「ホームページにプライバシーポリシーを載せた方がいいと聞くけれど、何をどこまで書けばいいのか分からない」——制作会社やコンサルタントから指摘を受けて、初めて気になったという事業者の方は少なくありません。本記事では、プライバシーポリシーが必要とされる一般的な考え方と、載せておきたい基本項目、作成を進める際の実務の流れを、非技術の事業者向けに整理します。
プライバシーポリシーとは
プライバシーポリシー（個人情報保護方針）とは、事業者が取得した個人情報をどのような目的で、どのように取り扱うかをまとめた文書です。多くの場合、ホームページのフッターなどからリンクできる形で公開されています。
個人情報保護法との関係で使われる場面が多く、お問い合わせフォーム・会員登録・ネット販売などを通じて氏名・メールアドレス・住所といった個人情報を取得している場合、その取り扱い方針を明示しておくことが一般的な実務とされています。
なぜホームページに必要とされるのか
一般に、プライバシーポリシーの掲示が求められる・望ましいとされる理由には、次のようなものがあります。
- 個人情報保護法上、一定の場合に利用目的の公表・通知が求められること
- お問い合わせフォームやネット販売など、個人情報を取得する接点があるサイトでは、訪問者に取り扱い方針を示すことが信頼につながること
- Googleアナリティクスや広告配信タグなど、外部サービス経由でユーザーの行動データを取得している場合、その利用について説明しておくことが望ましいとされていること
- 取引先・提携先から、契約条件としてプライバシーポリシーの掲示を求められることがあること
自社がどこまで個人情報を取得しているかによって、必要な記載内容は変わります。「うちは名刺交換程度だから関係ない」と思っていても、フォームでメールアドレスを預かっている時点で対象になるケースが一般的です。なお、サイト上で商品・サービスの販売や申込を行っている場合は、あわせて特定商取引法に基づく表記の掲載が必要になることもあります。
載せておきたい基本項目
プライバシーポリシーに載せておきたい項目として、一般に次のようなものが挙げられます。
- 事業者名（会社名・屋号）と連絡先
- 取得する個人情報の項目（氏名、メールアドレス、住所、電話番号など）
- 個人情報を取得する方法（お問い合わせフォーム、会員登録、資料請求など）
- 個人情報の利用目的（お問い合わせ対応、商品発送、メールマガジン配信など）
- 第三者への提供の有無と、提供する場合の条件
- 外部委託の有無（決済代行、配送業者、メール配信サービスなど）
- Cookie（クッキー）やアクセス解析ツールの利用について
- 保有個人データの開示・訂正・利用停止等の請求手続きと問い合わせ窓口
- 個人情報保護方針の制定日・改定日
このうち特にCookieやアクセス解析ツールの扱いについては、プライバシーポリシー内での記載にとどめる事業者と、別立てで説明を用意する事業者の両方が見られます。
作成を進める実務の手順
- 自社が取得している個人情報を洗い出す — フォーム、電話、名刺交換、資料請求など、情報を受け取っている接点をリストアップします。
- 利用目的を整理する — 何のために、どの情報を使っているかを一つずつ確認します。
- 外部サービスの利用状況を確認する — 決済代行、メール配信、アクセス解析、広告配信タグなど、個人情報や行動データを扱う外部サービスを洗い出します。
- ひな形・テンプレートを参考に文面を作成する — 消費者庁や業界団体が公開しているひな形、同業種の公開例を参考にしながら、自社の実態に合わせて文面を作成します。
- 公開場所を決めて掲載する — フッターなど、サイト内のどのページからでもたどり着ける場所にリンクを設置します。
- 定期的に見直す — 取得する情報の種類やサービスの利用状況が変わった際は、あわせて内容を更新します。
ホームページ全体の信頼性という観点では、通信の暗号化（HTTPS化）も合わせて確認しておきたいポイントです。詳しくはHTTPSとSSLとは？サイトに鍵マークが必要な理由で解説しています。また、事業者名や連絡先の開示という点では、ドメインの登録者情報（Whois）が適切に管理されているかも合わせて確認しておくと安心です。詳しくはWhois情報とは？ドメイン登録情報の確認方法と個人情報保護をご覧ください。
プライバシーポリシーの具体的な記載内容や、自社の取り扱いが法令に適合しているかどうかの判断は、本記事のような一般的な整理だけで完結するものではありません。詳細は消費者庁や個人情報保護委員会が公開している公式ガイドライン、または弁護士など専門家にご確認ください。
よくある質問
Q. 個人情報をほとんど扱っていない小規模サイトでも必要ですか？
お問い合わせフォームなどでメールアドレスや氏名を取得している場合は、一般に掲載しておくことが望ましいとされています。名刺交換程度で、サイト上で個人情報を取得していない場合は必須度は下がりますが、信頼性の観点から掲載する事業者も増えています。
Q. 他社のひな形をそのまま使っても大丈夫ですか？
ひな形は文章の骨組みとして参考になりますが、自社が実際に取得している情報や利用目的と内容がずれていると、かえって実態と合わない記載になってしまいます。ひな形をベースにしつつ、自社の状況に合わせて内容を調整することが一般的です。
Q. プライバシーポリシーとCookieポリシーは別に用意すべきですか？
事業者によって、プライバシーポリシーの中にCookieの取り扱いをまとめて記載する場合と、別ページで用意する場合の両方が見られます。どちらの形式が適切かは、取得している情報の内容によって異なります。Cookie同意バナーの要否を含めた考え方は、Cookie同意バナーは必要？中小サイトでの考え方で整理しています。
Q. 記載していないとどうなりますか？
具体的な違反の有無や措置については、事業内容や取得している情報によって判断が分かれるため、本記事では断定できません。個人情報保護委員会の公式サイトや専門家への相談をおすすめします。
Q. 専門家に相談すべきタイミングはいつですか？
会員登録機能やネット販売、海外向けサービスなど、取り扱う個人情報の範囲が広がるタイミングでは、一度弁護士など専門家に内容を確認してもらうことをおすすめします。
まとめ
- プライバシーポリシーは、取得した個人情報の取り扱い方針をまとめた文書
- お問い合わせフォームなどで個人情報を取得しているサイトでは、掲載しておくことが一般的
- 事業者名・連絡先、取得情報の項目、利用目的、第三者提供の有無、Cookieの扱いなどが基本項目
- ひな形を参考にしつつ、自社の実態に合わせて内容を作成・更新する
- 具体的な法令適合の判断は、消費者庁・個人情報保護委員会の公式情報や弁護士など専門家に確認する
Webザイルでできること
Web Gearの「Webザイル」では、ドメイン・サーバーまわりの管理に加えて、こうしたホームページの基本的な整備状況の確認や、フッターへのリンク設置といった実務面のサポートも行っています。「プライバシーポリシーを載せたいが、サイトのどこをどう触ればいいか分からない」という段階からご相談いただけます（文面の法的な内容については、専門家への確認をおすすめしています）。