プライバシーポリシーは、ホームページを通じて受け取る個人情報を、何のために使い、どう扱い、どこに問い合わせればよいかを示すページです。
この記事では、ひな形を並べる前に、個人情報保護法と個人情報保護委員会のガイドラインが何を求めているかを確かめ、そのうえで、問い合わせフォームやアクセス解析を使う場合に足すことを整理します。法律の解釈や自社の場合の判断に迷うときは、弁護士などの専門家に確認してください。
小さな会社も対象になる
個人情報保護法の義務を負う「個人情報取扱事業者」について、個人情報保護委員会のガイドラインは、事業の営利・非営利の別は問わず、扱う個人情報の人数の多寡にもかかわらないとしています。法人格のない団体や個人であっても、個人情報をデータベースとして事業に使っていれば対象になります。
問い合わせの名前やメールアドレスを顧客の一覧として管理していれば、会社の規模に関わらず、この記事の内容が関係します。
法律が「本人が知り得る状態に」と求めている項目
個人情報保護法は、「プライバシーポリシー」という名前の文書そのものを定めているわけではありません。そのかわりに、保有している個人データについて、次の事項を本人の知り得る状態（本人の求めに応じて遅滞なく回答する場合を含む）に置くことを求めています（法第 32 条・政令第 10 条）。多くの会社は、これをプライバシーポリシーのページにまとめて載せています。
- 事業者の氏名または名称と住所。法人は代表者の氏名
- すべての保有個人データの利用目的（一定の場合を除く）
- 利用目的の通知の求めや、開示・訂正・利用停止などの請求に応じる手続（手数料を定めた場合はその額）
- 保有個人データの安全管理のために講じた措置（知り得る状態に置くことで安全管理に支障が出るおそれがあるものを除く）
- 保有個人データの取扱いに関する苦情の申出先（認定個人情報保護団体の対象事業者なら、その団体の名称と申出先も）
1 と 5 は会社概要や問い合わせ先と重なる情報です。3 と 4 は、社内でどう扱っているかを先に決めないと書けません。
利用目的は、できる限り具体的に書く
法第 17 条は、個人情報を扱うにあたって利用目的をできる限り特定するよう求めています。ガイドラインは、利用目的を単に抽象的・一般的に特定するのではなく、最終的にどの事業に使い、どんな目的で利用するのかを、本人が一般的かつ合理的に想定できる程度に具体的に特定することが望ましいとしています。第三者に提供することをあらかじめ想定している場合は、その旨が明確に分かるよう特定しなければならない、とも書かれています。
- 抽象的な書き方の例 「当社の事業活動に利用します」
- 具体的な書き方の例 「お問い合わせへの回答と、ご依頼いただいた工事の見積り・日程の連絡に利用します」「採用応募への選考と、選考結果の連絡に利用します」
上の例はこの記事で書いたものです。自社で実際に使っている目的だけを書き、使っていない目的は書きません。
問い合わせフォームがある場合
個人情報を取得したときは、あらかじめ利用目的を公表している場合を除き、速やかに利用目的を本人に通知するか公表しなければなりません（法第 21 条第 1 項）。プライバシーポリシーで利用目的を公表しておくのは、この備えでもあります。
フォームのように本人が入力画面に書き込む場合は、個人情報保護委員会の Q&A で、原則として利用目的の明示が必要とされています（法第 21 条第 2 項）。ただし、申込内容の確認や結果の通知に使う場合のように、取得の状況からみて利用目的が明らかな場合は、例外的に明示は不要とされています。
実際のサイトの問い合わせフォームでは、84% が個人情報の取り扱いについての同意欄を置いていました。同意欄の近くにプライバシーポリシーへのリンクを置いておけば、入力する人がその場で使い道を確かめられます。
フォームの項目の決め方は 問い合わせフォームの作り方 で整理しています。
第三者に渡す場合
法第 27 条は、定められた場合を除き、あらかじめ本人の同意を得ないで個人データを第三者に提供してはならないとしています。たとえば問い合わせ内容を提携先に取り次ぐ運用があるなら、利用目的にその旨を書き、同意を得る必要があります。取り次ぐ運用が無ければ、「第三者に提供しません（法令に基づく場合を除く）」のように書くのが一般的です。
アクセス解析を使う場合
Google アナリティクスを使うなら、Google の利用規約にも決まりがあります。利用規約は、プライバシーポリシーを公開し、Cookie などデータの収集に使う技術の使用をそこで通知すること、Google アナリティクスの使用と、Google アナリティクスでデータが収集・処理される仕組みを開示することを求めています。開示は、Google が用意している説明ページ（Google のサービスを使用するサイトやアプリから収集した情報の Google による使用）へのリンクを目立つように表示する方法でもできる、とされています。
ほかの解析ツールや広告のタグを使っている場合も、それぞれの利用規約を確かめます。
ひな形の見出し
ここまでの内容を、ページの見出しに並べるとこうなります。法律が求める項目に、ホームページの作りに応じた項目を足した構成です（この記事での整理）。
- 事業者の名称・住所・代表者
- 取得する個人情報と利用目的
- 第三者への提供
- 安全管理のために講じた措置
- 開示・訂正・利用停止などの請求の手続
- Cookie とアクセス解析（使っている場合）
- 苦情・お問い合わせの窓口
- 制定日・改定日
ひな形は出発点です。自社で実際に取っている情報、実際の使い道、実際の窓口に書き換えてから載せます。
作り方は 3 つ｜完成済み・自作・オーダーメイド
作り方はどれでも選べます。優劣ではなく、向いているケースが違います。
- オーダーメイドで作る（制作会社に依頼） 要件を渡せば設計から任せられます。自社に合わせて一から作りたい場合や、撮影・原稿まで任せたい場合に向きます。SITE PICK でもオーダーメイド制作の相談を受け付けています。
- 自分で作る（自作） 費用は抑えられます。プライバシーポリシーは自社の実際の扱いを書くページなので、作り方に関わらず、中身は自社で決めることになります。
- 完成済みのサイトから選ぶ（完成済み） 構成・更新の仕組み・入口が組まれた状態を実物で確かめ、社名・写真・文章を差し替えて公開します。完成形を先に確認してから決めたい場合に向きます。この記事の集計は、その実際のサイトのデータです。
