ホームページのプライバシーポリシーの書き方｜載せる項目と例

ホームページに問い合わせフォームを置くと、名前やメールアドレス、電話番号といった個人情報を受け取ることになります。そのときに「受け取った情報を何に使い、どう管理し、問い合わせにはどこで応じるか」を示すのが、プライバシーポリシーです。個人情報保護方針と呼ぶこともあります。

この記事では、会社のホームページに置くプライバシーポリシーに何を書けばよいかを、個人情報保護法（以下、法）と個人情報保護委員会の「ガイドライン（通則編）」にそって整理します。必ず載せる項目、利用目的の書き方、安全管理の措置の示し方、ひな形を使うときの注意の順に説明し、最後に項目の例を表にしました。

条文の番号や内容は、2026年10月時点で個人情報保護委員会のガイドラインに載っている形で確かめています。この記事は一般的な説明で、個別の判断は弁護士などの専門家や、個人情報保護委員会の相談窓口に確かめてください。

小さな会社にもかかわる理由

法の義務を負う「個人情報取扱事業者」は、個人情報を検索できる形にまとめたもの（顧客の名簿、問い合わせの記録の一覧など）を事業に使っている事業者です。ガイドラインは、そこに含まれる人数の多い少ないにかかわらず該当すると説明しています。従業員が数人の会社でも、問い合わせのメールを一覧で管理していれば、まず対象になると考えてよいでしょう。

法律には「プライバシーポリシーを作りなさい」という条文はありません。ただ、次のことが求められています。

• 個人情報を取得したら、利用目的を本人に通知するか公表する。あらかじめ公表していれば、取得のたびに通知しなくてよい（法21条1項）
• フォームへの入力のように本人から直接書いて受け取るときは、あらかじめ本人に利用目的を明示する（法21条2項）
• 保有している個人データについて、会社の名称や利用目的、請求の手続き、安全管理の措置などを、本人の知り得る状態に置く（法32条1項、政令10条）

これらをまとめて1ページにし、フッターなどから誰でも開けるようにしておく形が、プライバシーポリシーです。ガイドラインも、考え方や方針をホームページに載せて対外的に説明することを望ましいこととして挙げています。

フォームのそばで利用目的をどう示すかは、問い合わせフォームの項目の決め方で扱っています。この記事は、その先のリンク先になるページの中身の話です。

必ず載せる項目

法32条1項と政令10条から、本人の知り得る状態に置く事項を並べると次のとおりです。「本人の知り得る状態」には、ホームページへの掲載のほか、求めがあれば遅滞なく答えることも含まれますが、問い合わせの多い会社ではホームページに常に載せておくのが両方の趣旨に合う方法だとガイドラインは説明しています。

項目	書く内容の例	根拠
事業者の名称・住所・代表者	会社名、本店の住所、代表者の氏名	法32条1項1号
利用目的	保有するすべての個人データの利用目的	法32条1項2号
請求の手続き	開示・訂正・利用停止などの請求の受付方法、手数料を取るならその額	法32条1項3号
安全管理のための措置	基本方針、取り扱いのルール、社内の体制など	法32条1項4号、政令10条1号
苦情の申出先	窓口の名前、郵送先、電話番号、メールアドレス	法32条1項4号、政令10条2号
認定個人情報保護団体	加入している場合は団体の名称と苦情の申出先	法32条1項4号、政令10条3号

手数料を定める場合は、実費を考えて合理的な範囲にする必要があります。安全管理の措置の公表は、2022年4月1日に全面施行された令和2年改正にあわせて加わった項目で、古いひな形には入っていないことがあります。

利用目的の書き方

いちばん中身の差が出るのが利用目的です。法17条1項は、利用目的を「できる限り特定」することを求めています。ガイドラインは、特定できていない例として「事業活動に用いるため」「マーケティング活動に用いるため」を挙げ、特定できている例として、どの事業で、何のために使うかを書いた文を示しています。

たとえば、問い合わせフォームと見積もりの依頼を受ける会社なら、次のように使い道ごとに分けて書くと読み手に伝わります。

• お問い合わせへの回答と、必要な連絡のため
• 見積もりの作成と、契約にもとづく制作・納品・請求のため
• 当社のサービスやセミナーのご案内を送るため（希望された方のみ）

閲覧の履歴や購買の履歴を分析して、その人の好みに合わせた広告を出すような使い方をするなら、それが分かるように書くことがガイドラインで求められています。決めていない使い道まで広げて書いておくと、かえって「できる限り特定」から外れます。今の使い方を書き、使い方が変わったら書き直す、と考えるのが基本です。

第三者への提供と、外部のサービスの扱い

個人データを第三者に渡すときは、原則として本人の同意が要ります（法27条1項）。ただし、制作会社やメール配信の会社に作業を任せる「委託」は、第三者への提供に当たらないとされています（法27条5項）。プライバシーポリシーには、委託をすることがあるか、その場合に委託先をどう監督するかを書いておくと、読み手の不安が減ります。

サーバーやクラウドのサービスが外国にあり、外国にある事業者に個人データを渡すことになる場合は、別の決まりがかかります。外国にある第三者への提供には本人の同意が要り、同意を得る前に、その国の名称や個人情報の保護の制度などを本人に知らせる必要があります（法28条、規則17条2項）。また、外国で個人データを保管しているなら、その国の制度を把握したうえで安全管理をしていること（外的環境の把握）を、安全管理の措置として示すことになります。

アクセス解析のツールも確認が要ります。たとえば Google アナリティクスの利用規約（2026年10月時点）は、使う側にプライバシーポリシーを公開し、Cookie などを使っていることと、Google アナリティクスを使っていることを開示するよう求めています。解析や広告のタグが外部に情報を送るときの公表の決まりは、ホームページの外部送信規律で別に説明しています。

安全管理の措置はどこまで書くか

政令10条1号で示すのは、安全管理のために講じた措置です。ガイドラインには、書く内容の事例が中小規模の事業者向けのものも含めて載っています。たとえば次のような書き方です。

• 基本方針：法令とガイドラインを守ること、質問と苦情の窓口を設けることを定めている
• 取り扱いのルール：取得・利用・保存の基本的な取り扱い方を決めている
• 組織の体制：責任者を決め、決めた方法で扱われているかを確認している
• 人の面：従業者に定期的に研修をし、秘密を守ることを就業規則に書いている
• 物の面：関係のない人が個人データを見られないようにし、機器や書類の盗難・紛失を防いでいる
• 技術の面：個人データを扱う機器と担当者を決め、不正なアクセスやウイルスから守る仕組みを入れている

一方で、書くと安全管理に支障が出るおそれのあるものは載せなくてよいとされ、廃棄の具体的な方法、入退室の管理の方法、アクセス制御の範囲や認証の方法、不正アクセスを防ぐ措置の具体的な内容が例に挙がっています。「ガイドラインにそって実施しています」とだけ書くのは適切でないとも明記されているので、自社で実際にしていることを短く書きます。サイトそのものの守りについては、ホームページの改ざんの記事も参考になります。

ひな形を使うときの注意

検索するとプライバシーポリシーのひな形がたくさん見つかります。項目の抜けを確かめるのには役立ちますが、そのまま貼るのは避けたほうが安全です。

• 利用目的が、自社の使い方より広すぎたり、狭すぎたりしないか
• 「第三者に提供しません」と書いたのに、実際には外部のサービスに渡していないか
• 安全管理の措置が、実際にしていないことになっていないか
• 苦情の申出先が、実際に受け付けられる窓口と連絡先になっているか
• 改正前の古い形のままで、安全管理の措置や外国の扱いが抜けていないか

書いてあることと実際の扱いが食い違うと、ページを置いたことで、かえって説明のつかない状態になります。年に1度か、フォームや使うツールを変えたときに読み直し、制定日と改定日をページの末尾に書いておくと、いつの時点の内容かが分かります。

項目の例

最後に、会社のホームページに置くプライバシーポリシーの見出しの例を並べます。そのまま使える文ではなく、抜けがないかを確かめるための項目の例です。

1. 基本方針（個人情報を大切に扱う考え方と、法令を守ること）
2. 事業者の名称・住所・代表者の氏名
3. 取得する個人情報と取得の方法（フォーム、メール、電話、名刺の交換など）
4. 利用目的（使い道ごとに分けて）
5. 第三者への提供と委託（同意を得る場合、委託先の監督）
6. 外国にある事業者への提供や外国での保管がある場合の扱い
7. 安全管理のために講じた措置
8. Cookie とアクセス解析のツールの使用
9. 開示・訂正・利用停止などの請求の手続きと手数料
10. 苦情・問い合わせの窓口
11. 制定日・改定日

会社名や窓口の書き方など、サイト全体に載せる基本の情報は会社のホームページに載せる項目もあわせて確かめてください。Lapisデザインラボの月額の保守では、お問い合わせフォームの動作の確認や、文章の差し替えを承っています。内容は月額のサポートをご覧ください。