ホームページ・予約・通販・会員サービスを運営する方へ実態に合うプライバシーポリシーの書き方を、
条文から

法律が置いているのは「プライバシーポリシー」という名前の書面ではなく、個別の義務です。顧客名簿や予約の記録のように、個人情報を検索できるように整理して事業に使っていれば、個人事業主や小さな店でも個人情報取扱事業者に当たります（個人情報保護法16条2項）。そのうえで、取得した個人情報の利用目的の通知または公表（21条1項）、申込書など書面で直接取るときの利用目的の明示（21条2項）、保有個人データに関する事項を本人の知り得る状態に置くこと（32条1項）が求められます。これらをまとめて載せる書面が、実務でプライバシーポリシーと呼ばれています。

文章が整っていることと、自分の事業の実態に合っていることは別の問題です。実際には取っていない項目が並んでいる、予約システムや決済、メール配信など使っている外部サービスが書かれていない、「第三者に提供しません」と書きながら情報を外部に渡している、といった食い違いが典型です。取得する場面の洗い出し、利用目的、外部サービスの区分、窓口の順に、実態と突き合わせて書き直します。

利用目的は、できる限り特定しなければなりません（17条1項）。広く書きすぎると、特定として足りないおそれがあるうえ、書いていない目的、たとえば広告への掲載や分析、新しいサービスの開発に使いたくなったときに困ります。利用目的を変更するときは、変更前と関連性を有すると合理的に認められる範囲を超えてはならず（17条2項）、変更後の目的は本人に通知または公表します（21条3項）。特定した利用目的の範囲を超えて使うには、あらかじめ本人の同意が必要です（18条1項）。

法律が本人の同意を求める主な場面は、要配慮個人情報の取得（20条2項）、特定した利用目的を超える取扱い（18条1項）、個人データの第三者への提供（27条1項）、外国にある第三者への提供（28条1項）などで、場面ごとに定まっています。これらの場面で、利用開始時の包括的な「みなし」の一文だけに頼るのではなく、何について同意を求めているのかが本人に分かる形で、その場面ごとに取ることが基本になります。改定後に利用を続けたら同意したとみなす書き方の限界は、「改定・同意」のページで扱っています。

外部のサービスに情報が渡っていても、それが第三者への提供に当たるとは限りません。利用目的の達成に必要な範囲で個人データの取扱いを委託する場合、提供を受ける委託先は第三者に該当しないとされています（27条5項1号）。ただし、委託にとどまるか、サービス側が自社の目的でも使うか、事業者が外国にあるか、ブラウザから外部へ情報が送られるだけか（個人関連情報、電気通信事業法27条の12の外部送信規律）によって、検討する条文が変わります。「提供しません」と書くなら、実際の情報の流れを確かめたうえで書きます。