プライバシーポリシーの記載事項｜個人情報保護法の必須項目と条項例

プライバシーポリシーには、個人情報保護法が求める事項、すなわち事業者の名称・住所、利用目的、開示等の請求に応じる手続、安全管理措置などを漏れなく記載する必要があります。さらに、委託・共同利用、外国にある第三者への提供、Cookieの利用など、自社の取扱いに応じて記載すべき事項が加わります。

本記事では、条項例をもとに、現行の個人情報保護法に沿ったプライバシーポリシーの記載事項と作り方を解説します。2026年7月に公布された改正個人情報保護法（令和8年改正）で見直しが必要になる箇所もあわせて紹介します。なお、本記事は2026年11月時点の法令に基づいています。

プライバシーポリシー（個人情報保護方針）とは

プライバシーポリシーとは、事業者が個人情報をどのように取り扱うかを示す文書です。法律上の用語ではありませんが、個人情報保護法が本人への通知や公表などを求める事項を、1つの文書にまとめて示す役割を担っています。

「個人情報保護方針」という名称であることもありますが、基本的には同じ役割の文書であることが多いといえます。プライバシーポリシーは、事業者の個人情報の取扱いに対する基本的な姿勢を示すものであると同時に、法律上求められる事項を示すためのものでもあります。したがって、法律上求められる事項を網羅することが最低限必要です。その事項は、すべての事業者に必要なものと、特定の取扱いをする場合に加わるものに分かれます。

プライバシーポリシーの作成義務と対象になる事業者

「プライバシーポリシー」という名称の文書の作成を直接義務づける条文はありません。しかし、個人情報取扱事業者には利用目的の公表などの義務があり、実務上はプライバシーポリシーでこれらに対応するのが通例です。

個人情報取扱事業者とは、個人情報データベース等を事業の用に供している者をいいます（個人情報保護法16条2項）。取り扱う個人情報の件数による限定はなく、営利か非営利かも問いません。顧客名簿や問い合わせフォームの情報を管理していれば、小規模な事業者やBtoBビジネスを主体とする事業者も対象になります。

これらの義務は、個人情報を取得した際に利用目的を本人に通知する方法（21条1項）や、本人の求めに応じて遅滞なく回答する方法（32条1項）でも果たせます。もっとも、問い合わせのたびに個別に対応する負担を考えると、プライバシーポリシーとしてまとめて掲示しておく方が確実です。

個人情報保護法の対象になる事業者と、守るべき4つの基本ルールは、次の記事で解説しています。

個人情報保護法で必要なプライバシーポリシーの記載事項

プライバシーポリシーの記載事項は、①すべての事業者に必要な事項と、②特定の取扱いをする場合に加わる事項の2段階で確認します。前者の中心となるのが、保有個人データに関する事項を定めた個人情報保護法32条1項です。

個人情報取扱事業者は、保有個人データに関し、次に掲げる事項について、本人の知り得る状態（本人の求めに応じて遅滞なく回答する場合を含む。）に置かなければならない。

1　当該個人情報取扱事業者の氏名又は名称及び住所並びに法人にあっては、その代表者の氏名

2　全ての保有個人データの利用目的（第21条第4項第1号から第3号までに該当する場合を除く。）

3　次項の規定による求め又は次条第1項（同条第5項において準用する場合を含む。）、第34条第1項若しくは第35条第1項、第3項若しくは第5項の規定による請求に応じる手続（第38条第2項の規定により手数料の額を定めたときは、その手数料の額を含む。）

4　前3号に掲げるもののほか、保有個人データの適正な取扱いの確保に関し必要な事項として政令で定めるもの

出典：e-Gov法令検索「個人情報の保護に関する法律」第32条

①すべての事業者に必要な事項

保有個人データ（事業者が開示や訂正等を行う権限を有する個人データ）を持つ事業者は、次の事項を本人の知り得る状態に置く必要があります。

「本人の知り得る状態」には、本人の求めに応じて遅滞なく回答する場合も含まれます。そのため安全管理措置は、ホームページに概要と問い合わせ窓口を掲載し、問い合わせに遅滞なく回答する体制を整えておけば足りるとされています（個人情報保護委員会「『個人情報の保護に関する法律についてのガイドライン』に関するQ&A」1-9-3）。

また、個人情報を取得した場合は、あらかじめ利用目的を公表している場合を除き、速やかに本人に通知し、または公表しなければなりません（21条1項）。プライバシーポリシーで利用目的を公表しておけば、この義務にも対応できます。

ただし、問い合わせフォームや申込書など、本人から直接書面（電磁的記録を含む）で個人情報を取得する場合は、あらかじめ本人に利用目的を明示する必要があります（21条2項）。Webフォームでは、送信ボタンを押す前に利用目的やプライバシーポリシーへのリンクが本人の目に留まるよう配置することが望ましいとされています（個人情報保護委員会「個人情報の保護に関する法律についてのガイドライン（通則編）」3-3-4）。

なお、法律上、利用目的の通知は本人からの「求め」（32条2項）、開示・訂正等・利用停止等は本人の「請求」（33条〜35条）と書き分けられています。

②特定の取扱いをする場合に加わる事項

次の取扱いをする場合は、それぞれ記載や本人への情報提供などが必要になります。

それぞれの書き方は、次の条項例とCookieの項目で解説します。

条項例でわかるプライバシーポリシーの作り方

ここからは、条項例をもとにプライバシーポリシーの作り方を解説します。条項例は一般的なWebサービス事業者を想定したものであり、実際には自社の取扱いに合わせた調整が必要です。

個人情報の定義には個人識別符号も含める

個人情報の定義は、個人情報保護法2条1項に定められているとおりに記載することで足ります。同項は、氏名などの記述等により特定の個人を識別できる情報（1号）と、個人識別符号が含まれる情報（2号）を定めているため、両方を記載します。個人識別符号とは、旅券番号、運転免許証の番号、マイナンバーのような番号や、顔認証などのために身体の特徴をデータに変換したものをいいます（2条2項）。

氏名や生年月日のほか、住所、電話番号、メールアドレス、勤務先、クレジットカード番号、問い合わせの内容なども、特定の個人を識別できる情報と結びついていれば個人情報に当たります。自社の顧客等から取得する可能性の高い情報は、定義の中に例示しておくのもよいでしょう。IPアドレスや閲覧履歴の扱いは後述します。なお、病歴などの要配慮個人情報（2条3項）を取得するには、原則としてあらかじめ本人の同意が必要です（20条2項）。

利用目的は本人が予測できる程度に具体的に書く

個人情報取扱事業者は、利用目的をできる限り特定しなければならず（17条1項）、上の条項例の第1項はこれに対応するものです。重要なのは、抽象的・包括的な記載では足りず、本人が自身の個人情報がどのように利用されるかを予測できる程度に、具体的に記載する必要があるということです。個人情報保護委員会のガイドライン（通則編）は、本人から得た情報から行動や関心等を分析する場合（いわゆるプロファイリング）には、どのような取扱いが行われているかを本人が予測・想定できる程度に利用目的を特定しなければならないとしています。

また、利用目的の達成に必要な範囲を超えて個人情報を取り扱うには、原則として本人の同意が必要です（18条1項）。利用目的の変更は、変更前の利用目的と関連性を有すると合理的に認められる範囲に限られ（17条2項）、変更後の利用目的は本人に通知し、または公表しなければなりません（21条3項）。作成時に、漏れがないかを十分に検討しましょう。

統計データへの加工は匿名加工情報と区別する

条項例の第2項は、取得した個人情報を統計的な情報として集計し、利用することを定めるものです。統計情報は、特定の個人との対応関係が排斥されている限り「個人に関する情報」に当たらず、個人情報保護法の規制の対象外とされています（個人情報保護委員会「個人情報の保護に関する法律についてのガイドライン（仮名加工情報・匿名加工情報編）」3-1-1）。統計情報を作成するための加工も、匿名加工情報の「作成」には当たりません。

これに対し、匿名加工情報（2条6項）は、特定の個人を識別できず、かつ復元できないように個人情報を加工した情報です。作成したときは含まれる個人に関する情報の項目を、第三者に提供するときは提供する情報の項目と提供の方法を、それぞれ公表する必要があります（43条3項・4項）。他の情報と照合しない限り特定の個人を識別できないように加工した仮名加工情報（2条5項）も、利用目的の公表が必要です（41条4項）。これらを作成する場合は、条項例の第2項とは別に記載を加えます。

目的外利用ができるのは法律が定める場合に限られる

個人情報は、原則として、本人の同意を得ないで利用目的の範囲外で取り扱うことはできません（18条1項）。ただし、法律上の例外である上記の条項例の(1)号から(4)号に該当する場合には、目的外の取扱いが認められています（18条3項）。

(1)号には、警察からの捜査関係事項照会（刑事訴訟法197条2項）への回答などが当たります。(2)号と(3)号は、個人情報を利用すべき要請が高い一方で、本人の同意を得ることが困難な場合です。(4)号は、国の機関等の法令上の事務に協力する場合です。18条3項には学術研究に関する例外（5号・6号）もありますが、該当しない事業者は記載しなくても差し支えありません。この条項は法律上の例外を確認するものであり、どの事業者においてもほぼ定型です。

第三者提供は同意が原則（委託・共同利用は別の規律）

個人データを第三者に提供するには、原則としてあらかじめ本人の同意を得る必要があります（27条1項）。同意が不要となる例外は目的外利用とほぼ同じであるため、条項例の第1項では前条の各号を引用しています（学術研究に関する例外は同項5号〜7号）。

注意が必要なのは、業務委託先への提供の位置付けです。利用目的の達成に必要な範囲内で個人データの取扱いを委託する場合、委託先は「第三者に該当しない」ものとされています（27条5項1号）。事業の承継（同項2号）や共同利用（同項3号）も同様です。これらは同意の例外ではなく、そもそも第三者への提供に当たらないため、条項例では第2項として別に定めています。共同利用を行う場合は、同項3号の事項を記載した項を設けます。

ただし、業務委託をした場合でも、委託元の事業者は委託先に対する監督義務を負います（25条）。委託先から個人情報が漏えいした場合には委託元も責任を問われ得るため、委託先の選定や委託後の管理監督は慎重に行うべきです。業務委託先から個人情報が漏えいしたベネッセ個人情報流出事件については、下記記事で詳しく解説しています。

オプトアウトは個人情報保護委員会への届出と公表が要件

オプトアウトとは、あらかじめ本人の同意を得る（オプトイン）のではなく、本人から停止を求められた時点で提供をやめる方式をいいます。個人情報保護法では、この方式により、本人の同意を得ずに個人データを第三者に提供することが認められています。具体的には、本人の求めに応じて提供を停止することとしたうえで、所定の事項をあらかじめ本人に通知し、または本人が容易に知り得る状態に置き、個人情報保護委員会に届け出る必要があります（27条2項）。届け出た事項は、個人情報保護委員会が公表します（27条4項）。

ただし、要配慮個人情報、偽りその他不正の手段により取得された個人データ、オプトアウトにより提供を受けた個人データは、この方法で提供できません（27条2項ただし書）。この届出制度は、主に名簿業者など個人情報それ自体を商材として扱う事業者を念頭に置いたものです。一般の事業者は、本人の同意を得ることを基本に考えるのがよいでしょう。

顧客情報の購入に関する注意点は、下記記事で解説しています。

外国にある第三者に提供する場合の同意と情報提供

外国にある第三者に個人データを提供する場合は、原則として、あらかじめ「外国にある第三者への提供を認める旨の本人の同意」を得なければなりません（28条1項）。同意を得る際は、外国の名称、その外国の個人情報の保護に関する制度、提供先が講ずる個人情報の保護のための措置に関する情報を、本人に提供する必要があります（28条2項、個人情報保護法施行規則17条2項）。プライバシーポリシーにこれらを記載し、同意を得る画面から参照できるようにする方法が考えられます。

ただし、日本と同等の水準にあると認められる国として指定された国（EUおよび英国）にある第三者や、個人情報保護法に沿った措置を継続的に講ずる体制（基準適合体制）を整備している第三者への提供は、この同意の対象外です。基準適合体制を整備した第三者に提供した場合は、必要な措置を講じ、本人の求めに応じて関連する情報を提供します（28条3項）。

なお、海外のクラウドサービスを利用する場合、サービス事業者が個人データを取り扱わないこととなっていれば、「提供」には当たらないとされています。もっとも、外国で個人データを取り扱うことになるため、その外国の制度等を把握したうえで安全管理措置を講じ（外的環境の把握）、プライバシーポリシーで示す安全管理措置にも反映させます。

開示等の請求の手続と手数料

本人からの利用目的の通知の求めや、開示・訂正等・利用停止等の請求に応じる手続も、本人の知り得る状態に置く必要があります（32条1項3号）。手続を定める際は、次の点に注意が必要です。

• 開示の方法は、電磁的記録の提供による方法を含め、本人が指示して請求できる（33条1項）
• 第三者への提供に関する記録も、開示請求の対象になる（33条5項）
• 利用停止等は、違法な取扱いがある場合のほか、事業者が利用する必要がなくなった場合など、本人の権利または正当な利益が害されるおそれがある場合にも請求できる（35条5項）

もっとも、これらを定める条項は多くの事業者で定型的な文言となっています。1つ検討すべきなのは、手数料を定めるかどうかです。手数料を徴収できるのは利用目的の通知と開示の場合に限られ（38条1項）、その額は実費を勘案して合理的と認められる範囲内で定めなければなりません（38条2項）。手数料を定めた場合は、その額もプライバシーポリシーに記載する必要があります。

Cookieや広告タグで取得する情報の扱い（個人関連情報・外部送信規律）

Cookie（クッキー）や広告タグで取得する閲覧履歴などの情報は、会員情報と結びつければ個人情報になり、結びつかなくても個人関連情報や電気通信事業法の外部送信規律の対象になり得ます。

Cookie等の情報を会員IDなどと紐づけて管理する場合は、他の情報と容易に照合して特定の個人を識別できるため、個人情報に当たります。この場合は、閲覧履歴の分析や広告配信への利用を、利用目的として具体的に記載します。

特定の個人を識別できないCookie等の情報は、「個人関連情報」に当たります（2条7項）。個人関連情報を第三者に提供する場合で、提供先がそれを個人データとして取得することが想定されるときは、提供元は、提供先が本人の同意を得ていることを確認しなければなりません（31条1項）。提供を受けて自社の会員情報と結びつける事業者は、プライバシーポリシー等を通じて本人の同意を得る仕組みを整えておく必要があります。

さらに、電気通信事業法の外部送信規律（同法27条の12）の対象となる事業者は、利用者の端末から外部に情報を送信させるタグ等を用いる場合、送信される情報の内容、送信先の氏名または名称、送信先での利用目的を、あらかじめ利用者に通知し、または利用者が容易に知り得る状態に置く必要があります（同法施行規則22条の2の29）。同意の取得やオプトアウト措置による対応も可能です。対象は、SNS、検索サービス、ニュースや動画の配信など、同施行規則22条の2の27に定める役務を提供する事業者に限られます。ただし、不特定の利用者に向けて情報を発信するWebサイトも対象になり得るため、自社のサービスが該当するかを確認しておくことが大切です。

プライバシーポリシーの不備・違反が招くリスクと裁判例

プライバシーポリシーの記載の不備や、記載と実際の取扱いのずれは、個人情報保護委員会による行政上の措置と、本人からの損害賠償請求の両面でリスクになります。

個人情報保護委員会は、報告の徴収や立入検査（146条）、指導・助言（147条）、勧告・命令（148条）を行うことができます。命令に違反した場合は、1年以下の拘禁刑または100万円以下の罰金が科され、法人には1億円以下の罰金が科されることがあります。実際に、就職情報サイト「リクナビ」の事案では、個人情報保護委員会が2019年8月26日と同年12月4日に運営会社などに勧告を行いました。学生の内定辞退率の予測を利用企業に提供するにあたり、プライバシーポリシーの改定漏れなどにより本人の同意を得ていなかったことなどが問題とされました。

民事上も、個人情報の取扱いはプライバシー侵害を理由とする損害賠償請求の対象になり得ます。

最高裁判所第二小法廷平成15年9月12日判決（民集57巻8号973頁）は、大学が講演会への参加を申し込んだ学生の学籍番号、氏名、住所、電話番号を、本人の同意を得る手続を執ることなく警察に開示した事案です。最高裁は、これらの情報はプライバシーに係る情報として法的保護の対象となるとしたうえで、あらかじめ承諾を求めることが困難であった特別の事情がうかがわれない事実関係の下では、無断での開示はプライバシーを侵害する不法行為を構成するとして、原判決を破棄し、事件を差し戻しました。

最高裁判所第二小法廷平成29年10月23日判決（判例タイムズ1442号46頁）は、通信教育事業者の顧客情報が流出したベネッセ事件です。最高裁は、氏名、住所、電話番号などの漏えいによってプライバシーが侵害されたと判断し、不快感等を超える損害の主張・立証がないことのみを理由に請求を棄却した原審には違法があるとして、精神的損害の有無や程度等について審理を尽くさせるため、原判決を破棄し、事件を差し戻しました。

公開済みのプライバシーポリシーと、委託先や広告タグを含めた実際のデータの流れがずれていても、社内では気づきにくいものです。問題が表面化する前に、弁護士による点検を受けておくことをおすすめします。

令和8年改正個人情報保護法で見直しが必要になる記載事項

2026年7月17日に公布された改正個人情報保護法は、一部を除き、公布の日から2年以内に施行されます。施行日はまだ定められていませんが、施行前に、自社の取扱いが新しい規律に当たるかを棚卸ししておくことが大切です。プライバシーポリシーの記載や同意の取得方法に関わる主な事項は、次のとおりです（条番号は改正後のもの）。

• 顔特徴データなど（特定生体個人情報）を取り扱う場合は、取り扱うことや利用目的などを、あらかじめ本人に通知し、または本人が容易に知り得る状態に置く（21条の2）。オプトアウトによる第三者提供はできない（27条2項）
• 本人が16歳未満の場合、利用目的の通知や同意の取得などの相手方は、原則として法定代理人となる（40条の2）
• 統計作成等のみを目的として、本人の同意なく個人データを第三者に提供するなどの特例を利用する場合は、統計作成等の内容などを公表する（30条の2）
• オプトアウトにより第三者に提供する場合は、提供先の氏名・名称や住所、利用目的などを確認する（27条7項・8項）
• 個人データの取扱いの委託を受けた者は、受託した業務の遂行に必要な範囲を超えて取り扱ってはならない（30条の3）。委託に関する条項や委託契約の見直しが必要になる

このほか、一定の違反行為について課徴金制度が設けられます（148条の3以下）。公表事項の細目などは、今後、個人情報保護委員会規則やガイドラインで定められる予定です。改正法の全体像と企業の実務への影響は、下記記事で解説しています。

まとめ：プライバシーポリシーは定期的な点検が欠かせない

プライバシーポリシーは、一度作成すれば終わりではありません。事業内容やデータの流れが変わったときや法令が改正されたときには、記載事項を点検し直す必要があります。

• すべての事業者は、事業者の名称・住所・代表者の氏名、利用目的、開示等の請求に応じる手続、安全管理措置、苦情の申出先を本人の知り得る状態に置く
• 委託・共同利用、外国にある第三者への提供、Cookie等の利用など、自社の取扱いに応じて記載すべき事項が加わる
• 令和8年改正法の施行に向けて、顔特徴データ、16歳未満の本人の個人情報、委託先での取扱いなどの見直しが必要になる

個人情報の取扱いに関するルールが変わるたびに、社内システムの変更だけでなく、事業の手法そのものを見直す必要が出てくることもあります。特に個人情報を多く取り扱う事業者は、改正の動向を常に把握しておくことが大切です。

プライバシーポリシーの記載と、委託先・広告タグ・海外クラウドを含めた実際のデータの流れとのずれは、社内だけでは見落としやすいものです。また、令和8年改正法の施行までには、今後定められる委員会規則やガイドラインに合わせた改定も必要になります。個人情報保護委員会から指摘を受けたり、利用者とのトラブルが生じたりしてからでは、利用者への説明を含めて対応の負担が大きくなります。プライバシーポリシーの新規作成や見直しをお考えの場合は、早めに個人情報保護法に詳しい弁護士にご相談ください。

当事務所による対策のご案内

モノリス法律事務所では、IT・インターネット・ビジネスに強みを持つ法律事務所として、プライバシーポリシーについて以外にも様々な契約書の作成・レビューといった業務を、顧問先企業様やクライアント企業様に対して提供しております。

気になる方は、ぜひ下記にて詳細をご覧ください。