このページの要点
- 利用目的はできる限り特定し、取得の前に公表するか、取得後速やかに通知・公表する（個人情報保護法17条・21条）。登録画面で直接取得するなら、あらかじめ明示する。
- 保有個人データについて、事業者の名称・住所・代表者名、利用目的、開示等の請求の手続、安全管理措置などを本人の知り得る状態に置く（同法32条）。
- アプリは、端末の識別子、位置情報、連絡先、写真、通知トークン、組み込んだSDKが送る情報など、画面に見えない取得が多い。機能ごとに洗い出す。
- 健康状態・病歴などの要配慮個人情報は、原則として本人の同意なく取得できない（同法20条2項）。
プライバシーポリシーに書くべき事項は、法律から決まる
個人情報保護法は、保有個人データについて、次の事項を本人の知り得る状態に置くことを求めています（個人情報保護法32条1項、同法施行令10条）。「本人の知り得る状態」には、本人の求めに応じて遅滞なく回答する場合も含まれます。これに、取得時の利用目的の通知・公表（同法21条）、第三者提供や外国にある第三者への提供の説明を加えたものが、プライバシーポリシーの骨格になります。
| 記載事項 | 根拠 | 書き方の注意 |
|---|---|---|
| 事業者の氏名又は名称、住所、法人の代表者の氏名 | 個人情報保護法32条1項1号 | 個人の開発者は、本文に常時掲載せず、求めに応じて遅滞なく回答する方式も可能。ただしその旨は書く |
| 取得する情報と利用目的 | 同法17条・21条・32条1項2号 | 目的はできる限り特定する。「その他当社の事業のため」で終わらせない |
| 開示等の請求に応じる手続（手数料を定めた場合はその額） | 同法32条1項3号 | 受付の方法、本人確認、代理人、電磁的記録による開示、利用停止等の要件を書き分ける |
| 安全管理のために講じた措置 | 同法32条1項4号、施行令10条1号 | 組織的・人的・物理的・技術的な措置の概要。外国で取り扱う場合は外的環境の把握 |
| 苦情の申出先 | 施行令10条2号 | 窓口のメールアドレスやフォーム |
| 第三者提供・委託・共同利用 | 同法27条 | 委託と第三者提供の違いが分かるように書く |
| 外国にある第三者への提供 | 同法28条 | 外国の名称、その国の制度、提供先の措置 |
個人で運営しているアプリでも、個人情報保護法の義務はかかります。個人情報取扱事業者には、取り扱う件数の下限がないからです（同法16条2項）。「個人で作った無料のアプリで、お金も動かないから対象外」とはなりません。個人の開発者は、アプリストアに表示される名義と、プライバシーポリシーの事業者の表示をそろえておくと、利用者にとって分かりやすくなります。
取得する情報を、取得の経路ごとに洗い出す
プライバシーポリシーの「取得する情報」は、取得の経路ごとに分けると漏れが少なくなります。事務所の作成例では、次の三つに分けています。
| 取得の経路 | 情報の例 | 確認すること |
|---|---|---|
| 利用者が入力する | メールアドレス、表示名、プロフィール、投稿、問い合わせの内容 | 自由記述欄に、病歴など要配慮個人情報が書き込まれる可能性 |
| 外部の認証サービスを通じて連携される | Apple・Googleのサインインで連携される氏名、メールアドレス、プロフィール画像のURL、識別子 | 連携される項目を具体的に書く。連携した情報を表示に使わないならその旨も |
| 端末の操作に伴って自動で取得する | 端末の種類、OS、アプリの版、利用状況、クラッシュの記録、位置情報、通知の送り先の識別子、課金の状態 | 組み込んだSDKが送る情報も含める。取得しない情報は書かない |
アプリに固有の取得情報
アプリは、画面に見えない取得が多いのが特徴です。事務所が作成・レビューしたアプリのプライバシーポリシーで、特に確認が必要だった情報を挙げます。
- 位置情報：取得するタイミング（記録の開始から停止まで、使用中の現在地の表示など）、アプリを閉じているときにも取得するか、OSの設定で止められること、おおよその位置だけを許可した場合に機能が正確に動かないことを書きます。OSの許可のダイアログやアプリ内の説明画面の文言と一致させます。
- 端末の識別子と広告ID：広告IDを取得しないならそう書きます。トラッキングの許可を求めないアプリなのに、依頼者の既存のプライバシーポリシーに「広告識別子」と書かれていた例があり、ストアへの申告と食い違うため改めました。
- 外部認証の情報：Appleのサインインの連携を解除するために、サーバーに認証用のトークンを保管するなら、それも取得する情報として書き、アカウント削除のときに連携を解除したうえで削除することを書きます。
- 課金の状態：ストアや課金管理サービスから通知される購入・購読の状態です。クレジットカードの番号を取得しないなら、その旨も書きます。
- 写真の位置情報：写真に埋め込まれた撮影場所の情報を、保存の前に取り除くのであれば、明記します。
- SDKが送る情報：解析、クラッシュの記録、プッシュ通知、課金管理などのSDKは、それぞれ情報を外部に送ります。送り先の事業者と所在国は、第三者提供と海外のクラウドのページと外部送信規律のページの整理にもつながります。
位置情報や写真から、病院や宗教施設など、本人の信条や健康状態を推測させる場所が分かってしまうことがあります。事務所の作成例では、そうした情報を保有し得ることを正面から示したうえで、表示以外の目的で分析・利用しないことを約束しました。
利用目的は、できる限り特定する
個人情報を取り扱うときは、利用目的をできる限り特定しなければなりません（個人情報保護法17条1項）。登録画面などで本人から直接書面（電子データを含む）に記載された個人情報を取得する場合は、あらかじめ本人に利用目的を明示する必要があります（同法21条2項）。リンクを置くだけでなく、登録の画面から利用目的が分かる導線にしておきます。
事務所の改訂例：利用目的（依頼者原案・テンプレートからの改訂）
| 目的の特定 | |
|---|---|
| 改訂前その他、本アプリを安全に運営するため。 | 改訂後不正なアクセス及び不正な利用の検知と防止のため。 お問い合わせへの対応及び本人確認のため。 障害の調査及び本アプリの品質の改善のため。 |
| 「安全な運営のため」では、何に使うのかが特定されていません。具体的な目的に分けて列挙します。 | |
| 将来の機能 | |
| 改訂前（現在の機能に必要な目的だけを記載） | 改訂後利用者の記録をもとにした要約・提案の機能の提供及び改善のため（機能の提供を開始する場合に限ります）。 |
| 公開後に関連性を超える目的を追加すると、本人の同意が必要になります（同法17条2項・18条1項）。予定している機能は、最初から目的に含めておきます。 | |
| 統計データへの利用 | |
| 改訂前個人を特定できない形に加工した情報は、自由に利用できるものとします。 | 改訂後当社は、利用者の情報を、個人を識別できない形に加工・集計したうえで、統計データの作成及びサービスの改善に利用します。 |
| 加工の程度と使い道を具体的に書きます。統計データの作成に利用者の投稿などを使うなら、規約上の利用許諾もあわせて置きます。 | |
要配慮個人情報と、自由記述欄
人種、信条、病歴、犯罪の経歴など、本人に対する不当な差別や偏見が生じないよう特に配慮が必要な個人情報は、法令に基づく場合などを除き、あらかじめ本人の同意を得ないで取得してはなりません（個人情報保護法20条2項）。
健康や習慣の記録、悩みの相談、振り返りのメモなど、自由に書ける欄があるアプリでは、利用者が自分から病歴などを書き込むことがあります。本人が自ら入力して提供した場合は、同意があったと考えられるのが通常ですが、入力欄のそばに「健康状態など、他人に知られたくない情報は入力しないでください」といった注意書きを置き、運営者や開発会社が通常の業務で中身を閲覧しない設計にしておきます。健康の改善などを目的とするサービスで、病歴などを積極的に取得するなら、取得の前に、目的を示して明示的な同意を取ります。
安全管理措置は、やっていることだけを書く
安全管理のために講じた措置は、概要を公表し、詳細は問い合わせに応じて回答する方法でも構いません。ただし、「適切な安全管理措置を講じます」の一文だけでは、公表として足りません。組織的、人的、物理的、技術的な措置について、実際に行っていることを書きます。
大切なのは、やっていないことを書かないことです。一人で運営しているなら、一人で運営している事業者としての措置を書きます。事務所の作成例では、記載どおりの状態にするために、1〜2枚の個人データの取扱いのルールと、開発会社との間で個人データの取扱いと漏えい時の報告を定めた覚書の準備をお願いしました。「通信はすべて暗号化しています」のような断定と実装がずれていると、事故が起きたときに、責任の上限が適用されない重大な過失の判断で不利に働くおそれがあります。SQLインジェクションへの対策を講じていなかったことを重大な過失と認め、責任の上限の条項を適用しなかった裁判例もあります（東京地方裁判所平成26年1月23日判決）。
開示等の請求に応じる手続
本人は、保有個人データの開示、訂正・追加・削除、利用停止・消去、第三者への提供の停止などを請求できます（個人情報保護法33条〜35条）。プライバシーポリシーには、請求の受付方法、本人確認の方法、代理人による請求の扱い、手数料の有無と額を書きます。「開示・訂正・削除をいつでも請求できます」と一律に書くよりも、請求の種類ごとに、法律の要件に応じて対応することが分かる書き方のほうが、実際の運用と合います。本人は電子データ（電磁的記録）の提供による開示を請求でき、事業者は、その方法による開示が困難な場合を除き、請求された方法で開示しなければなりません（同法33条1項・2項）。小規模な事業者であれば、手数料は無料とするのが運用も簡単です。
保存期間と削除は、外部サービスの仕様と合わせる
「退会後30日以内に、バックアップを含めてすべてのデータを削除します」と書いても、利用している外部のデータベースやクラウドのバックアップが、それより長く保持される仕様になっていることがあります。クラッシュの記録や解析のデータも、外部サービスの設定に応じて一定期間保持されます。プライバシーポリシーの記載が実態と違うこと自体が、記載の正確性の問題になります。
事務所の改訂例：保存期間と削除（依頼者原案からの改訂）
| 削除の時期 | |
|---|---|
| 改訂前退会後30日以内に、バックアップを含めてすべての情報を削除します。 | 改訂後当社は、退会の申出を受けた後、当社のデータベースから利用者の情報を遅滞なく削除します。ただし、外部の事業者のバックアップその他のシステムには、当該事業者の仕様により一定期間残る場合があります。 |
| 外部サービスの保持の仕様を確認し、運営者が管理できる範囲と、外部の仕様による範囲を分けて書きました。 | |
| 削除の例外 | |
| 改訂前（例外の定めなし） | 改訂後次の情報は、それぞれの目的に必要な範囲で保存します。 購入の記録（返金及びお問い合わせへの対応のため） 位置の情報（利用者との結び付きを切り離したうえで、品質の向上のため） お問い合わせの内容（本人を特定する情報を除いたうえで、対応の記録として） |
| 退会後も残す情報があるなら、その目的と、どのような形で残すのかを書き分けます。存在が確認できない法令を、保存の根拠として引用しないようにします。 | |
退会した後も持ち続ける目的がない情報は、遅滞なく消去するよう努める必要があります（個人情報保護法22条）。月額プランの解約（利用者のアカウントは残る）と、退会・アカウント削除（アカウントがなくなる）は区別して書きます。アプリストアの審査で求められるアカウント削除の手順と、削除されるデータ・残るデータの説明は、ストア審査のページで扱っています。
事業者向けSaaSは、二つの立場を書き分ける
予約管理や顧客管理のように、事業者が自分の顧客の情報を登録して使うSaaSでは、運営者には二つの立場があります。一つは、SaaSを契約した事業者やその担当者の情報を、自ら取得する事業者としての立場です。もう一つは、契約した事業者の顧客の情報を、その事業者から預かる委託先としての立場です。
委託先として預かる情報について、顧客から開示などの請求が直接届いた場合は、「契約している事業者に請求してください。当社に届いた場合は、事業者にお伝えします」と整理するのが一般的です。預かった情報は、サービスの提供という委託の目的の範囲でしか使えません。不正利用の防止や障害の調査も委託の範囲に含めるなら、規約と委託の範囲を定める書面で目的を一致させます。メール配信や決済の事業者が、預けた情報を自社の目的にも使う仕様になっている場合は、その部分が委託の外側になり、第三者提供の整理が必要になることがあります（第三者提供と海外のクラウドのページ）。
公開前のチェック：プライバシーポリシー
- 事業者の名称・住所・代表者名の表示（又は求めに応じて回答する旨）を書いた
- 取得する情報を、入力・外部認証・自動取得の経路ごとに洗い出した
- 位置情報、端末の識別子、課金の状態、SDKが送る情報を実装と照合した
- 利用目的を具体的に列挙し、予定している機能の目的も含めた
- 要配慮個人情報が入り得る欄に注意書きを置いた
- 安全管理措置を、実際に行っていることだけで書いた
- 開示等の請求の手続を、請求の種類ごとに書いた
- 保存期間と削除を、外部サービスの保持の仕様と照合した
- ストアへのデータの申告と、プライバシーポリシーの内容をそろえた
よくあるご質問
アプリのプライバシーポリシーは、必ず作らなければなりませんか？
個人情報を取り扱うなら、利用目的の公表や保有個人データに関する事項の公表など、個人情報保護法が求める事項を本人の知り得る状態に置く必要があり、プライバシーポリシーはそのための文書です。App StoreとGoogle Playでも、プライバシーポリシーのURLの登録が求められています。
個人で作った無料のアプリでも、個人情報保護法の対象ですか？
個人情報データベース等を事業の用に供していれば、個人でも、無料でも、件数が少なくても個人情報取扱事業者に当たります（個人情報保護法16条2項）。メールアドレスで登録できるアプリであれば、通常は対象になると考えておきます。
事業者の住所や氏名を、プライバシーポリシーに載せたくありません。
保有個人データに関する事項の公表は、本人の求めに応じて遅滞なく回答する方法でも足ります（個人情報保護法32条1項）。本文に常時掲載しない場合は、求めに応じて回答する旨と窓口を書いておきます。なお、有料のサービスでは、特定商取引法に基づく表記で別のルールがかかります。
テンプレートのプライバシーポリシーを使ってもよいですか？
テンプレートには、アプリが実際に取得している位置情報や端末の識別子、組み込んだSDKのことが書かれていないことが多く、逆に取得していない情報が書かれていることもあります。取得していない情報を書くと、ストアへの申告と食い違い、記載全体の信頼性も損ないます。実装と照合して作り直します。
プライバシーポリシーに「バックアップも含めてすぐに削除します」と書いても大丈夫ですか？
利用している外部のクラウドやデータベースのバックアップが、一定期間保持される仕様になっていることがあります。運営者のデータベースからの削除と、外部の事業者の仕様により残る期間を分けて書くほうが、実態と合います。
あわせて読みたい、関連する別のガイド
- ネイルサロンの利用規約・プライバシーポリシー・特商法表記ネイルサロン開業の法務ガイド
- 脱毛・ハイフと医師法、エステの施術同意書エステサロン開業の法務ガイド
- 家庭の情報・子どもの情報の扱いと、プライバシーポリシー家事代行・ベビーシッターの契約書ガイド
あわせて読みたいページ
本ページは一般的な情報提供です。個別のサービスに必要な対応は、提供する機能、取得するデータ、課金の方法、利用者の範囲によって異なります。事務所の改訂例・ご相談の事例として紹介している内容は、アトラス行政書士法人が作成・レビューしてきたアプリ・Webサービス・SaaS・プラットフォームの利用規約、プライバシーポリシー、特定商取引法に基づく表記、外部送信ポリシー、開発委託契約書などを、個別の事業者が特定できない形に整理したものです。条文は e-Gov法令検索で確認しています（最終確認日：2026年10月15日）。参考: e-Gov法令検索 / 個人情報保護委員会 / 総務省 / 消費者庁 特定商取引法ガイド
