プライバシーポリシーは必要？個人情報保護法の条文で確かめた『公表する4項目』と書き方

プライバシーポリシーは法律で必要？個人情報保護法の決まりとは

個人情報保護法の条文には「プライバシーポリシー」という語は出てきません。法律が求めているのは、個人情報を取得したときに利用目的を本人に通知するか公表すること（第21条第1項）、フォームのように本人から直接取得するときはあらかじめ利用目的を明示すること（第21条第2項）、そして保有個人データについて決められた事項を本人の知り得る状態に置くこと（第32条第1項）です。

個人情報保護委員会のガイドライン（通則編）は、第21条第2項の「直接書面等による取得」に「ユーザー入力画面への打ち込み等の電磁的記録」による取得を含め、明示の例として「本人がアクセスした自社のホームページ上に明示」する方法を挙げています（出典：個人情報保護委員会『個人情報の保護に関する法律についてのガイドライン（通則編）』2026年6月一部改正版）。同じガイドラインは、個人情報保護の考え方や方針を「いわゆる、プライバシーポリシー、プライバシーステートメント等」として策定し、ホームページへの掲載や店舗での掲示で公表する取り組みにも触れています。

以前は、取り扱う個人情報の数が5,000人分以下の事業者には法律が適用されていませんでしたが、2017年5月30日からはすべての事業者に適用されています（出典：個人情報保護委員会『はじめての個人情報保護法～シンプルレッスン～』2017年6月）。従業員が1人の店や個人事業主でも、問い合わせの記録をメールソフトや顧客名簿など検索できる形で持っていれば、件数にかかわらず対象です。

出典：e-Gov法令検索『個人情報の保護に関する法律』（2026年10月時点の条文）

第32条の「本人の知り得る状態」には、本人の求めに応じて遅滞なく回答する場合も含まれると条文に書かれています。ホームページへの掲載は必須の方法ではありませんが、ホームページで個人情報を受け取るなら、同じホームページに載せておくのが訪問者にとっていちばん見つけやすい方法です。

ホームページで受け取る個人情報は何？フォーム・電話・アクセス解析

個人情報は「生存する個人に関する情報で、特定の個人を識別することができるもの」で、氏名や、生年月日と氏名の組合せ、顔写真などが例に挙げられています（出典：個人情報保護委員会『シンプルレッスン』2017年6月）。ホームページでは、主に次の場面で受け取ります。

• 問い合わせ・予約・見積もりのフォーム（氏名、電話番号、メールアドレス、住所、相談内容）
• 電話やメールでの問い合わせ（ホームページの電話番号やメールアドレスから来た連絡）
• 求人への応募（履歴書の情報）
• アクセス解析や広告のタグが集める閲覧の記録（Cookie等の識別子と閲覧履歴）

最後のアクセス解析は、それだけでは個人情報に当たらないことが多い情報ですが、ガイドラインは「個人関連情報」の例として「Cookie等の端末識別子を通じて収集された、ある個人のウェブサイトの閲覧履歴」を挙げています（出典：個人情報保護委員会『ガイドライン（通則編）』）。個人関連情報を、提供先が個人データとして取得することが想定される第三者に渡すときは、本人の同意が得られていることの確認が必要です（第31条第1項）。

暖簾AIの調査（2026年10月、中小事業者のサイト863件）で、トップページに何が置かれているかを機械的に判定した結果が次のグラフです。何らかのアクセス解析タグ（GA4・Googleタグマネージャー・旧アナリティクスのどれか）があるサイトは66.5%で、3社に2社が閲覧の記録を集めています。

この調査は、ある事業者団体の公開名簿に載る遺品整理・片付けなどの事業者のサイトを対象にしています。1つの業種の事業者団体の名簿から抽出したため、全業種の平均とは異なる可能性があります。判定はトップページのみ・機械的なもので、下層ページの設定は含みません。フォームは下層の「お問い合わせ」ページに置くサイトが多いため、フォームを持つサイトの実数は21.1%より多いと考えられます（なお21.1%には、サイト内検索の窓だけのサイトも含まれます）。

Googleアナリティクスを使う場合は、法律とは別に、利用規約にも決まりがあります。Google アナリティクス利用規約の第7条は、プライバシーポリシーを公開し、Cookie等の使用について通知すること、Google アナリティクスの使用とデータが収集・処理される仕組みを開示することを求めています（出典：Google『Google アナリティクス利用規約』2023年5月15日更新）。アクセス解析を入れているのにプライバシーポリシーに記載が無い場合は、規約の面でも書き足しが必要です。

プライバシーポリシーに書く項目は何？条文から作るひな形

第32条第1項と政令（施行令第10条）が定める事項に、利用目的の公表（第21条）とアクセス解析の記載を加えると、小さな会社のプライバシーポリシーは次の順番で組み立てられます。

1. 事業者の名称・住所・代表者の氏名：法人は代表者の氏名まで書きます（第32条第1項第1号）。個人事業主は屋号だけでなく氏名を書きます。
2. 取得する情報：フォームで受け取る項目、電話・メールの内容、応募書類など。
3. 利用目的：「お問い合わせへの回答のため」「ご予約の確認と当日のご連絡のため」「新サービスのご案内を送るため」のように、何のために使うかを具体的に書きます。案内メールを送るなら、その目的も書いておきます。
4. 第三者への提供：原則として本人の同意なく提供しないこと、提供する予定がある場合はその内容。業務を外部に委託して渡す場合は、第三者提供に当たらないものとして扱われています（出典：個人情報保護委員会『シンプルレッスン』）。
5. 安全管理のために講じた措置：パスワードの設定、閲覧できる人の限定、従業員への周知など。ただし、掲載すると安全管理に支障が出るおそれがある内容は書かなくてよいとされています（施行令第10条第1号）。
6. 開示・訂正・利用停止等の請求の手続：受付窓口と受付の方法、手数料を定めた場合はその額（第32条第1項第3号）。
7. 苦情の申出先：電話番号やメールアドレスなどの窓口（施行令第10条第2号）。認定個人情報保護団体の対象事業者である場合は、その団体の名称と苦情の申出先も書きます（同第3号）。
8. Cookie・アクセス解析：使っているツール名（例：Google アナリティクス）、集める情報、使い道、無効にする方法。
9. 制定日・改定日：内容を変えたときに分かるようにします。

出典：e-Gov法令検索『個人情報の保護に関する法律』、個人情報保護委員会『ガイドライン（通則編）』3-8-1、Google『Google アナリティクス利用規約』

利用目的の公表については、取得の状況から利用目的が明らかな場合は通知・公表が要らないとされています（第21条第4項第4号）。ガイドラインは、商品やサービスの提供のみを確実に行うために住所や電話番号を受け取る場合を例に挙げています。逆に、問い合わせで受け取ったメールアドレスに後から案内を送る使い方は「明らか」とは言いにくいため、利用目的に書いておく方が安全です。

漏えいしたらどうなる？報告が必要な4つの場合と件数

個人データの漏えい等のうち、個人の権利利益を害するおそれが大きい事態が起きたときは、個人情報保護委員会への報告と本人への通知が義務付けられています（第26条）。個人情報保護委員会の令和7年度年次報告は、報告義務に当たる事由を次の4つに分けて件数を示しています（1件が複数に当たる場合があります）。

出典：個人情報保護委員会『令和7年度 年次報告』（2026年7月）。割合は報告の処理件数17,139件に対する値

報告の処理件数は、2022年度の7,685件から2024年度の19,056件まで増え、2025年度は17,139件でした。

同じ年次報告で、委員会が直接受け付けた13,345件の原因を見ると、報告した事業者自身による「誤交付」が6,072件（45.5%）、「誤送付」が2,889件（21.6%）で、不正アクセス（533件、4.0%）よりも、書類やメールの送り間違いのような人の手の誤りが大きな割合を占めています。小さな会社でも起こり得る種類の事故だということです。

違反があった場合、委員会は勧告や命令を行うことができ（第148条）、命令に違反すると1年以下の拘禁刑または100万円以下の罰金（第178条）、法人には1億円以下の罰金（第184条）が定められています。令和7年度に委員会が個人情報取扱事業者等に行った指導・助言は455件、勧告は2件、命令は1件でした（出典：同年次報告）。プライバシーポリシーは、漏えいを防ぐ仕組みそのものではありませんが、安全管理の方針と窓口を決めて書き出すことが、事故が起きたときの対応の土台になります。

自分のサイトのプライバシーポリシーはどう確かめる？点検の手順

すでにプライバシーポリシーがあるサイトも、作った当時から使っているツールや受け取る情報が変わっていることがあります。次の順に確かめると、10〜15分ほどで一通り見られます。

1. トップページのいちばん下（フッター）に「プライバシーポリシー」や「個人情報の取り扱い」へのリンクがあるか確かめる。
2. お問い合わせ・予約・採用のフォームを開き、送信ボタンの近くに利用目的かプライバシーポリシーへのリンクがあるか確かめる。
3. プライバシーポリシーを開き、事業者の名称・住所・代表者の氏名が今の情報と一致しているか確かめる。移転や代表者の交代があれば直す。
4. フォームで受け取っている項目と、利用目的に書いてある使い道が合っているか確かめる。案内メールやLINEでの連絡をしているなら、その目的が書かれているか見る。
5. ブラウザで右クリックして「ページのソースを表示」を選び、「gtag」「googletagmanager」を検索する。見つかった場合は、Google アナリティクスやCookieについての記載があるか確かめる。
6. 開示・訂正などの請求と苦情の窓口として、連絡先と受付の方法が書かれているか確かめる。
7. 制定日・改定日を見て、内容を直したら日付も更新する。

• 他社の文面を写した場合、自社で使っていないサービス名や、実際には無い窓口が残っていないか
• 参考にした文面の会社名やサイト名が、置き換え忘れて残っていないか
• スマホで開いたときに、文字が小さすぎず読めるか

文面を直したら、実際のページで表示を確かめます。暖簾AIの運用アプリには、ページを実物の見た目のまま直して反映できる「ページ編集」があり、フッターのリンクや本文の文言の修正に使えます。フォームの置き方や問い合わせの導線は「ホームページからの問い合わせを増やす方法」、アクセス解析タグの扱いは「外部送信規律とは」で詳しく書いています。個別の事情（要配慮個人情報を扱う、海外の事業者に提供する等）がある場合は、弁護士などの専門家に確認してください。