このページの要点
- 不備は、記載不足、項目の過剰、矛盾、運用との乖離、契約条項の混入、事業者情報の欠落、引用の誤りの7つの型で見つける。
- 点検は、棚卸し、利用目的、提供先、保管と安全管理、窓口、改定の順に行う。前の工程の結果が後の工程の前提になる。
- 苦情、請求、漏えいの疑いが来たときは、受付の日時、確認した事実、判断、回答を記録する。漏えい等の報告の対象は規則7条で定められ、速報と確報の期限は規則8条にある。
- 個人事業主も、個人情報データベース等を事業に使っていれば個人情報取扱事業者。他社の文の借用やツールの出力は、実態と一つずつ照らして直す。
結論：不備は7つの型に分けて見つける。点検は「実態の棚卸し」から始める
プライバシーポリシーの不備は、文章の誤字や言い回しの問題より、書かれている内容と事業の実態との食い違いとして現れることが多くあります。取っていない情報が並んでいる、使っている外部サービスが書かれていない、「提供しません」と書きながら情報が外部に渡っている、窓口が機能していない、といったものです。
このページでは、不備を7つの型に分け、よくある不備を20に整理します。続いて、自分のポリシーを点検する順番と、苦情や請求が来たときの初動、よくある質問を扱います。
- 不備の7つの型と、それぞれの見分け方。
- よくある不備20と、見直しの方向、関係する条文。
- 点検の順番（棚卸し、利用目的、提供先、窓口、改定の順）。
- 苦情・開示請求・漏えいの疑いが来たときの初動と記録。
- よくある質問（個人事業主に必要か、他社の文章を真似してよいか、ひな形ツールの使い方など）。
各論点の詳しい説明は、取得経路の整理は棚卸しのページ、窓口は開示請求・窓口のページ、改定は改定・同意のページにあります。ここでは、全体を横断して、逆引きできる形でまとめます。
不備の7つの型
不備の型と、見分けるための着眼点
| 型 | 典型 | 見分け方 |
|---|---|---|
| 記載不足 | 取っている情報、使っている外部サービス、紙やLINEなどの経路が書かれていない。 | 実際の取得経路の一覧と、ポリシーの項目を並べて、抜けを探す。 |
| 項目の過剰 | 取っていない情報、行っていない安全管理措置、使っていないサービスの名前が並んでいる。 | ポリシーの各文を、実際の運用の事実と一つずつ照らす。 |
| 矛盾 | 「第三者に提供しません」と書きながら、外部サービスに情報が渡っている。 | 提供しない、保存しない、使わないという否定の文を拾い、実態と照合する。 |
| 運用との乖離 | 保管期間、回答期限、手数料など、書いた数字が運用と合わない。 | 数字や期限を拾い、運用の担当者が守れる数字かを確かめる。 |
| 契約条項の混入 | 責任の制限、免責、規約の優先などが、ポリシーに書かれている。 | 「損害」「責任」「優先」の語を探す。 |
| 事業者情報の欠落 | 事業者の氏名・名称、住所、代表者、窓口、手数料などが欠けている。 | 法32条1項の4つの事項に当たる記載を、一つずつ確認する。 |
| 引用の誤り | 条番号や法令名が古い、または誤っている。匿名加工情報の語を誤用している。 | 引用している条番号を、現行の条文で確かめる。 |
7つの型のうち、利用者に見えやすいのは「事業者情報の欠落」と「矛盾」です。事業者にとって気づきにくいのは「項目の過剰」と「運用との乖離」で、ひな形を貼ったときに混じりやすい型です。点検では、見えやすい型より先に、気づきにくい型を探すのが効率的です。
よくある不備20：見直しの方向と条文
次の表は、よくある不備を20に分けたものです。特定の事業者の書類に基づくものではなく、一般的な誤りの型です。条文は、現行の個人情報保護法のものです。
よくある不備20（1〜10）
| 不備 | 見直しの方向 | 関係する条文 |
|---|---|---|
| 1 取っていない情報の項目が並んでいる | 実際に取る情報だけを書く。ひな形の項目は、取得経路と照らして削る。 | 法17条、21条 |
| 2 紙・LINE・防犯カメラなどの経路が抜けている | 取得経路を棚卸しして、ポリシーに反映する。 | 法21条1項・2項 |
| 3 利用目的が「サービス向上のため」「その他必要な目的」だけ | 目的を、本人が取扱いを想定できる程度に具体的にする。 | 法17条1項 |
| 4 広告・写真の掲載・分析に使うのに目的に書いていない | 実際に使う目的を書く。範囲を超えるなら同意を取る。 | 法17条、18条1項 |
| 5 「第三者に提供しません」と書きながら外部サービスに送っている | 外部サービスごとに、委託、第三者提供、共同利用などの区分を確かめて書く。 | 法27条1項・5項 |
| 6 委託・共同利用・第三者提供の区別がない | 共同利用は、項目、範囲、目的、責任者を示す。 | 法27条5項 |
| 7 外国の事業者のサービスを使うのに説明がない | 外国にある第三者への提供に当たるかを確かめ、当たるなら同意と情報提供をする。 | 法28条 |
| 8 外部送信の通知・公表の検討がされていない | 対象のサービスかを確かめ、対象なら通知または公表する事項を整える。 | 電気通信事業法27条の12 |
| 9 要配慮個人情報を取るのに同意の取得が書かれていない | 取得前に同意を取る設計と、フォームの文言を整える。 | 法2条3項、20条2項 |
| 10 「利用を続けたら同意」だけで重要な変更を処理している | 変更の重さで分け、重要な変更は個別に同意を取る。 | 法17条2項、18条1項、21条3項 |
よくある不備20（11〜20）
| 不備 | 見直しの方向 | 関係する条文 |
|---|---|---|
| 11 「予告なく変更する」とだけ書いている | 効力発生日と通知の方法を決める。旧版を保存する。 | 法21条3項 |
| 12 保管期間が固定の年数で、根拠や運用と合わない | 保管期間の根拠を決め、運用と一致させる。 | 法22条 |
| 13 行っていない安全管理措置を列挙している | 実際に講じている措置だけを書く。 | 法23条、32条1項4号（政令10条） |
| 14 窓口が「準備中」などで機能していない | 請求を受け付ける窓口を動かしてから公開する。 | 法32条1項 |
| 15 事業者の名称・住所・代表者が欠けている | 欠けている事項を載せる。住所を出さない場合は、請求に応じた回答の体制を示す。 | 法32条1項1号 |
| 16 手数料が「別途定める金額」とだけ書かれている | 額を定めて載せる。取らないなら、取らない旨を書く。 | 法32条1項3号、38条 |
| 17 本人確認が過重で、手続が分かりにくい | 請求の内容に見合った確認方法と、選択肢を示す。 | 法37条 |
| 18 責任制限・免責・規約の優先がポリシーに混ざっている | 契約条項は規約に置き、ポリシーは取扱いの内容を書く。 | 消費者契約法8条・10条の観点 |
| 19 「匿名加工情報」の語を、統計的に処理した情報の意味で使っている | 法の匿名加工情報（作成・公表の義務を伴う）と区別し、統計情報などの別の言葉を使う。 | 法2条6項、43条 |
| 20 条番号・法令名が古い、または誤っている | 現行の条番号で確かめる。分からない引用は削る。 | 個人情報保護法の現行条文 |
表の外から補足します。13番の安全管理措置は、現行の個人情報保護法では23条に置かれています。古い解説や、過去のポリシーの引用が残っていると、現在の条番号とずれるおそれがあります。20番の誤りは、見た目に気づきにくいため、引用の条番号は現行の条文で一つずつ確かめます。
8番の外部送信の規律は、電気通信事業法の規定で、対象になるサービスの範囲が定められています。小規模なホームページが対象になるかどうかは、サービスの区分の当てはめによります。対象になる、ならないを一律に言い切らず、総務省の解説で確認したうえで、記載を整えます。外部サービスの区分は外部サービスの区分のページで扱っています。
矛盾と乖離を直すときの書き方の対比
不備を見つけたときに、文を足して取り繕うと、別の食い違いが生まれることがあります。直し方の基本は、実態を確かめて、実態に合わせて文を書き換えることです。実態のほうを文に合わせるのでなく、まず実態を確かめます。実態が望ましくない場合は、実態を変えてから文を書き直します。次に、典型的な直し方の対比を示します。
書き方の例（一般的な例） 矛盾・乖離の直し方
提供の否定
理由外部サービスに情報が渡っている実態を、委託の枠組みで説明するため。否定の一文を残さない。
保存の否定
理由「保存しない」は、端末、バックアップ、外部サービスなど、保存の範囲を確かめると成り立たないことが多いため。
安全管理
理由実際に講じている措置を具体的に書くため。「万全」は事実の説明になっていない。
回答期限
理由守れる運用が確認できない固定の日数を約束しないため。
この対比で共通するのは、事実を確かめてから書く、という順序です。「提供しません」の文は、事実の確認を省いて書かれたことが多く、確認すると外部サービスが見つかります。「保存しません」も、サービスの裏側の保存を確かめると成り立たないことがあります。否定の文は、事実の裏付けが取れる範囲に限って書きます。
点検の順番：棚卸し、利用目的、提供先、窓口、改定
自分のポリシーを点検する順番
- 棚卸し予約、連絡、決済、アクセス解析、紙、LINE、防犯カメラなど、取得経路ごとに取る情報を書き出す。
- 利用目的取った情報を何に使うかを、場面ごとに書き出し、ポリシーの利用目的と照らす。
- 提供先情報が渡る外部サービスを書き出し、委託、第三者提供、外国、外部送信の区分を確かめる。
- 保管と安全管理保管期間と消去の運用、実際に講じている措置を確かめる。
- 窓口事業者情報、請求の手続、手数料、苦情の申出先が揃い、窓口が動いているかを確かめる。
- 改定制定日、改定日、通知の方法、旧版の保存を整える。
順番の理由は、前の工程の結果が後の工程の前提になるため。棚卸しをせずに文面を直すと、直した文面が実態とずれる。
棚卸しから始める理由は、不備の多くが実態との食い違いだからです。実態が分かっていないまま文面を整えると、整った文面が、新たな食い違いを生みます。点検の最初の作業は、ポリシーを読み直すことでなく、事業で扱っている情報の流れを確かめることです。取得経路の整理は棚卸しのページで扱っています。
確認の問い点検を始める前の問い
ポリシーに書いている否定の文（「提供しません」「保存しません」「使いません」）を、全て拾い出したか。
理由否定の文は、実態と食い違うと矛盾の不備になる。事実で裏付けられるかを確かめる必要がある。
書かれている数字（保管期間、回答期限、手数料）を、運用の担当者が守れるか。
理由守れない数字は、運用との乖離の不備になる。
ポリシーを最後に見直したのは、サービスの内容や使う外部サービスを変えた後か。
理由サービスの変更後に見直していなければ、変更前の実態を書いたままの可能性がある。
ポリシーの文を、他社の文章やひな形から借りていないか。借りた部分は、自分の実態と照らしたか。
理由借りた文には、自分の事業に当てはまらない項目が混じりやすい。
苦情・開示請求・漏えいの疑いが来たときの初動
ポリシーの不備は、本人からの苦情や請求、あるいは情報の漏えいの疑いとして表面化します。そのときの初動を、あらかじめ決めておきます。
場面別の初動
苦情が来た
起きがちなこと本人の不満を受け止める前に、事実の確認を後回しにしてしまう。
整え方受付の日時と内容を記録する。事実を確かめ、回答の担当を決める。苦情は迅速に処理するよう努める（法40条）。
開示等の請求が来た
起きがちなこと請求の種類や、本人確認の方法が決まっていない。
整え方窓口で受け付け、定めた手順で本人確認をする。遅滞なく応じるか、応じない旨を通知する（法33条〜35条）。
漏えいの疑いが分かった
起きがちなこと範囲が分からないまま、報告や通知の判断が遅れる。
整え方被害の拡大を止め、事実と原因を記録する。報告や本人通知の対象かを、条文で判断する（法26条）。
削除や利用停止を求められた
起きがちなこと「契約が終わったから消せる」と、請求の根拠を確かめず応じる、または拒む。
整え方請求の根拠（法35条）と、保管が必要な法的な理由があるかを確かめて回答する。
漏えい等の報告は、全ての漏えいが対象ではありません。個人情報保護委員会規則で定める、個人の権利利益を害するおそれが大きい事態が対象で、要配慮個人情報が含まれる個人データの漏えい等、不正に利用されることで財産的被害が生じるおそれがある個人データの漏えい等、不正の目的をもって行われたおそれがある行為による漏えい等、本人の数が千人を超える漏えい等が挙げられています（規則7条）。対象の事態を知った後は、速やかに概要などを報告し、知った日から30日以内（不正の目的をもって行われたおそれがある場合は60日以内）に、さらに詳しい事項を報告します（規則8条）。本人への通知も、事態の状況に応じて速やかに行います（法26条2項、規則10条）。
報告の対象にならない漏えいでも、被害の拡大を防ぐ対応と、事実と原因の記録は欠かせません。苦情、請求、漏えいの疑いのいずれの場合も、受け付けた日、確認した事実、判断、回答の日付を残しておきます。記録は、後で経過を確かめるためのものであるとともに、再発を防ぐ点検の材料になります。
公的な窓口としては、個人情報保護委員会が、個人情報の取扱いに関する公表資料や、事業者向けのガイドライン、Q&Aを出しています。連絡先や最新の案内は、同委員会の公表資料で確認します。外部送信の規律は総務省の解説が参考になります。条文は、e-Gov法令検索で現行のものを確かめられます。
よくある質問
個人事業主や、小さなお店でもプライバシーポリシーは必要ですか。
「プライバシーポリシー」という名の書面が義務になっているのではありません。個人情報データベース等を事業に使っている者は、規模にかかわらず個人情報取扱事業者です（法16条2項）。顧客名簿や予約台帳を検索できる形で整理していれば、個人や小さなお店も対象になります。そのうえで、利用目的の通知または公表（法21条1項）、書面で直接取るときの明示（法21条2項）、保有個人データに関する事項を本人の知り得る状態に置くこと（法32条1項）が求められます。これらを載せる書面が、実務でプライバシーポリシーと呼ばれています。
他社のプライバシーポリシーを真似して作ってもよいですか。
他社の文は、その会社の事業の実態に合わせて書かれています。真似すると、自分の事業では取っていない情報や、使っていないサービスが並ぶ不備が起きやすくなります。また、文章には著作権が生じる場合があります。書き方の型を参考にするのはよいですが、文は自分の実態から書き起こします。
ひな形やツールで作った文は、そのまま使えますか。
文の整い方と、自分の事業との合致は別の問題です。ツールが出力した文は、入力した情報の範囲でしか実態を反映しません。出力後に、取得経路、利用目的、外部サービス、窓口、数字や期限を、実態と一つずつ照らして直します。照らすための手順は、先の「点検の順番」のとおりです。
英語版のプライバシーポリシーは必要ですか。
法が、日本語以外の版を作ることを一律に求める規定はありません。外国の利用者を相手にする事業では、その国や地域の個人情報保護の制度が適用される場合があり、日本の法律だけでは足りないことがあります。対象にする国や地域がある場合は、その制度を確認します。日本語版と英語版の内容が食い違わないよう、どちらを正本とするかは決めておきます。
本人から「自分の情報を削除してほしい」と言われたら、必ず削除しなければなりませんか。
常に削除の義務があるわけではありません。本人が利用停止等（利用の停止または消去）を請求できるのは、法の定める場合に限られます。法に違反して取り扱われている、または取得されたものである場合（法35条1項）のほか、保有個人データを利用する必要がなくなった場合などです（法35条5項）。請求に理由があることが判明したときは、遅滞なく対応し、応じない場合はその旨を通知します（法35条6項・7項）。請求の根拠と、保管が必要な法的な理由の有無を、確かめたうえで回答します。
不備の点検で起きがちなこと
起きがちなこと
- 文面を直す前に実態を確かめず、直した文面が、新しい食い違いを生む。
- 見えやすい誤字や言い回しを直して、否定の文と実態の矛盾が残る。
- 数字（保管期間、回答期限、手数料）を直したが、運用の担当者に伝わっておらず、運用が変わらない。
- 外部サービスを追加したのに、ポリシーを見直していない。
- 苦情や請求を受けた記録が残らず、後で経過を確かめられない。
- 条番号を、古い解説の引用のまま残している。
- 漏えいの疑いが分かっても、報告の対象かの判断が遅れる。
- 点検を一度やって終わりにして、サービスの変更後に再点検しない。
よくあるご質問
プライバシーポリシーは、どのくらいの頻度で見直せばよいですか。
決まった頻度を定めた条文はありません。サービスの内容を変えたとき、使う外部サービスを増やしたり替えたりしたとき、取る情報の項目を増やしたとき、窓口や事業者の情報が変わったときに見直します。変更がなくても、年に一度などの時期を決めて、実態との照合をすると、乖離に気づけます。見直したら、改定日を記録し、旧版を保存します。
ポリシーに書いていない目的で情報を使ってしまった場合は、どうなりますか。
特定した利用目的の範囲を超えて個人情報を取り扱うには、あらかじめ本人の同意が必要です（法18条1項）。同意なく範囲を超えて使うと、本人から利用停止等を請求される場合があります（法35条1項）。範囲を超えて使っていることが分かったら、使用を止め、同意を取るか、目的を改めて通知または公表するかを、変更の範囲に応じて判断します（法17条2項、21条3項）。
お客様の写真を、ホームページやSNSに載せるときは、ポリシーに書けば足りますか。
載せる目的がポリシーの利用目的に含まれていないなら、目的の追加が必要で、範囲を超える場合は同意が要ります。顔が写る写真は、特定の個人を識別できれば個人情報です（法2条1項）。ポリシーの記載だけでなく、取得する場面で、載せる場所と目的を示して同意を取る運用にすると、説明しやすくなります。取得場面の書き分けは、店舗・教室型のページで扱っています。
子どもの情報を取るときの注意点は、ありますか。
個人情報保護法には、年齢の基準を示した条文は置かれていません。ただし、子どもが本人の場合、本人の同意や、開示等の請求の場面で、法定代理人である保護者との関係が問題になります（開示等の請求の代理人は法37条3項、政令13条）。同意を取る相手と、窓口に来る請求者の確認方法を、あらかじめ決めておきます。
ポリシーを公開していなくても、法律違反になりますか。
「プライバシーポリシー」という名の書面を公開していないこと自体が、直ちに条文違反になるわけではありません。ただし、取得した個人情報の利用目的の通知または公表（法21条1項）や、保有個人データに関する事項を本人の知り得る状態に置くこと（法32条1項）は、法が求めています。これらを満たす手段として、ウェブ上で公表するのが一般的です。公表しない場合は、他の方法で条文の要件を満たしているかを確かめます。
あわせて読みたいページ
本ページは一般的な情報提供です。個別の事業への当てはめは、取り扱う情報の種類やサービスの仕組みによって異なることがあります。条文は e-Gov 法令検索（法令API）で確認した現行のものに基づき、まだ施行されていない改正は現行の内容として扱っていません。参考: e-Gov法令検索 / 個人情報保護委員会 / 総務省
