プライバシーポリシーの
書き方ポイント

プライバシーポリシーとは、事業者が個人情報その他の利用者情報をどのように取り扱うかを、本人、顧客、取引先、採用応募者、従業員、株主、ウェブサイト閲覧者等に説明する文書です。日本の個人情報保護法は、「プライバシーポリシー」という名称の文書をすべての事業者に直接義務付けているわけではありませんが、利用目的の通知または公表、保有個人データに関する事項の本人の知り得る状態への設置、苦情申出先の明示、共同利用事項の通知または容易に知り得る状態への設置などが求められる場面があります。

次の一覧は、プライバシーポリシーで混同しやすい用語の違いを表しています。読者にとって重要なのは、文面では平易に説明しながら、社内の法務・情報管理では各類型に応じた義務の違いを読み分けることです。

要配慮個人情報を扱う企業では、プライバシーポリシーだけでなく、同意取得画面、社内規程、委託契約、情報セキュリティ手順との整合が欠かせません。医療、ヘルスケア、保険、HRテック、労務管理、採用、教育、金融、福祉、スポーツ、メンタルヘルス関連サービスでは、特に慎重な設計が求められます。

プライバシーポリシーの作成で最初に行う作業は、文章を書くことではなくデータマッピングです。データマッピングとは、個人情報等について、取得場面、情報項目、取得元、利用目的、保存場所、アクセス権限、委託先、第三者提供先、共同利用先、越境移転先、保存期間、削除方法、本人請求対応部門を一覧化する作業です。

次の表は、作成前に棚卸しする管理項目を表しています。なぜ重要かというと、この一覧がないまま文面を整えると、実際の取得情報や委託先、共同利用、海外SaaS、採用・従業員情報が漏れるためです。読者は、各行を自社の業務・システム・契約に照らして確認してください。

次の判断の流れは、棚卸し結果をどのように文面へ反映するかを表しています。順番が重要なのは、実態確認を飛ばすと、後から改定、再同意、取引先説明、監査対応、漏えい時対応の負担が増えるためです。読者は、実態確認から文案化までの順番を読み取ってください。

利用目的は、プライバシーポリシーの書き方ポイントの中で最も重要な項目です。個人情報を取り扱うに当たっては、利用目的をできる限り特定することが求められます。「当社の事業活動、マーケティング活動、サービス改善その他必要な目的のために利用します」という広い文言は、本人にとってどの情報がどのように使われるのか予測しにくく、特定性を欠くリスクがあります。

次の比較表は、利用目的の悪い例と改善例の違いを表しています。なぜ重要かというと、広い表現で覆うほど安全になるわけではなく、本人が具体的な利用場面を想定できることが適法性と信頼性に直結するためです。読者は、情報項目、利用場面、目的が対応しているかを読み取ってください。

複数サービスを運営する企業では、利用目的を一つの長文にまとめるより、情報の種類ごとに整理する方法が有効です。次の一覧は、利用目的を分ける代表的な区分を表しています。重要なのは、一般向けの読みやすさと、法務実務上の正確性のバランスです。読者は、自社のサービスではどの区分が必要かを読み取ってください。

次の表は、取得する情報項目の基本分類を表しています。網羅性と可読性を両立させることが重要な理由は、細かすぎる列挙では更新漏れが起き、粗すぎる表現では利用者への説明になりにくいためです。読者は、分類ごとの具体例を、自社が実際に取得する情報に置き換えて確認してください。

取得方法も、本人入力だけに限定してはいけません。書面提出、電子メール、電話、チャット、ウェブフォーム、アプリ利用、Cookieその他の技術、取引先・提携先からの提供、公開情報の閲覧、採用媒体・紹介会社からの提供など、間接取得を含めて説明します。外部データベンダー、営業リスト、広告ID、位置情報、求人媒体、M&Aや事業譲渡に伴うデータ取得では、取得元の適法性確認が重要です。

保有個人データについては、安全管理のために講じた措置を本人の知り得る状態に置く必要があります。ただし、本人が知ることにより安全管理に支障を及ぼすおそれがあるものは除かれます。そのため、プライバシーポリシーでは、内部詳細を過度に公開せず、組織的、人的、物理的、技術的安全管理措置の概要を説明します。

次の表は、安全管理措置として説明しやすい項目を表しています。なぜ重要かというと、「ガイドラインに従い適切に管理します」だけでは、利用者にとって実質的な説明になりにくいためです。読者は、どの種類の措置を概要として記載し、どの内部詳細を控えるかを読み取ってください。

本人請求の条項では、書くだけではなく、問い合わせ窓口、本人確認、社内検索、システム抽出、紙文書確認、委託先照会、回答文案、法務レビュー、回答期限管理まで運用できる形にします。プライバシーポリシーに「合理的な期間内に対応します」と記載しても、社内に対応手順がなければ苦情や炎上につながります。

次の一覧は、本人請求手続で明確にする要素を表しています。重要なのは、開示等の権利を列挙するだけではなく、実際に受付から回答まで動く体制を読み取れることです。読者は、請求窓口、本人確認、回答方法、応じられない場合の説明を確認してください。

苦情・相談窓口は、存在よりも機能が重要です。メールアドレスだけではなく、誰が受け、誰が法的判断を行い、誰がシステム検索を行い、誰が回答するかを決めます。問い合わせフォームを使う場合は、フォーム自体で取得する個人情報の利用目的も説明します。

企業のプライバシーポリシーは、顧客情報だけを対象にしていることが多いものの、実際には採用応募者、内定者、従業員、役員、退職者、派遣社員、業務委託者、株主、取引先担当者の個人情報も取り扱います。採用応募者では履歴書、職務経歴書、資格、学歴、職歴、面接評価、適性検査、リファレンスチェック、応募経路、紹介会社情報を扱います。従業員では給与、勤怠、人事評価、社会保険、税務、健康診断、安全衛生、労働時間、懲戒、ハラスメント調査、内部通報、研修、異動、退職に関する情報を扱います。

次の比較一覧は、顧客以外の情報で見落としやすい領域を表しています。重要なのは、一般顧客向けの利用目的とは大きく異なる情報を同じ文面で処理しないことです。読者は、公開文書で簡潔に示す部分と、個別通知や社内規程で補完する部分を読み取ってください。

教育、ゲーム、SNS、動画、EC、ヘルスケア、習い事、保育、学習塾、未成年向けアプリでは、子ども・未成年者の個人情報も重要です。日本法上、年齢に応じた統一的な同意年齢がすべての場面で単純に定まるわけではありませんが、保護者同意、分かりやすい説明、不適切な広告、プロファイリング、課金、位置情報、写真・動画、学校情報に注意します。子ども向けサービスでは、短く分かりやすい子ども向け説明や保護者向け説明を別途用意することも検討します。

次の表は、業種別に注意しやすい論点を表しています。なぜ重要かというと、プライバシーポリシーの必要事項は、業種、利用者属性、データの機微性、委託先、広告利用、業法規制によって変わるためです。読者は、自社が近い業種の行から重点的な確認事項を読み取ってください。

よくある失敗は、他社コピー、抽象的な利用目的、代表者名・住所の欠落、曖昧な共同利用条項、委託と第三者提供の混同、Cookie・広告タグの未管理、海外SaaSの見落とし、採用・従業員情報の漏れ、改定履歴の欠落、実際の運用との不一致です。最も重大なのは、文書と実態が一致していない状態です。

次の一覧は、よくある失敗と是正方法を表しています。なぜ重要かというと、プライバシーポリシーは一度公開すると、利用者、取引先、監査、行政対応で参照される公式文書になるためです。読者は、失敗の原因と、どこから直すかを読み取ってください。

次の表は、プライバシーポリシーをレビューする関係者と主な確認事項を表しています。重要なのは、法務担当だけでは、システム、広告、人事、監査、経営判断まで見切れないことです。読者は、誰がどの観点を確認するかを読み取ってください。

上場企業やIPO準備企業では、プライバシーポリシーの改定を単なるウェブ更新ではなく、内部統制イベントとして扱うことが重要です。社内承認、根拠資料、改定前後の版、関係者レビューの証跡を残します。

Q1. 小規模事業者でもプライバシーポリシーは必要ですか。

一般的には、個人情報を事業のために取り扱う場合、事業規模にかかわらず個人情報保護法上の義務が問題になり得ます。問い合わせフォーム、EC、予約、採用、メールマガジン、アクセス解析、広告タグを利用する場合は、プライバシーポリシーの整備が重要です。ただし、事業内容や取扱情報によって必要な記載は変わるため、具体的な対応は専門家へ相談する必要があります。

Q2. 無料テンプレートを使ってもよいですか。

一般的には、出発点として参考にすることはあります。ただし、テンプレートは自社のデータの流れ、委託先、第三者提供、共同利用、海外SaaS、Cookie、採用、人事労務、業法規制を反映していないことがあります。具体的には、自社の実態に合わせて修正し、必要に応じて専門家へ確認する必要があります。

Q3. 利用目的は広く書けば安全ですか。

一般的には、広く書けば安全という考え方は適切ではありません。利用目的は、本人が合理的に予測できる程度に具体的に特定する必要があります。広すぎる文言は、かえって特定性を欠く可能性があります。個別の文案は、取得情報や利用場面に応じて確認する必要があります。

Q4. 委託先の会社名をすべて書く必要がありますか。

一般的には、すべての会社名の列挙が常に求められるとは限りません。ただし、委託の有無や委託する業務の内容を明らかにするなど、透明性を高めることが重要です。高リスクな委託先や外部送信先については、別表で具体的に示す設計が有効な場合があります。

Q5. グループ会社への共有は第三者提供ですか。

一般的には、グループ会社が別法人であれば別主体として扱われます。共同利用の要件を満たす場合には、第三者提供規制上の第三者に該当しない扱いとなる可能性がありますが、共同利用事項をあらかじめ本人に通知し、または本人が容易に知り得る状態に置く必要があります。具体的な構成は、利用目的やグループ関係により確認が必要です。

Q6. Google Analyticsや広告タグはプライバシーポリシーに書くべきですか。

一般的には、アクセス解析、広告配信、広告効果測定、外部送信、個人関連情報、Cookie規制の観点から記載を検討する必要があります。実務上は、プライバシーポリシー本文に基本方針を書き、外部送信一覧やCookieポリシーで詳細を示す方法が使われます。

Q7. 海外SaaSを使うだけで外国第三者提供になりますか。

一般的には、一律には判断できません。委託か第三者提供か、外国にある第三者に該当するか、個人データへのアクセスや保存があるか、契約上の措置がどうなっているか、同意や情報提供が必要かを個別に検討する必要があります。

Q8. プライバシーポリシーを改定したら、全員から同意を取り直す必要がありますか。

一般的には、すべての改定で同意の取り直しが求められるわけではありません。ただし、利用目的の大幅な変更、第三者提供の開始、外国第三者提供、要配慮個人情報の取得、AI学習利用など、本人の予測を超える重要な変更では、個別通知や同意取得が必要となる場合があります。

Q9. プライバシーポリシーと利用規約は別にした方がよいですか。

一般的には、別文書にする方が分かりやすいとされています。利用規約はサービス利用に関する契約条件、プライバシーポリシーは個人情報等の取扱いを説明する文書です。ただし、相互に矛盾しないように確認する必要があります。

Q10. 法務部がない会社では誰が作ればよいですか。

一般的には、経営者、事業責任者、情報システム担当、マーケティング担当、人事担当がデータの流れを整理し、必要に応じて外部弁護士や個人情報保護の専門家に確認を依頼する方法があります。重要なのは、テンプレートを貼ることではなく、自社が実際に何をしているかを把握することです。

次の一覧は、SEO記事として読者が抱きやすい不安を表しています。重要なのは、テンプレート配布だけではなく、読者が自社の状況に合わせて判断できる定義、根拠、具体例、注意点を示すことです。読者は、FAQで解消しきれない論点を本文の該当章で確認してください。

個人情報保護法制

• 個人情報保護委員会「法令・ガイドライン等」
• 個人情報保護委員会「個人情報の保護に関する法律についてのガイドライン（通則編）」
• 個人情報保護委員会「個人情報の保護に関する法律についてのガイドライン（外国にある第三者への提供編）」
• 個人情報保護委員会「匿名加工情報」

ウェブ・アプリ運営

• JIPDEC「外部送信規律とは？ 電気通信事業法改正における実務対応ポイント」