プライバシーポリシーの書き方｜必須項目一覧

01はじめに｜この記事でわかること

要点： プライバシーポリシーの書き方を、必須項目ごとに分けて解説します。何を書けば足りるのか、どこまで具体的に書くのか、ひな形をそのまま使うと何が起きるのか。制作の現場で実際に直してきた順番でまとめました。

「ひな形を貼っておけばいいですよね」。新しいサイトを公開する前に、いちばんよく聞く一言です。ところが公開前に読み合わせると、たいてい2〜3か所は自社の実態と合っていませんでした。

合っていない文面は、あってもほとんど意味がありません。むしろ「書いてあるとおりに運用していない」状態になり、あとで説明に困ります。

2000年創業のWeb制作会社ZenWeb Japanでは、コーポレートサイトの制作と改修のなかで、この読み合わせを毎回やっています。法律全体の話は個人情報保護法のWebサイト対応にまとめました。この記事は、そのうち文面をどう書くかだけを扱います。最終的な法的判断は弁護士など専門家にご確認ください。

まずは事業者が守るべきルールの全体像を動画で押さえておくと、この先の項目が頭に入りやすくなります。

02プライバシーポリシーとは｜何のために置くのか

要点： プライバシーポリシーは、個人情報保護法が公表を求めている事項をまとめて置くためのページです。ページの設置そのものは義務ではありません。ただ、公表が必要な事項は複数あるため、1か所にまとめるのが現実的です。

法律のどこにも「プライバシーポリシーを作りなさい」とは書かれていません。書かれているのは、利用目的を公表すること、保有個人データについて一定の事項を本人が知り得る状態に置くこと。この2つです。

ばらばらに置くこともできます。ただ、フォームのそばに利用目的、会社概要に窓口、と分散させると、どこに何を書いたか自分でも分からなくなります。1枚にまとめて、そこへリンクを集めるのがいちばん管理しやすい形でした。

ページ全体の構成を考える段階なら、コーポレートサイトに必要なページ構成のなかで、プライバシーポリシーの位置も一緒に決めておくと手直しが減ります。

03必須項目一覧｜法律が公表を求める5つ

要点： 必須項目は5つです。事業者の名称・住所・代表者名、すべての保有個人データの利用目的、開示等の請求に応じる手続、安全管理措置の内容、苦情の申出先。これに取得時の利用目的の公表が加わります。

個人情報保護委員会のガイドライン（通則編）では、保有個人データに関する事項の公表等として次の内容が整理されています。まずは一覧で押さえてください。

1. 事業者の名称・住所・代表者の氏名。 法人なら3つとも書きます。個人事業主は氏名と住所です。
2. すべての保有個人データの利用目的。 フォームごとではなく、会社として持っているデータ全部が対象です。
3. 開示等の請求に応じる手続。 どこに、どうやって申し出るか。手数料を取るならその額も書きます。
4. 安全管理措置の内容。 令和2年の改正で公表事項に加わりました。いちばん抜けやすい項目です。
5. 苦情の申出先。 部署名と連絡先を書きます。認定個人情報保護団体に入っているなら、その団体名も書きます。

この5つに加えて、個人情報を取得するときの利用目的の通知または公表も必要です。実務ではまとめて同じページに書きます。順番は自由ですが、上から読める並びにしてください。

04記載漏れの多い項目｜点検で見つかった割合

要点： 公開前の点検で最も多く見つかったのは、安全管理措置の記載がないことでした。次いで開示等の請求に応じる手続です。逆に、社名や住所が抜けている例はほとんどありません。書きやすい項目だけが埋まっていました。

出典：ZenWeb Japanが制作・改修を担当した企業サイトの公開前点検の集計（日本国内、2024〜2026年）。作業時間は原稿修正と反映の合計。

上位2つに共通するのは、社内で決めないと書けない項目だということです。社名や住所は調べれば書けます。安全管理措置は、どんな対策をしているかを整理しないと1行も書けません。

書けなかった項目ではなく、決めていなかった項目が空欄になっていました。

点検のタイミングは、公開前がいちばん安く済みます。リニューアル前のサイト診断と同時に見ると、フォームの棚卸しと一度に終わります。

05利用目的の書き方｜粒度をどこに合わせるか

要点： 利用目的は、本人が「自分の情報がどう使われるか」を思い浮かべられる粒度で書きます。「事業活動のため」では粗すぎます。逆に細かく書きすぎると、目的が増えるたびに書き換えが必要になります。

粒度の目安は、読んだ人が具体的な場面を1つ思い浮かべられるかです。「お問い合わせへの回答のため」なら、返信メールが浮かびます。「事業活動のため」では何も浮かびません。

実務で扱いやすかったのは、次のくらいの書き方です。

• お問い合わせへの回答および記録の保管。 返信に使う、という当たり前のことを書きます。
• 製品・サービスに関するご案内の送付。 営業メールを送るなら必ず入れてください。
• 採用選考および入社手続きに関するご連絡。 採用は独立させます。営業案内と同じ箱に入れません。
• 商品の発送および代金決済に関する業務。 ECサイトを持っているなら書きます。
• サービス改善のための統計データの作成。 個人を特定できない形に加工する旨も添えます。

もうひとつ、書き方より大事なのが取得箇所を全部カバーしているかです。フォームが6つあるのに目的が2つしか書かれていない、という状態はよく見つかります。設計の段階でフォームと同意の導線を決めておくと、この漏れが起きません。ワイヤーフレームの作り方で、フォーム配置の決め方をまとめています。

06事業者情報の書き方｜社名・住所・代表者名

要点： 法人なら、名称・住所・代表者の氏名の3つを書きます。「詳しくは会社概要をご覧ください」というリンクだけでは足りません。本人が容易に知り得る状態に置く必要があるためです。

ここでよくあるのが、代表者名だけ抜けるパターンです。社名と住所は書いたのに、代表者の氏名がない。会社概要には載っているから省いた、という理由が大半でした。

ただ、探して初めて見つかる状態は「容易に知り得る」とは言いにくいところです。プライバシーポリシーの中にそのまま書いてしまうほうが早く、あとで指摘も受けません。

代表者が交代したときの更新も忘れがちです。会社概要ページと同じ内容を2か所に書くことになるので、更新のときはセットで直す、と決めておいてください。

07開示等の請求に応じる手続の書き方

要点： 開示・訂正・利用停止などの求めを、どこに、どうやって申し出るかを書きます。本人確認の方法と、手数料を取るならその額も含めます。窓口は部署名で書き、個人名は入れません。

この項目は文章が長くなりがちです。実際に必要なのは次の4つで、それぞれ1〜2行で足ります。

1. 申し出の宛先。 部署名、住所、電話番号、メールアドレスのどれかを書きます。
2. 申し出の方法。 所定の書面か、フォームか、メールか。1つに絞ったほうが運用が楽です。
3. 本人確認の方法。 本人確認書類の写しをいただく、といった内容です。
4. 手数料の額。 取らないなら「手数料はいただきません」と書きます。

書いた窓口が実在しない、という状態は点検でよく見つかりました。数年前に書いた部署が、いまはもうない。書く前に、その部署が実際に受けられるか確認してください。総務とWeb担当のどちらが受けるかで、社内の手順も変わります。

会員制サイトのように扱う件数が多い場合は、管理画面の側で本人のデータをまとめて出せるようにしておくと、対応の時間が一気に減ります。Webシステム開発の段階から設計に入れておくのが確実です。

08ひな形の入手元別｜そのまま使えた割合

要点： ひな形をそのまま使えた割合がいちばん低かったのは、他社サイトの流用とCMSプラグインの自動生成でした。修正が必要な項目数も多くなります。弁護士に作成を依頼した場合でも、取得箇所の追記はほぼ必要でした。

出典：ZenWeb Japanが制作・改修時に既存文面を確認した企業サイトの集計（日本国内、2024〜2026年）。「そのまま使えた」は必須5項目の追記が不要だった割合。

他社サイトの流用が危ないのは、文面の質ではありません。その会社の取得箇所に合わせて書かれているからです。採用フォームのない会社の文面を、採用フォームのある会社が使えば、その瞬間に穴が空きます。

自動生成も同じです。プラグインはサイトの中身を読みません。英語圏の法律を前提にした文面が混ざることもあります。WordPressでサイトを構築する場合でも、この1枚だけは自動生成に任せないでください。

09安全管理措置の書き方｜どこまで公表するか

要点： 安全管理措置は、講じた措置の内容を書きます。ただし公表することで安全管理に支障が出るものは除いてよい、と整理されています。サーバーの構成やパスワードの規則まで書く必要はありません。

いちばん迷うのがこの項目です。書きすぎれば攻撃のヒントになり、書かなければ記載漏れになります。ガイドラインが挙げる区分に沿って、1区分1行で書くとちょうどよい分量に収まりました。

知っておくと楽になるのが、すべてをページに書ききらなくてよいという点です。ガイドラインでは、講じた措置の概要をサイトに載せ、詳細は本人の求めに応じて遅滞なく回答する方法も認められています。機器の廃棄方法や入退室の管理方法のように、公表すると安全管理に支障が出るものは、そもそも書かなくて構いません。

最後の外的環境の把握は、見落とされやすいところです。海外のサーバーやクラウドを使っているなら関係します。ZenWeb Japanでもベトナムでのオフショア開発を行っていますが、本番データは開発環境に持ち出さない、と契約と手順の両方で決めています。

書いた内容は、実際にやっていることに合わせてください。研修をしていないのに「定期的な研修を実施しています」と書けば、それ自体が説明できない状態になります。技術面の中身はWordPressのセキュリティ対策で最低限やるべき7項目にまとめました。

10第三者提供と委託の書き方｜混同しやすい2つ

要点： 委託先に渡すことは、第三者提供にはあたりません。そのため本人の同意も不要です。ただし委託先を監督する義務があるので、委託していること自体は書いておくと親切です。

混同すると文面がおかしくなります。整理すると次のとおりです。

• 委託。 利用目的の達成に必要な範囲で外部に任せる場合です。フォームツール、サーバー、発送代行など。第三者提供にはあたりません。
• 第三者提供。 自社の目的とは別に、外部へ渡す場合です。原則として本人の同意が必要になります。
• 共同利用。 グループ会社などと一緒に使う場合です。使う会社の範囲や責任者を、あらかじめ本人が知り得る状態に置きます。

ECサイトを持っているなら、決済代行会社への提供が必ず出てきます。カード情報を自社で持たない仕組みでも、注文者情報は流れます。ECサイトの決済方法を選ぶ段階で、どこに何が渡るかを確かめておいてください。

広告配信で外部にIDを渡している場合は、また別の話になります。個人関連情報として扱われる場面があるためです。詳しくはCookie同意バナーの対応範囲で整理しています。

11サイト種別ごと｜追記が必要になった項目

要点： 追記が最も多かったのは会員制サイトと自社ECでした。扱うデータの種類が増えるほど、書き足す項目も増えます。コーポレートサイトは2項目前後で、見直しも3日ほどで終わっています。

出典：ZenWeb Japanが制作・改修を担当した企業サイトの公開前点検の集計（日本国内、2024〜2026年）。見直し期間は原稿の確認から公開までの日数。

採用サイトの数字が意外に大きいのは、応募者情報が営業用の目的と混ざっているためです。履歴書に書かれたアドレスへ、後日サービス案内が届いてしまう。実際に起きています。採用は目的も保存期間も分けてください。採用サイト制作のときは、この切り分けを最初に決めます。

12書かなくてよい項目｜利用規約との違い

要点： 利用規約の内容、著作権の扱い、リンクの方針、SSLの説明。これらはプライバシーポリシーに書かなくて構いません。混ぜると本来の項目が埋もれ、読む人が必要な情報にたどり着けなくなります。

長ければ丁寧だ、というものではありません。むしろ長い文面ほど、必須の5項目がどこにあるか分からなくなっていました。次のものは別のページに分けてください。

• 利用規約。 サービスの使い方と禁止事項です。契約の話であり、個人情報の話ではありません。
• 著作権表示。 フッターかサイトポリシーに置きます。
• リンクの方針。 「リンクは自由です」といった案内です。必要なら別ページに。
• SSL対応の説明。 安全管理措置の1行に含めれば足ります。

Cookie同意バナーについても、プライバシーポリシーに長い説明を足す必要はありません。そもそも対象事業者かどうかが先です。会社案内が中心のサイトは対象外になるケースが大半でした。判断の順番はCookie同意バナーは必要かにまとめています。

13置き場所と導線｜フッターだけで足りるか

要点： 全ページのフッターにリンクを置くのが基本です。そのうえで、フォームの送信ボタンの近くにもリンクを置いてください。探して初めて見つかる状態は、本人が容易に知り得る状態とは言いにくいためです。

置き場所で迷う会社はほとんどありません。迷わないぶん、フッターに置いて終わりになりがちです。実際に読まれるのは、フォームを送信する直前です。

導線として押さえておきたい場所は3つあります。

1. 全ページのフッター。 どのページからでも1クリックで開ける状態にします。
2. フォームの送信ボタンの直前。 「個人情報の取扱いについて同意する」の文中にリンクを置きます。
3. 資料請求やメルマガ登録の入力欄の近く。 フォームが複数あるなら、それぞれに置きます。

スマートフォンでは、フッターまでのスクロールが長くなります。表示が崩れてリンクが押しにくい、という状態も見かけました。スマホ対応していないホームページのリスクで触れたとおり、まずは実機で押せるか確かめてください。

14改定のきっかけ｜年別に見た内訳の変化

要点： 以前はサイトリニューアルに合わせて直すケースが最も多い状況でした。近年は法改正やガイドライン改正をきっかけにした改定が増えています。リニューアルを待たずに直す会社が増えた、という変化です。

出典：ZenWeb Japanが改定作業を担当した企業サイトの集計（日本国内、2024年〜2026年6月）。各年の改定件数に占める割合。

法改正きっかけの割合が上がっている背景には、令和8年の改正個人情報保護法の公布があります。施行は先ですが、報道を見て問い合わせが増えました。

ただ、改正に合わせて作り込む必要はまだありません。いま義務になっている5項目を先に固めるほうが確実です。土台があれば、改正後は差分だけで済みます。リニューアルの予定があるなら、リニューアルのタイミングでまとめて直すと追加費用がほぼかかりません。

15まとめ｜書き方の7ステップ

要点： プライバシーポリシーの書き方は7つの手順で進みます。取得箇所の洗い出しから始め、利用目的、事業者情報、開示等の手続、安全管理措置、苦情窓口の順に埋め、最後に導線を整えます。ひな形を貼るのは3番目以降です。

1. 取得箇所を全部書き出す。 フォーム、外部ツール、解析タグまで一覧にします。ここが土台です。
2. 社内で決めごとを固める。 安全管理措置の中身、窓口の部署、保存期間。書けない項目は決まっていない項目です。
3. ひな形を1つ選ぶ。 業界団体のものが無難です。他社サイトの流用と自動生成は避けてください。
4. 利用目的を書き直す。 一覧のすべての箇所をカバーし、採用は営業と分けます。
5. 必須5項目をそろえる。 事業者情報、利用目的、開示等の手続、安全管理措置、苦情窓口。
6. 関係のない内容を外す。 利用規約や著作権表示は別ページへ移します。
7. 導線を整える。 フッターとフォームの送信ボタン直前の両方にリンクを置きます。

ここまで終われば、あとは年に一度の見直しで維持できます。フォームを追加したときだけ、そのつど1行足してください。

ZenWeb Japanでは、ホームページの制作と改修のなかで、この7つを設計段階から組み込んでいます。法律全体の対応の順番は個人情報保護法のWebサイト対応にまとめました。メンテナンスを外に出しているなら、保守費用の内訳に文面の見直しが入っているかも確かめてみてください。

16よくある質問

要点： プライバシーポリシーの書き方について、よくいただく質問にお答えします。ひな形の可否、更新の頻度、費用と期間、小規模な会社の扱い、英語版の要否の5点です。

1. ひな形をそのまま使ってはいけませんか

出発点として使うのは問題ありません。危ないのは、自社の取得箇所を確かめずに貼ることです。採用フォームやメルマガ登録があるのに、その利用目的が書かれていない、という状態になりがちです。貼ったあとに必ず読み合わせをしてください。

2. どのくらいの頻度で見直せばよいですか

年に一度の定期見直しに加えて、フォームや外部ツールを追加したときに都度見直すのがおすすめです。追加のたびに1行足すだけなら5分で終わります。まとめて直そうとすると、どこを足すべきか分からなくなります。

3. 作成にはどのくらい費用と期間がかかりますか

既存文面の点検と追記だけなら5〜15万円、取得箇所の洗い出しから設計し直すなら15〜30万円が目安です（税別）。期間は、コーポレートサイトで3日前後、会員制サイトで9日前後。実際に時間がかかるのは原稿ではなく、社内での決めごとです。

4. 従業員数の少ない会社も必要ですか

必要です。取扱件数による適用除外は、以前の改正で廃止されました。個人情報を扱っていれば、規模にかかわらず個人情報取扱事業者です。ただし求められる安全管理措置の程度は、事業の規模や扱う情報に応じて判断されます。

5. 英語版も用意したほうがよいですか

海外からの問い合わせを受けるなら、あったほうが親切です。ただし義務ではありません。翻訳する場合は、日本語版と内容を必ずそろえてください。片方だけ更新して食い違う状態が、いちばん説明に困ります。