ホームページのリニューアルや、問い合わせフォーム・アクセス解析（GA4）の導入のときに、「プライバシーポリシーを用意してください」と言われて手が止まることがあります。どこまでが法律で求められ、どこからが会社の判断なのかが分かりにくいためです。

この記事は、総務・広報・営業企画などでホームページを担当する人に向けて、プライバシーポリシーの書き方をまとめたものです。結論を先に書くと、個人情報保護法で公表などが求められる項目（会社の名称・住所・代表者、利用目的、開示等の手続、安全管理措置、苦情の申出先）を押さえたうえで、問い合わせフォームとアクセス解析・Cookie の扱いを、自社の実態どおりに書くことが基本です。

法令やガイドラインは、2026年11月時点で個人情報保護委員会・総務省・Google の公式ページで確認できた範囲で書いています。この記事は法律の解釈を示すものではありません。自社の文面が法令に合っているかは、弁護士や個人情報保護委員会の相談窓口に確認してください。

プライバシーポリシーと個人情報保護法の関係

個人情報保護法は、「プライバシーポリシー」という名前の文書そのものではなく、一定の事項を公表したり、本人の知り得る状態に置いたりすることを事業者に求めています。多くの会社は、これらの事項を1つのページにまとめ、「プライバシーポリシー」や「個人情報保護方針」としてホームページに載せています。個人情報保護委員会のガイドライン（通則編）も、個人情報保護の考え方や方針（いわゆるプライバシーポリシー）を策定してホームページなどで公表することが重要だとしています（個人情報保護委員会：個人情報の保護に関する法律についてのガイドライン（通則編））。

会社の規模で対象外になるわけではありません。ガイドラインでは、個人情報データベース等を事業に使っていれば、人数の多少にかかわらず「個人情報取扱事業者」に当たるとしています。従業員100人以下の事業者（一定の例外あり）には、安全管理措置について規模に合わせた事例が示されています。

2022年4月の全面施行で増えた項目

令和2年改正個人情報保護法は、2022年4月1日に全面施行されました（個人情報保護委員会：令和２年改正個人情報保護法について）。個人情報保護委員会の「改正個人情報保護法対応チェックポイント」では、安全管理措置の公表等の義務化、外国にある第三者への提供の際の情報提供の充実、閲覧履歴などの「個人関連情報」の第三者提供の制限などが挙げられています（個人情報保護委員会：改正個人情報保護法対応チェックポイント）。それより前に作ったプライバシーポリシーは、安全管理措置の項目が抜けていないかを確認します。

2026年7月に公布された改正法

さらに、2026年7月17日に「個人情報の保護に関する法律等の一部を改正する法律」が公布されました。一部を除き、公布日から2年以内で政令で定める日から施行されます。改正内容には、16歳未満の人の個人情報の扱い、Cookie ID などで特定の個人に働きかけができる情報の不適正利用・不正取得の禁止、課徴金制度などが含まれます。2026年11月時点では政令・規則・ガイドラインの整備中です。施行日と記載への影響は、個人情報保護委員会の発表で確認してください（個人情報保護委員会：令和８年改正個人情報保護法について）。

法律で公表などが求められる項目

個人情報保護法第32条第1項と政令第10条は、保有個人データについて次の事項を「本人の知り得る状態（本人の求めに応じて遅滞なく回答する場合を含む）」に置くよう定めています。プライバシーポリシーの骨格は、この表の項目です。

項目	根拠	書き方のポイント
会社の名称・住所・代表者の氏名	法第32条第1項第1号	「株式会社〇〇、〇〇県〇〇市〇〇、代表取締役〇〇〇〇」のように書く。移転や代表者の交代で直し忘れやすい
全ての保有個人データの利用目的	法第32条第1項第2号	取得する場面ごとに具体的に書く。利用目的に第三者提供が含まれる場合は、その旨も明らかにする
開示等の請求等に応じる手続（手数料を定めた場合はその額）	法第32条第1項第3号	請求の受付先、提出してもらうもの、本人確認の方法、手数料の有無と金額
安全管理のために講じた措置	法第32条第1項第4号、政令第10条第1号	基本方針、取扱いの規律、組織的・人的・物理的・技術的な措置、外的環境の把握。安全管理に支障が出るもの（入退室の管理方法、アクセス制御の範囲など）は除く
苦情の申出先	政令第10条第2号	担当窓口の名前、メールアドレス、郵送先など。担当者が異動しても届く宛先にする
認定個人情報保護団体の名称と苦情の解決の申出先	政令第10条第3号	その団体の対象事業者になっている場合だけ書く

「本人の知り得る状態」は、ホームページへの掲載に限りません。ガイドラインと「ガイドラインに関するQ&A」（Q9-1）では、問い合わせ窓口を設け、求めがあれば口頭や文書で回答できる体制でもよいとされています。一方で、普段から問い合わせが多い事業者がホームページに継続して載せる方法は、法律の趣旨に合う方法としてガイドラインに書かれています（個人情報保護委員会：「個人情報の保護に関する法律についてのガイドライン」に関するQ&A）。

利用目的は「できる限り具体的に」

利用目的は、本人が自分の情報がどう使われるかを合理的に予測できる程度に、できる限り具体的に特定します（法第17条第1項）。ガイドラインでは、「事業活動に用いるため」「マーケティング活動に用いるため」は具体的に特定していない例とされています。閲覧履歴などを分析して広告に使う場合は、その取扱いを本人が予測できるように書く必要がある、ともされています。

安全管理措置は「ガイドラインに沿って実施」だけでは足りない

ガイドラインは、「ガイドラインに沿って安全管理措置を実施している」といった内容を載せるだけでは適切ではないとしています。一方で、措置の概要と問い合わせ窓口をホームページに載せ、具体的な内容は問い合わせに応じて遅滞なく回答する体制でもよい、とQ&A（Q9-3）にあります。

海外の事業者のクラウドサービスにデータを保存している場合は注意が必要です。Q&A（Q10-25）では、その国の個人情報の保護に関する制度を把握したうえで措置を講じ、事業者が所在する外国とサーバーが所在する外国の名称などを本人の知り得る状態に置く必要があるとしています。クラウドの事業者が個人データを取り扱うかどうかで、委託や第三者提供としての扱いも変わります（Q7-53）。フォームやメール、顧客管理のツールがどの国の事業者のものかを一覧にしておくと書きやすくなります。

Service

コーポレートサイト制作のご相談はフェニックスデザインへ

ナレッジベースを運営するフェニックスデザインが、今のサイトの数字を見るところから対応します。URLを入れるだけの無料簡易診断から。

無料で簡易診断コーポレートサイト制作のサービスを見る

問い合わせフォームについて書くこと

問い合わせフォームは、個人情報を本人から直接受け取る場面です。法第21条第2項は、書面（電磁的記録を含む）で本人から直接個人情報を取得する場合、あらかじめ本人に利用目的を明示するよう定めています。ガイドラインでは、自社のホームページの入力画面に入力された個人情報を取得する場合が、あらかじめ明示しなければならない事例として挙げられています。

ガイドラインは、送信ボタンなどを押す前に利用目的（1回程度の操作で移れるリンクやボタンを含む）が目に留まるよう配置に注意することが望ましいとしています。送信ボタンの近くに利用目的の要約とプライバシーポリシーへのリンクを置く形が考えられます。

文の例：「ご入力いただいた個人情報は、お問い合わせへの回答と、そのためのご連絡に利用します。詳しくはプライバシーポリシーをご覧ください。」

フォームが複数ある場合は、フォームごとに利用目的を考えます。

フォームの種類	利用目的の例	あわせて確認すること
お問い合わせ・見積もり依頼	回答、見積もりの作成と送付、そのためのご連絡	回答の後に営業の案内を送るなら、その目的も書く
資料請求・資料ダウンロード	資料の送付、関連するサービスのご案内	案内メールを送る場合は、配信の停止方法も案内する
採用応募	選考、選考結果などのご連絡、入社の手続き	不採用となった人の書類やデータの保管期間と廃棄の方法
セミナー・説明会の申し込み	受付、開催前後のご連絡、アンケート	共催する会社に名簿を渡す場合の第三者提供の扱い
メールマガジンの登録	メールマガジンの配信	配信に外部のサービスを使う場合の委託の扱い

項目を必要なものに絞ると、扱う個人情報も減ります。項目の決め方は問い合わせフォームの項目の決め方で解説しています。スパム対策に外部のサービスを使う場合は、そのサービスの規約で求められる表示がないかも確認します（問い合わせフォームのスパム対策）。

アクセス解析（GA4）とCookieについて書くこと

GA4 を使っている場合は、Google アナリティクスの利用規約（日本向け、2023年5月15日更新）の第7条「プライバシー」に、サイトの運営者が守ることが書かれています。主な内容は次のとおりです（Google アナリティクス利用規約）。

プライバシーポリシーを公開し、データの収集に使う Cookie などの使用について、そのプライバシーポリシーで通知する
Google アナリティクスを使用していることと、Google アナリティクスでデータが収集・処理される仕組みを開示する。方法として、Google のページ「Google のサービスを使用するサイトやアプリから収集した情報の Google による使用」へのリンクを目立つように表示することが示されている
Google が個人を特定できる情報として使用・認識できる情報を、Google に送らない
法律で情報の提供と同意が義務付けられている場合は、Cookie などの保存とアクセスについて情報を提供し、同意を得るよう商業上合理的な努力をする

Google のヘルプによると、GA4 のタグはファーストパーティの Cookie を使います。主なものは「_ga」（ユーザーの区別に使用、既定の有効期限は2年）と「_ga_<container-id>」（セッションの状態の保持に使用、同じく2年）です（アナリティクスヘルプ：ウェブサイトでの Cookie の使用）。また、Google アナリティクスはデータの収集時に IP アドレスの記録・保存を行わないとされています（アナリティクスヘルプ：データの保護）。データの保持期間（標準のプロパティは2か月か14か月）など、自社の設定は管理画面で確かめてから書きます（アナリティクスヘルプ：データ保持）。

リマーケティングや、ユーザー属性とインタレストカテゴリのレポートなどの「広告向け機能」を使う場合は、導入している機能、Cookie の組み合わせ方、オプトアウトの方法もプライバシーポリシーで開示する必要があるとされています。Google が提供するブラウザ用のオプトアウトアドオンを案内することも推奨されています（アナリティクスヘルプ：広告向け機能に関するポリシー要件）。

Cookie と個人情報保護法の関係

個人情報保護委員会のQ&A（Q8-1）では、Cookie などの端末識別子は、個人情報に当たらない場合には通常「個人関連情報」に当たり、他の情報と容易に照合して特定の個人を識別できる場合には、その情報とあわせて個人情報に当たるとしています。フォームの氏名とアクセス解析のデータを結び付けて管理すると、扱いが変わる可能性があります。個人関連情報の第三者提供のルール（法第31条）は、提供先が個人データとして取得することが想定されるときに適用されます。広告や外部ツールとの連携が多い場合は専門家に確認してください。

GA4 以外の外部サービスも確認します。Google のページでは、広告やアクセス解析のほか、YouTube 動画の埋め込みなどでもサイトから Google に情報が送られると説明しています。

使っているもの	プライバシーポリシーで書くことの例	確認する公式の情報
GA4（基本の計測）	GA4 を使っていること、Cookie を使うこと、データの収集・処理の仕組み（Google のページへのリンク）、収集を無効にする方法	Google アナリティクス利用規約第7条
GA4 の広告向け機能	導入している機能、Cookie の組み合わせ方、オプトアウトの方法	アナリティクスヘルプ（広告向け機能のポリシー要件）
広告のタグ	送られる情報、送り先の事業者、利用目的、無効にする方法	各広告サービスの規約・ポリシー
地図・動画の埋め込み、SNS のボタン	外部のサービスに情報が送られること	各サービスの規約・ヘルプ
外部のフォーム・メール配信・顧客管理のツール	委託の有無、事業者とデータの保存先の国（外国の場合）	契約書・規約、個人情報保護委員会のQ&A

Cookie の規制の動きはサードパーティークッキーとは？規制の現状と企業サイトの対応、GA4 の計測の設定はGA4のキーイベント設定方法で解説しています。

電気通信事業法の「外部送信規律」との関係

2023年6月16日に施行された改正電気通信事業法には、「外部送信規律」があります。タグなどで利用者の端末から外部に情報を送らせる場合に、送信される情報の内容、その情報を取り扱う者の名称、利用目的を通知するか、容易に知り得る状態に置くことを求めるものです（総務省：外部送信規律）。

対象は電気通信事業を営む者などです。総務省のページでは、企業等のホームページの運営は電気通信事業に当たらないため対象外と書かれています。外部送信規律FAQでも、会社案内のページは自社の情報発信のために運営していると考えられるため対象外とする一方、同じサイトの中でもニュース配信を行うページは「各種情報のオンライン提供」として対象になるとしています（Q2-12）。また、対象となるサービスに付随するサポートページや利用者向けのポータルページも対象になるとしています（Q1-18）（総務省：外部送信規律FAQ）。

対象かどうかはサイトの機能によって変わります。会員向けのサービスや情報提供のメディアを運営している場合など、判断に迷うときは、総務省のFAQや窓口、専門家に確認してください。対象になる場合でも、FAQ（Q4-6）では、利用目的を記載したプライバシーポリシーへのリンクを示す方法で、通知や容易に知り得る状態に置くことは可能とされています。

プライバシーポリシーのひな形（例文）

次のひな形は、ここまでの項目を並べた例です。〇〇を自社の内容に置き換え、実態に合わせて項目を削除・追加してください。安全管理措置の文は、ガイドラインの中小規模事業者向けの事例をもとにしています。文面が自社の取扱いと法令に合っているかは、必ず弁護士などの専門家に確認してください。

ひな形：前文と事業者の情報

株式会社〇〇（以下「当社」）は、お客様、お取引先、採用に応募された方などの個人情報を、個人情報の保護に関する法律その他の関係法令・ガイドラインを守って適切に取り扱います。

名称：株式会社〇〇
住所：〇〇県〇〇市〇〇
代表者：代表取締役〇〇〇〇

ひな形：利用目的

お問い合わせ・お見積もりの依頼：ご質問への回答、お見積もりの作成と送付、これらに必要なご連絡
資料請求：資料の送付、当社の〇〇サービスに関するご案内（ご案内のメールは配信を停止できます）
採用応募：選考、選考結果などのご連絡、入社の手続き
お取引先：契約の締結と履行、取引に関するご連絡

ひな形：第三者提供と委託

当社は、法令で認められる場合を除き、あらかじめ本人の同意を得ずに個人データを第三者に提供しません。利用目的の達成に必要な範囲で個人データの取扱いを外部に委託する場合は、委託先を適切に監督します。

ひな形：安全管理のために講じた措置

基本方針の策定：関係法令・ガイドラインの遵守、質問と苦情の窓口などについて、本方針を定めています
取扱いの規律の整備：個人データの取得、利用、保存などの基本的な取扱方法を定めています
組織的な措置：責任者を置き、定めた方法で取り扱われているかを確認しています。従業者から責任者への報告連絡の体制を整えています
人的な措置：従業者に定期的な研修を行い、秘密保持に関する事項を就業規則に定めています
物理的な措置：権限のない人が個人データを見られないようにし、機器や書類の盗難・紛失を防ぐ措置を講じています
技術的な措置：個人データを扱える機器と担当者を決め、外部からの不正アクセスや不正なソフトウェアから守る仕組みを導入しています
外的環境の把握（該当する場合）：〇〇（国名）の事業者が提供するクラウドサービスに個人データを保存しています。同国の個人情報の保護に関する制度を把握したうえで、安全管理措置を講じています

ひな形：アクセス解析と Cookie

当社のウェブサイトでは、利用状況を把握するために Google LLC の Google アナリティクスを使用しています。Google アナリティクスは Cookie を使って閲覧に関する情報を収集します。データの収集と処理の仕組みは、Google のページ「Google のサービスを使用するサイトやアプリから収集した情報の Google による使用」をご覧ください。収集を無効にしたい場合は、Google が提供するオプトアウトアドオンを利用するか、ブラウザの設定で Cookie を無効にしてください。

ひな形：開示等の請求と相談窓口

保有個人データの利用目的の通知、開示、訂正・追加・削除、利用の停止・消去、第三者への提供の停止、第三者提供記録の開示のご請求は、下記の窓口で受け付けます。ご本人であることを確認したうえで対応します。手数料は〇〇（無料／1件につき〇〇円）です。個人情報の取扱いに関するご相談・苦情も、同じ窓口で受け付けます。

窓口：株式会社〇〇〇〇部個人情報相談窓口
メールアドレス：〇〇@〇〇.co.jp
郵送先：〇〇県〇〇市〇〇

制定日：〇〇〇〇年〇〇月〇〇日／最終改定日：〇〇〇〇年〇〇月〇〇日

作る手順と、見直すタイミング

ひな形を埋める前に、社内の実態を次の順に洗い出します。

個人情報を受け取る場面を洗い出す（フォーム、メール、名刺、採用、展示会、メールマガジンなど）
場面ごとに利用目的を書き出す
使っている外部サービスとタグを、事業者の国とデータの保存先とあわせて一覧にする
安全管理措置を、社内で実際に行っている取り組みから書く
開示等の請求と苦情の窓口を決める（担当者が退職しても届く宛先にする）
ひな形に当てはめ、専門家に確認する
全ページのフッターと各フォームの近くにリンクを置き、制定日・改定日を書く

制作会社にサイトを頼む場合は、文面をどちらが用意するかを契約の範囲として決めておきます（ホームページ制作の契約書で確認すること）。個人情報を取り扱うのは運営する会社なので、制作会社が用意した文面でも内容は自社で確認します。

公開後は、次のようなときに見直します。変化がなくても年に1回は実態と合っているか確かめます。

新しいフォームやツール（チャット、予約、メール配信など）を入れたとき
GA4 の広告向け機能や広告のタグを追加したとき
クラウドサービスを変えたとき、海外の事業者のサービスを使い始めたとき
本社の移転や代表者の交代があったとき（事務所移転でホームページの住所変更）
法令・ガイドラインが改正されたとき（2026年7月に公布された改正法の施行など）

文面の最終確認は法律の専門家の領域ですが、タグやフォームの設定の洗い出しは、制作会社や保守の委託先に頼めます。フェニックスデザインのWEBサイト運用保守・集客改善では、GA4・Search Console・タグマネージャーの整備と、フォームの動作確認を行っています。

よくあるご質問

従業員が少ない会社でもプライバシーポリシーは必要ですか？

ガイドラインでは、個人情報データベース等を事業に使っていれば、人数の多少にかかわらず個人情報取扱事業者に当たるとしています。公表等の事項は問い合わせに応じて回答する方法でもよいとされていますが、問い合わせフォームを置くなら、利用目的の明示のためにもページを用意しておくのが実務的です。自社に当てはまるかは専門家に確認してください。

他社のプライバシーポリシーを参考にしてもよいですか？

項目の並べ方は参考にできます。ただし、利用目的、外部サービス、安全管理措置は会社ごとに違うため、そのまま写すと実際の取扱いと食い違う原因になります。社内の実態を洗い出してから書いてください。

Cookie の同意を求めるバナーは必要ですか？

Google アナリティクスの利用規約は、法律で情報の提供と同意が義務付けられている場合に、同意を得るよう努めることを求めています。外部送信規律は、対象の事業者に通知か容易に知り得る状態に置くことを求めるものです。海外の利用者を対象にするサイトでは、その国・地域のルールも関係します。必要かどうかは専門家に確認してください。

利用目的を変えたいときはどうすればよいですか？

変更前の目的と関連性があると合理的に認められる範囲を超えて変えることはできず、変更した目的は本人に通知するか公表します（法第17条第2項・第21条第3項）。その範囲を超えて使う場合は、原則として本人の同意が必要です。進める前に専門家に確認してください。

まとめ

プライバシーポリシーの骨格は、法第32条などで公表等が求められる項目（名称・住所・代表者、利用目的、開示等の手続、安全管理措置、苦情の申出先）
利用目的は場面ごとに具体的に書き、問い合わせフォームでは送信前に目に留まる場所で明示する
GA4 を使う場合は、利用規約に沿って Cookie の使用、データの収集・処理の仕組み、無効にする方法を書く
外部送信規律の対象かはサイトの機能で変わる。2026年7月公布の改正法の施行にも注意する
ひな形は実態に合わせて書き換え、最終確認は弁護士や個人情報保護委員会に相談する

フェニックスデザイン株式会社WEB制作会社が運営するナレッジベース編集部

コーポレートサイト・採用サイト・サービスサイトの制作と、公開後の運用保守・集客改善の現場で得た知見をもとに、発注する側の視点で記事を制作・更新しています。運営会社の所在地・事業内容は会社案内、制作の考え方はブランディング×マーケティング論をご覧ください。

この記事は 2026年11月11日に公開し、2026年11月11日に内容を確認・更新しました。

プライバシーポリシーの書き方：会社ホームページに必要な項目とCookie・GA4