小規模サイトにもプライバシーポリシーが必要な理由と載せたい項目

結論から言うと、お問い合わせフォームやアクセス解析を置いているサイトなら、規模にかかわらずプライバシーポリシーを用意しておくのが基本です。個人情報保護法は事業の規模や扱う人数で対象を分けておらず、またGoogleアナリティクスのような外部サービスも、利用規約でプライバシーポリシーの掲示を求めています。この記事では、小さな会社やお店のサイトでも必要になる理由と、載せておきたい項目を整理します。

「うちは小さいから関係ない」は今は当てはまらない

以前の個人情報保護法には、扱う個人情報が5,000人分以下の事業者は対象外という線引きがありました。しかし2017年5月30日からは、この線引きがなくなり、個人情報を事業に使うすべての事業者に法律が適用されています（個人情報保護委員会「はじめての個人情報保護法 ～シンプルレッスン～」）。

同じ資料では、お客さまの情報だけでなく、従業員の情報や取引先の名刺も個人情報にあたると説明されています。つまり、Webサイトのお問い合わせフォームで名前やメールアドレスを受け取っている会社やお店は、個人情報を扱っていることになります。

法律に「プライバシーポリシー」という名前の書類を作る義務が書かれているわけではありません。ただ、法律で「公表する」「本人が知り得る状態に置く」とされている事項があり、それをまとめてサイトに載せたものが一般にプライバシーポリシーと呼ばれています。

法律が求める「公表」とサイトの関係

個人情報保護委員会の資料では、事業者が守るべきルールとして、おおまかに次の4つが示されています（同資料）。

ルール	内容の例
取得・利用	利用目的を決め、その範囲で使う。目的を本人に通知するか公表する
保管	漏えいなどが起きないよう安全に管理する
提供	第三者に渡すときは、原則として本人の同意を得る
開示請求などへの対応	事業者の名称、利用目的、請求の手続き、苦情の申出先などを本人が知り得る状態に置く

このうち「公表」や「本人が知り得る状態に置く」は、自社サイトに掲載するのが分かりやすい方法です。安全管理のために講じている措置についても、個人情報保護委員会のQ&Aでは、ホームページに概要と問い合わせ窓口を載せ、問い合わせがあれば遅滞なく具体的に答えられる体制があればよいとされています（個人情報保護委員会 Q&A 9-3）。

お問い合わせフォームのそばに利用目的を書いておく考え方は、お問い合わせフォームの離脱を減らす入力項目の考え方でも触れています。

アクセス解析を使うなら、利用規約でも求められる

もうひとつの理由が、サイトに組み込んでいる外部サービスの利用規約です。たとえばGoogleアナリティクスの利用規約では、利用者が適切なプライバシーポリシーを用意して守ること、そしてそのポリシーの中で次のことを開示することが求められています（Google アナリティクス利用規約 第7条）。

• Cookie（閲覧者のブラウザに保存される小さなデータ）などの技術を使っていること
• Googleアナリティクスを使っていること
• Googleアナリティクスでデータが収集・処理される仕組み

最後の点は、Googleの「Google のサービスを使用するサイトやアプリから収集した情報の Google による使用」というページへのリンクを目立つ形で載せることで開示とみなされる、と規約に書かれています。

Googleアナリティクスの導入方法は、Googleアナリティクスの仕組み・見方と設定方法で紹介しています。導入時にプライバシーポリシーへの追記もあわせて行うと漏れがありません。広告の計測タグや予約システム、SNSの埋め込みなど、ほかの外部サービスを使う場合も、それぞれの規約に同じような定めがないか確認しておきましょう。

小規模サイトのプライバシーポリシーに載せておきたい項目

ここまでの内容をふまえると、小さな会社やお店のサイトでは、まず次の項目をそろえておくのが目安です。

1. 事業者の情報：会社名・屋号、住所、代表者名
2. 取得する情報：お問い合わせフォームで受け取る項目（名前、メールアドレスなど）
3. 利用目的：「お問い合わせへの回答」「ご予約の確認」など、実際の使い道を具体的に
4. 第三者への提供：原則として本人の同意なく提供しないこと
5. 安全管理の措置：取り組みの概要
6. 開示などの請求の手続き：請求の受付方法
7. アクセス解析・Cookieについて：使っているサービス名と、その仕組みの説明へのリンク
8. お問い合わせ窓口：個人情報に関する問い合わせ先
9. 改定について：内容を変えることがある旨と、制定日・改定日

ひな形を流用する場合は、実際の運用と合っているかを照らし合わせてください。使っていないサービス名が残っていたり、実際の使い道が利用目的に書かれていなかったりすると、実態と食い違います。サイトに新しい機能やツールを追加したときに見直す、という流れを決めておくと管理しやすくなります。公開時の確認項目については、サイト公開後にやることチェックリストもあわせてご覧ください。

なお、ここで紹介したのは一般的な考え方です。扱う情報の種類（健康に関する情報など）や事業の内容によって必要な対応は変わるため、個別の判断は弁護士などの専門家にご相談ください。

まとめ

• 2017年5月30日から、扱う人数にかかわらず個人情報を事業に使うすべての事業者に個人情報保護法が適用されている
• 利用目的や問い合わせ窓口などの「公表」をまとめてサイトに載せたものが、一般にプライバシーポリシーと呼ばれる
• Googleアナリティクスなどの外部サービスも、利用規約でプライバシーポリシーでの開示を求めている
• ひな形を使うときは実際の運用と照らし合わせ、ツールを追加したら見直す

プライバシーポリシーの掲載場所やフォームまわりの整え方で迷ったら、無料相談でお気軽にご相談ください。サイト制作についてはWeb制作のサービス紹介もご覧いただけます。