytics
- 広告タグ
- SNS埋め込み
- メール配信サービス
- 外部予約システム
プライバシーポリシーはどこに置く？
利用者がいつでも確認できるよう、全ページからたどれる位置に置くのが分かりやすいです。
おすすめの設置場所
- フッター
- 問い合わせフォーム付近
- 会員登録フォーム付近
- 購入・予約フォーム付近
WordPress公式でも、プライバシーポリシーページをサイト上から確認できるようリンクすることを案内しています。
利用規約とは何が違う？
| ページ | 主な目的 |
|---|---|
| プライバシーポリシー | 個人情報・データの取扱いを示す |
| 利用規約 | サービス利用上のルールを示す |
たとえば禁止事項、料金、免責、アカウント停止条件などは利用規約の内容です。 個人情報の取得目的・管理・第三者提供などはプライバシーポリシーで整理します。
利用規約の必要性と掲載内容は、別記事「利用規約はホームページに必要？掲載する内容を解説」で扱います。
特定商取引法に基づく表記とは別物
ECや有料サービスでは、「特定商取引法に基づく表記」が必要になる場合があります。 これはプライバシーポリシーとは目的が異なります。
| ページ | 主な内容 |
|---|---|
| プライバシーポリシー | 個人情報・データの扱い |
| 特商法表記 | 販売者・価格・支払・返品等 |
「プライバシーポリシーがあるから特商法表記は不要」という関係ではありません。
コピペテンプレートでよくある失敗
よくあるミス
- 使っていないサービス名が残っている
- 実際は使っている解析サービスが書かれていない
- 会社名が他社のまま
- 「第三者提供しない」と実態が一致しない
- 利用目的が抽象的すぎる
- 問い合わせ窓口が存在しない
- 何年も更新していない
他社サイトの文章をそのままコピーしない
事業内容、取得情報、委託先、利用サービスは会社ごとに違います。文章が立派でも実際の運用と違えば、適切な説明にはなりません。
小規模会社サイトなら何を書けばよい？
問い合わせフォームとアクセス解析を使う程度の小規模会社サイトなら、まず次の項目を整理します。
基本項目
- 事業者名
- 取得する情報
- 利用目的
- 第三者提供の考え方
- 委託の考え方
- 安全管理措置
- 開示等への対応
- Cookie・アクセス解析
- 問い合わせ窓口
- 制定日・改定日
これを基礎に、採用、EC、予約、会員、広告配信など実際に使っている機能を追加していきます。
海外ユーザーがいる場合は？
日本の個人情報保護法だけを確認すればよいとは限りません。
EU・EEAの利用者を対象にサービスを提供する、海外向けECを運営するなどの場合は、GDPRをはじめ現地のプライバシー法が適用される可能性があります。
海外展開は個別確認
Cookie同意、国外移転、データ主体の権利など、日本法とは異なる対応が必要になる場合があります。海外利用者を積極的に対象とする事業では、専門家へ確認してください。
プライバシーポリシー公開前の確認手順
公開後も見直す
プライバシーポリシーは、サイト公開時に1回作って終わりではありません。
新しいプラグイン、アクセス解析、広告、予約サービスなどを導入したら、情報の流れが変わっていないか確認します。
半年〜1年ごとの確認例
- 現在使っているフォームは何か
- 解析・広告タグは何か
- 不要になった外部サービスはないか
- 取得項目が増えていないか
- 問い合わせ先は現在も有効か
- 法令・ガイドラインに更新がないか
教科書判定
問い合わせフォームがある会社サイトなら、実態に合ったプライバシーポリシーを用意する
初心者が最初にやるべきことは、難しい法律文を作ることではありません。
何を取得するか → 何のために使うか → 誰へ渡る可能性があるか → どう管理するか → 問い合わせ先はどこかを順番に整理してください。
WordPressのテンプレートは便利ですが、そのまま公開して終わりではありません。 実際に利用しているフォーム、解析、広告、会員機能、外部サービスに合わせて修正することが重要です。
EC、医療、金融、海外展開など、取扱情報や法的リスクが大きいサイトでは、テンプレートだけで判断せず専門家へ確認するのが安全です。
FAQ
Q．個人ブログにもプライバシーポリシーは必要ですか？
サイト構成によります。問い合わせフォーム、アクセス解析、広告、コメント、メールマガジンなどで利用者の情報を扱う場合は、どの情報を何の目的で扱うか整理し、利用者へ分かる形で示すことを検討してください。
Q．WordPressが作ったプライバシーポリシーをそのまま公開してよいですか？
おすすめしません。WordPress公式も、標準の案内は作成支援であり、サイト管理者が実際のデータ収集・共有内容と適用法令に合わせて編集・維持する責任があると案内しています。
Q．Google Analyticsを使うだけでも記載した方がよいですか？
はい。少なくとも利用しているアクセス解析サービス、利用目的、Cookie等を使うこと、外部サービスへ情報が送られることなどを確認し、実態に応じて説明するのが分かりやすいです。
Q．問い合わせフォームに「同意する」のチェック欄は必須ですか？
一律に必須とはいえません。取得方法、利用目的、適用される法令、第三者提供などによって必要な対応が変わります。利用目的を適切に明示し、同意が必要な処理では適切な同意を取得します。
Q．プライバシーポリシーはフッターに置けば十分ですか？
全ページから確認できるフッターは分かりやすい設置場所です。加えて、問い合わせ・会員登録・購入など個人情報を入力する画面からも確認しやすい導線を用意するとよいでしょう。
まとめ
この記事の結論
- 個人情報を扱うサイトでは利用目的の特定・通知または公表が重要
- 利用目的は本人が使い道を予測できる程度まで具体化する
- 取得情報、第三者提供、委託、安全管理、開示等の対応を整理する
- Cookieやアクセス解析などの外部サービスも確認する
- 問い合わせ窓口と改定日を分かるようにする
- WordPress標準テンプレートは完成品ではない
- フッターやフォーム付近から確認できるようにする
- 実際のデータ処理が変わったらポリシーも更新する
- 高度な法的判断が必要な事業は専門家へ確認する
プライバシーポリシーで最も重要なのは、難しい文章を書くことではなく、サイトで実際に行っているデータ処理と説明内容を一致させることです。 まず取得する情報と利用目的を洗い出し、自社サイトに合った内容へ整理してください。
「利用規約はホームページに必要？掲載する内容を解説」「特定商取引法に基づく表記とは？必要なケースと掲載項目」「お問い合わせページに必要な項目とは？」もあわせて確認してください。