プライバシーポリシーとは？その必要性と作成のポイントをわかりやすく解説

１．プライバシーポリシーとは

「プライバシーポリシー」とは、ウェブサービス等において、サービス提供者（事業者）が個人情報をどのように収集・利用・管理・保護するかを定めた文書です。「個人情報保護方針」という名称が用いられることもあります。

利用規約が主に「利用者がサービスを利用する際のルール」を定めるのに対し、プライバシーポリシーは「事業者が個人情報をどのように取り扱うか」という方針や手続を示す文書です。

プライバシーポリシーを整備することで、利用者は自分の情報の扱いを確認でき、事業者にとっても透明性の向上を通じて信頼構築につながります。

利用規約に関してはこちらの記事もご覧ください。
利用規約とは？利用規約の必要性と作成上のポイントを解説します！

２．なぜプライバシーポリシーが必要なのか

（１）個人情報保護法への対応

個人情報を取り扱う事業者は、個人情報保護法の適用を受けます。ウェブサービスの運営においても、問い合わせフォームや会員登録などで利用者の氏名やメールアドレスを取得する場合には、一般的にこの法律の対象となります。

個人情報保護法では、「通知」、「公表」、「容易に知り得る状態に置く」、「知り得る状態に置く」といった義務が課されている事項があります。また、「同意」が必要となる場面では、その前提となる情報を利用者に分かりやすく提示しなければなりません。これらの情報提供を体系的に行うために必要となるのが、プライバシーポリシーです。

（２）利用者からの信頼を得るため

プライバシーポリシーがきちんと整備されていると、利用者に「このサービスは安心して使えそうだ」という印象を与えることができます。逆に、プライバシーポリシーが見当たらない、あるいは内容が曖昧な場合、利用者は不安を感じやすくなります。利用者の信頼を得るという意味でも、プライバシーポリシーは重要な役割を果たします。

（３）外部サービスの利用条件を満たすため

Google Analyticsなどのアクセス解析ツール、決済代行サービス、広告配信サービスを利用する場合、プライバシーポリシーの掲載が利用条件となっていることが少なくありません。また、アプリストアの審査や業務提携の場面でも、プライバシーポリシーの有無が確認されることがあります。そのため、プライバシーポリシーは事業運営の基盤として整備しておく必要があります。

（４）その他

プライバシーマークの取得を目指す場合や、金融・医療・情報通信など各事業分野のガイドラインにおいて、プライバシーポリシーの作成が求められることがあります。

３．プライバシーポリシー作成の基本的な考え方

（１）実際のサービス内容に合わせて書く

プライバシーポリシーを作成する際は、まず自社サービスにおいて「どのような個人情報を、どの場面で取得しているのか」を整理します。

雛形や他社のプライバシーポリシーを参考にしてもよいのですが、単なるコピーや表現の流用では、自社の実態と合わず、法令上の説明義務を満たせないおそれがあります。参考資料はあくまで構成や書き方のヒントとして扱い、自社が実際に行っている取得方法・利用方法を正確に反映した内容にすることが不可欠です。

（２）専門用語を使いすぎない

法律用語を多用すると、利用者にとって分かりにくい文章になりがちです。プライバシーポリシーは、専門家ではなく一般の利用者が読むものですので、できるだけ平易な言葉で説明することを心がけましょう。

４．プライバシーポリシーの記載項目

（１）取得する個人情報の内容

どのような情報を取得するかを具体的に記載します。利用者が入力する氏名やメールアドレスなどの情報だけでなく、Cookie などの技術を通じて自動的に取得される情報についても対象とすることを検討します。

個人情報とは、氏名や住所などそれ自体で特定の個人を識別できる情報だけでなく、他の情報と容易に照合することにより特定の個人を識別できる情報も含まれます。また、Cookie や閲覧履歴などの情報は、それ単体では個人情報に該当しない場合もありますが、利用状況の把握やサービス改善、広告配信などの目的で取得・利用されることがあります。そのため、事業者がどのような情報をどのような目的で取得しているのかを利用者に説明することは、透明性の確保や利用者の安心につながります。

このような観点から、プライバシーポリシーでは、個人情報に該当する情報に限らず、Cookie 等を含む利用者に関する情報（いわゆるパーソナルデータ）についても対象として整理し、取得する情報の内容を分かりやすく説明することが望ましいといえます。

（２）個人情報の利用目的

個人情報を取得した場合は、あらかじめ利用目的を公表している場合を除き、速やかにその利用目的を本人（個人情報によって識別される特定の個人）に通知し、又は公表しなければなりません（個人情報保護法21条１項）。

利用目的の特定にあたっては、「サービス向上のため」といった抽象的な記載では不十分です。利用者本人が、自らの個人情報がどのように扱われるのかを合理的に予測できるよう、たとえば「利用頻度や閲覧履歴を把握・分析し、サービス内容の改善や新機能の開発を行うため」など、具体的に記載する必要があります。また、次項で説明する第三者提供を行う場合は、利用目的にもその旨を明記する必要があります。

なお、利用目的を本人の同意を得ることなく変更できるのは、「変更後の利用目的と関連性があることが合理的に認められる範囲」に限られます。そのため、将来的な利用も見越した目的の特定が必要です。

（３）第三者への提供

① 第三者提供における同意の取得

個人データ（個人データとは、個人情報のうち、コンピュータや名簿などで整理され、特定の人をすぐ探せるようにまとめられているものをいいます。）を第三者に提供する場合は、原則として本人の同意を取得しなければなりません（法27条1項）。

このため、プライバシーポリシーに同意してもらうことで、第三者提供についての同意を取得することが可能になります。

なお、提供先の氏名・名称まで明示する義務はありませんが、決済代行会社など、提供先の範囲や属性を示すことが望ましいとされています。

② 同意取得が不要なケース

個人データの第三者提供には、原則として本人の同意が必要ですが、次のいずれかに該当する場合には、本人の同意なく個人データを提供することが認められています。

• 法律に定める例外事由に該当する場合（人の生命・身体・財産の保護のために必要な場合など。法27条1項）
• オプトアウトによる第三者提供を行う場合（提供項目等の公表と、本人からの停止請求への対応を前提として、本人同意なく第三者提供を行う場合。法27条2項）
• 提供先が「第三者」に該当しない場合（委託、共同利用、事業承継。法27条5項）

以下では、このうち 「提供先が第三者に該当しない」とはどのような場合か について説明します。

(ア)  業務委託
利用目的達成に必要な範囲内で、個人データを提供して業務を外部業者に委託している場合は、その提供先は第三者に該当しません。そのため、本人の同意取得は不要です。商品発送やデータの分析などを外部に委託する場合が該当します。

(イ)  共同利用
個人データを共同利用する場合は、あらかじめ以下の事項を本人に通知するか、又は本人が容易に知り得る状態に置く必要があります。これらの要件を満たすことで、提供元と提供先を一体として扱うことができ、第三者提供には該当しません。したがって、本人の同意を得る必要はありません。

• 共同利用する旨
• 共同利用される個人データの項目
• 共同して利用する者の範囲
• 利用目的
• 個人データの管理について責任を有する者の氏名又は名称及び住所ならびに法人にあってはその代表者の氏名

なお、「共同して利用する者の範囲」は、必ずしも個々の事業者名を記載する必要はありませんが、利用者本人がどの事業者まで利用されるかを判断できるようにしなければなりません。ただし、共同利用として認められるには、グループ会社や共同開発先など、一定の関係性がある事業者同士に限られます。

(ウ)  事業承継
合併等による事業の承継に伴って個人データが提供される場合は、第三者に該当せず、本人の同意は不要です。例えば、A社が、B社を吸収合併してB社の事業を包括的に承継する場合、B社が保有していた顧客情報は、合併によりA社へ移転します。この移転は「事業の承継」に該当するため、個々の顧客から同意を取得する必要はありません。

（４）個人情報の管理と安全対策

個人情報取扱事業者（会員情報や問い合わせ情報などの個人情報を、データベースなどで整理し、事業として継続的に利用している事業者をいいます。） は、個人データの漏えい、滅失、毀損を防ぐため、必要かつ適切な安全管理措置を講じ、その内容を本人に周知する義務があります（法23条、32条1項4号）。周知方法は、プライバシーポリシーへの記載以外に、本人からの求めに応じて回答する方法も可能です。

具体的な安全管理措置の例としては、以下のようなものがあります。
① 基本方針の策定
個人データを適切に取り扱うため、組織としての基本方針を定めます。法令・ガイドラインの遵守、問い合わせ窓口の設置などを明確にし、組織全体の姿勢を示します。
②  個人データの取扱いに係る規律の整備
漏えい等を防ぐため、取得・利用・保存・提供・廃棄といった各段階の取扱方法や責任者を定めた取扱規程を整備します。これにより、実務での統一的な運用が可能になります。
③ 組織的安全管理措置
規程に沿った運用が行われているかを確認する体制を整えます。責任者の設置、報告・連絡体制の構築、取扱状況を把握する台帳等の整備、定期的な点検や監査が含まれます。
④ 人的安全管理措置
従業者による誤った取扱いを防ぐため、教育・研修を定期的に実施し、秘密保持義務を就業規則等に明記して周知・監督します。従業者の理解と意識向上が安全管理の基盤となります。
⑤ 物理的安全管理措置
個人データを扱う区域や機器を物理的に保護します。入退室管理、書類や電子媒体の盗難・紛失防止、持ち運び時のパスワード設定など、外部からの不正取得を防ぐ対策が求められます。
⑥ 技術的安全管理措置
情報システム利用時の技術的な保護措置です。アクセス制御、ID・パスワードによる認証、不正アクセス防止、通信やデータ移送時の暗号化など、システム面での安全性確保が必要です。
⑦ 外的環境の把握
海外で個人データを取り扱う場合、当該国の個人情報保護制度を把握し、必要な追加措置を講じる必要があります。クラウドサービスの利用や外国事業者への委託がある場合も同様です。

さらに、業務を委託する場合には、委託先を適切に選定し、契約に基づいて必要な監督を行うことが求められます。個人データについては、利用目的に照らして正確かつ最新の内容に保つよう努め、不要となった際には速やかに消去しなければなりません。また、重大な漏えい等が発生した場合には、個人情報保護委員会への報告と本人への通知が義務付けられています。

（５）開示・訂正・利用停止などの手続き

保有個人データ（保有個人データとは、事業者が管理しており、本人からの開示や訂正などの請求に応じる対象となる個人データです。）については、一定の要件の下、本人からの利用目的の通知、個人情報又は第三者提供記録の開示、訂正・追加・削除、利用の停止・第三者提供の停止の請求が認められています（法33条～35条）。そして、開示等の請求に応じる手続及び開示の請求にかかる手数料の額について、本人の知り得る状態に置かなければなりません（法32条1項）。

このため、プライバシーポリシーにおいては、開示等の請求を行うことができる具体的な方法や手順を明確にしておくことが重要です。

たとえば、請求を受け付ける窓口（問い合わせフォーム、電子メール、郵送先など）、請求の際に必要となる事項（氏名、連絡先、本人確認書類の提出方法等）、対応までに要する期間の目安などをあらかじめ定めておくことが考えられます。

また、開示等の請求が本人からのものであることを確認する方法についても、トラブル防止の観点から記載しておくことが望ましいでしょう。本人確認の方法としては、登録情報との照合や、公的身分証明書の写しの提出を求める方法などが一般的です。

さらに、法令により、請求の内容によっては対応できない場合があることも踏まえ、

• 本人又は第三者の生命・身体・財産その他の権利利益を害するおそれがある場合
• 事業の適正な実施に著しい支障を及ぼすおそれがある場合
• 他の法令に違反することとなる場合

など、開示等の請求に応じられない場合があることについても、概要を説明しておくと利用者の理解を得やすくなります。

このように、単に「開示等の請求ができます」と記載するだけでなく、どのように請求でき、どのような場合に対応され、どのような場合に対応できないのかを具体的に示すことで、利用者との無用な誤解や紛争を防ぐことにつながります。

（６）Cookieについて

① Cookieに関する記載の必要性

Cookieはブラウザや端末を識別するための仕組みで、アクセス解析やログイン状態の保持などに利用されます。Cookieを通じて取得される利用状況に関する情報（いわゆるトラッキング情報）は、通常は個人を直接特定できないため、Cookie情報そのものは原則として個人情報には該当しません。しかしながら、次の理由からプライバシーポリシーにCookieに関する説明を記載しておくことが望ましいといえます。

(ア)  利用者への透明性と安心のため
　目的や利用方法を明示することで信頼につながります。

(イ)  解析・広告ツールの利用条件への対応
　Google Analyticsなどのツールでは、Cookie利用をプライバシーポリシーに記載することが求められる場合があります。

② Cookieに関する記載項目

Cookieに関する記載項目には以下のようなものがあります。
(ア)  利用目的
「何のためにCookieを利用しているのか」を具体的に伝えます。たとえば、サイトの改善や広告配信など、実際の用途を記載します。

(イ)  利用ツール名の記載
外部の解析ツールや広告ツールを使っている場合は、Google Analyticsや広告ツールなど、どの事業者のサービスを通じて収集しているかを明示します。

(ウ)  収集情報の内容
Cookieによって扱われる情報の代表例を示します。たとえば、以下のようなものがあります。

• Cookie ID
• 端末・ブラウザ情報
• 閲覧履歴や滞在時間

(エ)  無効化・オプトアウト方法
Cookieはブラウザ設定等で停止できることを案内し、利用者の選択肢を示すことも大切です。

③ 注意点

(ア)  個人情報保護法（個人関連情報の第三者提供）
Cookieは、それ自体では通常、特定の個人を識別することができないため、単独では個人情報には該当しません。そのため、Cookie情報のみを第三者に提供する場合、直ちに個人情報保護法上の第三者提供規制の対象となるわけではありません。

もっとも、提供先の第三者において、当該Cookie情報を自社の会員情報等と照合することにより個人データとして取得することが想定される場合には、個人情報保護法上の「個人関連情報の第三者提供」に関する規制が問題となります。

たとえば、あるWebサイトが広告事業者にCookie情報を提供した場合、その広告事業者が既に保有している会員情報やログイン情報とCookie情報を結び付けることで、「どの会員がどのサイトを閲覧したか」を把握できることがあります。このように、提供先において個人を識別できる状態になる場合には、単なるCookie情報ではなく、個人データとして扱われる可能性があります。

このような場合には、提供先事業者は、Cookie情報を個人データとして取得するに当たり、あらかじめ本人の同意を得る必要があります。また、提供元事業者は、その同意が取得されていることを確認するとともに、確認記録を作成・保存しなければなりません。

(イ)  電気通信事事業法（外部通信規律）
電気通信事業法では、いわゆる「外部送信規律」が設けられており、これは個人情報該当性とは別に、利用者の端末に記録された情報が外部に送信される場合の透明性確保を目的とする制度です。

本規律は、電気通信事業法上の「電気通信役務」を提供する電気通信事業者が対象となります。具体的には、自ら電気通信設備を用いてウェブサイトやアプリ等のサービスを提供する事業者のうち、一定の類型に該当するものが含まれます。

これらの事業者が、アクセス解析ツールや広告配信タグ等を利用し、Cookieや広告識別子などを通じて閲覧履歴や端末情報を外部の事業者に送信する場合には、原則として次の事項について、あらかじめ利用者に通知し、又は容易に知り得る状態に置く必要があります。

• 送信される情報の内容
• 送信先の氏名又は名称
• 送信先における利用目的

外部送信規律に関してはこちらを参考にしてください。
総務省 「外部送信規律について」　https://www.soumu.go.jp/main_content/000862755.pdf

④ Cookieポリシー

Cookie等の取扱いは、利用者が一度で必要な情報を確認できるよう、まずはプライバシーポリシーに分かりやすくまとめて記載することをおすすめします。そのうえで、Cookieの種類や利用目的が多岐にわたる場合、また外部送信先の追加・削除など今後の変更が想定される場合には、事業者側が柔軟に管理できるよう、プライバシーポリシーとは別に「Cookieポリシー」を設けて整理する方法が有効です。

（７）プライバシーポリシーの変更

法令改正やサービス内容の変更により、プライバシーポリシーを改定することがあること及び変更後はサイト上で公表するといった方針を示します。

なお、変更条項があっても、内容を無制限に変更できるわけではありません。たとえば、個人情報の利用目的の変更では、社会通念上、本人が通常予測できる限度の範囲であれば本人の同意がなくても可能ですが、その範囲を超える場合には、本人の同意が必要です。

（８）問い合わせ窓口

個人情報に関する問い合わせや苦情に関する窓口を設置して、その連絡先を記載します。
個人情報保護法においては、個人情報取扱事業者に対し、直接的な表現で「窓口」という名称の設置を義務付ける規定はありませんが、実質的には「苦情の処理」や「保有個人データに関する手続き」に対応するための窓口（連絡先）を設置し、本人が知り得る状態に置くことが義務付けられています。

問い合わせ窓口に関して記載すべき主な内容は、以下の通りです。

• 事業者の基本情報：個人情報取扱事業者の氏名又は名称、住所、および法人の場合は代表者の氏名を記載します。
• 窓口の具体的な連絡先：本人からの苦情や相談を迅速に処理するため、窓口の名称、住所、電話番号、電子メールアドレスなどを明記します。
• 保有個人データ（事業者が管理しており、本人からの開示や訂正などの請求に応じる対象となる個人データ）の開示等の請求手続き：本人からの開示、訂正、利用停止等の請求（開示等の請求等）を受け付ける具体的な方法、本人確認のための書類、および手数料の額（徴収する場合）を記載します。
• 苦情の申出先である旨の明示：保有個人データの取扱いに関する苦情の受付窓口であることを明確にします。

５．プライバシーポリシーの表示方法

（１）「公表」「容易に知り得る状態に置く」「知り得る状態に置く」

個人情報保護法では、個人情報を取得・利用する際に「公表」、「容易に知り得る状態に置く」、「知り得る状態に置く」といった情報提供方法が定められています。代表的な例は次のとおりです。

• 利用目的の「公表」（21条1項）
• 共同利用における共同利用できる者の範囲等を「容易に知り得る状態に置く」（法27条5項3号）
• 保有個人データに関する法定事項を「知り得る状態に置く」（法32条1項）

これらの方法は、利用者が必要な情報にアクセスできる状態を確保することが目的であり、ウェブサイトのトップページから1回程度の操作で到達できる位置にプライバシーポリシーを掲載することが望ましいといえます。

（２）「明示」「通知」

一方で、個人情報保護法では、より直接的な情報提供方法として「明示」「通知」が求められる場合があります。代表的な例は次のとおりです。

• 本人から直接個人情報を取得する場合の利用目的の「明示」（法21条2項）
• 保有個人データの利用目的の通知を求められた場合の「通知」（法32条2項）

前者の「利用目的の明示」とは、契約書・申込書・アンケート等で本人から直接個人情報を取得する際に、あらかじめ利用目的を本人が確実に認識できる形で示すことを指します。単にウェブサイト上で利用目的を公表するだけでは不十分であり、送信ボタンを押す前に入力フォーム直下へ記載するか、利用目的を表示した画面へ1回の操作で遷移できる明確なリンクやボタンを設けるなど、本人が容易に目にし理解できる措置が必要です。

また、「通知」は、ウェブサイトに掲載するだけでは足りず、ポップアップ形式での表示や電子メール等で事業者が本人に対して直接情報を伝える必要があります。

（３）「同意」

さらに、個人情報保護法では、本人の「同意」が必要とされる場合があります。代表的な例は次のとおりです。

• 個人情報の目的外利用における「同意」の取得（法18条1項）
• 個人情報の第三者提供における「同意」の取得（法27条、28条）
• 第三者から個人関連情報を受け、個人データとして取得する場合の「同意」の取得（法31条1項）

本人の同意とは、本人が、個人情報の利用や提供の内容を理解したうえで、「その取扱いを認める」という意思を示すことをいいます。そのため、事業者は、どのような情報を、どのような目的で利用するのかなどを、本人が分かるように説明したうえで、同意を取得する必要があります。

具体的には、ウェブサイト上に必要な情報を掲示したうえで、確認欄にチェックを入れた後に「同意する」ボタンをクリックしてもらうなど、本人に意思表示をしてもらう方法が一般的です。

（４）表示方法の整理

以上を踏まえ、プライベートポリシーに関するウェブサイト上でのユーザーインターフェース（UI）設計を個人情報保護法で求められるレベルで整理すると、以下のようになります。

レベル1：利用目的の公表等
要求： 本人が「知ろうと思えば簡単にたどり着ける」状態
設計： サイトのトップページから1クリック程度で到達できる場所（フッターなど）にプライバシーポリシーを常設します。

レベル2：個人情報の取得等
要求： 情報入力時に本人が「確実にかつ直接的に認識できる」状態
設計： 問い合わせフォーム等の「送信ボタン」のすぐそばに、利用目的を直接書くか、1回の操作で遷移できるリンクを配置します。

レベル3：個人情報の第三者提供等
要求： 本人の「能動的な意思表示」の確認
設計： 単なる表示ではなく、チェックボックスへのチェックや「同意して送信」ボタンのクリックなど、ユーザーにアクションを求めます。

たとえば、入力フォームによる個人情報の取得や個人情報の第三者提供がない場合は、「レベル2」や「レベル3」の対応は不要であり、「レベル1」の対応のみで足ります。どのレベルの対応が必要となるかは、個人情報をどのように取り扱うかによって決まります。

６．よくあるトラブル

（１） 記載内容と実際の運用の相違

アクセス解析や広告配信を始めたものの、プライバシーポリシーを更新していなかったというケースはよく見られます。新しい外部サービスを導入した際は、必ず内容を見直す必要があります。

（２）問い合わせ窓口の不整備

問い合わせ窓口を形式的にしか用意しておらず、実際には対応できなかったという例もあります。責任者を定めるとともに、利用者からどういった問い合わせがあるかを想定して、あらかじめ対応方法を整理しておくことが重要です。

７．まとめ

ウェブサービスでは、会員登録、問い合わせ対応、決済手続などを通じて、利用者の個人情報を取り扱うことが不可避です。こうした個人情報の取扱いに関して、事業者には個人情報保護法に基づき、利用目的の通知・公表や、保有個人データに関する一定事項を本人が知り得る状態に置く義務などが課されています。

そのため、プライバシーポリシーは、これらの法的義務を適切に履行するうえで、実務上きわめて重要な文書といえます。

もっとも、プライバシーポリシーの作成に当たっては、個人情報保護法をはじめとする関係法令やガイドラインの理解が不可欠です。利用目的の特定が不十分である場合や、第三者提供の範囲の記載が曖昧である場合には、法令違反や紛争の原因となるおそれもあります。そのため、内容の適法性や実務上の妥当性については、個人情報分野に詳しい専門家の助言を受けながら検討することが望ましいといえるでしょう。

---

当事務所では、利用規約、プライバシーポリシー、Cookieポリシー、特定商取引法に基づく表示の作成に関するご相談を承っております。
ご相談およびお見積りは無料です。お気軽にお問い合わせフォームからご連絡ください。