このページの要点
- 注文・決済・配送・返品・問い合わせの順に、取る情報と、その情報を持つ者を並べてから条項を書く。
- 決済代行・配送・メール配信は、委託に当たるかを確かめ、「第三者に提供しません」の一文を実態に合わせる。
- メルマガは、利用目的に含めたうえで、個人情報保護法と電子メール広告の規制（特定電子メール法・特定商取引法12条の3）を別々に確認する。
- 退会後に残す情報は、項目・理由・期間を決め、「すべて削除」と書かない。レビューの掲載先も無限定にしない。
結論：注文から問い合わせまでの流れに沿って、「誰の手元にある情報か」を分けて書く
通販や予約販売、会員サービスのプライバシーポリシーで最も多い不備は、情報の種類を並べただけで、その情報が「自分の手元にあるのか、決済の会社や配送の会社、ショップサービスの運営会社の手元にあるのか」が区別されていない文章です。ショップサービスで開店すると、運営会社が用意した標準のプライバシーポリシーが付いてくることがあります。それとは別に、自分の店が自分で取得し、自分で使う情報については、自分の名前で、利用目的を示す必要があります。
個人情報保護法は、個人情報を取得したときは、あらかじめ利用目的を公表している場合を除き、速やかにその利用目的を本人に通知し、または公表することを求めています（21条1項）。申込みフォームのように、本人が書面（電磁的記録を含みます）に記載した情報を直接取得する場合は、取得する前に利用目的を明示しなければなりません（同条2項）。通販では、注文フォームがまさにこの「直接取得」に当たります。ポリシーの本文に書くだけでなく、入力欄の近くに利用目的が見える形にしておく、という設計が必要になる場面です。
- 注文・決済・配送・返品・問い合わせの順に、取得する情報と、その情報を持つ者を並べる。
- 決済代行や配送業者が自分の目的で取得する情報は、自店のポリシーでは「自店は取得しない」と正確に書く。
- サーバーや業務用サービスが外国にある場合、個人データの提供に当たるかを確かめ、当たるなら28条の手続を取る。
- メルマガ・DMは、個人情報保護法のほかに、電子メールの広告に関する規制（特定電子メール法・特定商取引法）も見る。
- 会員の退会後に残す情報と、残す理由・期間を、実際の運用と合わせて書く。
このページでは、通販・予約販売・会員サービスを運営する事業者を想定して、流れに沿った書き分けを説明します。取得する情報の洗い出しそのものは情報の棚卸しで、外部サービスを委託・第三者提供・外国への提供・外部送信のどれとして整理するかは外部サービスの区分で扱います。ここでは、通販に固有の流れを軸にします。
注文から問い合わせまで：情報の道筋を一本の線で描く
文章を書く前に、情報の道筋を描いておくと、書き漏れと書きすぎの両方を防げます。次の図は、一般的な通販の流れの例です。実際の店では、予約販売であれば「予約受付」と「発送時期の連絡」が加わり、会員サービスであれば「会員登録」と「退会」が加わります。
注文から消去までの情報の道筋（一般的な例）
- 取得（注文・予約）申込みフォームに氏名、住所、電話番号、メールアドレス、注文内容を入力してもらう。フォームの入力は「本人から書面に記載された情報を直接取得する」場面にあたり、取得前の利用目的の明示が要る。
- 決済カード番号などの決済情報を、自店が受け取るのか、決済代行会社の画面で直接入力してもらうのかを区別する。後者なら、自店には決済の結果と取引番号などだけが届く運用が多い。
- 配送届け先の氏名・住所・電話番号を、配送の手配のために使う。宛名・住所を使って荷物を送る行為は一般に委託と解される一方、荷物の中身の個人データは、配送業者が内容に関知しない限り委託には当たらない、と整理されている。
- 返品・問い合わせ返品の連絡、不具合の連絡、問い合わせの対応で、注文情報と照らし合わせる。問い合わせの記録を残すなら、その保管期間も決めておく。
- 保管・消去取引の記録を残す期間、会員の退会後に残す情報、不要になった情報の消去を決める。取引の記録に関する保存の定めは、別の法令にある場合がある。
流れ図は、そのままポリシーの目次の骨組みになります。図に出てこない項目は、そもそも取得していない可能性があります。
この流れ図の使い方は単純です。各段階について、「取っている情報」「使う目的」「その情報が渡る相手」の三つを一行ずつ書き出します。その一覧が、ポリシーの「取得する情報」「利用目的」「提供先・委託先」の三つの条項の元になります。条項を先に作ってから実態を合わせにいくと、ひな形の項目が先に立って、実際には取っていない項目まで書きがちです。
誰が持つ情報かを区別する：決済・配送・プラットフォーム
通販には、自店のほかに、少なくとも三種類の事業者が関わります。決済代行会社、配送業者、そしてショップサービス（店を開く仕組みを提供する運営会社）です。それぞれと自店との関係を、情報の流れの面から整理すると、次のようになります。ただし、これは一般的な型であり、実際の関係は契約の内容とサービスの仕組みで決まります。
関わる事業者ごとの情報の持ち方（一般的な型）
| 関わる事業者 | 情報の持ち方の型 | ポリシーでの書き方の要点 |
|---|---|---|
| 決済代行会社 | 決済画面で、決済代行会社が直接カード情報等を受け取る型が多い。自店には決済結果が届く。 | 自店は決済情報の全部を保持しない場合、「自店はカード番号を保存しない」と正確に書く。保持するなら、保持する範囲を書く。 |
| 配送業者 | 届け先を伝えて、荷物を預けて届けてもらう。 | 配送のために届け先の情報を使うことを、利用目的に入れる。業者に渡す情報の範囲は実際に合わせる。 |
| ショップサービスの運営会社 | 店の管理画面に注文情報が蓄積され、運営会社のシステムで処理される。 | 運営会社のポリシーに従う部分と、自店が独自に使う部分を分ける。自店の利用目的は自店の名前で書く。 |
| メール配信などの外部サービス | 自店の顧客リストを外部サービスに登録して配信する。 | 情報を外部サービスに預ける形なら、委託として整理できるかを確かめる。サービス側が自社の目的で使うなら、整理が変わる。 |
「第三者に提供しません」という一文を書く前に、確かめておきたい点があります。個人情報保護法の27条5項1号は、利用目的の達成に必要な範囲で個人データの取扱いの全部または一部を委託することに伴って個人データが提供される場合、提供を受ける者は第三者に該当しないと定めています。決済や配送、メール配信のために情報を渡す場合は、この委託に当たるか、あるいは渡す先が自分の目的で使うかによって、条文の当てはめが変わります。委託に当たる場合には、委託先に対する必要かつ適切な監督（25条）が求められます。
個人情報保護委員会のQ&Aには、外部事業者を使って相手の氏名、住所等宛に荷物を送る行為は委託に該当すると解される一方、配送事業者は通常は荷物の中身に関知しないため、中身の個人データについては取扱いを委託したものではないと解される旨の項目と、クラウドサービスの利用が第三者提供に当たるかは、提供する事業者が個人データを取り扱うこととなっているかで判断される旨の項目があります。該当する項目の原文は、個人情報保護委員会のウェブサイトで確認してください。ここで押さえておきたいのは、「外部のサービスを使っている」ことと「個人データを第三者に提供している」ことが、そのまま同じではない、という点です。
書き方の例（一般的な例） 提供先・委託先の書き方
決済・配送・配信の書き方
理由「提供しない」と書きながら、実際には外部のサービスに情報が渡っている、という食い違いを避けるため。委託か提供かの整理は、実際の仕組みに合わせて決める。
決済情報の書き方
理由自店が持っていない情報を「管理します」と書くと、実態と合わない。持っていないなら、持っていないと書くほうが正確。
プラットフォームの標準文と、自店の文章の分担
ショップサービスの多くは、運営会社が定めた利用規約やプライバシーに関する説明を用意しています。この標準文は、運営会社が利用者の情報をどう扱うかを説明するものです。自店の顧客の情報を自店がどう扱うかは、標準文からは読み取れません。そのため、標準文があることを理由に、自店のポリシーを置かなくてよいとは言い切れません。
分担の考え方は、「誰が決めているか」を軸にすると整理しやすくなります。運営会社が決めている部分、たとえば店の管理画面の仕組みや、運営会社が自らの目的で取得する情報は、運営会社の説明に任せます。自店が決めている部分、たとえば注文情報を使ってどの顧客にどんな連絡をするか、購入履歴を何に使うか、いつまで残すかは、自店のポリシーに書きます。
分担がずれやすい場面
標準文だけで済ませる
起きがちなこと自店が顧客の購入履歴を使って個別に案内を送っているのに、ポリシーには何も書かれていない。
整え方自店が決めている利用目的を、自店の名前で書く。標準文へのリンクは補足として添える。
標準文をそのままコピーする
起きがちなこと運営会社の社名や住所が書かれた文章を、自店のポリシーとして載せてしまう。
整え方主体は誰かを確かめ、自店の名称と窓口に書き換える。他者の文章の転載は避ける。
二つの文章が食い違う
起きがちなこと運営会社の説明では保存期間が一定とされているのに、自店のポリシーには別の期間が書かれている。
整え方運営会社が保持する分と自店が保持する分を分けて書く。
なお、事業者名や窓口の書き方については、開示・訂正・利用停止の請求と窓口の書き方で、保有個人データに関する事項の公表（32条1項）と関連づけて説明しています。個人事業主が住所をどう扱うか、という悩みもそこで扱います。
外国にサーバーがあるサービスを使うとき：28条の確認
ショップサービスやクラウド、メール配信などの業務用のサービスは、運営会社が外国にあったり、データの保管場所が外国にあったりすることがあります。このとき、個人情報保護法28条が問題になる場合があります。28条1項は、外国にある第三者に個人データを提供する場合、法の定める例外を除き、あらかじめ外国にある第三者への提供を認める旨の本人の同意を得なければならない、と定めています。
ただし、28条は「外国にある第三者に個人データを提供する場合」の規定です。外国にあるサーバーを使っていることと、外国にある第三者へ個人データを提供していることは、同じではありません。委託に伴って提供される場合は第三者に当たらないとする27条5項1号は、28条との関係でも検討が必要です。提供を受ける外国の事業者が、個人情報保護委員会規則で定める基準に適合する体制を整備している場合や、規則で定める同等水準の制度を持つ外国として定められている場合は、28条1項の同意の対象から外れます（28条1項かっこ書。規則15条・16条）。
同意を取る場合には、あらかじめ本人に提供する情報も定められています。規則17条2項は、当該外国の名称、その外国における個人情報の保護に関する制度に関する情報、提供を受ける第三者が講ずる保護のための措置に関する情報、の三つを挙げています。外国の名称が特定できないときや、第三者の措置について情報提供ができないときは、その旨と理由を伝える、という例外的な定めも置かれています（同条3項・4項）。これらの情報は、同意を得ようとする時点で提供することが求められます。
確認の問い外国のサービスを使うときに確かめる問い
そのサービスは、あなたが預けた個人データを、サービス側が取り扱うことになっていますか。
理由単にデータの置き場所を借りているだけなのか、サービス側が取り扱うのかで、提供に当たるかの判断が変わるため。
サービスを提供している事業者は、どの国に所在していますか。データを保存するサーバーは、どの国にありますか。
理由同意を得るときに提供する「外国の名称」は、提供先の事業者が所在する国をいい、サーバーの所在国を併せて示すことは望ましい取組とされる（個人情報保護委員会のQ&A）。特定できない場合は、その旨と理由を伝える必要があるため。
その事業者は、規則で定める体制を整備している者といえますか。
理由整備している者への提供は、28条1項の同意の対象外とされる。ただし、その場合でも、継続的な措置の確保などが求められる（28条3項）。
「相手のポリシーを見てください」と書くだけで、必要な情報を伝えたことになりますか。
理由規則17条2項は、国の名称、制度の情報、措置の情報を挙げている。相手の文章の参照だけでは、これらの情報が伝わるかを個別に確かめる必要があるため。
外国にある第三者への提供に当たるかの判断は、サービスの仕組みによって分かれます。判断に迷うときは、個人情報保護委員会のガイドラインとQ&Aの原文で、確かめてください。
メルマガ・DM・広告：個人情報保護法と電子メールの規制は別の話
購入者にメルマガを送ったり、新商品の案内を送ったりする場合、プライバシーポリシーには、そうした連絡を利用目的に含めておく必要があります。利用目的が「ご注文の確認と配送のため」だけなのに、同じ情報で販促のメールを送ると、特定した利用目的の範囲を超える取扱いになり、あらかじめ本人の同意を得ていなければ、18条1項に反することになります。目的は、取得の場面で示せる形に整えておくのが安全です。
もう一つ、見落とされやすいのが、電子メールによる広告そのものを規制する法律の存在です。特定電子メールの送信の適正化等に関する法律（特定電子メール法）は、送信者に対し、あらかじめ送信を求める旨または同意する旨を通知した者などの例外を除いて、特定電子メールの送信を禁止しています（3条1項）。例外には、広告に係る営業を営む者と取引関係にある者への送信が含まれます（同項3号）。また、同意を得た場合は、その同意を証する記録を保存しなければなりません（3条2項）。送信の際は、送信者の氏名または名称、受信を拒否するための連絡先などの表示も必要です（4条）。
通信販売については、特定商取引法12条の3にも定めがあります。販売業者または役務提供事業者は、一定の例外を除き、相手方の承諾を得ないで電子メール広告をしてはなりません（同条1項）。承諾を得た後でも、相手方が受け取らない旨の意思を表示したときは、広告をしてはならず（同条2項）、承諾や請求を受けた記録の作成・保存（同条3項）、受け取らない旨を伝えるための事項の表示（同条4項）も求められます。購入手続の中で契約内容などを通知する場合の例外は、主務省令で定める方法による場合に限られます。細かい要件は省令の原文で確認が必要です。
注文フォームの近くに載せる表示の例
ご入力いただいた氏名・住所・電話番号・メールアドレスは、ご注文の確認、商品の発送、問い合わせへの対応のために使います。
新商品や催しのご案内をお送りしてもよい方は、下のチェックを入れてください。チェックがない場合は、案内はお送りしません。いつでも、メールの末尾の方法で受け取りを止められます。
案内の配信を「注文の確認」と別の同意として取る設計の例です。実際の取得項目と配信の内容に合わせて書き換えてください。
広告のためにメールアドレスなどを外部の広告事業者に渡す場合や、サイトにタグを入れて閲覧の記録を広告事業者に送らせる場合は、別の整理が必要です。これは個人関連情報（2条7項。生存する個人に関する情報であって、個人情報、仮名加工情報、匿名加工情報のいずれにも該当しないもの）の問題として検討する場面があり、31条や、電気通信事業法27条の12の外部送信規律が関わり得ます。区分の考え方は外部サービスの区分にまとめてあります。
会員登録とアカウント削除後：退会後も残す情報を決めておく
会員制のショップや予約販売では、退会の申込みを受けた後にどの情報を消し、どの情報を残すかが、ポリシーの書き方に影響します。個人情報保護法22条は、利用する必要がなくなったときは、個人データを遅滞なく消去するよう努めなければならないと定めています。努力義務ですが、消去を前提にした運用でないのに「退会後は直ちにすべて削除します」と書くと、実態との食い違いが生じます。
退会後も残す情報がある場合、その理由として一般に挙げられるのは、次のようなものです。取引の記録として一定の期間の保存が必要な場合、代金の支払いや返品に関する紛争が起きたときの確認に備える場合、同じ人が不正な申込みを繰り返さないように確認する場合などです。ただし、「不正利用の防止のため」を理由にするなら、対象の範囲と期間を絞って書くほうが、本人に理解されやすくなります。
退会後に残す情報の整理の例
| 情報の種類 | 残す理由の型 | 書き方の要点 |
|---|---|---|
| 注文・取引の記録 | 取引の記録として保存する必要がある、紛争時の確認に備える | 残す項目と期間を書く。期間の根拠が法令にあるときは、その旨を調べて書く。 |
| 問い合わせの記録 | 同じ件の再度の問い合わせに対応する | 必要な期間を決め、期間が過ぎたら消す運用にする。 |
| メール配信リスト | 配信を止めた人に誤って再び送らないため | 配信停止の希望を示す情報だけを残す形にすると、書きやすい。 |
| アクセスの記録 | 不正なアクセスの検知 | 個人を識別しない形か、短い期間かなど、実際の扱いに合わせて書く。 |
保管期間の決め方そのもの、つまり根拠となる法令や、紛争への備えとしての年数の考え方は、保管期間・消去・安全管理措置の書き方で詳しく扱っています。
購入履歴の活用とレビュー・口コミ：目的の置き方
購入履歴を使って、おすすめの商品を表示したり、広告の配信対象を絞ったりする場合、それが利用目的として本人にどこまで分かるかが問題になります。購入履歴に氏名や住所が結びついていれば、それは個人情報です。氏名が結びつかず、端末の識別子だけで管理していても、他の情報と容易に照合できれば個人情報になる場合があり、そうでなければ個人関連情報になります。どちらに当たるかで、守るべき条文が変わります。
利用目的の書き方で意識したいのは、「行為」と「目的」を混ぜないことです。「購入履歴を分析します」は行為であって、何のために分析するのかが分かりません。「購入履歴をもとに、おすすめの商品や案内を表示・送付するために」と書けば、本人が予測できる範囲が見えます。利用目的の特定の程度については、利用目的の書き方で、区分別の並べ方と合わせて説明しています。
購入者からのレビューや口コミを受け付け、サイト上に掲載する場合は、投稿者の情報の扱いも決めます。投稿者のお名前（ニックネームなど）を表示するのか、購入者であることを表示するのか、写真つきの投稿を受け付けるのか、掲載を取り下げる手続はどうか、といった点です。投稿の内容に他人の個人情報が含まれていたときの取扱いも、窓口と合わせて決めておくと、後から困りません。
書き方の例（一般的な例） レビュー・購入履歴に関する書き方
レビューの掲載
理由掲載先が無限定だと、本人が予測できる範囲を超えやすい。掲載先を特定し、広げる場合は別の機会に同意を取る形にする。
購入履歴の利用
理由「サービス向上」だけでは、何に使うのかが見えない。行為ではなく、目的を書く。
起きがちなこと
通販・予約販売・会員サービスで起きがちなこと
- 決済代行の画面で入力してもらっているのに、ポリシーには「当店はカード番号を厳重に保管します」と書いてある。
- 「第三者に提供しません」と書きながら、外部のメール配信サービスに顧客リストを登録している。
- ショップサービスの標準文だけで、自店が使う利用目的が書かれていない。
- メルマガの配信が、注文の確認の利用目的の中に含まれたまま、同意の取り方が決まっていない。
- 外国の事業者が運営するサービスを使っているのに、外国にある第三者への提供に当たるかを確かめていない。
- 退会後は直ちに全削除と書きながら、取引の記録や配信停止の記録は残している。
- レビューの掲載先が「広告などに自由に」と無限定で、投稿者が予測できる範囲を超えている。
よくあるご質問
ショップサービスの標準のプライバシーポリシーがあれば、自分の店の分は要りませんか？
標準文は、運営会社が利用者の情報をどう扱うかを説明するものです。自店が自店の目的で取得する情報（注文情報、問い合わせ、メルマガの配信先など）については、自店が利用目的を通知または公表する必要があります（個人情報保護法21条1項）。注文フォームのように本人が書面に記載した情報を直接取得する場合は、取得する前の明示も要ります（同条2項）。標準文へのリンクを補足として置くことはできますが、それだけで自店の利用目的が示されたことになるかは、標準文の内容によります。
クレジットカード番号は、ポリシーにどう書けばよいですか？
自店でカード番号を受け取らず、決済代行会社の画面で直接入力してもらう方式なら、「当店ではカード番号を保存していません」と実態どおりに書きます。自店でも受け取って保持するなら、保持する項目、目的、保管の方法、消去の時期を書きます。どちらの場合も、実際の仕組みと文章が一致していることが大切です。決済代行会社の取扱いの詳細は、その会社の説明に従う部分として、リンクで示す方法があります。
メルマガの登録は、購入時のチェックでよいですか？
ポリシーの利用目的に配信を含め、注文の確認とは別のチェックとして同意を取る設計が分かりやすい方法です。電子メールの広告には、個人情報保護法のほかに、特定電子メール法（3条・4条）と、通信販売の場合の特定商取引法12条の3が関わります。同意や請求の記録の保存、配信を止める方法の表示も必要です。例外の要件は、条文と省令の原文で確認してください。
海外のサービスを使っている場合、必ず外国への提供の同意が要りますか？
必ずではありません。個人データを外国にある第三者に提供する場合が28条の対象ですが、委託に伴う提供で第三者に当たらない場合（27条5項1号）は別の整理になります。また、提供先が規則で定める体制を整備している者である場合などは、28条1項の同意の対象から外れます。実際の仕組みを確かめたうえで、当てはめを行います。同意を取る場合に伝える情報は、規則17条2項に定められています。
退会したお客様の情報は、すべて消さなければなりませんか？
個人情報保護法22条は、利用する必要がなくなったときに遅滞なく消去するよう努める、という努力義務です。取引の記録のように、別の理由で残す必要がある情報は、残す項目と理由、期間を決めたうえで、ポリシーにも書いておきます。「すべて削除」と書きながら実際は残している、という食い違いが、よくある不備です。
あわせて読みたいページ
本ページは一般的な情報提供です。個別の事業への当てはめは、取り扱う情報の種類やサービスの仕組みによって異なることがあります。条文は e-Gov 法令検索（法令API）で確認した現行のものに基づき、まだ施行されていない改正は現行の内容として扱っていません。参考: e-Gov法令検索 / 個人情報保護委員会 / 総務省
