このページの要点
- 同意が要る場面は、利用目的の範囲を超える取扱い（18条1項）、要配慮個人情報の取得（20条2項）、第三者提供（27条1項）、外国への提供（28条）などで、場面ごとに決まっている。
- 利用目的の変更は、変更前と関連性を有すると合理的に認められる範囲内（17条2項）なら、通知または公表（21条3項）。範囲を超えるなら、あらかじめ本人の同意（18条1項）。
- 重要な変更（目的の追加、提供先、外国提供、要配慮情報）は、再同意の設計を別に持つ。承諾の意思が表れる行為で、何についての同意かが分かる形で取る。
- 制定日・改定日・施行日を分けて書き、旧版を保存する。規約に組み込む場合は、民法548条の2以下の規律と、個人情報の同意の手続を、別々に確認する。
結論：「継続利用で同意」は、同意が要る場面の多くで、それだけでは足りない
プライバシーポリシーの末尾に、「本ポリシーは予告なく変更することがあります。変更後に本サービスを利用された場合は、変更後のポリシーに同意したものとみなします」と書くことは、よく行われています。この一文は、改定のたびに全利用者から同意を取り直す手間を省くための書き方です。
ただし、個人情報保護法が本人の同意を求める場面は、条文ごとに決まっています。その場面で求められる同意は、「何について同意するのか」が本人に分かる形で取られることが前提です。包括的なみなしの一文は、利用目的の変更や第三者提供の範囲の拡大のような重要な変更では、同意を取ったことの根拠として弱くなります。
このページでは、改定の場面を次の順に整理します。
- 同意が必要になる場面を、条文ごとに分ける。
- 利用目的の変更は、どこまでが範囲内で、どこからが同意の対象になるか（法17条2項、18条1項、21条3項）。
- 再同意の設計が必要になる重要な変更の類型。
- 同意の取り方と、本人が判断できる説明の程度。
- 制定日・施行日・旧版の保存、予告期間の置き方。
- 利用規約とプライバシーポリシーの関係、規約に組み込む場合の民法の規律。
利用目的そのものの書き方は利用目的の書き方のページ、外部サービスへの情報の渡し方は外部サービスの区分のページで扱っています。
同意が必要になる場面は、条文ごとに決まっている
「同意」という言葉が出てくる条文は多く、それぞれ役割が違います。改定の内容がどの条文に触れるのかを、先に分けておくと、再同意が要るかどうかの判断がしやすくなります。
本人の同意が問題になる主な場面
| 場面 | 条文 | 改定で問題になる例 |
|---|---|---|
| 特定した利用目的の範囲を超えて使う | 法18条1項 | 予約の連絡のために取った連絡先を、新サービスの案内に使い始める。 |
| 要配慮個人情報を取得する | 法20条2項 | 体調に関する項目を新たに取り始める。 |
| 個人データを第三者に提供する | 法27条1項 | 提携先に顧客リストを渡す。 |
| 外国にある第三者に提供する | 法28条1項・2項 | 外国の事業者のサービスに、個人データを送るサービスへ切り替える。 |
| 事業の承継に伴う取扱い | 法18条2項、27条5項2号 | 事業を譲り受け、承継前の利用目的を超えて使いたい。 |
表のうち、18条1項の場面は、改定で利用目的を変えるときに直接関わります。20条2項、27条1項、28条1項の場面は、ポリシーの改定とは別に、その情報の取得や提供の時点で個別に同意が必要です。ポリシーの改定の一文が、これらの場面の同意に代わるわけではありません。
同意が不要な例外も、条文ごとに定められています。法令に基づく場合や、人の生命、身体、財産の保護のために必要がある場合で本人の同意を得ることが困難なときなどです（法18条3項、20条2項、27条1項の各号）。ただし、これらは例外の列挙であり、事業者の都合で拡大できるものではありません。ポリシーに「当社が合理的に必要と判断した場合」といった広い例外を書いても、条文の例外が広がることはありません。
「利用したら同意」「継続したら同意」がなぜ弱いのか
みなし同意の書き方が弱くなりやすい理由を、三つに分けて確認します。
第一に、何についての同意かが、一文からは分からない
「本ポリシーに同意したものとみなす」は、ポリシーの全文に対する包括的な同意です。個人情報保護法が場面ごとに求めているのは、第三者に提供すること、外国に送ること、利用目的を超えて使うことなど、個別の取扱いを本人が理解したうえでの同意です。ポリシーの全文を読んだうえでの包括的な承諾と、個別の取扱いへの同意とは、同じものではありません。
第二に、行為から同意を読み取れるかは、行為の意味による
サービスの画面を開いただけ、ログインしただけの行為は、ポリシーを読んで内容を承諾した行為とは限りません。ボタンを押す、チェック欄に印を付けるといった、承諾の意思が表れる行為を伴う形にして、はじめて、同意の取得として説明しやすくなります。ポリシーへのリンクが画面の片隅にあるだけでは、本人が内容を知り得る状態とは言いにくい場合があります。
第三に、消費者を相手にする場合は、条項の有効性そのものが問われる
消費者契約法10条は、消費者の不作為をもって新たな契約の申込みや承諾の意思表示をしたものとみなす条項など、法令の任意規定の適用による場合に比べて消費者の権利を制限し、または義務を加重する条項で、民法1条2項の基本原則に反して消費者の利益を一方的に害するものを無効としています。利用の継続を同意のしるしとみなす条項が、この規定に当たるかは、条項の内容と取引の実情によって判断されます。当たらないと断定できる書き方ではないため、慎重に設計します。
書き方の例（一般的な例） 改定の効力の書き方
みなしの範囲
理由変更の重さによって、手続を分けているため。全てを一つのみなしで処理していない。
予告の有無
理由予告の日数を決めておくと、本人が内容を確かめて、利用をやめる選択もできる。予告なしの書き方は、重要な変更の説明として弱い。
同意の範囲
理由条文が場面ごとに同意を求めているため。包括的な同意で個別の同意を代替しようとしていない。
利用目的の変更：範囲内なら通知・公表、超えるなら同意
改定のなかで最も条文が重いのが、利用目的の変更です。法は三つの段階を置いています。
利用目的を変えたいときの判断の道筋
- 変更前との関連性変更後の目的が、変更前の目的と関連性を有すると合理的に認められる範囲内にあるか（法17条2項）。
- 範囲内の場合範囲内であれば、変更後の目的を本人に通知するか、公表する（法21条3項）。同意は必須でない。
- 範囲外の場合範囲を超える目的は、17条2項により、変更としては行えない。既に取得した情報を新しい目的に使うには、あらかじめ本人の同意を得る（法18条1項）。
- 取得時の明示新しく書面で取得する場合は、取得の時点で新しい目的を明示する（法21条2項）。
範囲内か範囲外かの線引きは、取扱いの実態に即して判断される。迷う場合は、同意を取る設計にするほうが、後の争いが少ない。
17条2項の「関連性を有すると合理的に認められる範囲」は、本人が通常予期できる程度かどうか、という観点で見られる傾向があります。具体的な線引きは、個人情報保護委員会のガイドライン（通則編）とQ&Aに例が示されているため、確認が必要です。ここでは、考え方の例を示します。
- 予約の連絡のために取った連絡先を、予約の変更の案内に使うのは、目的の範囲内と見やすい。
- 予約の連絡のために取った連絡先を、別の商品の宣伝の配信に使うのは、変更前の目的と関連性が薄く、同意の対象と見るのが安全。
- 施術の記録を、本人の次回の利用の準備に使うのは、範囲内と見やすい。
- 施術の記録を、写真付きの紹介としてホームページに載せるのは、別の目的であり、同意を取る設計にするのが安全。
目的を追加するのに、変更前の目的との関連性が薄い場合に、新しい目的を「変更」としてポリシーに追記しても、既に取得した情報を使う根拠にはなりません。新しい目的に使うには、追記の通知とは別に、本人の同意を取ります。
重要な変更は再同意の設計を別に持ち、同意の取り方を決めておく
全ての改定で再同意を取る必要はありません。再同意の設計が必要になる類型を先に決めておくと、改定のたびに迷わずに済みます。
再同意を検討する変更の類型
利用目的の追加
起きがちなこと連絡のための目的に、広告配信や分析が加わる。
整え方範囲を超える場合は、本人に追加の目的を示して同意を取る。範囲内でも、通知か公表をする。
第三者提供の範囲の拡大
起きがちなこと提携先への提供を始める、提供する項目が増える。
整え方提供先、項目、目的を示して、個別に同意を取る（法27条1項）。委託や共同利用に当たるかは、別途判断する。
外国への提供
起きがちなこと外国の事業者のサービスに切り替える。
整え方本人に参考となる情報を提供したうえで、同意を取る（法28条1項・2項）。
要配慮個人情報の取得
起きがちなこと健康状態に関する項目を新たに取り始める。
整え方取得前に同意を取る（法20条2項）。フォームの項目の追加と、同意の文言の追加をセットで行う。
事業の承継
起きがちなこと事業を譲り受けた事業者が、承継前の目的を超えて使いたい。
整え方承継前の利用目的の範囲内で扱うのが原則。超える場合は同意を取る（法18条2項）。
表の類型のほか、共同利用の内容を変更する場合は、責任を有する者や利用目的の変更について、本人に通知するか、本人が容易に知り得る状態に置くことが求められます（法27条6項）。
再同意の取り方は、変更の重さに合わせます。重い変更には、メールやサービス上の通知に加えて、チェック欄やボタンによる承諾を設けます。承諾がなかった利用者の情報を、新しい目的や提供先には使わず、従来の範囲で取り扱い続ける、という設計もあります。承諾がないことを理由に、その利用者のサービスの利用を一律に止めるかは、サービスの性質に応じて決めます。止める設計にする場合は、その旨を事前に示します。
同意の取り方：本人が判断できる説明と、記録の残し方
同意は、本人が判断できるだけの情報が示されたうえで取るのが基本です。外国にある第三者への提供の同意については、法28条2項が、外国の制度、第三者が講ずる保護措置その他の参考となる情報を事前に提供することを求めています。他の場面の条文には、同様の細かい定めはありませんが、何についての同意かが本人に分からなければ、同意として説明しにくくなる点は共通です。
確認の問い同意の取り方を決めるときの問い
同意を求める内容を、他の承諾事項と分けて示しているか。
理由利用規約への同意と、個人情報の特定の取扱いへの同意が一つのチェック欄にまとまっていると、何に同意したのかが分かりにくい。
同意を取る時点が、情報を取得する前、または提供する前になっているか。
理由条文は「あらかじめ」同意を得ることを求めている。事後の同意で足りる場面は、限られている。
同意しなかった場合の取扱いを、画面で説明しているか。
理由同意しなくてもサービスを利用できるのか、一部の機能が使えなくなるのかを示すと、本人の判断材料になる。
いつ、どの版のポリシーに対して同意を得たかを、記録できるか。
理由後で、同意の有無や範囲が争われたときに、版と日時を確かめられる。
目的追加の通知と同意の掲載例
〇年〇月〇日から、お預かりした連絡先を、新しいサービスのご案内にも使います。この目的に同意いただける場合は、次のボタンを押してください。
同意いただけない場合も、これまでのご予約の連絡や、現在ご利用のサービスは、従来どおりご利用いただけます。
変更の内容は、プライバシーポリシーの第○条で確認できます。
日付、条番号は実際の内容に合わせる。同意しない場合の扱いは、実際の運用と一致させる。
制定日・施行日・旧版の保存と、予告期間の置き方
改定の記録は、ポリシーの末尾に整えておきます。基本的な書き方は、次のとおりです。
- 制定日と、最終改定日を書く。
- 重要な改定は、改定の日、施行日（効力が生じる日）、変更の概要を分けて書く。
- 旧版を、一定の期間、閲覧できるようにする。少なくとも事業者の手元に保存する。
- 施行日の前に、変更を通知する期間を置く。期間は、変更の重さに合わせる。
施行日と通知の日を分けて書く理由は、通知が届いた時点では、本人がまだ内容を確かめる時間があることを示すためです。通知から施行までの期間を何日にするかは、法の定める数字はありません。通知の方法が本人に届く手段か、利用をやめたい人が手続をとるのに十分な期間か、という観点で、事業の実情に合わせて決めます。数字を決めたら、運用で守ります。
旧版の保存は、後から、ある時点の利用目的がどう書かれていたのかを確かめるために役立ちます。苦情や請求があったとき、本人が情報を提供した時点で示されていた目的は、その時点の版で決まります。最新版だけを残して旧版を消してしまうと、本人が提供した時点の説明を示せなくなります。
利用規約との関係：規約に組み込む場合は、民法の規律も確認する
プライバシーポリシーは、個人情報保護法に基づく公表や通知の書面であり、利用規約とは役割が違います。ただし、規約のなかに「プライバシーポリシーは本規約の一部をなす」と書いたり、「規約とポリシーが矛盾する場合は規約が優先する」と書いたりする事業者があります。
規約が定型約款に当たる場合、民法は、定型約款の個別の条項についても合意したものとみなす場合を定めています（民法548条の2第1項）。また、定型約款を変更するときは、変更が相手方の一般の利益に適合する場合、または契約の目的に反せず、変更の必要性や内容の相当性などに照らして合理的な場合に、個別の合意なく契約の内容を変更できるとされています（民法548条の4第1項）。この変更をするときは、効力発生時期を定め、変更する旨と変更後の内容を、インターネットの利用その他の適切な方法により周知しなければなりません（同条2項）。とくに、合理性を理由とする変更（同条1項2号）は、効力発生時期が来るまでに周知をしなければ効力を生じません（同条3項）。
この民法の規律は、契約の内容の変更についての規律です。個人情報保護法が場面ごとに求める本人の同意が、民法上のみなし合意があるというだけで満たされるのかは、別の問題として残ります。ポリシーを規約に組み込む場合は、契約条項としての変更手続と、個人情報の取扱いに関する通知や同意の手続の、両方を確認します。
書き方の例（一般的な例） 規約との関係の書き方
優先関係
理由個人情報の取扱いに関する公表事項を、契約条項の優先関係で書き換えることがないようにするため。
責任の定め
理由責任の制限は契約条項の内容で、ポリシーに混ぜると、公表すべき事項の記載と契約条項が混在するため。
改定は、ポリシーの文面を差し替えれば終わる作業ではありません。改定の内容によって、窓口の欄に書く事項（請求の手続、手数料、安全管理措置の概要など）が変わることがあります。たとえば、外部のサービスに情報を預ける運用に切り替えれば、利用目的の通知や公表の内容だけでなく、保有個人データに関する事項も見直す対象になります。窓口の欄の整備は開示請求・窓口のページで扱っています。
改定を重ねたポリシーは、条ごとの食い違いが生じやすくなります。ある条で利用目的を追加したのに、別の条の一覧に反映されていない、改定日だけが新しくなっている、といった不備です。改定のたびに、変更した条だけでなく、その語が登場する全ての条を読み直します。ポリシー全体の点検の手順と、よくある不備の型は不備の点検のページにまとめています。
改定の通知の方法も、変更の重さで分けておくと運用が安定します。軽微な修正はポリシーのページの更新だけで足りる一方、利用目的の追加や提供先の拡大は、サービス上の通知やメールなど、利用者が気づきやすい手段を併用します。どの変更をどの手段で通知するかの基準を、運用の手順としてあらかじめ決めておくと、改定のたびに判断をやり直さずに済みます。
改定の場面で起きがちなこと
起きがちなこと
- 改定の一文に「利用を続けたら同意とみなす」と書き、利用目的の追加や第三者提供の拡大も、同じ一文で処理している。
- 「予告なく変更する」と書いたまま、重要な変更でも通知をしていない。
- 利用目的を追加したが、変更前の目的との関連性を検討しておらず、既に取得した情報を新しい目的に使っている。
- 同意のチェック欄が、利用規約への同意と、個人情報の個別の取扱いへの同意で、一つにまとまっている。
- 改定の日付を書き換えるだけで、旧版を残していない。
- 利用規約の「規約が優先する」という条項で、ポリシーの公表事項が実質的に上書きされている。
- 事業を譲り受けたのに、承継前の利用目的の範囲を確かめずに、顧客情報を新しい目的に使っている。
- 外国の事業者のサービスに切り替えたのに、ポリシーの改定の通知だけで済ませている。
よくあるご質問
改定のたびに全利用者から同意を取り直す必要がありますか。
必要ではありません。再同意が必要になるのは、条文が本人の同意を求める場面に触れる変更です。利用目的を変更前と関連性を有すると合理的に認められる範囲内で変えるなら、変更後の目的の通知または公表で足ります（法17条2項、21条3項）。範囲を超えて使うなら、あらかじめ本人の同意が必要です（法18条1項）。第三者提供、外国への提供、要配慮個人情報の取得は、それぞれの条文の場面で同意を取ります。軽微な表現の修正は、同意を取り直す対象にはなりません。
「利用したら同意したものとみなす」と書くことは、違法ですか。
そう書くこと自体が直ちに違法になるとは言えません。ただし、その一文だけで、18条1項、20条2項、27条1項、28条1項などが求める個別の同意を取ったと説明するのは難しい場合があります。消費者を相手にする場合は、消費者契約法10条により、利用者の不作為をもって意思表示をしたものとみなす条項などが無効とされる場合があります。重要な変更では、通知とともに、承諾の意思が表れる行為（ボタン、チェック欄）で同意を取る設計にします。
利用目的を追加したとき、すでに取得した情報にも使えますか。
追加した目的が変更前の目的と関連性を有すると合理的に認められる範囲内なら、変更後の目的を通知または公表して使えます。範囲を超える場合は、あらかじめ本人の同意を得なければ、特定した目的の範囲を超えて使えません（法18条1項）。同意を得られなかった人の情報は、従来の目的の範囲で取り扱い続けます。
改定の予告は、何日前に出せばよいですか。
個人情報保護法には、予告の日数を定めた条文はありません。通知から施行までの期間は、変更の重さや、通知が本人に届く手段、本人が利用をやめる手続をとるのに必要な期間を考えて、事業者が決めます。決めた日数は、運用で守れるものにします。なお、利用規約を定型約款として変更する場合は、民法548条の4第2項が、効力発生時期を定めて周知することを求めており、合理性を理由とする変更は、効力発生時期が来るまでに周知をしなければ効力を生じません（同条3項）。
事業を他の人から引き継いだとき、顧客の情報は自由に使えますか。
承継前の利用目的の達成に必要な範囲を超えて使うには、あらかじめ本人の同意が必要です（法18条2項）。事業の承継に伴って個人データが提供される場合、提供を受ける側は第三者に当たらないとされています（法27条5項2号）が、これは提供の場面の扱いで、承継後の利用目的の制限は別に残ります。承継前の目的の範囲を確かめたうえで使います。
あわせて読みたいページ
本ページは一般的な情報提供です。個別の事業への当てはめは、取り扱う情報の種類やサービスの仕組みによって異なることがあります。条文は e-Gov 法令検索（法令API）で確認した現行のものに基づき、まだ施行されていない改正は現行の内容として扱っていません。参考: e-Gov法令検索 / 個人情報保護委員会 / 総務省
