プライバシーポリシー（個人情報保護方針）

個人情報保護方針、プライバシーステートメント、個人情報取扱方針 とも呼ばれます。

プライバシーポリシーは、事業者が取得する個人情報について、利用目的、第三者提供、安全管理、開示等の請求手続、問い合わせ先などを外部に示す文書です。実務では、個人情報保護法21条1項の利用目的の公表と、同法32条1項が本人の知り得る状態に置くよう求める保有個人データに関する事項の受け皿として使われています。実際のデータ処理、委託先、システム、社内規程と一致していることが前提で、掲示しただけで法令対応が完了するものではありません。

最終確認日: 2026-08-12 ・ 一般的な情報提供であり、個別の事案についての法律判断ではありません。

どんなときに必要か

Webサイト、アプリ、会員サービス、問い合わせフォーム、採用、取引先管理などで個人情報を取得・利用するときに整備します。新しい取得項目の追加、アクセス解析や広告の導入、委託先の変更、海外のクラウドサービスの利用開始など、データの流れが変わるたびに見直します。

書面にする必要はあるか

必ず入れる事項

載せる事項は、個人情報保護法32条1項が本人の知り得る状態に置くよう求める項目と、同法21条1項の利用目的の公表が土台になります。以下は、これに第三者提供・外国への提供・安全管理の記載を加えたものです。

• 事業者の名称、住所、代表者の氏名

  個人情報保護法32条1項1号は、個人情報取扱事業者の氏名又は名称及び住所、法人の場合はその代表者の氏名を、保有個人データに関する事項として本人の知り得る状態に置くよう求めています。欠くと、本人が請求や苦情の相手方を特定できません。

• 取得する情報の項目と利用目的

  個人情報保護法17条1項は利用目的をできる限り特定するよう求め、同法21条1項は取得時の通知・公表を求めています。「サービス向上のため」だけでは処理と結び付かず、特定として不十分と判断される可能性があります。

• 第三者提供・委託・共同利用の区分

  個人情報保護法27条1項は本人の同意のない個人データの第三者提供を原則として禁じ、同条5項は委託・事業承継・共同利用を第三者に該当しない場合として区別しています。実態と違う区分で書くと、必要な同意や公表事項を取り違えます。

• 外国にある第三者への提供の有無と根拠

  海外のサーバーや外部サービスへ個人データを渡す場合、個人情報保護法28条1項の本人同意、同条2項の情報提供、基準適合体制の整備など、該当する根拠の確認が必要です。国内提供と同じ書き方のままでは、これらの要件の検討漏れに気付けません。

• 安全管理のために講じた措置と保存・消去の方針

  個人情報保護法23条は、漏えい、滅失又は毀損の防止その他の個人データの安全管理のために必要かつ適切な措置を求めています。講じた措置は同法32条1項4号を受けた同法施行令10条1号により公表等の対象です（安全管理に支障を及ぼすおそれがある部分を除く）。

• 開示等の請求手続と窓口・手数料

  個人情報保護法32条1項3号は、開示等の請求等に応じる手続（手数料の額を定めたときはその額を含む）を本人の知り得る状態に置くよう求め、同法37条1項は受付方法を定めることができるとしています。書いていないと、請求のたびに個別対応になります。

• 苦情の申出先

  個人情報保護法32条1項4号の政令事項として、同法施行令10条2号は保有個人データの取扱いに関する苦情の申出先を挙げています。苦情の申出先（一般の問い合わせ窓口と兼ねる場合はその旨）を示していないと、本人の知り得る状態に置く義務を果たせません。

無効・効力が否定されやすい条項

最も多いのは、実際の処理と結び付かない雛形の写しです。個人情報保護法17条1項は利用目的をできる限り特定するよう求めており、実態と対応しない記載では特定になりません。委託と第三者提供の区分、外国への提供の根拠、開示等の手続も、書きぶりだけで済ませると要件の検討漏れに気付けません。

• 実際には行っていない取得・利用・提供を雛形から写して残す形。個人情報保護法17条1項は「個人情報取扱事業者は、個人情報を取り扱うに当たっては、その利用の目的（以下「利用目的」という。）をできる限り特定しなければならない」と定めており、実態と結び付かない記載では特定になりません。逆に、掲げていない目的での取扱いには、同法18条1項により原則としてあらかじめ本人の同意が必要になります（同条3項に法令に基づく場合などの例外があります）。

• 「本サービスの利用をもって本ポリシーに同意したものとみなします」の一文で全て済ませる形。個人情報保護法18条1項は「個人情報取扱事業者は、あらかじめ本人の同意を得ないで、前条の規定により特定された利用目的の達成に必要な範囲を超えて、個人情報を取り扱ってはならない」と定めています（前条は利用目的の特定を定める同法17条）。閲覧の事実だけで要配慮個人情報の取得（同法20条2項）などの同意まで済んだと扱えるかは、争いになりやすい部分です。

• 本人から直接フォームや契約書で取得するのに、取得後のポリシー掲示だけで済ませる形。個人情報保護法21条2項は、本人との間で契約を締結することに伴って契約書その他の書面に記載された当該本人の個人情報を取得する場合その他本人から直接書面に記載された個人情報を取得する場合には、あらかじめ本人に対し利用目的を明示するよう求めています。ただし書が除くのは、人の生命、身体又は財産の保護のために緊急に必要がある場合です。

• クラウドや配送業者への提供を全て「第三者提供」と書き、逆に外部への提供を全て「委託だから同意不要」と括る形。個人情報保護法27条5項は「次に掲げる場合において、当該個人データの提供を受ける者は、前各項の規定の適用については、第三者に該当しないものとする」と定め、1号が挙げるのは利用目的の達成に必要な範囲内の委託に伴う提供です。この範囲を超える提供は、原則どおり同条1項の本人同意の対象になります。

• 海外サービスの利用について「外国にある第三者への提供には同意を得ます」とだけ書く、または常に同意不要と扱う形。個人情報保護法28条1項の同意は、我が国と同等の水準にあると認められる制度を有する外国として個人情報保護委員会規則で定めるものと、基準適合体制を整備した第三者を括弧書きで除いた上で、同法27条1項各号に掲げる場合を除くほか求められます。同条2項は同意の取得前に、当該外国の制度など本人に参考となるべき情報の提供を求めています。

• 「開示等のご請求には応じられない場合があります」とだけ書いて手続を示さない形。個人情報保護法33条2項は、開示請求を受けたときは本人が請求した方法により遅滞なく開示することを原則とし、開示しないことができる場合を各号で限定しています。同法32条1項3号は請求に応じる手続を本人の知り得る状態に置くよう求め、手数料も同法38条2項により実費を勘案して合理的であると認められる範囲内で定めます。

作成の流れ

流れは、データフローの棚卸し、法的区分と義務の対応づけ、公表事項と同意取得の場所の設計、版管理と運用の照合の4段階です。ポリシーは棚卸しの要約であり、実態の把握を飛ばして雛形を写すと、個人情報保護法17条1項が求める利用目的の特定が実際の処理と結び付きません。

1. 1

   データフローを棚卸しする

   取得項目、取得画面・帳票、利用部署、保管システム、委託先、第三者提供先、外国への移転、保存期間と削除・匿名化までを一覧にします。プライバシーポリシーはこの棚卸しの要約であり、実態の把握を飛ばして雛形を写すと、個人情報保護法17条1項が求める利用目的の特定が実際の処理と結び付きません。

2. 2

   法的区分と義務を対応させる

   個人情報保護法の義務は、個人情報・個人データ・保有個人データのどれに当たるかで変わります。取得時の通知・公表・明示は個人情報（同法21条）、第三者提供の制限や安全管理は個人データ（同法27条・23条）、公表事項と開示等への対応は保有個人データ（同法32条から35条まで）が対象です。処理ごとに区分を確かめ、利用目的を同法17条1項に沿って特定します。

3. 3

   公表事項と同意取得の場所を設計する

   ポリシー本文には個人情報保護法32条1項の公表事項（事業者の名称・住所・代表者氏名、全ての保有個人データの利用目的、開示等の手続、政令で定める安全管理措置・苦情申出先など）を配置し、本人から直接書面で取得するフォームには同法21条2項の事前明示を置きます。同意が必要な処理（同法27条1項・28条1項など）は、掲示ではなく同意を取得する動線として設計します。

4. 4

   版管理と運用の照合を続ける

   制定日・改定日を記載し、新しい取得項目、委託先の変更、外部サービスの導入のたびに更新します。個人情報保護法22条は、利用する必要がなくなった個人データを遅滞なく消去する努力義務を定めており、書いた保存・消去の方針と実際の運用の一致を定期的に確かめます。漏えい等が生じた場合の報告・通知（同法26条）の手順も、公表内容と整合させておきます。

よくある質問

プライバシーポリシーへの同意があれば、どんな利用でもできますか。

包括的な同意だけに頼ることはできません。個人情報保護法18条1項は、あらかじめ本人の同意を得ないで、特定された利用目的の達成に必要な範囲を超えて個人情報を取り扱うことを禁じています（同条3項に法令に基づく場合などの例外があります）。同法17条1項の目的の特定が曖昧なままでは、そもそも何に同意したのかが確定しません。要配慮個人情報の取得（同法20条2項）や外国にある第三者への提供（同法28条1項）のように場面ごとの同意が求められる処理は、包括的な同意とは別に個別に設計します。

委託先の名前をすべて掲載する必要がありますか。

個人情報保護法27条5項1号の委託に伴う提供について、委託先の名称の公表までは同法の条文上求められていません。他方、共同利用（同項3号）では、共同して利用する者の範囲、利用する者の利用目的、管理について責任を有する者の氏名又は名称・住所などを、あらかじめ本人に通知するか本人が容易に知り得る状態に置くことが要件です。名称掲載の要否を一律に決めるのではなく、提供の形態が委託・事業承継・共同利用・第三者提供のどれに当たるかを先に整理してください。

「全部削除してください」という依頼には必ず応じなければなりませんか。

個人情報保護法35条1項は、同法18条・19条の規定に違反して取り扱われているとき、又は同法20条の規定に違反して取得されたものであるときの利用停止等（利用の停止又は消去）の請求を定め、同条5項は、利用する必要がなくなった場合、同法26条1項本文に規定する漏えい等の事態が生じた場合、本人の権利又は正当な利益が害されるおそれがある場合にも請求を認めています。請求には条文上の要件があり、応じる場合も、同条1項の請求については同条2項が違反を是正するために必要な限度で、同条5項の請求については同条6項が本人の権利利益の侵害を防止するために必要な限度で行うとしています。他の法令で保存義務がある帳簿などは、個別の確認が必要です。

漏えいが起きた場合、ポリシーに書いていなくても報告や通知は必要ですか。

必要になる場合があります。個人情報保護法26条1項は、個人の権利利益を害するおそれが大きいものとして個人情報保護委員会規則で定める漏えい等が生じたときの委員会への報告を義務付けています（委託を受けた者が委託元へ通知したときの例外がただし書にあります）。同条2項は本人への通知を求め、本人への通知が困難な場合であって権利利益を保護するため必要なこれに代わるべき措置をとるときは、この限りでないとしています。いずれもポリシーへの記載の有無にかかわらず生じる義務です。

個人情報保護法に違反すると、どのような制裁がありますか。

個人情報保護法148条は、個人情報保護委員会による勧告（1項）と命令（2項・3項）を定めています。同法178条は「第百四十八条第二項又は第三項の規定による命令に違反した場合には、当該違反行為をした者は、一年以下の拘禁刑又は百万円以下の罰金に処する」と定め、同法184条1項1号は法人に対して1億円以下の罰金刑を科す両罰規定を置いています。掲示の不備が直ちに刑罰となる建付けではありませんが、勧告・命令の対象にはなり、命令違反には罰則が及びます。

出典

• e-Gov法令検索「個人情報の保護に関する法律」（17条・18条・20条・21条・26条・27条・28条・32条・33条・35条・37条・38条・148条・178条・184条）
• e-Gov法令検索「個人情報の保護に関する法律施行令」（10条）
• 個人情報保護委員会「法令・ガイドライン等」
• 個人情報保護委員会「漏えい等の対応とお役立ち資料」
• 個人情報保護委員会「FAQ索引」
• 個人情報保護委員会「個人情報保護法等」

最終確認日: 2026-08-12

同じ分類のガイド（その他）

• 肖像・撮影同意書