ホームページのプライバシーポリシーに、何を書くか

1. 「ひな形を貼ってあるだけなんですが」

中小企業の経営者の方とお話していて、こんな言葉をよく聞きます。

「プライバシーポリシーは、作ったときにどこかのひな形を貼ってもらったきりなんです。何が書いてあるか、正直ちゃんと読んだことがなくて。あれで大丈夫なんでしょうか」

とても多いご相談です。そして、実際に一緒に読んでみると、書いてあることと、会社でやっていることが合っていないことがよくあります。通販をしていないのに「商品の発送のため」と書いてある。メールマガジンを送っていないのに、配信の停止方法が書いてある。逆に、アクセス解析を入れているのに一言も触れていない。

プライバシーポリシーは、難しい法律の文章を貼る場所だと思われがちです。ただ、中身はもっと素朴なものです。この会社は、サイトを通じて何を受け取り、何に使い、誰に渡すのか。それを読む人に約束する文章です。

先にお断りしておくこと

この記事は、ホームページを作る側の立場から、何を書く欄があるのかを整理するものです。法的な助言ではありません。業種や扱う情報によって、必要な記載は変わります。最終的な文面は、専門家や所管の窓口（個人情報保護委員会の案内など）で確認してください。

この記事で書くこと

• 書く前に、受け取っている情報を棚卸しする方法
• 利用目的、第三者への提供、外部に預けている先の書き方
• アクセス解析とクッキーの書き方
• 問い合わせ窓口、事業者の情報、更新日の置き方
• ひな形をそのまま貼ったときに起きる、実態とのずれ

2. 書く前に、受け取っている情報を書き出す

いきなり文章を書き始めると、ひな形の言い回しに引っ張られます。先にやることがあります。サイトを通じて、どんな情報を受け取っているかを一覧にすることです。

誰が読むのかを、先に考える

プライバシーポリシーを読む人は、思っているより限られています。いちばん多いのは、問い合わせフォームの送信ボタンを押す直前の人です。名前と電話番号を書いたところで、「これはどう使われるのだろう」と手が止まり、リンクを開きます。

ほかには、取引を始める前に会社を確かめる担当者、採用に応募しようとしている人がいます。どの人も、細かい条文を読みたいわけではありません。自分の情報が、どこまで使われるのかを知りたいだけです。だからこそ、実態に合っていることが何より大事になります。

入口ごとに、3つのことを書く

サイトの中で情報を受け取る入口を、1つずつ書き出します。入口ごとに書くのは、次の3つです。

• 受け取る情報 ― 名前、会社名、電話番号、メールアドレス、住所、添付の写真など
• 使い道 ― 返信のため、見積もりのため、採用の選考のため
• 誰の手に渡るか ― 社内の誰が見るか、外部の誰に預けているか

サイトの外の入口は、分けて考える

電話や名刺交換、紙の申込書で受け取る情報もあります。会社全体の方針として1つにまとめるか、サイトで受け取る分だけを書くか。どちらにするかを先に決めておくと、文章がぶれません。会社全体で書く場合は、サイトの担当者だけで決めず、総務や経理の方とも確かめてください。

3. 利用目的は、実際の使い道だけを書く

棚卸しができたら、利用目的を書きます。ここが、いちばん実態とずれやすい場所です。

広く書きすぎない

ひな形には「当社の事業活動全般のため」「各種サービスのご案内のため」といった、広い書き方がよく入っています。広く書いておけば安心、と思われがちですが、読む人から見ると何に使われるのか分からない文章になります。

書くのは、表の「使い道」の列に入れたことです。

• 問い合わせへの返信 ― いただいた内容に、メールまたは電話でお答えするため
• 見積もりと、ご依頼の対応 ― 現地確認の日程調整、見積書の送付、工事や納品の連絡のため
• 採用の選考 ― 応募いただいた方との連絡と、選考のため

営業の案内を送るなら、それも書く

問い合わせをくれた方に、あとから新しいサービスの案内やお知らせを送ることがあるなら、そのことも書いておきます。書いていない使い方をすると、受け取った人は驚きます。逆に、送るつもりがないなら、ひな形の「メールマガジンの配信」のような一文は消してください。

採用の情報は、営業と混ぜない

採用の応募で受け取る情報は、仕事の問い合わせとは性質が違います。年齢や職歴のように、本人にとって大事な情報が含まれます。選考以外には使わない、と分けて書くと、応募する人は安心します。採用ページ全体の作り方は 採用のためのホームページ ― 求人媒体との役割分担 にまとめてあります。

書いた目的の外では、使わない

利用目的は、書いたら終わりではありません。書いた範囲の外では使わないという、社内の約束でもあります。新しい使い方を始めるときは、先にポリシーを直す。この順番を社内で決めておいてください。目的をあとから変えるときの扱いも、業種や情報によって考え方が変わるので、気になる場合は専門家に確かめてください。

4. 第三者への提供と、外部に預けている先

次に書くのが、受け取った情報を外に出すかどうかです。ここは2つに分けて考えると整理しやすくなります。

「渡す」と「預ける」を分ける

1つ目は、ほかの会社に情報を渡して、その会社が自分の目的で使う場合です。一般には「第三者への提供」と呼ばれます。多くの中小企業では、基本的に提供しない、と書くことになります。ひな形では、本人の同意がある場合や法令に基づく場合などを例外として並べていることが多いです。

2つ目は、自社の仕事のために、外部の会社に情報を預ける場合です。たとえば、次のようなものがあります。

• サーバーやメール ― サイトやメールを置いている会社
• フォームの送信の仕組み ― 入力された内容を受け取り、メールで届ける仕組み
• 顧客管理や会計の仕組み ― 問い合わせの内容を記録している先
• 協力会社 ― 見積もりや施工のために、住所や写真を見せる相手

預けている先は、思っているより多い

棚卸しをすると、たいてい預け先は思っていたより多く出てきます。とくに見落とされやすいのが、フォームの送信の仕組みと、スパム対策の仕組みです。

スパム対策には、Turnstile や reCAPTCHA のように、外部の仕組みが送信者を判定するものがよく使われます。どれも、判定のために閲覧の情報を外部に送っています。入れているなら、入れていることを把握しておいてください。

名前まで書くかどうか

預け先の会社名やサービス名まで書くかどうかは、会社によって判断が分かれます。また、海外の会社のサービスに預けている場合は、書き方が論点になることがあります。ここは、業種や扱う情報によって必要な記載が変わる部分なので、ひな形のまま済ませず、専門家や所管の窓口で確かめてください。少なくとも、実際に預けているのに「外部には一切出しません」と書くことだけは避けてください。

5. アクセス解析とクッキーの書き方

ひな形でいちばん抜けやすいのが、ここです。問い合わせフォームを使わない人の情報も、アクセス解析は集めているからです。

解析ツールが集めているもの

GA4 のようなアクセス解析を入れると、クッキーなどの仕組みを使って、閲覧の情報が集められます。どのページを見たか、どこから来たか、どんな端末で見たか、といった情報です。サイトを改善するための大事な材料ですが、集めている以上、そのことを書いておくのが筋です。

解析ツールによっては、利用規約の中で、使っていることをサイト上で知らせるよう求めているものがあります。お使いのツールの規約を一度確かめてください。何を測るかの考え方は ホームページを作ったあと、何を測ればいいか に書きました。

書く4つのこと

アクセス解析については、次の4つを書けば、読む人には十分伝わります。

• 使っていること ― アクセス解析のツールを使っていること。ツールの種類
• 集めるもの ― 閲覧したページや端末の情報を、クッキーなどを使って集めること
• 使い道 ― サイトの改善のために使うこと
• 止め方 ― ブラウザの設定でクッキーを無効にできること。提供元が止め方を案内している場合は、その案内先

解析以外の「外から読み込んでいるもの」

クッキーを使うのは、解析ツールだけではありません。埋め込んだ地図や動画、SNSのボタン、広告のタグも、外部の仕組みを読み込んでいます。とくに広告を出している会社は、広告の効果を測るタグをサイトに入れていることが多いので、棚卸しの表に忘れずに足してください。

「サイトに何が入っているか分からない」という場合は、作った制作会社に一覧を出してもらうのがいちばん早いです。

同意の画面は要るのか

海外のサイトでよく見る、開いた瞬間に出るクッキーの同意画面。あれが要るかどうかは、誰に向けたサイトか、何を集めているかによって変わります。海外の利用者に向けて売っている場合などは、考え方が変わることがあります。国内の中小企業でも判断に迷う場合は、専門家に確かめてください。入れる場合は、スマートフォンで画面を覆いすぎない形にします。

6. 窓口・事業者の情報・更新日を書く

最後に、読む人が「誰に言えばいいか」を書きます。ここが空欄のポリシーは、意外と多いです。

問い合わせ窓口

自分の情報について聞きたいとき、どこに連絡すればいいかを書きます。

• 窓口の名前 ― 「個人情報の取り扱いに関するお問い合わせ窓口」など
• 連絡先 ― メールアドレスと電話番号。受付の時間
• 受け付ける内容 ― 自分の情報を見せてほしい、直してほしい、使うのを止めてほしい、といった求めの受け付け方

窓口に書いたメールアドレスは、実際に誰かが読んでいるアドレスにしてください。退職した人の個人アドレスが残っている例を、何度も見てきました。

事業者の情報

会社名、住所、代表者名を書きます。会社概要と同じ内容ですが、ポリシーのページだけを開く人もいるので、ここにも置きます。社名や住所が変わったときに直し漏れがいちばん起きる場所でもあります。直す場所の一覧は 移転・社名変更・代表交代のときに、サイトで直すところ にまとめてあります。

制定日と改定日

いつ作り、いつ直したかを末尾に書きます。「制定：〇年〇月〇日／最終改定：〇年〇月〇日」の形で十分です。解析ツールを入れ替えた、預け先を変えた、採用のフォームを足した。中身が変わったら、日付も一緒に直します。

置き場所は、2か所

ポリシーのページへのリンクは、フッターと、フォームの送信ボタンの近くの2か所に置きます。手が止まるのは送信の直前なので、フォームの近くにあることが大事です。同意のチェック欄を置くかどうかも含めて、フォームの作り方は 問い合わせフォームで、人はどこで手を止めるのか と 問い合わせフォームの項目は、いくつまで減らせるか に書いてあります。

7. ひな形をそのまま貼るときの注意

ひな形を使うこと自体は、悪いことではありません。書く項目の抜けを防げます。問題は、中身を読まずに貼ることです。

よくある、実態とのずれ

言い切っている文に、気をつける

ひな形には、強く言い切る文がよく入っています。「第三者には一切提供しません」「厳重に管理し、漏えいは起こりません」。実態として守れない言い切りは、書かないほうが誠実です。外部に預けているなら「一切」は合いませんし、守り方を書くなら、実際にやっていることを書きます。担当者を決めている、見られる人を限っている、といった事実の書き方です。

他社のポリシーを、そのまま写さない

同業のサイトのポリシーを写すのも避けてください。他社の実態は、貴社の実態ではありません。それに、文章をそのまま写すこと自体が、権利の面で問題になる場合もあります。写真や文章の権利の考え方は ホームページの写真と文章、権利はどうなっているか にまとめました。

年に1回、読み直す

ポリシーは、作ったときがいちばん正しく、そこから少しずつずれていきます。年に1回、棚卸しの表と並べて読み直してください。決算や会社案内の見直しの時期に合わせると、忘れにくくなります。読み直して判断に迷う箇所があれば、そこだけ専門家や所管の窓口に確かめる。この使い方がいちばん無駄がありません。

8. 雄喜晃の伴走：サイトに何が入っているかを、一覧にしてお渡しします

私たち雄喜晃のホームページ制作では、プライバシーポリシーをひな形を貼って終わりにはしません。サイトを作る側は、何を入れたかを全部知っています。それを一覧にしてお渡しするところから始めます。

私たちがやること

フォームでどんな項目を受け取るか、送信の仕組みは何か、スパム対策に何を使っているか、アクセス解析や埋め込みは何が入っているか。サイトに入っているものを、棚卸しの表の形でまとめます。そのうえで、今のポリシーと照らし合わせ、書いていないこと、やっていないのに書いてあることを指摘します。

決まった文面は、ページに置き、フッターとフォームの近くにリンクを張ります。解析ツールを足したときや、会社の情報が変わったときの書き換えは、月5回までの更新代行の中でこちらで反映します。改定日もあわせて直します。

料金と条件

料金は制作費0円、月額8,800円（税別）からです。6ページ構成のプランは月額13,800円（税別）です。サーバー、独自ドメイン、SSL、保守はすべて月額に含まれます。

最低契約期間は6ヶ月です。7〜35ヶ月で解約された場合、サイトは非公開になります。36ヶ月以上ご継続いただいた場合は、サイトをお渡しします。

私たちがやらないこと

文面が法律に照らして足りているかの判断は、私たちはしません。それは専門家の仕事です。業種や扱う情報によって必要な記載が変わるので、判断が要る箇所は、専門家や所管の窓口に確かめていただくようお伝えします。また、他社のポリシーを写して埋めることも、守れない言い切りを書き足すこともしません。

「ひな形を貼ったきり、中身を読んだことがない」という方は、一度ご相談ください。実際にお作りしたサイトは 制作実績、料金と条件は ホームページ制作のページ に載せてあります。神戸市北区鈴蘭台を拠点に、2025年10月から活動しています。

9. まとめ：文章より先に、実態を書き出す

ホームページのプライバシーポリシーで押さえることは、5つです。

• 先に棚卸しをする ― 入口ごとに、受け取る情報・使い道・誰の手に渡るかを書き出す
• 利用目的は、実際の使い道だけ ― 広く書きすぎない。営業の案内を送るならそれも書く
• 「渡す」と「預ける」を分ける ― フォームの送信やスパム対策の仕組みも、預け先に数える
• 解析とクッキーを書く ― 使っていること、集めるもの、使い道、止め方の4つ
• 窓口と更新日を置く ― 読まれているアドレスを書き、中身が変わったら日付も直す

プライバシーポリシーは、上手な文章を書く場所ではありません。自社がやっていることを、そのまま書く場所です。実態が書けていれば、細かい言い回しは専門家と一緒に整えれば済みます。

まずは今日、自社のサイトのポリシーを開いて、やっていないことが書いていないかを1行ずつ読んでみてください。そのうえで、業種や扱う情報によって必要な記載が変わるので、気になる箇所は専門家や所管の窓口（個人情報保護委員会の案内など）で確認してください。

ぜひ一度、お話を聞かせてください。貴社のサイトに何が入っているかを書き出すところから、ご一緒します。