センシティブな情報を扱うアプリのプライバシーポリシーの書き方

最初に結論：センシティブな情報は「法律上の要配慮個人情報」と「それに準じて慎重に扱う情報」の二段で整理し、取得の入口に同意と注意書きを置く

健康、メンタル、子ども、顔認証、交流の場――センシティブな情報を扱うアプリのプライバシーポリシーは、一般のアプリのひな形に数行を足すだけでは足りません。アトラス行政書士法人は、症状の入力と音声の文字起こしを外部のAIで処理する受診支援アプリ、感情の記録をAIで分析するセルフケアアプリ、顔認証で服薬確認を行う法人向けのサービス、保護者が子どもの特性を投稿するコミュニティ、性別や性的指向などをプロフィールに持つ交流アプリなどの規約とプライバシーポリシーを作成・点検してきました。このページは、そこで繰り返し出た論点を、情報の種類ごとに整理します。

アプリのプライバシーポリシー全体の組み立てはアプリのプライバシーポリシーの書き方、外国のクラウドやAIに送るときの基本は個人情報の第三者提供と、海外のクラウド・SaaSの整理で説明しています。ここでは、センシティブな情報に特有の部分に絞ります。

要配慮個人情報に当たる情報、当たらない情報

まず、手元の情報が要配慮個人情報に当たるかを、法令の列挙に当てはめて確かめます。2条3項は、本人の人種、信条、社会的身分、病歴、犯罪の経歴、犯罪の被害に遭った事実などを挙げ、施行令2条が、障害があること、健康診断等の結果、診療・調剤・保健指導を受けたこと、刑事手続を受けたこと、少年の保護事件の手続を受けたことを加えています。障害には発達障害が含まれ（施行規則5条3号）、障害福祉サービスを受けていることのように、障害があることを特定させる情報も該当するとされています（ガイドライン通則編2-3）。

ポリシーの書き方でも、法令の用語は区別して使います。「個人情報には、利用者の感情・思考・心理状態等のセンシティブ情報を含みます」と書く案は、法令上の個人情報と、法令に列挙されていない情報を一文に混ぜ、どこから要配慮個人情報なのかを曖昧にします。事務所の書類では、「要配慮個人情報」は法令の定義どおりに使い、それに当たらないが慎重に扱う情報は、別に「センシティブな情報として慎重に取り扱う」と書き分けました。

取得の入口：同意の取り方と、入力欄の注意書き

要配慮個人情報は、あらかじめ本人の同意を得なければ取得できません（20条2項）。ガイドライン（通則編3-3-2）は、書面や口頭などで本人から適正に直接取得する場合、本人が自ら情報を差し出したこと自体が、取得への同意を示すものと受け取れるとしています。症状の入力欄に本人が自ら書く構成であれば、取得の同意そのものは整理しやすいといえます。

難しくなるのは、次の四つの場面です。

1. 本人以外の情報が入る欄。子ども、家族、診察した医師などの情報は、入力する人は本人ではありません。入力者に必要な同意を得る責任を負わせる条項と、画面上の注意書きが要ります。
2. 取得を想定していない自由記述欄。運営者が取得するつもりがなくても、利用者が書き込めば、結果として保有することになります。
3. 他の事業者に流す場面。要配慮個人情報の第三者提供には原則として本人の同意が必要で、オプトアウトによる提供は認められません（27条2項ただし書）。
4. 外国の事業者に送る場面。外国にある第三者への提供の同意（28条）は、要配慮個人情報の取得の同意とは別のものです。後の節で扱います。

顔画像・顔特徴データ・生体情報

顔に関する情報は、三つに分けて考えます。顔写真そのもの、顔の特徴を識別のために変換したデータ、そして特定の個人との対応関係をなくした形の情報です。

事務所が作成・点検した、顔認証で服薬確認を行うサービスのプライバシーポリシーでは、顔認証データについて次のように書き分けました。目的は本人確認に限る。保持は目的の達成に必要な最小限の期間にとどめ、達成後は速やかに削除するか、復元できない形式に加工する。精度向上のための機械学習には、個人を識別できない形式に変換した情報だけを用い、生体情報そのものを再利用しない。健康情報などの要配慮個人情報は、書面（電磁的記録を含む）による同意を得て取得する。法人や施設が利用する場合は、委託を受けた者として、委託元の指示の範囲で取り扱い、開示等の請求は原則として委託元を通じて対応する。

令和8年の改正は、顔特徴データ等を「特定生体個人情報」として規律します。新しい21条の2は、特定生体個人情報を取り扱うときに、事業者の名称・住所・代表者の氏名、取り扱うこと、利用目的、元になる身体の特徴の内容、開示等の請求の手続などを、あらかじめ本人に通知するか、本人が容易に知り得る状態に置くことを求めます。27条2項ただし書は、特定生体個人情報についても、オプトアウトによる第三者提供を認めない旨に改められます。対象となる範囲は政令で定められます。改正の本体は、公布（令和8年7月17日）から2年を超えない範囲で政令が定める日（遅くとも令和10年7月16日まで）に施行される予定で、2026年10月時点では施行されていません。いま作る書類は、現行の規定に沿って書き、施行日が決まった時点で周知事項を足せるよう、取得する生体情報の項目と利用目的を台帳にしておくのが現実的です。

子どもの情報：年齢の線引きと、保護者が入力する構造

個人情報保護法に、同意ができる年齢の定めは、いまのところありません。ガイドライン（通則編2-16）は、同意の結果を判断できる能力がない未成年者は、親権者や法定代理人などから同意を得る必要があるとし、Q&A（Q1-62）は、一般的には12歳から15歳までの年齢以下の子どもについて、法定代理人等の同意が必要と考えられるとしています。個別の事情、情報の種類、事業の性質で判断するため、「13歳以上なら自分で同意できる」のような線引きは、日本法の基準ではありません。13歳という数字は、米国の子どものオンラインプライバシー保護の法律の基準に由来するものです。

令和8年の改正で、この年齢が16歳に明文化されます。新しい40条の2は、本人が16歳未満のとき、同意の取得や通知に関する規定の「本人」を「本人の法定代理人」と読み替えます。本人が16歳未満であることを事業者が知らないことに正当な理由がある場合、法定代理人が本人の営業を許可していた場合、本人に法定代理人がいない場合は、対象外です。利用停止等の請求の要件の緩和（35条9項・10項）や、未成年者の最善の利益を優先して考慮する責務も設けられます。これも施行は令和10年7月16日までの政令で定める日で、2026年10月時点では施行前です。

性的指向・性自認の情報と、アウティングの防止

性的指向や性自認は、法令が列挙する要配慮個人情報には含まれていません。しかし、本人の意思に反して知られれば、差別や偏見、人間関係の破壊といった深刻な被害につながります。法令の枠を超えて、設計で守る範囲です。事務所が点検した、同性間の交流アプリや、性的少数者向けのイベント・コミュニティのアプリでは、次の点が繰り返し指摘されました。

規約とプライバシーポリシーの役割は、分けて書きます。規約には、禁止事項、通報、利用制限、異議申立てを書き、運営者の裁量が広すぎないよう、判断の基準を示します。ポリシーには、利用目的の限定、保存の期間、削除の請求、第三者に開示しないこと、匿名性の確保を書きます。点検の際には、「プライバシーポリシーに従う」とだけ書かれた規約が指摘を受けました。連動する条文がなく、利用者の同意の方法や削除請求の権利が見えなくなるからです。

法人・施設に使わせるサービスと、外国のAI・クラウドに送るとき

法人や施設の利用者の情報を預かるときは、二つの立場を書き分ける

介護施設、保育園、医療機関、薬局などの法人に提供するサービスでは、利用者（施設に通う人）の要配慮個人情報を、サービスの運営者が預かることになります。このとき運営者は、多くの場合、法人の委託を受けて取り扱う立場です。委託により個人データである要配慮個人情報の提供を受けるときは、取得についての本人の同意は要りません（20条2項8号、施行令9条2号）。本人への説明と同意は、情報を取得する法人の側の役割です。一方で、同じサービスに個人向けのプランがあれば、その利用者の情報は運営者が自ら取得するため、運営者が同意を取ります。プライバシーポリシーは、この二つの立場を分けて書きます。

• 法人の委託を受けて取り扱う情報：目的は「本サービスの提供」に限り、委託の範囲を超えて自社の目的に使わない（Q&A 7-38）。開示等の請求は原則として委託元の法人を通じて対応し、当方に直接届いたときは委託元に伝える
• 運営者が自ら取得する情報：個人向けプランの利用者、問い合わせをした人、サイトの閲覧者。取得の同意、利用目的、開示等の手続を自社で担う
• 他の事業者へ流す場面：マッチングや受入れ調整のように、入力された要配慮個人情報が別の事業者に渡るサービスでは、第三者提供の同意（27条1項）を誰が、いつ取るかを画面と規約で決める。運営者は、本人の同意を得ずに入力してはならないことを禁止事項に定め、入力者が同意を得たことの確認欄を置く

法人の側に、すべての利用者から外国への提供の同意を取り直してもらう設計は、現実的ではないことが多く、締結を躊躇させる条項になります。提供先が必要な体制を整備している場合は、同意に代わる方式があるため（28条1項・3項）、運営者が提供先の体制を確認し、継続的に措置を確保する方式を主に、同意方式を従に組み替える整理が実務にはあります。

外国のAI・クラウドにセンシティブな情報を送るとき

症状や音声、感情の記録を、外国の事業者が提供するAIに送って処理する構成は、28条の対象になりえます。外国かどうかは、サーバーの所在地ではなく、提供先の法人が所在する国で判断します（Q&A 12-11）。同意を得る際には、あらかじめ、外国の名称、その国の個人情報保護制度に関する情報、提供先が講じる保護措置に関する情報を、本人に提供します（28条2項、施行規則17条2項）。国名が特定できないときや、措置の情報を提供できないときは、その旨と理由を伝えます（同条3項・4項）。

• 要配慮個人情報を送るときの同意は二重になる：取得への同意（20条2項）と、外国にある第三者への提供の同意（28条1項）。画面では、別のチェック欄に分けると、何に同意したかが明確になる
• 委託として外国で取り扱わせる場合は、外的環境の把握が要る：委託先が所在する外国の制度を把握して安全管理措置を講じ、その国の名称と措置の内容を、本人の知り得る状態に置く（Q&A 10-24）
• AI事業者が入力内容を学習に使うか：個人情報保護委員会は、令和5年6月2日の注意喚起で、個人データを含む入力が応答の出力以外の目的で取り扱われる場合は、法に違反することとなる可能性があるため、提供事業者が機械学習に利用しないこと等を確認するよう求めている。ポリシーには、自社が学習に使うか、外部のAI事業者が学習に使う可能性があるかを、分けて書く。学習の条項の書き方は利用者のデータを統計化・AI学習に使うときの規約とプライバシーポリシーと、AIサービス・APIの利用規約で決めておくことで整理しています
• 「運営者は責任を負わない」で済ませない：外部の事業者による処理について一切の責任を負わないと書くより、選定の基準、学習に使われない設定の確認、委託先の監督を書くほうが、実態と法の要請に合う

起きがちなこと

センシティブな情報を扱うアプリでは、書類の文面よりも、画面と実装のほうが先に利用者の信頼を左右します。入力欄の注意書き、同意のチェック、公開範囲の初期値、削除のボタン。ポリシーの記載は、それらと同じ元の資料から作ります。令和8年の改正は、子どもと顔の情報について、段階的に規律を強めます。施行日が決まった段階で、周知事項や同意の相手を足せるよう、取得する情報の台帳を今から整えておく進め方が、手戻りの少ない方法です。利用規約・ポリシーの変更の手順もあわせて確認してください。

よくあるご質問

あわせて読みたいページ

本ページは一般的な情報提供です。個別のサービスに必要な対応は、提供する機能、取得するデータ、料金の受け取り方、利用者の範囲によって異なります。事務所の書類での扱いとして紹介している内容は、アトラス行政書士法人が作成・レビューしてきたアプリ・Webサービス・プラットフォーム・ホームページの利用規約、プライバシーポリシー、特定商取引法に基づく表記、業務委託契約書などを、個別の事業者が特定できない形に整理したものです。条文・ガイドラインは e-Gov法令検索と各官公庁の公表資料で確認しています（最終確認日：2026年10月18日）。参考: e-Gov法令検索 / 個人情報保護委員会 / 総務省 / 消費者庁 / 金融庁 / 観光庁