プライバシーポリシーを作る — 個人情報を扱うなら必須

件数に関係なく対象になる

個人情報保護法は、個人情報を取り扱うすべての事業者に適用されます。かつてあった「5,000件以下は除外」という規定は撤廃されています。

顧客名簿、問い合わせフォーム、名刺、従業員の情報。これらを扱っている時点で対象です。

公表または通知が必要な事項

• 利用目的 … 何のために使うか。具体的に書く（「事業活動のため」では不十分）
• 事業者の氏名・名称、住所、代表者名
• 安全管理措置 … どう守るか
• 第三者提供 … する場合はその旨と、オプトアウトの方法
• 委託の有無
• 共同利用 … する場合は項目、範囲、責任者
• 開示等の請求手続き … 本人からの開示、訂正、利用停止の求めへの対応窓口
• 苦情の申出先
• 外国にある第三者への提供 … 該当する場合は、その国の制度等の情報提供が必要

利用目的は具体的に

悪い例：「当社の事業活動に利用します」

良い例：

• 商品の発送、代金の請求
• サービスに関するお問い合わせへの対応
• 新商品・キャンペーンのご案内の送付
• アフターサービスのご連絡

書いていない目的には使えません。後から広げるには、原則として本人の同意が必要です。将来使う可能性のある目的は、最初から含めておいてください。

クッキー・アクセス解析

アクセス解析ツールや広告のタグを使っているなら、その旨と、オプトアウトの方法を記載します。電気通信事業法の外部送信規律により、利用者情報を外部に送信する場合の通知・公表が求められる場合があります。

実務で必要な対応

ポリシーを掲載するだけでは足りません。

• 取得時に利用目的を示す … 問い合わせフォームに、ポリシーへのリンクと同意のチェックを置く
• 安全管理措置を実際に講じる … アクセス権限の管理、施錠、バックアップ、従業者の教育
• 委託先を監督する … 外注先が個人情報を扱うなら、契約に取扱いの条項を入れる
• 開示等の請求に対応できる体制
• 漏えい時の報告 … 個人情報保護委員会への報告と本人への通知が義務づけられる場合があります

要配慮個人情報

病歴、犯罪歴、信条などは取得自体に本人の同意が必要です。医療、介護、人材、保険などの業種では特に注意してください。

作り方

雛形は各所で公開されていますが、そのまま使わないでください。自社が実際に扱う情報、実際の利用目的に合わせて書き換える必要があります。

• 個人情報保護委員会のガイドラインと参考資料
• 業界団体の雛形
• 扱う情報が多い、または機微な場合は弁護士に確認

更新を忘れない

事業内容が変わったら、利用目的も見直してください。実態と違うポリシーを掲げているほうが、ないより問題になります。