プライバシーポリシーの書き方｜問い合わせフォームを持つ会社の必須9項目チェックリスト

プライバシーポリシーは、問い合わせフォームを1つでも持っている会社なら用意が必要です。この記事は「フォームから個人情報を受け取っている会社」に絞り、必ず書く項目とフォーム特有の書き漏れをチェックリストで整理します。想定読者は中小企業のWeb担当・情シス・問い合わせ担当の方です。

なお本記事は一般的な情報であり法的助言ではありません。個別の判断は専門家にご確認ください。根拠は個人情報保護委員会のガイドライン(通則編)などの一次情報にリンクしています。

なぜフォームを持つと、プライバシーポリシーが実質的に必須になるのか

フォームで氏名やメールアドレスを受け取る時点で、利用目的の通知・公表(法21条)と、保有個人データに関する事項の公表(法32条)という2つの義務が同時に発生するからです。

法律に「プライバシーポリシーというページを作れ」とは書かれていません。書かれているのは「利用目的を通知するか公表せよ」「保有個人データについて一定の事項を本人の知り得る状態に置け」です。不特定多数が送信するフォームでは個別通知が現実的でないため、1枚のページにまとめる形が実務上の受け皿になります。委員会も、ホームページで公表することは可能としたうえで、分かりやすい場所への掲載を求めています(委員会FAQ)。枠組み全体は個人情報保護法と問い合わせフォームにまとめています。

必ず書く9項目チェックリスト

「誰が・何のために・どこへ渡し・どう守り・どう請求を受けるか」が埋まっているかを見てください。項目に落とすと9つです。

6の開示等の手続は、必ずホームページに掲載する必要はなく、問い合わせに遅滞なく回答する体制でも足ります(委員会FAQ)。ただ、窓口だけ書いて手順が決まっていないと請求が来た日に止まります。

7の安全管理措置は、概要を掲載し具体的内容は問い合わせに応じて回答する対応が認められており(委員会FAQ)、攻撃の手がかりになる詳細まで公開する必要はありません。なお従業者の監督(法24条)と委託先の監督(法25条)は安全管理措置の一部を成すため、これらも本人の知り得る状態に置く必要があります(委員会FAQ)。

フォームまわりで書き漏れやすい4点

雛形にはまず載っていないのに、フォーム運用では必ず発生するのがこの4つです。

自動返信メール。 送信直後に「お問い合わせありがとうございます」を返す設定は、入力されたアドレスの利用です。利用目的に「お問い合わせ内容の確認および回答」が入っていればその範囲ですが、同じアドレスをメールマガジンに追加するのは別の目的です。配信登録が抱き合わせになっているフォームは、記載と食い違っていないか確認してください。

外部のフォームサービス。 埋め込み型のフォームツールやアンケートサービスでは、送信内容はまず外部サービス側に保存されます。これは委託にあたり、監督義務は委託した側に残ります。「業務の委託に伴って委託先に取り扱わせることがある」旨を書き、委託先一覧を社内で持ってください。保存先が国外なら、外国にある第三者への提供(法28条)の検討も必要です。

AIでの処理。 問い合わせ内容を要約・分類・仕分けするツールを使っているなら、それも利用目的の一部です。「AIを使っています」だけでは足りず、何を渡すのか、渡した内容が再学習に使われるのかを契約で確認して書きます。

保管期間。 法律は一律の年数を定めていませんが、必要がなくなった個人データは遅滞なく消去する努力義務があります(法22条)。「必要な期間保管し、その後は消去します」と書くのは簡単で、難しいのは通知メール・共有ドライブ・CRM・チャット通知に散らばった複製を実際に消すことです(棚卸しの手順)。

自社サイトを含む複数の実サイトでフォームを運用していて、ポリシーが古くなる原因はほぼこの4点でした。ツールを1つ足すたび委託先と保存場所が増えるのに、ポリシーだけが初回公開のまま残るのです。

Cookieとアクセス解析は「何を書くか」より「誰に渡すか」

Cookie の記載で判断が必要になるのは、自社で見るだけか、外部に渡しているかの違いです。

Cookie などの端末識別子は、それ自体が個人情報にあたらない場合でも「個人関連情報」に該当するのが通常で、他の情報と容易に照合して個人を識別できる場合は個人情報として扱います(委員会FAQ)。さらに提供先が個人データとして取得することが想定されるときは、本人同意の確認などの手当てが必要です(法31条、委員会FAQ)。広告の計測タグを入れているなら一度確認してください。

電気通信事業法の外部送信規律(第27条の12)は、対象となる事業者・役務が定められた規律です。自社商品の紹介と問い合わせフォームだけのコーポレートサイトは通常その対象になりません(総務省の解説、同FAQ)。対象外でも解析ツールと目的は書くほうが親切です。

雛形をコピペするときの落とし穴

雛形の最大の危険は、書いてある内容が自社の実態と食い違うことです。実態と違うポリシーは、守れていない約束を自分で公開している状態になります。

• 共同利用の条項が入っているのに、共同利用している相手がいない(該当しないなら削除する)
• 苦情窓口に、誰も見ていないメールアドレスが書かれている
• 開示請求の手数料が書かれているが、金額を決めた事実がない
• 安全管理措置に「ISMSを取得しています」とあるが、実際は取得していない
• 「第三者に提供することはありません」と言い切っているのに、外部のフォームSaaSやCRMを使っている(委託は第三者提供とは別ですが、読み手には矛盾に見えるので委託の記載を添える)

雛形を1行ずつ読み、今の運用と合っていない行は消すか実態に書き換えてください。埋められない行が残ったら、それは文章ではなく運用が決まっていないというサインです。フォーム項目を減らせば書くべきことも減ります(項目設計の考え方)。

書き終えたら、置き場所と導線を確認する

公表として成立させるには、トップページから短い操作でたどり着け、フォームの送信ボタン付近からも直接リンクされている状態が理想です。フッターの常時リンクに加えて、送信ボタンのすぐ上に「個人情報の取扱いについて」を置いてください。更新日を明記し、ツールを追加・変更した日に読み返す運用にすると内容が古びません。共同利用の「本人が容易に知り得る状態」についても、委員会はホームページへの継続的な掲載を例に挙げています(委員会FAQ)。

よくある質問

個人事業主やスタッフ数名の会社でも必要ですか

必要です。件数や従業員数による適用除外はありません。ただし安全管理措置は規模やリスクに応じた内容でよく、大企業と同じ体制は求められません。まず9項目を埋めてください。

「マーケティング活動全般に利用します」と書いておけば安全ですか

おすすめしません。利用目的はできる限り特定する必要があり、本人が一般的かつ合理的に予測・想定できる程度の具体性が求められます。委員会も、抽象的・一般的な内容を掲げるだけでは「できる限り特定した」ことにならないとしています(委員会FAQ)。広く書けば安全ではなく、特定として弱くなります。

営業目的で届いた送信の情報も、ポリシーの対象になりますか

なります。営業目的の送信でも、そこに書かれた氏名・会社名・メールアドレスは個人情報です。Hajik が分析した、美容商社(国内最大手・上場)の実フォームデータでは、汎用フォームで営業と判定できる送信が56.2%を占めました(簡易ヒューリスティックによる分類です。業種・規模・フォームの性格によって比率は大きく変わり、あくまで一社・一時点のサンプルです)。この量が「営業だから」と管理外に置かれがちなので、保管と削除は本物の問い合わせと同じ枠組みに乗せてください。仕分けの運用は問い合わせフォームの営業メール対策にあります。

判定ツールを入れたら、ポリシーに何を書き足せばよいですか

渡す範囲と、渡した先での扱いです。私たちのサービスでは、保管はブラウザ内で暗号化するため運営側が復号できない一方、判定する瞬間だけは精度のために内容をそのままAIに渡します(クレジットカード番号・マイナンバー・銀行口座・パスポート番号・健康情報の5種はブラウザ内で除去済み)。「保管時に復号できるか」と「処理時に何を見るか」は別のレイヤなので分けて書いてください(E2EEとは、セキュリティ)。

まとめ:明日やること

上から順に手を動かしてください。

1. 今のプライバシーポリシーを開き、9項目のうち欠けているものに印をつける
2. 使っているフォーム関連ツールを全部書き出し、委託の記載と突き合わせる
3. 苦情窓口のアドレスにテスト送信し、届くことと誰が読むかを確認する
4. 開示請求が来たときの受付方法と担当を、1行でよいので決めて書く
5. フォームの送信ボタン付近にポリシーへのリンクがあるか実機で確認する

自社のフォームに今どんな送信が届き、どれを保管し続けているのかを把握したい方は無料診断からどうぞ。Hajik はscriptタグ1行で導入でき、プラグイン追加もDNS変更も不要です。効果は99%以上の遮断、残り約1%は人が判断する前提で設計しています。14日間の無料トライアルもご利用ください。

本記事は一般的な情報であり法的助言ではありません。個別の判断は専門家にご相談ください。