プライバシーポリシーは、実際に取得している情報を書くことから始まる
プライバシーポリシーで最も重要なのは、自社が実際に取得している情報と利用目的を、実態どおりに記載することです。他社の文面を流用すると、書かれている内容と実際の運用が食い違い、かえってリスクになります。
問い合わせフォームがある、アクセス解析を入れている、採用応募を受け付けている。この3つのいずれかに該当すれば、個人情報や利用者情報を取得している状態です。ここでは記載する項目と、見落としやすい点を整理します。なお本記事は一般的な整理であり、法的助言ではありません。最終的な文面は弁護士など専門家に確認してください（2026年時点の情報です）。
プライバシーポリシーとは、個人情報の取り扱い方針を公表する文書
プライバシーポリシーとは、事業者が個人情報をどう取得し、何に使い、どう管理するかを利用者に示す文書です。個人情報保護方針、個人情報の取り扱いについて、といった名称でも同じ役割を持ちます。
個人情報保護法では、個人情報を取り扱う事業者に対して、利用目的の通知または公表が求められています。ウェブサイトでの公表は、その方法として一般的に用いられる形です。加えて、保有個人データの開示や訂正、利用停止の請求に応じる手続きについても、本人が知り得る状態にしておく必要があります。
記載する8つの項目
最低限そろえておきたい項目は次のとおりです。
項目 | 書く内容 |
|---|---|
事業者の情報 | 会社名、所在地、代表者名 |
取得する情報 | 氏名、メールアドレス、電話番号、閲覧履歴など実際に取得するもの |
利用目的 | 問い合わせ対応、サービス提供、採用選考など。目的ごとに具体的に書く |
第三者提供 | 提供の有無と条件。行わない場合もその旨を明記する |
業務委託 | 外部に委託する場合の範囲と、委託先の監督について |
Cookie・解析ツール | 利用しているツールと、取得する情報の種類、無効化の方法 |
開示等の請求 | 本人からの請求への対応手続きと受付窓口 |
問い合わせ窓口 | 担当部署、連絡方法 |
利用目的は「当社のサービス向上のため」といった書き方では不十分です。「お問い合わせへの回答および必要な連絡のため」「採用選考および入社手続きのため」のように、取得の場面ごとに書き分けてください。あわせて、改定した場合の周知方法と最終改定日も記載します。
見落としやすい4つのポイント
実務で漏れやすいのは、担当者が「個人情報を取得している」と認識していない部分です。
- アクセス解析と広告タグ：GA4や広告の計測タグを設置していれば、閲覧履歴などの情報が外部に送信されています。利用しているツール名を明記してください。指標の見方はGA4アクセス解析の基本で解説しています
- 外部フォームサービス：問い合わせフォームを外部サービスで作っている場合、そのサービス側にデータが保存されます。委託として扱う必要があります
- 採用応募者の情報：顧客情報とは利用目的が異なるため、採用に関する記載を分けて設けます
- 外部送信規律：一定の事業者は、利用者情報を外部に送信する際に、送信先や項目の公表・通知が求められる場合があります。自社が対象になるかは専門家に確認してください
とくに1と2は、制作会社に任せた結果として設置されており、社内で把握されていないことがあります。公開前に、実際に動いているタグと外部サービスを一覧化してください。
テンプレートをそのまま使うと起きる問題
テンプレートの流用が危険なのは、法的な不備よりも実態との乖離が生まれるためです。よくあるのは次の3パターンです。
- 取得していない情報が書かれている：クレジットカード情報の記載があるのに決済機能がない、といったケース
- 使っていないツールが書かれている：流用元のサービス名がそのまま残っている状態です
- 実施していない措置が書かれている：安全管理措置として書いた内容を実際には行っていない場合、記載自体が問題になります
テンプレートは構成の参考として使い、各項目を自社の運用に照らして書き換えるという使い方が適切です。書けない項目があれば、それは運用が決まっていないというサインになります。
掲載場所と、公開後の運用
掲載は全ページのフッターに固定リンクを置くのが基本です。加えて、個人情報を入力する画面の近くにも導線を置きます。
- フッター：全ページから到達できる状態にする
- 問い合わせフォームの送信ボタン付近：同意の有無を明確にする
- 採用エントリーフォーム：応募者情報の扱いを示す
公開後も、内容が変わったら更新が必要です。更新のきっかけになるのは、新しい解析ツールの導入、フォームサービスの変更、採用の開始、外部委託先の追加といった運用の変化です。年1回の見直しに加えて、これらの変更時に確認する運用にしておくと、乖離が起きにくくなります。
CatalyDesignでは、制作時に「どのタグを設置し、どの外部サービスにデータが渡るか」を一覧にして共有する進め方をとっています。文面を作る作業より、実態を把握する作業のほうが時間がかかるためです。フォーム周りの設計を含めた相談はサービス一覧から確認できます。
まとめ｜文面より先に、実態の棚卸しをする
プライバシーポリシーづくりで押さえておきたい点は次の5つです。
- 文面を書く前に、取得している情報と外部に送信されるデータを棚卸しする
- 利用目的は場面ごとに具体的に書く。抽象的な一文では足りない
- 解析ツール、外部フォーム、採用応募者情報の3つが漏れやすい
- テンプレートの流用は実態との乖離を生む。構成の参考にとどめる
- ツールや運用が変わったタイミングで見直す。年1回の確認も設ける
本記事は一般的な整理であり、個別の判断は業種や取り扱う情報によって異なります。最終的な文面は専門家の確認を受けてください。問い合わせ導線全体の設計はホームページの問い合わせを増やす方法もあわせて参考になります。
