HPのプライバシーポリシー見直し｜フォームとGA4の注意点

「プライバシーポリシーは、ホームページを作ったときに制作会社が入れてくれたものがある」。そんな会社や事務所は多いのではないでしょうか。ところが、その後に問い合わせフォームを増やしたり、GA4（Googleアナリティクス）でアクセス解析を始めたりしても、プライバシーポリシーだけは公開当時のままというケースは珍しくありません。

この記事では、問い合わせフォームとGA4を使っている中小企業の経営者・Web担当者の方に向けて、個人情報保護委員会のガイドラインやGoogleの利用規約をもとに、ホームページのプライバシーポリシーで見直したいポイントを専門用語をできるだけ使わずに整理します。

なぜ今、プライバシーポリシーを見直すべきなのか

個人情報保護法は数年ごとに見直されており、令和2年改正法は2022年（令和4年）4月1日に全面施行されました。この改正では、漏えい等が起きたときの個人情報保護委員会への報告と本人への通知が義務化され、ホームページなどで公表する事項に「安全管理のために講じた措置」が加わっています。

つまり、それより前に作った雛形をそのまま使っている場合、今の法律が求める項目が抜けている可能性があります。さらに、公開後に追加したフォームや解析ツールの存在がポリシーに反映されていないと、実際の運用と書いてある内容がずれてしまいます。

よくあるのは、次のようなずれです。

• 他社のポリシーを参考にした文面で、自社にない事業やサービスの記載が残っている
• 採用応募や資料請求のフォームを追加したのに、その用途が書かれていない
• 移転や代表者の交代があったのに、住所や問い合わせ先が古いまま

どれも悪意はなくても、読んだお客様に「この会社は個人情報をきちんと管理しているのだろうか」という不安を与えかねません。問い合わせの直前にポリシーを読む人もいることを考えると、ポリシーは問い合わせのしやすさにも関わるページです。

法律の基本：最低限おさえたい4つのポイント

ここでは、個人情報保護委員会の「個人情報の保護に関する法律についてのガイドライン（通則編）」に書かれている内容から、ホームページに関係の深いものを取り上げます。

1. 利用目的は「できる限り具体的に」

個人情報を扱うときは、何のために使うのかをできる限り特定する必要があります。ガイドラインでは、「事業活動に用いるため」「マーケティング活動に用いるため」といった書き方は、具体的に特定していない例として挙げられています。

一方、望ましい例として示されているのは「○○事業における商品の発送、関連するアフターサービス、新商品・サービスに関する情報のお知らせのために利用いたします。」のような書き方です。自社のフォームに置き換えるなら、「お問い合わせへの回答」「お見積りの送付」「資料の発送」など、実際の用途を並べるイメージです。

2. フォームでは「送信する前に」利用目的が見えるように

本人から直接書面で個人情報を受け取るときは、あらかじめ利用目的を明示する必要があり、ガイドラインではホームページの入力画面に入力してもらう場合もこれに含まれるとされています。

さらに、ネット上で取得する場合は、送信ボタン等をクリックする前に利用目的が目に留まるよう配置することが望ましい、とされています。利用目的が書かれたページへ1回程度の操作で移動できるリンクやボタンでもよいとされているので、送信ボタンの近くにプライバシーポリシーへのリンクを置くのが現実的な対応です。ページのいちばん下のフッターにしかリンクがない場合は、配置を見直しましょう。

3. 「保有個人データ」について知らせる項目

問い合わせ内容を顧客リストとして保管している場合などは、次の事項を本人が知り得る状態に置く必要があります。本人の求めに応じて遅滞なく回答する方法も認められていますが、ホームページに継続的に掲載しておくのが分かりやすい方法です。

4. 安全管理措置は「中身」を書く

意外と見落としがちなのが安全管理措置の書き方です。ガイドラインでは、「ガイドライン（通則編）に沿って安全管理措置を実施している」といった内容だけでは適切ではないと明記されています。

とはいえ、システムの細かな設定まで公開する必要はありません。従業員100人以下の「中小規模事業者」向けの事例として、取扱方法の整備、責任者による確認、従業者への定期的な研修、機器の盗難・紛失防止、外部からの不正アクセスや不正ソフトウェアから守る仕組みの導入などが示されています。自社で実際にやっていることを、この粒度で書き出すのがポイントです。

GA4などのアクセス解析ツールを使っている場合

GA4を使っているなら、法律とは別にGoogleとの約束も守る必要があります。Googleアナリティクス利用規約の「7. プライバシー」では、サイト運営者に次のことを求めています。

• プライバシーポリシーを公開し、それに準拠すること
• データ収集に使うCookieなどの技術の使用について通知すること
• Googleアナリティクスを使っていること、データが収集・処理される仕組みを開示すること

仕組みの説明は、Googleの「Google のサービスを使用するサイトやアプリから収集した情報の Google による使用」のページへのリンクを目立つように表示する方法でも開示できるとされています。「アクセス解析のためにGoogleアナリティクスを使用し、Cookieでデータを収集していること」と、このリンクをセットで載せておくと安心です。GA4の数字を毎月見ている方は、GA4・サーチコンソールの月1点検の手順と一緒に、ポリシーの記載も点検項目に加えておきましょう。

「外部送信規律」は自社が対象か確認を

2023年6月16日に施行された電気通信事業法の外部送信規律では、対象となる事業者に、利用者の情報を外部に送信させる場合に、送信される情報の内容や送信先、利用目的を通知・公表することが求められています。

ただし総務省の説明では、企業等が自社のホームページを運営する場合や、自社商品をオンライン販売する場合は対象外とされています。一般的な会社案内サイトであれば直接の対象にならないことが多い一方、会員向けのコミュニティ機能や情報提供サービスを運営している場合は対象になる可能性があるので、総務省のページで確認してください。

フォームの「もしも」まで考えておく

プライバシーポリシーは「書いて終わり」ではなく、書いた内容どおりに守れているかが大切です。ガイドラインでは、ウェブサイトの入力ページが第三者に改ざんされ、入力された個人情報がその第三者に送信された場合も、漏えいの事例として挙げられています。

不正アクセスなど不正の目的による漏えい（おそれを含む）は、人数にかかわらず個人情報保護委員会への報告対象です。報告は、知ってから概ね3〜5日以内の「速報」と、原則30日以内（不正目的の場合は60日以内）の「確報」の2段階とされています。小さな会社のフォームでも、改ざんされれば報告と本人への通知が必要になり得るということです。

また、病歴などは「要配慮個人情報」にあたり、これを含む個人データの漏えい等（おそれを含む）は、人数にかかわらず報告対象になります。相談フォームの自由記述欄に、こうした情報が書き込まれることがないかも考えておきたいところです。

フォームを守る具体策としては、問い合わせフォームのスパム・営業メール対策や、WordPressの保守管理でプラグインやシステムを最新に保つことが土台になります。

今日からできる見直しチェックリスト

自社のプライバシーポリシーを開いて、次の項目を確認してみてください。

• 会社名・住所・代表者名が現在の情報になっているか
• 利用目的が「事業活動のため」のような抽象的な表現になっていないか
• 公開後に追加したフォーム（採用応募、資料請求など）の用途が書かれているか
• フォームの送信ボタンの近くからポリシーへ移動できるか
• 開示等の請求方法と苦情の申出先が書かれているか
• 安全管理措置が「ガイドラインに沿って実施」だけになっていないか
• GA4やCookieの使用と、Googleの説明ページへのリンクがあるか
• 最終改定日が書かれ、内容が実際の運用と合っているか

ひとつでも当てはまらない項目があれば、見直しのタイミングです。

まとめ：ポリシーは「サイトの今」に合わせて更新する

プライバシーポリシーは、お客様が安心して問い合わせできるかどうかに関わる、信頼の土台です。フォームやツールを追加したら、ポリシーも一緒に更新する。この習慣をつけるだけで、実際の運用と書いてある内容のずれを防ぎやすくなります。

なお、この記事は公的なガイドラインなどをもとにした一般的な情報です。業種や扱う情報によって必要な記載は変わるため、個別の法的判断は弁護士などの専門家にご相談ください。

WEBeffectでは、問い合わせフォームの設置・改修や、GA4の導入にあわせたホームページの見直しをお手伝いしています。「自社サイトのどこを直せばいいか分からない」という段階でも、お気軽にご相談ください。