ホームページのプライバシーポリシーとサイト利用規約の作り方

最初に結論：会員のいないホームページでも、プライバシーポリシーは「法律で決まる部分」と「外部サービスの規約から来る部分」に分けて作る

ホームページのプライバシーポリシーで問題が出やすいのは、制作会社が同じひな形を多くの顧客サイトに入れる場面です。アトラス行政書士法人は、Web制作会社が多業種のクライアントサイトに組み込むプライバシーポリシーの共通ひな形と、制作担当者向けの運用手引き、その内容についてのご質問への回答書を作成・点検してきました。このページは、そこで繰り返し出た論点を、情報発信が中心のホームページ（会員機能のないサイト）に絞って整理します。

アプリ固有の取得情報（端末ID・SDK・位置情報）はアプリのプライバシーポリシーの書き方、外部送信の一覧の書き方はCookieポリシーと外部送信規律で説明しています。ここでは、ホームページに特有の問い――フォームだけのサイトでも何が必要か、解析ツールや地図の記載は義務か、業種ごとに何を足すか、サイトの利用規約は要るか――を順に扱います。

会員機能がなくても「個人情報取扱事業者」になる

個人情報取扱事業者とは、個人情報データベース等を事業の用に供している者です（個人情報保護法16条2項）。個人情報データベース等は、個人情報を含む情報の集合物で、特定の個人情報を電子計算機で検索できるように体系的に構成したものなどをいいます（同条1項）。問い合わせフォームから届いた氏名・メールアドレス・内容を、メールソフトや表計算ソフトに蓄積し、名前や日付で探して使っているなら、これに当たると考えられます。法律に人数の下限はなく、個人で運営していても、会員がいなくても同じです。

この立場になると、ホームページの作り方に直接かかわる義務が三つ生じます。

1. 取得の場面で利用目的を示すこと。本人が入力画面に打ち込んだ情報を直接取得するときは、あらかじめ利用目的を明示しなければなりません（21条2項）。個人情報保護委員会のガイドライン（通則編）は、自社のホームページの入力画面で参加申込みの情報を取得する場合を、明示が必要な事例に挙げ、送信ボタンを押す前に目的が本人の目に留まる配置を望ましいとしています。
2. 保有個人データについて、一定の事項を本人が確かめられるようにしておくこと。事業者の名称、利用目的、開示等の請求の手続、安全管理の措置、苦情の申出先などです（32条1項、施行令10条）。次の節で詳しく見ます。
3. 安全管理と、外部事業者に任せる場合の監督。フォームの受信を外部のサービスに任せる、返信の作業を外部の担当者に頼む、といった場面は、委託先の監督（25条）の問題になります。

保有個人データの公表事項（32条）：何を、どこに書くか

32条1項は、保有個人データ（事業者が開示や訂正、削除などを行う権限を持つ個人データ。16条4項）について、一定の事項を本人の知り得る状態に置くよう求めています。この「知り得る状態」には、本人から求められたときに遅滞なく回答する運用も数えられます。個人情報保護委員会のQ&A（Q9-1）は、ホームページへの掲載が必須ではなく、問合せ窓口を設けて、問合せがあれば回答できる体制にしておけば足りるとしています。ただし、苦情の申出先となる窓口は、分かりやすくしておくことが望ましいとされています。

安全管理措置の書き方は、ご質問の多い点です。事務所が点検したひな形のご質問でも、「一文に短くしてよいか」が取り上げられました。「必要かつ適切な安全管理措置を講じます」という一文は、法律が事業者に課している義務（23条）を言い換えたものにとどまり、講じた措置の概要を示していません。短くする場合も、四つの区分を消さずに一文へ圧縮し、詳細は請求に応じて回答すると添えます。逆に、実際には行っていない措置を書くことは、実態とずれた公表になるため避けます。小規模な事業者であれば、責任者を決めている、取扱いのルールがある、書類や機器を施錠して管理している、パスワードとアクセス制限をかけている、サイトを暗号化通信にしている、といった基本が整っていれば、概要の記載と実態が合います。

Googleアナリティクスの記載は法律上の義務か：三つの根拠を分ける

ホームページのプライバシーポリシーで最も多く質問されるのが、アクセス解析の記載です。結論から言うと、Googleアナリティクスを使っていることの記載は、個人情報保護法が直接定めた公表事項ではありません。記載する理由は、次の三つに分けて考えるのが正確です。

書き方では、断定の表現に注意します。解析ツールの説明に、「Cookieには個人を特定する情報は含まれません」「匿名で収集しており、個人を特定するものではありません」と書く案は多く見られます。しかし、Cookieの識別子やIPアドレスが個人を識別できるかは、事業者が持つ他の情報や送信先が持つ情報と照合できるかで変わります。事務所のレビューでは、「Cookie自体には、氏名など個人を直接識別する情報は含まれません」のように、事実の範囲にとどめ、実際に送信される情報とその処理を説明するよう改めました。

外部送信規律がかかるホームページ、かからないホームページ

電気通信事業法27条の12は、一定のサービスを提供する事業者に、利用者の端末から外部へ情報を送らせるときの通知・公表を求めています。対象になるかは、会社の規模や利用者の数ではなく、提供する役務の性質で決まります。総務省の「外部送信規律FAQ」は、次のように整理しています（2026年10月18日に確認）。

では、対象外のホームページは、外部サービスについて何も書かなくてよいのでしょうか。共通ひな形の運用では、外部送信規律に基づいて公表する旨の宣言文だけを削り、解析ツールや地図、スパム対策などの個別の説明は、透明性の確保のために残す扱いにしました。適用のない規律を掲げる文だけが不要で、利用者に対する説明まで消す必要はないという整理です。

問い合わせフォームと外部フォームサービス：取得から返信までのデータの流れ

フォームは、入力を受ける場所であるだけでなく、情報が複製される場所でもあります。入力内容はフォームサービスに保存され、通知メールで受信箱に届き、表計算ソフトやチャットにも転記される。保存先が増えるほど、事業者が把握すべき範囲も広がります。

クラウドのフォームサービスを使うことが、第三者への提供や委託に当たるかは、保存しているデータに個人データが含まれるかどうかではなく、サービスの提供事業者が個人データを取り扱うことになっているかで判断します（Q&A 7-53）。取り扱わないことになっている場合は、「提供」にも委託にも当たりませんが、自分で適切な安全管理措置を講じる必要があります（Q&A 7-54）。一般的なコーポレートサイトで、フォームを使うという理由だけで、第三者提供の条項に書く必要はない、というのが事務所の整理でした。一方、提供事業者が自社の目的で入力内容を処理する仕組みなら、委託や外国提供の整理が別に要ります。

業種別に足す項目：ひな形の「差し替え箇所」を分けて管理する

共通のひな形は、そのままでは多くの業種に合いません。業種ごとに、取得する情報、利用目的、提供先、守るべき法令が異なるからです。

サイト利用規約は要るか、置くなら何を書くか

会社案内と問い合わせフォームだけのホームページには、利用規約を置かなくても、法律上の問題は直ちには生じません。利用規約は、利用者と契約を結ぶ場面で必要になる書類だからです。ただ、サイトの内容に誤りがあったとき、他者がページを転載したり、画像を直接読み込んだりしたとき、リンクの張り方を決めたいときのために、「ご利用にあたって」のような短い案内を置く事業者は多くあります。サイトの形と、規約の要否は次のように整理できます。

規約を置くときは、プライバシーポリシーとの関係も決めておきます。規約には「個人情報はプライバシーポリシーに従って取り扱う」とだけ書き、取得する情報や利用目的は、プライバシーポリシー側に一本化します。2か所に書くと、改訂のたびに食い違いが生じるからです。改訂の手順は利用規約の変更で説明しています。

起きがちなこと

ホームページのプライバシーポリシーは、一度作れば終わる書類ではありません。フォームを足す、解析を入れる、採用の応募を受ける、会員を募る。サイトが育つたびに、取得する情報も、送られる先も変わります。実装とポリシーの記載を、同じ一覧から作る習慣をつけておくと、食い違いを防げます。

よくあるご質問

あわせて読みたいページ

本ページは一般的な情報提供です。個別のサービスに必要な対応は、提供する機能、取得するデータ、料金の受け取り方、利用者の範囲によって異なります。事務所の書類での扱いとして紹介している内容は、アトラス行政書士法人が作成・レビューしてきたアプリ・Webサービス・プラットフォーム・ホームページの利用規約、プライバシーポリシー、特定商取引法に基づく表記、業務委託契約書などを、個別の事業者が特定できない形に整理したものです。条文・ガイドラインは e-Gov法令検索と各官公庁の公表資料で確認しています（最終確認日：2026年10月18日）。参考: e-Gov法令検索 / 個人情報保護委員会 / 総務省 / 消費者庁 / 金融庁 / 観光庁