プライバシーポリシー｜ひな形をそのまま使って大丈夫？基本の書き方＆自社向けに直したいポイント

「プライバシーポリシーって絶対必要なのかな？」
「どうやって作るんだろう？」
「具体的に何を書けば？」
Webサイトの立ち上げ、アプリのリリース直後の方々。そんなお悩みはありませんか？

この記事では、まず基本の骨組みをお示ししたうえで、自社に合わせて直しておきたいポイントを整理しました。

プライバシーポリシーとは？なぜ必要？

プライバシーポリシーとは、事業者が取得する個人情報について、どのような目的で、どのように取り扱うかをあらかじめ利用者に示すための、個人情報保護法に基づく文書です。

個人情報保護法（こじんじょうほうほごほう）とは？
個人情報を取り扱う事業者に対して、利用目的の特定や適正な取得、安全管理などを義務付ける法律です。事業規模の大小にかかわらず、個人情報を取り扱うすべての事業者が対象になります。

以前は取扱件数が5,000件以下の小規模事業者は対象外とされていましたが、2017年の法改正でこの規定はなくなっており、個人事業主であっても、氏名やメールアドレスなど個人情報を一件でも取得していれば、この法律の対象になります。

プライバシーポリシー・基本のひな形

具体的にどう書けばいいかわからない、という方のために、基本のひな形(テンプレート)をご用意しました。架空のネットショップ「ぎょうせい雑貨店」のプライバシーポリシー例です。
記載例としてご覧いただきながら、たたき台としてお使いください。

※これは、架空のネットショップ「ぎょうせい雑貨店」を想定した記載例です。実際にご利用の際は、事業者名・取得する情報・委託先などを、貴社の実態に合わせて修正してください。

プライバシーポリシー（記載例）

ぎょうせい雑貨店（以下「当社」といいます。）は、お客様の個人情報保護の重要性を深く認識し、以下の通りプライバシーポリシー（個人情報保護方針）を定め、個人情報の適切な取扱いと保護に努めます。

1.個人情報の取得について

当社は、適法かつ公正な手段によってのみ、事業運営上必要な範囲内で個人情報を取得いたします。

どのような方法で個人情報を取得するか、取得の考え方を記載

2.個人情報の利用目的

当社は、取得した個人情報を以下の目的のために利用いたします。法令で認められる場合を除き、ご本人の同意がない限り、この範囲を超えて個人情報を利用することはありません。

• ご注文いただいた商品の発送のため

• お支払い手続きのため

• お問い合わせへの対応のため

• 配信をご希望されたお客様へのメールマガジン配信のため

• セール・キャンペーン等のご案内のため

例：メールマガジンの配信のため／注文商品の発送のため。できるだけ具体的に記載

3.個人情報の保有期間について

当社は、取得した個人情報を、前項の利用目的の達成に必要な期間に限り保有し、当該期間の経過後は適切な方法により消去いたします。

利用目的の達成に必要な期間に限り保有する旨などを記載

4.第三者提供について

当社は、以下の場合を除き、取得した個人情報をあらかじめご本人の同意を得ることなく第三者に提供することはありません。

• 法令に基づく場合

• 人の生命、身体または財産の保護のために必要がある場合であって、ご本人の同意を得ることが困難である場合

• 国の機関もしくは地方公共団体またはその委託を受けた者が法令の定める事務を遂行することに対して協力する必要がある場合

第三者に提供する場合はその内容を、提供しない場合は「取得した個人情報を第三者に提供することはありません」等と記載

5.業務の委託について

当社は、事業の一部について、以下のとおり外部の事業者に委託しています。

• 決済代行会社（〇〇株式会社）：クレジットカード情報の取扱いに関する業務

• 配送業者（〇〇運輸）：商品の配送に関する業務

決済代行・配送・アクセス解析ツールなど、外部に委託・連携している場合はその内容を記載

6.個人情報の安全管理について

当社は、取り扱う個人情報の漏洩、滅失またはき損の防止、その他個人情報の安全管理のために必要かつ適切な措置を講じます。

漏えい防止などの安全管理措置についての記載

7.アクセス解析ツール（Cookie）について

当サイトでは、サイトの利用状況を把握し、より良いサービスを提供するためにGoogleアナリティクス等のアクセス解析ツールを利用しています。これらはトラフィックデータの収集のためにCookie（クッキー）を使用しておりますが、氏名等、個人を特定する情報は含まれません。Cookieを無効にすることで収集を拒否することも可能ですので、お使いのブラウザの設定をご確認ください。

Googleアナリティクス等を利用している場合は、その旨と、Cookieを無効にする方法を記載

8.個人情報の開示・訂正・利用停止等について

当社は、ご本人から自己の個人情報についての開示、訂正、追加、削除、利用停止などのご請求がある場合、速やかに調査の上、適切に対応いたします。その際、ご本人であることが確認できない場合には、これらのご請求に応じません。

ご本人からの開示・訂正・削除等のご請求について、対応窓口・対応方法を記載

9.免責事項

当サイトからのリンクやバナーなどで移動したサイトで提供される情報、サービス等について一切の責任を負いません。また、当サイトのコンテンツや情報について、できる限り正確な情報を提供するように努めておりますが、正確性や安全性を保証するものではありません。

サイトからのリンク先の情報等について、責任を負わない旨を記載する場合に使用

10.プライバシーポリシーの変更

当社は、必要に応じて本ポリシーの内容を見直し、その改善に努めます。変更後のプライバシーポリシーは、当サイトに掲載した時点から効力を生じるものとします。

変更する場合がある旨、変更の効力発生時期などを記載

11.お問い合わせ窓口

当社の個人情報の取り扱いに関するお問い合わせは、下記よりご連絡ください。

• ぎょうせい雑貨店

• お問い合わせ先：〇〇〇〇@example.com（例）

本ポリシーに関するお問い合わせ窓口などを記載

プライバシーポリシーの骨組みとしてはこれで一通りそろいますが、自社の実態に合わせて内容を調整していく作業が必要です。

次の章で、内容を埋める際に気をつけたいポイントを整理します。

たたき台を自社仕様にするための確認ポイント

上でご紹介したひな形もそうですが、インターネット上で見つけた見本を利用する場合、以下のような点にご注意ください。

• 実態にない条項が残っていないか
  たとえば「Cookieを利用した広告配信を行う場合があります」という条項。実際には広告配信を行っていないのに残っていることがあります。使っていない機能の条項は削除しておくと、利用者に正確な情報を伝えられます。

• 必要な記載が抜けていないか
  逆に、実際にはアクセス解析ツールや外部の決済代行サービスを利用しているのに、その旨の記載が抜けていることがあります。使っている外部サービスは、一つずつ書き出して照らし合わせてみるとわかりやすいです。

• 他社の情報が残っていないか
  コピー元のひな形に、ダミーの会社名や連絡先がそのまま残っていた、という話も実はよくあります。公開前に一度読み直すだけで気づけるポイントです。

利用目的は、できるだけ具体的に

「基本のひな形」の「2. 個人情報の利用目的」は、特に具体性が求められる項目です。

「サービス向上のため」といった抽象的な表現だけでは、個人情報保護法が求める「利用目的の特定」として十分でないと判断される可能性があります。

このように、利用者が読んで具体的にイメージできる書き方が望ましいとされています。

また、取得した個人情報を、当初の利用目的の範囲を超えて使いたくなった場合は、原則として本人の同意があらためて必要になります。問い合わせ対応のためだけに取得したメールアドレスを、後から新商品の案内に使いたくなった、というような場面が例です。利用目的が増えそうな予定がある場合は、あらかじめ初回作成の際に書き込んでおくとスムーズです。

事業者の個人情報と、ユーザーの個人情報

個人事業主の場合、自宅住所や個人の電話番号を公開したくない、という悩みを抱える方が少なくありません。プライバシーポリシー自体には、住所や電話番号の記載が法律上必須というわけではなく、「基本のひな形」の「11. お問い合わせ」のように、問い合わせフォームなどの窓口を明示する形でも対応できます。

一方で、別の法律(特定商取引法など)で住所・電話番号の記載が求められる場面もあります。

特定商取引法に基づく表記とは？
通信販売など一定の取引を行う事業者に対して、事業者名・住所・電話番号などの表示を義務付ける法律にもとづく表記です。プライバシーポリシーとは根拠となる法律も目的も異なります。

プライバシーポリシーと特定商取引法に基づく表記は、それぞれ別のものとして整理しておくと安心です。「プライバシーポリシーさえ用意しておけば大丈夫」と考えていると、こちらの表記が抜け落ちてしまうことがあります。

また、SNSでの集客を行っている場合、外部プラットフォームとの連携によって個人情報がどのように扱われるかについても、触れておくと親切です。自社が直接収集していない情報であっても、連携の仕組みによっては説明が必要になる場合があります。

Googleアナリティクスなどのアクセス解析ツールを利用している場合も、同じように配慮したい点があります。2023年施行の改正電気通信事業法では、Cookie等を通じて利用者の情報を外部に送信する場合、あらかじめその内容を知らせておくことが求められるようになりました。骨組みの「7. アクセス解析ツール（Cookie）について」は、この点をふまえた項目です。

たたき台を仕上げるなら、行政書士に相談という手も

ここまでの骨組みとチェックポイントで、一通りの形にすることはできます。ただ、自社の事業内容によっては、どの項目をどこまで具体的に書けば良いか迷う場面も出てくるかと思います。

行政書士に相談すると、事業内容をヒアリングしたうえで、実態に合った条項に整えることができます。「基本のひな形」を埋めてみたけれど、これで大丈夫か確認してほしい、という段階からのご相談も可能です。

当事務所でできること

当事務所では、プライバシーポリシーの新規作成はもちろん、ひな形を用いた向けの修正というご要望も承っております。

事業の内容や取得している個人情報の項目をお聞かせいただければ、どこを直すと良いか、具体的にお伝えします。

まとめ

プライバシーポリシーは、まず「基本のひな形」に沿って項目を埋めていけば、一通りの形にすることができます。そのうえで、実態にない条項が残っていないか、必要な記載が抜けていないかを一度チェックしておくと、より安心です。

「骨組みは作ってみたけれど、これで合っているか不安」という場合は、専門家に相談してみるのも一つの方法です。

※本記事は一般的な解説です。個人情報保護法上の解釈や個別の事業内容に応じた判断については、状況によって取り扱いが異なる場合があります。