プライバシーポリシーには、何を書きますか

問い合わせ、会員登録、採用、決済などの場面ごとに、取得する情報と利用目的を整理します。「事業のため」だけでは広すぎるため、例えば「問い合わせへの回答」「利用料金の請求」のように具体化します。

入力フォームで本人から直接取得する場合などは、取得方法に応じた利用目的の明示も必要です。ポリシーを公開すれば、すべての取得・利用について同意まで得られるわけではありません。

個人データの第三者提供には原則として本人同意が必要ですが、法令上の例外等があります。利用目的の達成に必要な範囲の委託は、第三者提供の規律では別扱いとなり、委託先の監督が必要です。共同利用にも、公表等の要件があります。

海外の事業者に委託する場合は、外国第三者提供の規律を別途確認します。同意による方法だけでなく、相当措置を継続的に講ずる体制等による方法もあり、それぞれ要件が異なります。サーバーの所在地だけで判断せず、事業者がデータを取り扱う契約・実態を確認します。

保有個人データについては、事業者情報、利用目的、開示等の請求手続、安全管理措置の概要など、本人が知り得る状態に置くべき事項を確認します。窓口の記載だけでなく、請求を受けて対応できる社内体制も必要です。

実務では「データ項目／目的／共有先／保存期間」の一覧を作ると、ひな形とのずれを見つけやすくなります。解析・広告ツールを追加した際も更新を検討します。

2026年7月17日には改正個人情報保護法が公布されています。一部を除き、公布から2年以内の政令で定める日に施行されるため、公布済みの内容と、実際に適用される規定を区別して確認します。