COLUMN
個人のお店のホームページに、プライバシーポリシーは要る？｜公式ページで確かめられること
ホームページを作ったら、「プライバシーポリシーも要りますよ」と言われた。個人のお店でも、要るのだろうか。そう迷っている店主のための記事です。
この記事は、法律の助言ではありません
公式のページに書いてあることを、出典つきで引いて、分かりやすくまとめたものです。「あなたのお店は、この決まりに当たる」「この書き方なら大丈夫」といった判断は、しません。書き込むだけの文例（ひな形）も、出しません。お店のやり方によって、書くことが変わるためです。迷うときは、専門家（弁護士など）に確かめてください。公式の説明の読み方を聞くだけなら、個人情報保護委員会の相談ダイヤルもあります（ただし、法律に合っているかの判断は、してもらえません。⑧に書きました）。
私の考え
私（やましなWeb）は、ホームページを作る立場です。その立場から見て、フォームや予約のあるホームページでは、「お客さんの情報を、何に使うか」を書いておくことが、大切だと考えています。この記事では、その「なぜ」と「何を書くか」を、公式ページに沿って整理します。
先に結論
- 「プライバシーポリシー」という名前のページを作れ、と書いた条文は、この記事で使った公式ページには、確認できていません。ただし、お客さんの名前や連絡先を事業で扱うなら、「知らせる」という決まりがあります。
- 個人情報保護委員会のQ&Aには、個人情報データベース等を事業の用に供している者は、個人の数の多寡にかかわらず個人情報取扱事業者に該当する、とあります。[出典1]小さなお店・個人も、対象になりえます。
- 決まりの中身は、利用目的を具体的に決める、取得したら知らせる、決まった事項を「本人の知り得る状態」に置く、などです。[出典2]
- ホームページへの掲載は、そのための代表的な方法です。ただし、Q&Aには、必ずしもホームページに掲載しなければならないわけではない、とも書かれています。[出典1]
- アクセス解析（Googleアナリティクス）を使うなら、Googleの規約が、プライバシーポリシーの公開と、使っていることの開示を求めています。[出典3]これは法律ではなく、Googleの決まりです。
- 総務省の「外部送信規律」は、電気通信事業を営む者が対象です。総務省のページは、企業等のホームページ運営・個人ブログを、対象にならない例に挙げています。[出典4]
① こうなると、書くことが増える
私の考え
ホームページが、会社案内のように「見せるだけ」なら、お客さんの情報を預かることは、あまりありません。次の3つのどれかが加わると、お客さんの情報を扱うことになり、書くことが増えると考えています。
お問い合わせフォーム・メールがある
お客さんの名前・連絡先を受け取る
- 何に使うか（返信のため、など）
- 受け取ったあと、いつまで持つか
- 問い合わせの窓口
予約・注文を受ける
名前・電話・住所などを預かる
- 何に使うか（予約の確認、発送、など）
- 他の会社に渡すことがあるか（配送会社など）
- 開示・訂正・削除を頼まれたときの窓口
アクセス解析・外部ツールを使う
見に来た人の動きを、別の会社のしくみで集める
- 使っているツールの名前と、何のために使うか
- Cookie（見に来た人の端末に残る印）などを使うこと
- データの集められ方を説明したページへのリンク
② 個人のお店も、対象になる
個人情報保護委員会のQ&Aには、「個人情報を取り扱う件数が少ない事業者も個人情報取扱事業者に該当しますか。」という質問があります。答えは、個人情報データベース等を事業の用に供している者であれば、当該データベース等を構成する個人情報によって識別される特定の個人の数の多寡にかかわらず、該当する、というものです。[出典1]
さらに、平成27年改正の施行（平成29年5月30日）前は、5000人分以下の個人情報しか取り扱っていない者は、個人情報取扱事業者から除外されていたが、施行後は、これらの者も該当する、と書かれています。[出典1]ガイドラインにも、法人格のない任意団体や個人であっても、個人情報データベース等を事業の用に供している場合は、個人情報取扱事業者に該当する、とあります。[出典2]
「個人情報データベース等」の事例として、ガイドラインは、電子メールソフトに保管されているメールアドレス帳（メールアドレスと氏名を組み合わせた情報を入力している場合）や、名刺の情報を、業務用パソコンの表計算ソフト等で入力・整理している場合を挙げています。[出典2]反対に、該当しない事例として、アンケートの戻りはがきが、氏名、住所等により分類整理されていない状態である場合が挙がっています。[出典2]
この記事は、あなたのお店が、実際に個人情報取扱事業者に当たるかどうかは判断しません。
③ 法律が求めている「知らせる」こと
個人情報保護委員会のガイドラインから、ホームページに関わる部分を、順に引きます。
- 利用目的を、具体的に決める：個人情報を取り扱うに当たっては、利用目的をできる限り具体的に特定しなければならない、とあります。[出典2]
- 取得したら、知らせる：個人情報を取得した場合は、あらかじめ利用目的を公表している場合を除き、速やかに、その利用目的を、本人に通知し、又は公表しなければならない、とあります（法第21条第1項）。[出典2]
- 入力画面で集めるなら、先に示す：ユーザー入力画面への打ち込みなどにより、直接本人から個人情報を取得する場合には、あらかじめ、本人に対し、その利用目的を明示しなければならない、とあります（法第21条第2項）。[出典2]Q&Aには、ホームページ上の入力画面を含む、とあります。[出典1]
ただし、Q&Aには、取得の状況からみて利用目的が明らかな場合は、例外的に利用目的の明示は不要、とあります。例として、申込書の記載により取得したメールアドレス情報等を、申込内容の確認、履行の結果通知等の目的で利用する場合が挙げられています。ただし、新たなサービスの案内、提携先への提供等に利用することは、自明の利用目的に該当しない場合があるので注意が要る、とも書かれています。[出典1]
「公表」とは、どこに載せればいいか
ガイドラインには、「公表」とは、広く一般に自己の意思を知らせること（不特定多数の人々が知ることができるように発表すること）をいう、とあります。[出典2]公表に該当する事例として、自社のホームページのトップページから1回程度の操作で到達できる場所への掲載が挙がっています。[出典2]Q&Aには、店頭販売が中心の事業者でも、ホームページで公表することは可能と解されるが、その店舗に来た人にとって、そのホームページが合理的に把握可能であることを含め、分かりやすい場所への掲載が求められる、とあります。[出典1]
「保有個人データ」に関する事項は、「本人の知り得る状態」に
法第32条第1項には、個人情報取扱事業者は、保有個人データに関し、次の事項を、本人の知り得る状態（本人の求めに応じて遅滞なく回答する場合を含む）に置かなければならない、とあります。[出典2]事項は、事業者の氏名又は名称及び住所（法人は代表者の氏名）、全ての保有個人データの利用目的、開示等の請求に応じる手続、そして政令で定める事項（安全管理のために講じた措置、苦情の申出先など）です。[出典2]
「保有個人データ」は、個人情報取扱事業者が、開示、内容の訂正、追加又は削除、利用の停止、消去及び第三者への提供の停止を行うことのできる権限を有する個人データ、とされています。[出典2]フォームで集めた情報が、これに当たるかどうかは、この記事では判断しません。
「本人の知り得る状態」とは、ホームページへの掲載、パンフレットの配布、本人の求めに応じて遅滞なく回答を行うこと等、本人が知ろうとすれば、知ることができる状態に置くことをいい、常にその時点での正確な内容を置かなければならない、とあります。[出典2]Q&Aには、開示等の請求に応じる手続について、必ずしもホームページに掲載しなければならないわけではなく、問合せ窓口を設け、問合せがあれば、口頭又は文書で回答できるよう体制を構築しておけば足りる、とあります。[出典1]
私の考え
つまり、法律が求めているのは、「プライバシーポリシーというページ」そのものではなく、お客さんが知ろうとしたときに、知ることができる状態にしておくことだと読めます。そのうえで、ホームページに1つのページとして載せておくのは、いつでも見られて、内容もそろえられるので、分かりやすい方法だと私は考えています。
④ 書くことのチェックリスト
私の考え
次の8つを、自分のお店の場合に当てはめて、書けるところから書いてください。「公式の項目」と書いたものは、公式のページに、直接ある項目です。各項目が、あなたのお店で義務になるかどうかは、この記事では判断しません。
-
事業者の名前・住所・（法人なら）代表者の氏名
公式の項目保有個人データに関する事項（法第32条第1項）
法律の文は「氏名又は名称及び住所」です。個人事業主の場合に、お名前を書くのか、屋号でよいのかなどは、この記事では判断しません。ホームページの「運営者情報」ページに書いてある内容と、食い違わないようにします。
-
何に使うか（利用目的）
公式の項目利用目的の特定（法第17条）・通知か公表（法第21条第1項）・保有個人データの利用目的（法第32条第1項）
「事業活動に用いるため」のように広く書かず、「お問い合わせへのご返信のため」のように、できるだけ具体的に書きます。書き方は、フォームの記事にまとめています。
-
他の会社・人に渡すことがあるか
公式の項目第三者提供（法第27条第1項）・利用目的に第三者提供が含まれる場合はその旨（ガイドライン）
渡すことがあるなら、誰に何のために渡すかを書きます。渡さないなら、「渡しません」と書くと、読む人は分かりやすいと私は考えています。例外もあるので、迷うときは相談します。
-
開示・訂正・削除などを頼まれたときの手続
公式の項目保有個人データに関する事項（法第32条第1項）
頼まれたら、どこに連絡してもらい、どう答えるかを決めておきます。窓口（メールアドレスや電話）を書いておくと、頼む側が迷いません。
-
苦情・問い合わせの窓口
公式の項目保有個人データの取扱いに関する苦情の申出先（政令第10条）
問い合わせフォームの窓口と、同じでも構いません。公式の説明には、この窓口は、分かりやすくしておくことが望ましい、とあります。
-
安全のために、していること
公式の項目安全管理のために講じた措置（政令第10条）
書く内容は、お店の規模や、持っている情報によって変わります。公式の説明では、安全管理に支障が出るおそれがある内容は、書かなくてよいとされています。
-
アクセス解析・外部ツールのこと
公式の項目Google アナリティクス利用規約（Google の決まり。法律ではない）
使っているなら、使っていることと、Cookie などを使うことを書きます。詳しくは、下の「アクセス解析・外部ツール」で。
-
作った日・直した日
私の考え私の考え
日付があると、読む人が「いつの内容か」が分かります。ツールや使い方を変えたら、日付も直します。
第三者提供については、個人データを、あらかじめ本人の同意を得ないで、第三者に提供してはならない、という原則が、法第27条第1項にあります（例外あり）。[出典2]利用目的に第三者提供が含まれる場合は、その旨も明らかにしなければならない、とあります。[出典2]
安全管理措置については、Q&Aに、ホームページに安全管理措置の概要と問合せ窓口を掲載し、問合せがあれば具体的な内容を遅滞なく回答する体制を構築している場合は、「本人の知り得る状態」に置いたこととなる、という例があります。[出典1]
⑤ アクセス解析・外部ツールを使っているとき
Googleの規約（Googleアナリティクスを使う場合）
Googleアナリティクスの利用規約の「プライバシー」には、プライバシーポリシーを公開し、Cookie、モバイルデバイスの識別子、またはデータの収集に使われる類似技術の使用について、そのプライバシーポリシーで通知する必要がある、とあります。[出典3]また、Googleアナリティクスの使用と、Googleアナリティクスでデータが収集および処理される仕組みについても、開示する必要がある、とあります。[出典3]この情報は、Googleが指定するサイトへのリンクを目立つように表示することで開示できる、とも書かれています。[出典3]
これは、Googleが決めている利用の条件です。法律の決まりとは別です。この規約の最終更新は2023年5月15日と書かれています。
同じ規約には、Googleが個人を特定できる情報として使用または認識できる情報を、Googleに提供しない、という条件もあります。[出典3]
私の考え
お客さんの名前やメールアドレスを、ページのアドレス（URL）やボタンの名前に入れて、アナリティクスに送らないように、気をつけてください。たとえば、送信完了ページのアドレスに、メールアドレスを入れてはいけません。送信完了ページを数える方法はホームページからの電話・問い合わせの数え方に、アナリティクスの見方はGoogleアナリティクスの見方（見る画面は5つだけ）にまとめています。
アクセス解析のデータは、個人情報なのか
個人情報保護委員会のQ&Aには、Cookie等の端末識別子は、他の情報と容易に照合することにより特定の個人を識別することができる場合には、当該情報とあわせて全体として個人情報に該当する、とあります。[出典1]当たるかどうかは、個別の場合で変わるので、この記事では判断しません。
総務省の「外部送信規律」は、すべてのお店のサイトに当たる？
総務省のページには、電気通信事業法の改正（2022年6月）で、タグや情報収集モジュールを使って、利用者に関する情報を外部に送信する場合に、利用者が確認できるようにする規律を設けた、とあります。[出典4]この規律は、「電気通信事業」を営む者に適用される規律で、該当しない場合は、適用されない、と書かれています。[出典4]
同じページが挙げている、対象になる例と、対象にならない例は、次のとおりです。
対象になる例
- メッセージ媒介サービス
- SNS
- 検索サービス
- ホームページの運営［ニュースサイト、まとめサイト等各種情報のオンライン提供］
電気通信事業に該当しないため、対象にならない例
- ホームページの運営［自社商品等のオンライン販売］
- ホームページの運営［企業等のホームページ運営・個人ブログ］
表です。総務省のページに載っている例を、そのまま並べました。[出典4]
私の考え
お店の紹介や、自社の商品・サービスの案内が中心のホームページは、右の「対象にならない例」に近いと、私は読みました。ただ、あなたのサイトが、他の人のための掲示板や、口コミの投稿の場所を運営しているなど、ふつうのお店のサイトと少しちがう場合は、当たることもありえます。当たるかどうかは、この記事では判断できません。総務省のページと、そこに載っている「電気通信事業参入マニュアル」で確かめてください。
総務省のページには、連絡先として、総務省 総合通信基盤局 電気通信事業部 利用環境課（TEL：03－5253－5847）が載っています。[出典4]
⑥ フォームのそばに、リンクを置く
ガイドラインには、ネットワーク上で個人情報を取得する場合は、本人が送信ボタン等をクリックする前等に、その利用目的（利用目的の内容が示された画面に1回程度の操作でページ遷移するよう設定したリンクやボタンを含む）が、本人の目に留まるよう、その配置に留意することが望ましい、とあります。[出典2]
私の考え
フォームの送信ボタンの近くに、「個人情報の取扱いについて」のリンクを置くのが、分かりやすいと思います。利用目的は、「お問い合わせへのご返信のために使います」のように、短く具体的に、ボタンの近くに書いておきます。くわしい説明は、リンク先のページに書きます。
このサイトのお問い合わせフォームでは、送信ボタンのすぐ上に、利用目的と「個人情報保護方針」へのリンクを置いています。
フォームに、どんな項目を置くか、利用目的をどう書くかは、お問い合わせフォームの項目は、少ないほうがいい？にまとめています。この記事では、くり返しません。
⑦ 最新のまま、保つ
ガイドラインには、「本人の知り得る状態」に置く内容は、常にその時点での正確な内容を置かなければならない、とあります。[出典2]
私の考え
次のようなことがあったときは、書いてあることを、見直してください。
- フォームの項目や、予約のしくみを、変えたとき。
- アクセス解析や、外部のツール（予約サービスなど）を、入れたとき、やめたとき。
- お店の住所・電話・窓口を、変えたとき。
- お客さんの情報を、他の会社に渡すようになった、やめた、とき。
見直したときは、ページの下に、「○年○月○日 改定」のように、日付を書いておくと、読む人が「いつの内容か」が分かります。
⑧ 迷ったとき
個人情報保護委員会には、「個人情報保護法相談ダイヤル」があります。事業者又は行政機関等における個人情報等の取扱いに関する苦情と、個人情報保護法、個人情報保護制度に関する質問を、お電話で受け付け、ガイドラインやQ＆Aの内容に基づき助言や回答を行う、とあります。[出典5]電話番号は03-6457-9849、受付時間は9:30〜17:30（土日祝日及び年末年始を除く）、ご相談は、お電話でのみ受け付けている、と書かれています。[出典5]
一方で、同じページには、ガイドラインやQ＆Aに記載がない相談、個人情報保護法に規定がない相談、個人情報保護法への適法性・違法性の判断を求める相談には、応じていない、とあります。[出典5]
私の考え
「うちの書き方で大丈夫か」を判断してもらいたいときは、この窓口ではなく、弁護士などの専門家が向いていると思います。まず、公式のガイドラインやQ&Aで、書いてあることを確かめたいときに、この窓口を使う、という使い分けです。
このサイトの「個人情報保護方針」は、置き場所の見本です
やましなWebのこのサイトにも、個人情報保護方針のページがあります。お問い合わせフォームの近くと、どのページの下にも、リンクを置いています。
私の考え
これは、「どこに置くと見つけやすいか」の見本です。中身（書いてある内容）は、このサイトのやり方に合わせたものです。そのまま写さないでください。お店ごとに、していることが違うからです。
約束できないこと
この記事のとおりにすれば、法律に問題がない、とは言えません。あなたのお店が、どの決まりに当たるのか、当たらないのかも、この記事では判断できません。公式の説明（法律・ガイドライン・Q&A・総務省のページ・Googleの規約）は、変わることがあります。最新の内容は、それぞれのページで確かめてください。迷うときは、専門家（弁護士など）に相談してください。
私（やましなWeb）がしていること
手厚めプランの月額には、次のものが含まれています。
- 文章・写真の差し替え 月5回まで（依頼から3営業日以内に対応）
- 問い合わせフォーム（メール＋LINE通知）
個人情報の取扱いのページを置く場所や、フォームの近くへのリンクの付け方は、ご相談ください。ページに書く文面そのものは、法律の判断が関わるため、お店のやり方を確かめたうえで、お店が決めて書いていただく形になります。料金は料金プランにまとめています。
よくある質問
- 個人事業主・ひとりのお店でも、個人情報保護法の対象になりますか？
- 個人情報保護委員会のQ&Aには、個人情報データベース等を事業の用に供している者であれば、その個人の数の多寡にかかわらず、個人情報取扱事業者に該当する、とあります。ガイドラインにも、個人であっても、個人情報データベース等を事業の用に供している場合は該当する、とあります。ただ、あなたのお店が実際に当たるかどうかは、この記事では判断できません。
- 「プライバシーポリシー」という名前でなければいけませんか？
- この記事で使った公式ページには、その名前のページを作るよう書いた箇所は、確認できていません。法律が求めているのは、利用目的を知らせることや、決まった事項を本人の知り得る状態に置くことなどです。名前は「個人情報の取扱いについて」などでも構わないと、私は考えています。大切なのは、読む人が見つけやすく、中身が今のお店と合っていることです。
- 他のお店のプライバシーポリシーを、写して使ってもいいですか？
- おすすめしません。他のお店のやり方と、自分のお店のやり方は、ちがうからです。実際にしていないこと（たとえば、他の会社に渡すこと）が書かれてしまうと、読む人が誤解します。また、他の人の文章を写すことは、著作権の面でも注意が要ります。似た文章になっていないかの確かめ方は、別の記事にまとめています。
- お問い合わせフォームがなく、電話とメールだけです。それでも書く必要がありますか？
- フォームがなくても、お客さんの名前や連絡先を、事業で扱うことはあります。ガイドラインには、個人情報データベース等に該当する事例として、電子メールソフトに保管されているメールアドレス帳（メールアドレスと氏名を組み合わせた情報を入力している場合）などが挙がっています。当たるかどうかは、お店のやり方で変わります。この記事では判断せず、相談ダイヤルや専門家への確認をおすすめします。
- Googleアナリティクスを入れています。書かないと違反ですか？
- Googleアナリティクスの利用規約には、プライバシーポリシーを公開し、Cookieなどの使用について通知し、Googleアナリティクスの使用とデータの集められ方も開示する必要がある、とあります。これは、Googleが決めている利用の条件です。法律の問題かどうかは、別の話なので、この記事では判断しません。使っているなら、書いておくのが無難だと、私は考えています。
他のお店の文章を写してよいかの話は、AIでお店の紹介文を書くときに気をつけることの「似た文章」の節に、近い考え方があります。
フォームや予約のあるホームページを作るとき、個人情報のページをどこに置くか迷う。そんなときは、お話しします。ご相談は無料です。
070-8456-4032受付時間 平日 10:00〜18:00
時間外・土日にいただいたお問い合わせは、翌営業日にご連絡します。
24時間受付のフォームで相談する出典
2026年10月15日に確認した内容です。公式の説明は変わることがあります。最新の内容は、それぞれのページでご確認ください。