このページの要点
- 書面そのものを作る義務を置く条文はなく、法が求めるのは利用目的の特定（17条）、取得時の通知・公表・明示（21条）、保有個人データに関する事項の公表（32条）などの個別の義務。
- 公表・通知・明示・本人の知り得る状態は別の手段。書面で直接取るときは、取得の前の明示が必要（21条2項）。
- 個人情報、個人データ、保有個人データの段階が進むほど義務が増える。事業者に当たるかは、件数でなく、個人情報データベース等を事業に使っているかで決まる（16条2項）。
- 1枚にまとめるのは運用上の便宜。フォーム直下、申込書の冒頭、店頭の掲示と、取得の経路に合わせて示す場所を分ける。
結論：「プライバシーポリシー」という書面に法律上の定義はなく、法が求めるのは個別の義務です
個人情報の保護に関する法律（以下「個人情報保護法」といいます）には、「プライバシーポリシーを作らなければならない」という条文はありません。条文に置かれているのは、利用目的をできる限り特定すること（17条1項）、個人情報を取得したときに利用目的を本人に通知し、または公表すること（21条1項）、契約書や申込書など書面で本人から直接取得するときは取得の前に利用目的を明示すること（21条2項）、保有個人データについて事業者の名称・住所、全ての利用目的、請求の手続などを本人の知り得る状態に置くこと（32条1項）、といった個別の義務です。
実務で「プライバシーポリシー」「個人情報保護方針」「個人情報の取扱いについて」と呼ばれる書面は、これらの義務を果たすために、また決済・ストア・広告・予約システムなど外部サービスの審査で求められて、必要な事項を1枚にまとめて載せたものです。1枚にまとめるのは運用上の便宜であり、法律がその形を指定しているわけではありません。
したがって、ひな形を貼ったあとに確かめる順序が大切になります。この文章は「法律が求めている事項」なのか、「任意で書いている事項」なのか。求められている事項だとすれば、どの手段（公表・通知・明示・本人の知り得る状態）で、いつまでに本人へ示すものなのか。この二つを分けて見ると、書くべき項目の漏れと、書きすぎの両方が見えてきます。このページはそのための全体の地図です。作成例の文章は載せず、各ページへの入口としての整理に徹します。
このページで整理するのは、次の五つです。
- 「プライバシーポリシー」という書面と、法律上の義務との関係
- 公表・通知・明示・「本人の知り得る状態」という手段の違い
- 個人情報、個人データ、保有個人データ、個人関連情報という段階と、段階ごとに増える記載
- 自分の事業が個人情報取扱事業者に当たるかを確かめる入口
- 1枚にまとめるか、フォーム直下や掲示と分けるかの判断
公表・通知・明示・本人の知り得る状態：四つの手段の違い
個人情報保護法は、本人に何かを示す場面で、似た言葉を使い分けています。ひな形の文章ではこの違いが意識されないまま「通知または公表します」と一括りにされがちですが、どの手段が求められているかによって、載せる場所もタイミングも変わります。
本人に示す四つの手段
| 手段 | 主な条文 | 必要になる場面 | 示し方の例 |
|---|---|---|---|
| 公表 | 21条1項・3項 | 個人情報を取得したときの利用目的。利用目的を変更したとき | ホームページへの掲載、店頭での掲示など、広く一般に知らせる方法 |
| 通知 | 21条1項・3項 | 同じく、取得後に本人へ直接知らせる場合（公表していない場合） | メール、書面の送付、予約確認の自動返信など、本人宛てに知らせる方法 |
| 明示 | 21条2項 | 契約書や申込書など、書面（電磁的記録を含む）で本人から直接取得するとき | 申込書面の欄に印字する、入力画面に表示するなど、取得の前に本人の目に入る形で示す |
| 本人の知り得る状態 | 32条1項 | 保有個人データの名称・住所、全ての利用目的、請求の手続など | 常時の掲載のほか、本人の求めに応じて遅滞なく回答する場合を含む |
21条1項は、利用目的を「通知し、又は公表」すれば足りる構造です。ただし、あらかじめ利用目的を公表している場合には、取得後に改めて通知する必要はありません。反対に、利用目的を公表していなければ、取得後に速やかに本人へ通知する必要が出ます。ホームページに利用目的を掲載しておく実務上の意味は、ここにあります。
これに対して21条2項の「明示」は、「通知又は公表」より一段強い要請です。契約の締結に伴って契約書などの書面に記載された個人情報を取得する場合や、本人から直接書面に記載された個人情報を取得する場合は、取得前に利用目的を本人に示さなければなりません（人の生命、身体または財産の保護のために緊急に必要がある場合は除かれます）。ホームページの予約フォームや問い合わせフォームは、入力された情報が画面を通じて書面に近い形で取得されるため、入力欄の近くに利用目的を表示する運用が基本になります。同じ21条の中でも、手段が違えば置き場所が違う、という点が最初の要点です。
もう一つ、条文には「本人が容易に知り得る状態に置く」という別の言い回しがあります。個人データの共同利用（27条5項3号）や、本人の求めに応じて提供を停止することを前提に第三者へ提供する場合（27条2項）で使われている表現です。32条1項の「本人の知り得る状態」と似ていますが、条文ごとに求める内容が異なるため、ひな形の「公表します」の一語に置き換えず、それぞれの条文を確かめます。文言の細かな意味合いは、個人情報保護委員会のガイドライン（通則編）の説明を原文で確認します。
個人情報・個人データ・保有個人データ・個人関連情報：段階ごとに増える記載
個人情報保護法は、情報の整理のされ方に応じて、同じ情報でも段階を分けて義務を課しています。外側の段階ほど対象が広く、内側の段階に進むほど義務が増えます。自分が扱う情報がどの段階にあるかが分からないと、必要な記載が分かりません。
情報の三つの段階
個人情報（2条1項）生存する個人に関する情報で、氏名や生年月日などの記述により特定の個人を識別できるもの、または個人識別符号が含まれるもの。他の情報と容易に照合でき、それにより特定の個人を識別できるものも含まれます
個人データ（16条3項）個人情報データベース等を構成する個人情報。たとえば、氏名や連絡先で検索できるように整理した顧客台帳や予約の一覧に入っている情報です
保有個人データ（16条4項）個人データのうち、事業者が開示、訂正・追加・削除、利用の停止・消去、第三者への提供の停止を行う権限を有するもの（その存否が明らかになると公益その他の利益が害されるものとして政令で定めるものを除く）
このほかに、これらのいずれにも当たらない「個人関連情報」（2条7項）があります。生存する個人に関する情報で、個人情報、仮名加工情報、匿名加工情報のいずれにも該当しないものです。端末識別子やウェブの閲覧履歴のように、それだけでは特定の個人を識別できない情報が典型です。
段階が進むと何が増えるのかを、条文の側から整理すると次のようになります。ポリシーに書く項目は、この表の右の列に対応して決まります。
段階ごとに増える義務と、ポリシーに書く項目
| 段階 | 主な義務（条文） | ポリシーに書く項目の例 |
|---|---|---|
| 個人情報 | 利用目的の特定（17条）、目的外利用の制限（18条）、適正な取得（20条）、取得時の通知・公表・明示（21条） | 取得する情報の種類、利用目的、要配慮個人情報の取得の同意 |
| 個人データ | 正確性の確保と消去の努力（22条）、安全管理措置（23条）、第三者提供の制限（27条）、外国にある第三者への提供の制限（28条） | 保管と消去の考え方、安全管理の方法、委託・提供・共同利用、外国への提供 |
| 保有個人データ | 事項の公表等（32条）、開示（33条）、訂正等（34条）、利用停止等（35条） | 事業者の名称・住所・代表者、全ての利用目的、請求の手続と窓口、手数料、苦情の申出先 |
| 個人関連情報 | 第三者が個人データとして取得すると想定されるときの提供の制限（31条） | ウェブ上の識別子の扱い、外部サービスへの送信（別のガイドで詳しく扱う領域です） |
この表で押さえておきたいのは、保有個人データに関する事項（32条）は、法律が「本人の知り得る状態に置け」と明確に求めている部分である、という点です。事業者の名称・住所・代表者の氏名、全ての保有個人データの利用目的、開示などの請求に応じる手続（手数料の額を定めたときはその額を含みます）、そして政令で定める事項が対象です。政令で定める事項には、保有個人データの安全管理のために講じた措置（知り得る状態に置くことで安全管理に支障が出るおそれがあるものを除く）、苦情の申出先、認定個人情報保護団体の対象事業者である場合のその名称と苦情の申出先、が挙げられています。「窓口が準備中」「手数料は別途定める金額」のような記載が問題になりやすい理由は、開示請求・窓口のページで扱います。
要配慮個人情報（2条3項）は、段階とは別の軸で、情報の「種類」に応じて重くなる規律です。人種、信条、社会的身分、病歴、犯罪の経歴、犯罪により害を被った事実のほか、政令で定める記述等が含まれる個人情報で、あらかじめ本人の同意を得ないで取得してはならないのが原則です（20条2項）。この点は、健康・心身の相談サービスのページで項目ごとに整理します。
自分は個人情報取扱事業者に当たるか：入口の確認
「個人情報取扱事業者」とは、個人情報データベース等を事業の用に供している者をいいます（16条2項）。ただし、国の機関、地方公共団体、独立行政法人等、地方独立行政法人は除かれます。条文は、事業の規模や取り扱う件数、営利かどうかで区切っていません。したがって、個人で教室やサロンを営んでいる方、ホームページから予約を受けている小さな店でも、顧客の情報を検索できる形で整理して事業に使っていれば、この入口を通ります。
「個人情報データベース等」とは、個人情報を含む情報の集合物のうち、特定の個人情報を電子計算機を用いて検索できるように体系的に構成したもの（16条1項1号）と、それ以外でも特定の個人情報を容易に検索できるように体系的に構成したものとして政令で定めるもの（同項2号）です。表計算ソフトの顧客リストや予約システムの顧客一覧は前者に当たります。紙の台帳も、氏名の五十音順に並べるなど、後から特定の人の分を容易に探し出せる形にしていれば、後者に当たり得ます。
確認の問い事業者に当たるかを確かめる問い
顧客や会員の情報を、氏名や連絡先で探し出せる形（表計算ソフト、予約システム、顧客管理のアプリなど）で持っていますか。
理由電子計算機を用いて検索できる形で構成された情報の集合物は、個人情報データベース等に当たる（16条1項1号）ためです。
紙の台帳やカードは、五十音順や番号順など、後から特定の人の分を取り出せるように並べていますか。
理由電子的でなくても、容易に検索できるよう体系的に構成したものとして政令で定めるものは、個人情報データベース等に含まれる（16条1項2号）ためです。
その情報は、事業のために使っていますか。
理由16条2項は、個人情報データベース等を「事業の用に供している者」を個人情報取扱事業者としています。趣味や私的な連絡先の管理は、事業の用に供しているとはいえません。
取り扱う件数は少ない、という理由で自分は対象外だと考えていませんか。
理由条文は取り扱う件数を要件にしていません。件数が少ないことは、事業者に当たるかどうかを分けません。
これらに「はい」が付くなら、個人情報取扱事業者としての義務（利用目的の特定、取得時の通知・公表・明示、安全管理措置、第三者提供の制限など）を前提にポリシーを組み立てます。データベースに入れていない個人情報（たとえば、会話の中で聞いた内容を控えたメモ）も、17条から21条までの義務は個人情報の段階から及びます。
情報の道筋と、条文の対応：どの段階でどの記載が必要になるか
ポリシーの項目を「定義→取得→利用目的→第三者提供→安全管理→開示等→Cookie→変更→窓口」の順に並べるのは見慣れた型ですが、この並びは条文の構造とは別の整理です。本人から見れば、自分の情報がどう扱われるかは、取得から消去までの時間の流れに沿って理解するほうが分かりやすく、事業者にとっても、実態との食い違いを点検しやすい順序です。次の図は、情報の道筋に条文を当てはめたものです。
情報の道筋と、効いてくる条文
- 取得利用目的をできる限り特定し（17条）、偽りその他不正の手段で取得せず（20条1項）、要配慮個人情報は原則として同意を得て取得し（20条2項）、取得したら利用目的を通知・公表し、書面で直接取るときは明示する（21条）
- 保管・利用特定した利用目的の範囲で使い（18条）、正確かつ最新に保ち、不要になれば遅滞なく消去するよう努め（22条）、安全管理のために必要かつ適切な措置を講じる（23条）
- 提供第三者へ提供するときは原則として本人の同意（27条1項）。委託・事業承継・共同利用は第三者に当たらない場合がある（同条5項）。外国にある第三者への提供は別の同意と情報提供（28条）
- 本人からの求め保有個人データについて、開示（33条）、訂正等（34条）、利用停止等（35条）の請求に応じ、そのための手続などを知り得る状態に置く（32条）
- 変更利用目的の変更は、変更前と関連性を有すると合理的に認められる範囲内で行い（17条2項）、変更後は本人に通知または公表する（21条3項）。範囲を超える利用には本人の同意（18条1項）
外部サービスへの送信が絡む場面では、この道筋のほかに、電気通信事業法27条の12のいわゆる外部送信規律が問題になることがあります。対象となるサービスの範囲は総務省令で定められており、小さなホームページがどこまで該当するかは、条文と総務省の資料で確認が必要です。
この図の各段階は、このサイトの別のページに対応しています。取得の場面ごとの整理は情報の棚卸し、利用目的の特定と変更は利用目的、委託や外国への提供の区別は外部サービス、変更の手続は改定・同意のページです。全体を通して点検するときの順番は不備の点検・FAQにまとめます。
1枚にまとめるか、フォーム直下や掲示と分けるか
法律が求める事項は、示す相手も時期も場所も同じではありません。そのため、全てを1枚の長いページに載せる方法が常に最善とは限りません。大きく四つの方法があり、実際には組み合わせます。
本人への示し方の四つの型
| 方法 | 向く場面 | 注意点 |
|---|---|---|
| ホームページの1ページに全項目を載せる | 全体の公表、保有個人データに関する事項の掲示 | 入力画面や申込書面から、そのページへ行き着けるようにしておく |
| フォームの入力欄の直下に要点を載せる | ネット予約や問い合わせの入力時（21条2項の明示） | 要点が目に入る位置に表示し、全文へのリンクを添える |
| 申込書・問診票の冒頭に載せる | 来店型の事業で、紙に直接記入してもらうとき | 記入の前に読める位置に置く。裏面や末尾だけに小さく載せる形は避ける |
| 店頭の掲示や受付の配布物にする | ホームページを持たない事業、来店客が中心の事業 | 掲示場所と文字の大きさを、来訪者が気づく程度にする |
選び方の目安は、取得の経路から逆算することです。ネット予約が中心なら、入力画面での明示と、ホームページ上の全文の公表を組み合わせます。来店客が中心で紙に記入してもらうなら、記入する紙そのものの冒頭に利用目的を載せ、詳細は掲示や別紙で補います。ホームページを持たない場合でも、公表は掲示や配布物で行えます。32条1項の「本人の知り得る状態」には、本人の求めに応じて遅滞なく回答する場合も含まれるため、常時の掲載が難しい項目でも、請求に応じて遅滞なく示せる体制があれば足りる場合があります。
1枚にまとめる場合には、読み手を意識した構成も効いてきます。法律が求める事項は、本人が自分の情報の扱いを知るための情報ですから、冒頭に「何を取り、何に使い、誰に渡し、どこに請求できるか」の要点を置き、詳細はその下に続けるほうが、読まれる文書になります。逆に、法令の遵守を宣言する長い前文が冒頭を占めると、本人が知りたい事項に行き着くまでに離脱されます。
書き方の例（一般的な例） 法律が求める記載と、そうでない記載の混同
冒頭の書き方
理由宣言は、法が求める通知・公表の内容になりません。本人が知りたいのは、具体的な取扱いです
書面の位置づけ
理由「プライバシーポリシー」という名の書面を作る義務を置く条文はありません。法的な根拠を誤って示さない書き方にします
申込書面での示し方
理由書面で直接取得する場合は、取得の前に利用目的を明示する必要があるため（21条2項）
他の条項との同居
理由ポリシーは本人に取扱いを知らせる書面であり、契約上の免責の置き場所としては適していないため
起きがちなこと：地図を持たずにひな形を貼ったときの食い違い
全体の地図がないままポリシーを作ると、次のような食い違いが生じがちです。いずれも、条文の構造と、自分の事業の実態とを突き合わせることで気づけます。
起きがちなこと
- 法律が求める事項（利用目的、事業者の名称・住所、請求の手続など）と、任意の飾りの文章（遵守の宣言、美辞麗句）の区別がなく、必要な事項が奥に埋もれている。
- 公表で足りる場面と、取得の前の明示が必要な場面（書面や入力画面での直接取得）を区別しておらず、申込書面やフォームに利用目的が載っていない。
- 保有個人データに関する事項（事業者の名称・住所・代表者、請求の手続など）が、ポリシーのどこにも書かれていない、あるいは「準備中」のままになっている。
- 個人情報と個人データ、保有個人データの区別がなく、実際には保有していないデータについての請求手続を書いたり、保有しているデータの請求手続を書き忘れたりしている。
- 電気通信事業法の外部送信規律や、個人関連情報の扱いを一律に「義務」あるいは「関係なし」と決めつけ、対象サービスの範囲を確かめていない。
- 引用した法令の条番号が改正の前後で混在しており、現行の条文と一致していない。
これらを一つずつ点検する具体的な順番は、不備の点検・FAQのページに整理しています。まず、自分が取得している情報を洗い出す作業から始めるのが確実です。その方法は情報の棚卸しのページにまとめました。
よくあるご質問
プライバシーポリシーを載せていないと、それだけで法律違反になりますか。
「プライバシーポリシー」という名前の書面を載せることを直接義務付ける条文はありません。ただし、個人情報取扱事業者には、取得した個人情報の利用目的を通知または公表する義務（21条1項）や、書面で直接取得するときの明示の義務（同条2項）、保有個人データに関する事項を本人の知り得る状態に置く義務（32条1項）があります。書面を載せていないために、これらの義務が果たされていない状態になっているなら問題です。逆に、掲示や申込書面への記載など、別の方法でこれらを果たしていれば、書面の名前そのものは問われません。
公表と通知は、どちらをやればよいのですか。
21条1項は、取得した個人情報の利用目的を、本人に通知し、または公表すれば足りる構造です。あらかじめ利用目的を公表している場合には、取得後に改めて通知する必要がありません。そのため、ホームページへの掲載や店頭での掲示で利用目的を公表しておく方法が、実務では広く使われます。ただし、契約書や申込書など書面で本人から直接取得する場合は、公表だけでは足りず、取得の前に利用目的を明示する必要があります（21条2項）。
ホームページを持っていない店でも、公表や掲示は必要ですか。
利用目的の公表の方法は、ホームページに限られません。店頭への掲示や、来店客に渡す配布物でも、広く一般に知らせる方法として公表になり得ます。保有個人データに関する事項（32条1項）は、「本人の知り得る状態」に置けばよく、本人の求めに応じて遅滞なく回答する場合を含みます。ホームページがない場合は、掲示や配布物を用意し、請求があればすぐに回答できる体制を整えておく、という組み立てになります。
個人データと保有個人データは、何が違うのですか。
個人データは、個人情報データベース等を構成する個人情報です（16条3項）。顧客台帳や予約の一覧に入っている情報が典型です。保有個人データは、その個人データのうち、事業者が開示、訂正・追加・削除、利用の停止・消去、第三者への提供の停止を行う権限を有するものです（16条4項。その存否が明らかになると公益その他の利益が害されるものとして政令で定めるものを除く）。開示などの請求に応じる手続の公表（32条）は、保有個人データについての義務です。
ひな形に法令名と条番号をたくさん書いておけば、法的に安心でしょうか。
条番号を並べること自体は、法律が求める事項ではありません。法律の改正で条番号が変わることもあり、旧法の条番号が混ざった引用は、かえって不正確な文書になります。条番号を書く場合は、現行の条文で確かめた番号を使い、書かない場合は、法令名にとどめても支障はありません。大切なのは、条番号の多さではなく、取得している情報、利用目的、提供先、請求の窓口といった中身が、実態と一致していることです。
あわせて読みたいページ
本ページは一般的な情報提供です。個別の事業への当てはめは、取り扱う情報の種類やサービスの仕組みによって異なることがあります。条文は e-Gov 法令検索（法令API）で確認した現行のものに基づき、まだ施行されていない改正は現行の内容として扱っていません。参考: e-Gov法令検索 / 個人情報保護委員会 / 総務省
