問い合わせフォームを設置している時点で、その会社は個人情報保護法の義務を負う「個人情報取扱事業者」です。この記事は、フォームを運用する中小企業のWeb担当・情報システム担当・問い合わせ担当に向けて、どの条文が何を求めているのかという法律の枠組みを整理します。日々の運用手順は問い合わせフォームの個人情報を守る方法にまとめてあるので、この記事は「法律の枠組み」、あちらは「実務チェックリスト」と役割を分けています。
なお本記事は一般的な情報提供であり、法的助言ではありません。個別の判断は弁護士等の専門家にご確認ください。条文と解釈は個人情報保護委員会の公表資料に基づいています。
問い合わせフォームの入力欄は、それ自体が「個人情報の取得」です
氏名やメールアドレスを入力してもらった時点で個人情報の取得にあたり、保護法上の義務が発生します。従業員が数人の会社でも、フォームが1つあれば対象です。
見落とされやすいのが「営業メールも個人情報である」という点です。Hajik が分析した、美容商社(国内最大手・上場)の実フォームデータでは、問い合わせフォームに届いた送信のうち営業目的の確度が高いものが12.9%、判定困難なものが32.2%ありました(簡易ヒューリスティックによる分類です。業種・規模・フォームの性格によって比率は大きく変わり、あくまで一社・一時点のサンプルとお考えください)。営業目的の送信であっても、そこに書かれた氏名・会社名・メールアドレスは個人情報として自社に蓄積されます。「本物の問い合わせではないから雑に扱ってよい」とはなりません。
フォーム運用で押さえる6つの義務
フォーム運用に直結する義務は、大きく6つに整理できます。条番号は現行法のもので、詳細は個人情報保護委員会のガイドライン(通則編)に記載されています。
| 義務 | 主な条文 | フォーム運用での具体 |
|---|---|---|
| 利用目的の特定 | 第17条 | 「問い合わせへの回答」など、使う範囲を先に決めて書き出す |
| 利用目的の通知・公表 | 第21条 | プライバシーポリシーを公開し、フォームから直接リンクする |
| 安全管理措置 | 第23条 | 通信の暗号化、保存先のアクセス制限、閲覧できる人を絞る |
| 従業者・委託先の監督 | 第24条・第25条 | 担当者への周知、フォームツールやCRMの選定と契約 |
| 漏えい等の報告・本人通知 | 第26条 | 誰が気づき誰に報告するかの経路を事前に決める |
| 開示・訂正・利用停止等への対応 | 第32条〜第35条 | 保存場所の把握と、請求を受ける窓口の用意 |
この6つのうち、フォーム運用で穴が開きやすいのは「安全管理措置」と「開示等への対応」です。どちらも、問い合わせ内容がどこに何件たまっているかを把握していないと成立しないためです。
利用目的は「先に決めて、フォームの隣に示す」
利用目的はできる限り特定したうえで(第17条第1項)、取得時に本人へ通知または公表する(第21条第1項)必要があります。
個人情報保護委員会は「できる限り特定」について、本人が、自分の情報がどのような事業でどのような目的に使われるかを一般的かつ合理的に予測・想定できる程度に特定する必要がある、と説明しています(委員会FAQ)。また「公表」の方法としては、ホームページへの掲載やパンフレットの配布、窓口での掲示などが挙げられています(委員会FAQ)。
実務としては次の3点です。
- プライバシーポリシーをサイトに常時掲載し、フォームの送信ボタン付近から直接リンクする
- 目的は実際に使う範囲で書く。「マーケティング活動全般」のような包括表現は特定として弱い
- 後から目的を追加したくなった場合、第17条第2項の「変更前の利用目的と関連性を有すると合理的に認められる範囲」を超える変更には本人の同意が必要になる
安全管理措置と委託先の監督は、外部サービスを使うときほど効く
安全管理措置(第23条)は、送信経路と保存先の両方に及びます。従業者の監督(第24条)と委託先の監督(第25条)も同じ枠組みの一部で、委員会のFAQはこれらを第23条の措置として本人の知り得る状態に置く必要がある、と整理しています(委員会FAQ)。
確認する観点は4つです。
- 通信:フォームのページと送信先がHTTPSになっているか
- 保管:問い合わせ内容が入る場所をすべて数えたか(通知メール、共有ドライブ、CRM、フォームツールの管理画面、チャット通知)
- 権限:中身を見られる人が、業務上必要な範囲に絞られているか
- 委託:外部ツールの利用は委託にあたる。契約と、事故時の通知の取り決めがあるか
Hajik を自社サイトを含む複数の実サイトに設置して運用していて痛感するのは、最大のリスクが「保存場所が増えること」だという点です。通知先を1つ増やすたびに、守るべき場所と、開示請求を受けたときに探す場所が1つ増えます。
Hajik 自身は、フォームの内容をブラウザ内で暗号化してから保存します(E2EE)。保管しているデータを Hajik 側で復号することはできません。一方で、AI 判定のためには判定の瞬間だけ内容をそのまま AI に渡します(マスクすると本物の申込が誤判定されるためです)。クレジットカード番号・マイナンバー・銀行口座・パスポート番号・健康情報の5種は、ブラウザ内で除去してから送ります。「保管は復号できない」と「判定時は内容を渡す」は別のレイヤなので、社内説明でも分けて伝えてください。仕組みはE2EE(エンドツーエンド暗号化)とはとセキュリティで説明しています。
漏えい時の報告と、本人からの請求への備え
一定の漏えい等が起きた場合、委員会への報告と本人への通知が義務です(第26条)。対象となるのは、要配慮個人情報が含まれる事態、財産的被害のおそれがある事態、不正の目的によるおそれがある事態、1,000人を超える漏えい等の4類型です。報告は速報と確報の2段階で、速報は発覚から概ね3〜5日以内、確報は30日以内(不正の目的によるおそれがある場合は60日以内)が目安とされています(漏えい等の対応)。
問い合わせフォームで現実に起きやすいのは、通知メールの誤送信や、共有アカウントの流出です。フォームを止める判断、誰が委員会に報告するか、本人に何を伝えるかを、平時のうちに1枚の手順に落としておくと、当日の判断が早くなります。
本人からの請求も同じ準備でカバーできます。保有個人データについては、開示(第33条)、訂正等(第34条)、利用停止等(第35条)の請求を受ける可能性があります。開示は本人が電磁的記録の提供を求めた場合、それが困難なときを除きその方法で応じる必要があり、対応は「遅滞なく」行うこととされています。過去の問い合わせがどこに何年分残っているかを把握していないと、この期限に間に合いません。
令和8年(2026年)改正で決まったこと
いわゆる3年ごと見直しに基づく改正法が、2026年7月10日に成立し、同月17日に公布されました(令和8年法律第56号)。
法律案は2026年4月7日に閣議決定されたもので、委員会の発表によれば、身体の一部の特徴に係る情報等について違法な取扱いがなくても本人が利用停止等を請求できるようにすること、違法な取扱いで財産上の利益を得た場合に委員会が課徴金の納付を命じる制度を設けること、統計等の作成を行う第三者へ提供する場合等に本人の同意を不要とすることなどが含まれます(委員会の報道発表、参議院の議案情報)。
施行期日は附則で「原則として公布の日から起算して2年を超えない範囲内において政令で定める日」とされており、本稿執筆時点(2026年7月22日)でその政令は出ていません。つまり遅くとも2028年7月16日までに施行される見込みで、具体的な日はこれから決まります。改正内容の多くは大規模なデータ利活用を念頭に置いたもので、通常の問い合わせフォーム運用に直ちに大きな変更を求めるものではありません。ただし本人の請求権が広がり監督が強化される方向であることは確かなので、いま第32条〜第35条への対応体制を整えておくことが、そのまま将来の備えになります。最新の状況は3年ごと見直しのページで確認してください。
よくある質問
従業員が5人の会社でも対象になりますか
対象です。取り扱う個人情報の件数や従業員数による適用除外は設けられていません。フォームを1つ置いた時点で、上の表の6つの義務がかかると考えてください。
プライバシーポリシーはどこに置けばよいですか
サイト内に常時掲載し、フォームの送信ボタン付近からリンクするのが実務的です。委員会は「公表」の例としてホームページへの掲載を挙げています。掲載しただけでフォームからたどり着けない状態は避けてください。何を書くかについては、プライバシーポリシーの書き方(必須9項目チェックリスト)で根拠条文つきに整理しています。
営業目的で送られてきた問い合わせも、開示請求の対象になりますか
送信内容を検索可能な形で保有していれば、保有個人データとして請求の対象になり得ます。営業か本物かという区分と、法律上の取扱いの区分は別です。フォームに届いた内容は、営業判定の結果にかかわらず同じ管理下に置いてください。
フォームツールを使っている場合、責任はどちらにありますか
自社が個人情報取扱事業者として義務を負い、ツール提供事業者は委託先という位置づけになるのが一般的です。だからこそ第25条の委託先の監督が必要で、選定時の確認と契約、事故時の通知の取り決めが実務上の要点になります。
迷惑な営業メールを弾いたら、その内容は消してよいですか
判断は自社のポリシー次第ですが、削除するなら「いつ・どの基準で消すか」を先に決めておくことをおすすめします。基準がないまま個別に消すと、後から開示請求を受けたときに説明できなくなります。仕分けの設計は問い合わせフォームの営業メール対策(実務ガイド)にまとめています。
まとめ:明日やること
読み終えたら、次の5つを順に手をつけてください。所要はおおむね半日です。
- 問い合わせ内容が保存されている場所を全部書き出す(通知メール、共有ドライブ、CRM、フォームツール、チャット通知)
- 書き出した各所について、中身を見られる人の一覧を作り、不要な人を外す
- プライバシーポリシーの利用目的を読み返し、実際の使い方とずれていれば直す。フォームからのリンクも確認する
- 漏えいが起きたときの連絡経路(気づく人→社内の報告先→委員会・本人)を1枚に書く
- 使っているフォームツールの契約書を開き、委託先としての取り決めと事故時の通知条項があるか確認する
自社のフォームに今どんな送信が届いていて、どれを保管し続けているのかを把握するところから始めるなら、無料診断で現状を見てみてください。Hajik はサイトに script タグを1行追加するだけで導入でき、WordPress プラグインの追加も DNS 変更も不要です。判定の効果は99%+の遮断、残り約1%は人が判断する前提で設計しています。14日間の無料トライアルから試せます。
繰り返しになりますが、本記事は一般的な情報提供であり法的助言ではありません。個別の判断は専門家にご相談ください。