企業や個人事業主がウェブサイトを公開する際、「プライバシーポリシーの掲載が必要なのか？」と疑問に思うことがあるかもしれません。
中には「うちは問い合わせフォームがあるだけで、個人情報のデータベースなんて持っていないから、個人情報保護法の対象ではないはず」と考えている方もいるようです。
しかし、このような認識には注意が必要です。実際には、ほとんどの法人や個人事業主が「個人情報取扱事業者」に該当し、個人情報保護法（以下「法」）に基づく義務を負っているといっても過言ではありません。
結論：問い合わせフォームがあるならプライバシーポリシー整備を検討すべき
結論からいうと、問い合わせフォームを設置して氏名・メールアドレス・電話番号・相談内容などを取得している場合、プライバシーポリシーを整備しておくべきです。
厳密には、個人情報保護法が「プライバシーポリシー」という名称の文書を必ず作成しなければならない、と定めているわけではありません
しかし、問い合わせフォームがある場合、少なくとも次のような情報を取得していることが多いです。
- 氏名
- 会社名・屋号
- メールアドレス
- 電話番号
- 問い合わせ内容
- 相談内容
- 予約・申込みに関する情報
これらは、個人を識別できる情報を含む場合、個人情報に該当します。
また、「問い合わせフォームで受け取るだけで、顧客データベースは持っていない」と考えている場合でも注意が必要です。
多くの事業者は、問い合わせ情報のほかに、顧客リスト、取引先担当者リスト、社員名簿、請求先情報、予約者リスト、メールソフトの連絡先などを保有しています。
これらを事業のために検索・管理できる状態で利用している場合、「個人情報取扱事業者」に該当する可能性があります。
法の義務を負う事業者とは？
まず押さえておきたいのは、法の規制対象となるのは「個人情報取扱事業者」ということです。
これは、法16条以下の規定が適用される主体であり、一定の要件を満たす場合にのみ、その義務を負うことになります。
では、「個人情報取扱事業者」とはどのような事業者を指すのでしょうか？
「個人情報取扱事業者」とは？
法において「個人情報取扱事業者」とは、個人情報データベース等を事業の用に供している者を指します（法16条2項）。
法16条（定義）2項
２ この章及び第六章から第八章までにおいて「個人情報取扱事業者」とは、個人情報データベース等を事業の用に供している者をいう。ただし、次に掲げる者を除く。
一 国の機関
二 地方公共団体
三 独立行政法人等
四 地方独立行政法人
ここでいう「個人情報データベース等」とは、特定の個人情報を容易に検索できるように体系的に構成された情報の集合を意味します。これは、電子的なデータベースだけでなく、紙媒体の名簿なども含まれる点が重要です。
※個人情報データベース等の詳細についてはこちらの記事もご参照ください
つまり、「ウェブサービスで大規模な会員データベースを持っているような企業」だけでなく、Excelなどで顧客リストや社員名簿を作っているような一般的な企業・法人・個人事業主であっても対象になるのです。
自社が対象になるのか不安な場合は、まずは無料で確認してみてください。
→無料診断はこちら
社員名簿＝個人情報データベース等
たとえば、社員の名前・所属部署・連絡先を名前の50音順で記載した「社員名簿」を作成している場合、これも「個人情報データベース等」に該当します。
このような名簿は、検索性があり体系的に整理されているのが通常ですし、また従業員管理のために会社の業務上利用していることが通常ですので、これが電子データか紙媒体かの違いに関係なく、法律上の定義に当てはまります。
つまり、問い合わせフォームからのデータをデータベース化していなくても、他に個人情報データベース等を用いていれば「個人情報取扱事業者」に該当するのです。
利用目的の明示は義務
このように、基本的にほとんどの法人や個人事業主は個人情報取扱事業者に該当すると考えられますので、法に基づく義務を履行する必要があります。
法では個人情報取扱事業者に対して様々な義務を課していますが、その中の1つに利用目的をできる限り特定した上で（法17条1項）、その利用目的を明示しなければならないというものがあります（法21条1項）。
原則としては、個人情報取扱事業者が個人情報を取得した場合に、あらかじめその個人情報の利用目的を公表している場合を除き、速やかに利用目的を本人に通知し、または公表しなければならないとされています。
さらに、本人から直接書面に記載された個人情報を取得する場合には、あらかじめ利用目的を明示しなければならないとされています。
この「書面」は電磁的記録を含むとされていますので、まさに問い合わせフォームから送信される情報というのは「書面に記載された個人情報」だといえます。
そのため、問い合わせフォームから個人情報を取得するのであれば、その取得する情報の利用目的をあらかじめ明示しなければならない、ということになります。
また、この「明示」については、法のガイドラインにおいて「内容が本人に認識される合理的かつ適切な方法による必要がある」とされていますので、単に公表されていればよいということではなく、例えばフォームと同じ画面内に表示されていたり、1回程度のクリックで容易に確認できるような状況にすることが望ましいです。
よって、この「明示」の方法として合理的だと考えられるのが、プライバシーポリシーの整備と公表です。
プライバシーポリシーの整備は「全事業者の基本」
「うちは問い合わせが来てもメールで対応するだけだから関係ない」
「個人情報保護法は大企業だけの話でしょ？」
こうした認識をしていると、思わぬリスクを招くおそれがあります。
実際には、社員情報や取引先情報をデータベース化して利用している時点で、個人情報取扱事業者に該当します。
そのため、企業・法人である以上は、原則として個人情報保護法上の義務を負うと考えるのが安全です。
まずは、社内にどのような個人情報データベース等が存在するかを確認し、必要に応じてプライバシーポリシーの整備や社内ルールの見直しを行うことが重要です。
そして、「問い合わせフォームしか設置していない」ようなウェブサイトだったとしても、個人情報取扱事業者の義務である「利用目的の通知」（法21条1項、2項）のためにプライバシーポリシーを公開することが望ましいといえます。
テンプレートのプライバシーポリシーでは不十分な理由
ただ、ネット上のテンプレートを利用したり、生成AIを利用したりして”プライバシーポリシー”という名称の文章を作って公開すればよいというものでもありません。
重要なのは、自社の実際の運用と内容が合っていることです。
たとえば、問い合わせフォームを設置している場合でも、次のような点は事業者によって異なります。
- フォームで取得する項目
- 問い合わせ情報の利用目的
- 返信・営業連絡への利用の有無
- 外部フォームサービスの利用有無
- WordPressプラグインや予約システムの利用有無
- Googleアナリティクスなどのアクセス解析ツールの利用有無
- 広告タグやCookieの利用有無
- メール配信サービスやCRMへの登録有無
- 外部委託先との情報共有の有無
これらの実態とプライバシーポリシーの記載がずれていると、「掲載しているのに実態と合っていない」という状態になります。
特に、問い合わせフォーム、アクセス解析、広告タグ、予約システム、メール配信サービスなどを利用している場合は、取得している情報や外部サービスとの関係を整理したうえで、プライバシーポリシーを作成・見直しする必要があります。
そのため、プライバシーポリシーは単なる形式的な文書ではなく、自社の個人情報の取扱いを利用者に説明するための重要な文書だといえます。
問い合わせフォームがあるなら、まずはプライバシーポリシーを確認
問い合わせフォームを設置している場合、氏名、メールアドレス、電話番号、相談内容などの個人情報を取得していることが多くあります。
そのため、利用目的を本人が確認できるようにしておく必要があり、実務上はプライバシーポリシーを整備しておくことが重要です。
また、問い合わせフォームの情報だけでなく、社員名簿、取引先担当者リスト、顧客リスト、予約情報、メールソフトの連絡先などを事業で管理していれば、個人情報取扱事業者に該当する可能性があります。
プライバシーポリシーは、単にテンプレートを貼り付ければよいものではありませんし、生成AIを利用してそれっぽい文章を作成すればよいものでもありません。
取得している情報、利用目的、外部サービスの利用状況、問い合わせ対応の流れなどに合わせて、実際の運用と整合した内容にする必要があります。
「問い合わせフォームしかないから大丈夫」と考えるのではなく、まずは現在のプライバシーポリシーが自社の運用に合っているかを確認してみましょう。
ビーンズ行政書士事務所では、プライバシーポリシーの作成・見直しに対応しています。
問い合わせフォーム、アクセス解析、広告タグ、予約システム、外部サービスの利用状況などを確認したうえで、実態に合ったプライバシーポリシーの整備をサポートします。
現在のプライバシーポリシーに不安がある場合や、これから問い合わせフォームを設置する場合は、お気軽にご相談ください。
よくある質問
問い合わせフォームだけでもプライバシーポリシーは必要ですか？
問い合わせフォームで氏名、メールアドレス、電話番号、相談内容などを取得する場合は、利用目的を本人が確認できるようにしておく必要があります。実務上は、問い合わせフォームの近くにプライバシーポリシーへのリンクを設置するのが基本です。
プライバシーポリシーはテンプレートでも大丈夫ですか？
テンプレートを参考にすること自体は可能ですが、自社の実際の運用と合っていなければ不十分です。取得する情報、利用目的、外部サービスの利用状況、第三者提供や委託の有無などを確認したうえで作成・見直しする必要があります。
個人事業主でもプライバシーポリシーは必要ですか？
個人事業主であっても、問い合わせフォーム、予約フォーム、顧客リスト、メール配信リストなどで個人情報を取り扱う場合は、プライバシーポリシーを整備しておくべきです。
BtoB企業でもプライバシーポリシーは必要ですか？
BtoB企業でも、取引先担当者の氏名、メールアドレス、電話番号、部署、役職などを管理している場合があります。これらは個人情報に該当し得るため、BtoB企業でもプライバシーポリシーの整備は重要です。
古いプライバシーポリシーをそのまま使っていても問題ありませんか？
事業内容や利用している外部サービスが変わっている場合、古いプライバシーポリシーが現在の運用と合っていない可能性があります。問い合わせフォーム、アクセス解析、広告タグ、予約システム、メール配信サービスなどを追加した場合は、見直しを検討すべきです。
