個人情報保護法のWebサイト対応｜必須項目と運用

01はじめに｜この記事でわかること

要点： 個人情報保護法のWebサイト対応で、必須の項目と必須でない項目を切り分けます。取得箇所の洗い出し、利用目的の書き方、Cookieバナーの要否、フォームの安全管理、漏えい時の報告期限までを制作側の視点でまとめました。

「Cookieバナー、うちも付けたほうがいいですか」。ご相談の入口は、ここ数年ほぼこの一言です。ところが点検してみると、バナーより先に直したい場所が別にありました。

個人情報保護委員会によると、改正法は令和8年7月17日に公布され、一部を除いて公布日から2年以内に施行されます。課徴金の制度も入ります。ただ施行はまだ先で、先に固めるべきはすでに義務になっている部分です。

2000年創業のWeb制作会社ZenWeb Japanでは、コーポレートサイトの制作と改修を手がけています。この記事では個人情報保護法のWebサイト対応を、条文の解説ではなくどこを直すかの順番で扱います。最終的な法的判断は弁護士など専門家にご確認ください。

まずは規律の整備を動画で押さえておくと、この先が読みやすくなります。

02Webサイトのどこで個人情報を取得しているか

要点： 最初にやることは、条文を読むことではありません。自社サイトで名前やメールアドレスを受け取っている場所を、全部書き出すことです。ここを数え間違えると、あとの対応がすべてずれます。

お問い合わせフォームだけだと思っていたら、実際は6か所あった。よくある話です。把握しているのは「自分が作った窓口」だけで、他部署が足したものが抜けます。

• お問い合わせフォーム。 会社名、担当者名、連絡先を受け取ります。
• 資料請求・見積り依頼フォーム。 営業部門が独自に足していることが多く、記載から漏れます。
• 採用エントリーフォーム。 履歴書を受け取ると、扱う情報の重さが一段上がります。営業とは分けます。
• メールマガジン登録。 アドレスだけでも個人情報になり得ます。配信停止の導線も見ます。
• 外部のチャット・予約ツール。 画面は自社サイトでも、データは別の会社に入ります。
• アクセス解析・広告タグ。 識別子が外部に送られ、後述の外部送信規律に関わります。

書き出したら、「誰が見られるか」「どこに保存されるか」「いつ消すか」を1行ずつ添えてください。この3行がそろえば、あとは機械的に進みます。リニューアル前のサイト診断と同時に洗い出すと二度手間になりません。

03サイト種別ごと｜抜けやすい対応項目

要点： 抜けやすい項目はサイトの種類で変わります。コーポレートサイトほど記載が薄く、会員制サイトほど整っていました。いちばん抜けるのは開示・削除の受付手順です。

出典：ZenWeb Japanが制作・改修を担当した企業サイトの公開前点検の集計（日本国内、2024〜2026年）。

目を引くのは、いちばん下の行の小ささです。常時SSLはほぼ終わりました。サーバー側が自動で用意してくれるからです。残るのは書く仕事と決める仕事でした。

技術の抜けはほとんど直っています。残っているのは、誰も決めていなかったことです。

04Webサイト側で必要な対応は5つ

要点： Webサイトに関わる対応は、公表・窓口・安全管理・委託先・報告体制の5つです。上の2つはページを直せば終わり、下の3つは社内で決めないと終わりません。

1. 利用目的を公表する。 受け取った情報を何に使うかを先に公開します。掲載場所はプライバシーポリシーが一般的です。書き方はプライバシーポリシーの必須項目一覧で詳しく扱っています。
2. 問い合わせ窓口を明示する。 開示や削除の求めをどこに言えばよいか。部署名と連絡先を書きます。個人名は不要です。
3. 安全管理措置を講じる。 フォームの暗号化、保存先と閲覧者の限定、保存期間を決めます。
4. 委託先を管理する。 フォームツール、サーバー、メンテナンスを頼む制作会社。渡し先を把握し、契約で縛ります。
5. 漏えい時の報告体制を作る。 誰が気づき、誰に上げ、誰が国に報告するか。起きてから考えると間に合いません。

05取得箇所別｜見落としの多さと直す時間

要点： いちばん見落とされるのは外部のチャットや予約ツールでした。自社サイトの画面に見えるのに、データは別の会社に入ります。直す時間はどれも半日以内です。

出典：ZenWeb Japanが制作・改修を担当した企業サイトの点検と是正作業の集計（日本国内、2024〜2026年）。是正時間は原稿修正と反映の合計。

お問い合わせフォームだけ数字が小さいのは、みんな見ているからです。逆に言えば見ているところしか直っていません。チャットはマーケ担当、採用フォームは人事、タグは広告代理店。全体を見る人がいない構図が数字に出ます。

06利用目的の書き方でつまずく2か所

要点： つまずくのは2か所です。ひとつは「当社サービスの提供のため」だけで済ませてしまうこと。もうひとつは、採用で受け取った情報を営業目的の記載とひとまとめにしてしまうことです。

利用目的は、本人が「自分の情報がどう使われるか」を思い浮かべられる粒度で書きます。「当社の事業活動のため」では粗すぎ、細かすぎても目的を足すたびに書き換えが要ります。次の粒度が扱いやすいところでした。

• お問い合わせへの回答と記録の保管。 返信のために使う、という当たり前のことを書きます。
• 製品・サービスのご案内の送付。 営業メールを送るなら必ず入れます。
• 採用選考および入社手続きのご連絡。 採用は独立させます。営業案内と同じ箱に入れません。
• 統計データの作成（個人を特定できない形に加工）。 使うなら書きます。使わないなら書かないほうが親切です。

2つめは採用です。応募者の履歴書にあるアドレスへ、後日サービス案内を送ってしまう。実際に起きています。採用は目的も保存期間も別にして、フォームも管理画面も分けてください。

ページ構成から見直すなら、ワイヤーフレームの作り方を参考に、フォームと同意の導線を設計段階で決めておくと手直しが減ります。

07Cookieバナーは本当に必要か

要点： 会社案内が中心のコーポレートサイトは、外部送信規律の対象に入らないケースが大半です。総務省のFAQでも、自社の需要のために運営するサイトは電気通信事業に当たらないと整理されています。まず対象かどうかを確かめてください。

ここがいちばん誤解されています。2023年6月に施行された改正電気通信事業法の外部送信規律は、すべてのWebサイトに一律でかかる規制ではありません。対象は「電気通信事業を営む者」で、かつ利用者の利益に及ぼす影響が少なくない役務を提供する場合です。総務省のFAQでは次のように整理されています。

つまり、会社案内と自社商品のECだけのサイトなら、外部送信規律を理由にバナーを出す必要はありません。同じ会社でも、ニュース配信のページだけが対象になるという整理もあります。ページ単位で見る発想が要ります。

バナーを出すこと自体は自由です。ただ、義務でないのに「同意しないと閲覧できません」と書けば離脱を招くだけです。問い合わせフォームの離脱対策と同じで、余計な一手間は数字に出ます。

なお個人情報保護法の側には、個人関連情報を第三者に渡し、渡された側で個人データになる場合のルールが別にあります。広告配信で外部にIDを渡しているなら確認してください。Cookie同意バナーの対応範囲で整理しています。

08フォームで起きやすい実装漏れ

要点： 実装で多いのは、送信内容が残り続けることです。管理画面にも受信箱にもプラグインのログにも残ります。消す仕組みがないと、保存期間を決めても守れません。

• 送信データが三重に残る。 管理画面、通知メール、プラグインのログ。消したつもりでもどれかに残ります。
• 管理画面に誰でも入れる。 権限を分けないと、誰でも応募者の履歴書を読めてしまいます。
• 通知メールが個人アドレスに飛ぶ。 退職と同時に追えなくなります。共有アドレスに変えてください。
• 添付ファイルが公開領域にある。 URLさえ分かれば誰でも開けます。事故が起きやすい場所です。
• 更新が止まったプラグインがある。 改ざんの入口になります。WordPressのセキュリティ対策で最低限やるべき7項目にひととおりまとめました。

最後の項目は法律に直結します。個人情報保護委員会は報告が必要な例として、ウェブサイトが改ざんされ、入力された個人情報が第三者に送信された場合を挙げています。更新を止めたサイトは、そのまま報告義務のリスクです。

09フォームの保存方式別｜管理のしやすさと費用

要点： メール送信だけの方式がいちばん安いのですが、消すことも追うこともできません。件数が増えるサイトほど、管理画面を持つ方式のほうが手間は減ります。

出典：ZenWeb Japanが構築したフォームの見積りと運用実績の集計（日本国内、2024〜2026年）。金額は税別。

費用の差は、機能ではなくあとで説明できるかどうかです。開示の求めが来たとき「この方のデータはこれで全部です」と言えるか。メール送信だけでは言えません。

件数が少ないうちはメール送信でも回ります。ただ月10件を超えると受信箱の検索では追いつきません。ホームページ制作の費用相場と同じで、規模に合った作りがいちばん安く済みます。

10開示や削除の求めが来たとき動けますか

要点： 本人からの開示や削除の求めには、遅滞なく応じる必要があります。慌てるのは、どこに保存されているかを誰も把握していないときです。取得箇所の一覧があれば、探す時間はほぼゼロになります。

ここで効くのが第2章の一覧です。6か所と分かっていれば順に見るだけです。一覧がないと「うちにフォームはいくつあるんだ」から始まり、数日が消えます。

受け付ける窓口も先に決めてください。総務なのか、Web担当なのか。書いた窓口が実在しない状態は点検でよく見つかります。書いた当時の部署が、いまはもうないのです。

11漏えいが起きたときの報告期限

要点： 個人情報保護委員会への報告は二段階です。速報は発覚から3〜5日以内、確報は30日以内。不正な目的で行われたおそれがあれば60日以内です。日数は社内で気づいた日から数えます。

個人情報保護委員会の案内によると、報告が義務になるのは次の場合です。

• 要配慮個人情報が含まれる場合。 病歴や健康診断の結果などです。件数は問いません。
• 不正利用で財産的被害が生じるおそれがある場合。 ECサイトからのクレジットカード番号の漏えいが例です。
• 不正の目的による行為で起きた場合。 不正アクセス、ランサムウェア、内部の持ち出しなどです。
• 本人の数が1,000人を超える場合。 設定ミスでインターネットから閲覧できる状態になった例が挙がっています。

決めるのは3つだけです。誰が第一報を受けるか、誰が国へ報告するか、制作会社にいつ連絡するか。ホームページ公開後の運用チェックに組み込んでおくと、担当が変わっても引き継がれます。

12整備の前後12か月｜依頼件数と対応時間

要点： 窓口と手順を整えると、本人からの依頼はむしろ増えます。ただし1件あたりの対応時間は3時間台から1時間未満に下がりました。増えたのは届くようになったからです。

出典：ZenWeb Japanが窓口・手順の整備を担当した企業サイトの運用記録の集計（日本国内、2024〜2026年）。数値は各期間の中央値。

依頼が増えたことを心配される方がいます。ただ、これは今まで届いていなかっただけです。窓口がなければ、本人はどこに言えばよいか分かりません。不満だけが残るより、届いて短時間で返せるほうが安全です。

13委託先管理｜制作会社とサーバーの契約を見る

要点： 制作会社、レンタルサーバー、フォームサービス、メンテナンス会社。個人データに触れる先はすべて委託先です。契約書に取扱いの条項があるか、再委託先まで把握できているか確かめてください。

意外と抜けるのが制作会社そのものです。メンテナンスで管理画面に入れるなら、応募者の履歴書も見られます。契約書に何も書いていない例は珍しくありません。

• 個人データの取扱いの条項があるか。 目的外利用の禁止と、契約終了時の返却・削除を書きます。
• 再委託の扱いが決まっているか。 制作会社がさらに外注する場合も届く条項が要ります。
• 保存場所がどこの国か。 海外のサーバーを使うなら、外国にある第三者への提供の話になります。
• 連絡がつく体制か。 漏えいの疑いが出た夜に電話が通じるか。実務ではここが効きます。

3つめは、海外の開発拠点を使う場合も同じです。ZenWeb Japanでもベトナムでのオフショア開発を行っていますが、本番データを開発環境に持ち出さない、テストは匿名化データで行う、という線引きを契約と手順で決めています。

メンテナンスを外に出しているなら、月額に何が含まれるかも見直してください。ホームページ保守費用の相場で内訳を整理しています。更新作業だけで、脆弱性の監視が入らない契約もあります。

14令和8年の改正で何が変わるか

要点： 改正法は令和8年7月17日に公布され、一部を除いて公布日から2年以内に施行されます。課徴金の制度が新設され、統計等の作成のための提供では本人の同意が不要になります。政令やガイドラインは今後整備されます。

押さえておきたいのは施行日ではなく方向です。個人情報保護委員会の令和8年改正法の案内によると、主な内容は次の3点です。

• 課徴金納付命令の制度が新設されます。 違法な取扱いで財産上の利益を得た場合が対象です。
• 身体の一部の特徴に係る個人情報について、本人が利用停止等を請求できます。 顔などの情報を扱うサイトは影響を受けます。
• 統計等の作成を行う第三者への提供では、本人の同意が不要になります。 データ活用側の緩和です。

細かい要件は、これから出る政令・規則・ガイドラインで決まります。いま改正法に合わせて作り込む必要はありません。5つの対応を先に固めれば、改正後は差分だけです。

15まとめ｜Webサイト側で進める5つの手順

要点： 個人情報保護法のWebサイト対応は5つの手順で進みます。取得箇所の洗い出しから始め、利用目的、保存と権限、窓口、報告体制の順に固めます。Cookieバナーは最後で構いません。

1. 取得箇所を全部書き出す。 フォーム、外部ツール、解析タグまで一覧にし、「誰が見るか」「どこに保存されるか」「いつ消すか」を添えます。
2. 利用目的を書き直す。 一覧の箇所を全部カバーする文面にします。採用は営業と分けます。
3. 保存先と権限を絞る。 管理画面の権限を分け、通知メールを共有アドレスに変え、添付ファイルを公開領域から外し、保存期間を決めます。
4. 窓口を実在させる。 部署名と連絡先をプライバシーポリシーに書き、その部署が実際に受けられる状態にします。
5. 報告体制を1枚にする。 第一報を受ける人、国に報告する人、制作会社に連絡する人の名前と連絡先を紙にします。

ここまで終われば、外部送信規律の確認に進みます。第7章のとおり多くの企業サイトは対象外で、対象だった場合だけ通知または公表の準備をします。

ZenWeb Japanでは、ホームページの制作と改修のなかで、この5つを設計段階から組み込んでいます。リニューアルのタイミングなら、追加費用をほぼかけずに整えられます。

16よくある質問

要点： 個人情報保護法のWebサイト対応について、よくいただく質問にお答えします。プライバシーポリシーの要否、Cookieバナー、費用、期間、小規模な会社の扱いの5点です。

1. プライバシーポリシーは必ず置かないといけませんか

ページの設置そのものが義務づけられているわけではありません。ただ、利用目的の公表と、開示等の求めに応じる手続の公表は必要です。まとめて書く場所として置くのが現実的です。

2. うちの会社案内サイトにもCookieバナーは必要ですか

会社案内とサービス紹介だけのサイトなら、外部送信規律を理由に出す必要はありません。総務省のFAQでも、自社の需要のために運営するサイトは電気通信事業に当たらないと整理されています。広告配信で外部にIDを渡している場合は別途確認が必要です。

3. 対応にはどのくらい費用と期間がかかりますか

記載の見直しだけなら5〜15万円、フォームの保存方式を変えるなら5〜20万円、権限やログまで設計する自社開発なら30〜120万円が目安です（税別）。期間は、洗い出しと記載の修正で2週間程度。窓口の部署と報告体制を決めるのに、さらに1か月前後かかります。

4. 従業員数の少ない会社も対象になりますか

なります。取扱件数による適用除外は、令和2年の改正より前に廃止されました。個人情報を扱っていれば規模にかかわらず個人情報取扱事業者です。ただし求められる安全管理措置の程度は、事業の規模や扱う情報に応じて判断されます。