お問い合わせフォームのプライバシーポリシー：GDPRの基本と通知文の書き方

送信ボタンの横に置く短い通知は、GDPRの階層的アプローチを実践するものです。収集の時点で要点を示し、詳細はワンクリック先に置きます。1〜2文に収めましょう。

調整して使える3つの短い例です。

• 一般的な問い合わせ： 「お名前、メールアドレス、メッセージは返信のためにのみ使用し、やり取りは12か月間保存します。詳細とお客様の権利についてはプライバシーポリシーをご覧ください。」
• 見積もり依頼： 「ご入力いただいた情報は、お見積もりの作成とそのフォローアップに使用します。ご契約いただいた場合は、お客様アカウントの一部として保存します。プライバシーポリシーをご覧ください。」
• ニュースレターの選択肢がある場合： 「ご入力いただいた情報は返信のために使用します。毎月のニュースレターも希望される場合はチェックを入れてください。配信はいつでも停止できます。」

「プライバシーポリシー」は全文へ実際に移動できるリンクにしましょう。通知はツールチップに隠さず見える状態にし、実際の運用と一致させてください。メッセージをCRMに転送したり2年間保存したりする場合は、そのように記載します。より広い掲載ルールについては、プライバシーポリシーのリンクを置く場所をご覧ください。

個人データとは、識別可能な個人に関するあらゆる情報を指します。お問い合わせフォームはその性質上、こうした情報を収集します。氏名、メールアドレス、場合によっては電話番号や会社名、そしてほぼ何でも書き込める自由記述のメッセージです。裏側では、フォームツールやサーバーが送信者のIPアドレス、ブラウザー情報、送信日時を記録することもあります。

これには3つの帰結があります。

1. データがどう扱われるかを利用者に伝える必要があります。 GDPR第13条では、この情報はデータを収集する時点で提供しなければなりません。
2. 処理の流れに関わるすべての事業者が対象になります。 フォームのプラグインやサービス、メールプロバイダー、CRM、スパムフィルターはいずれもメッセージを処理します。
3. 米国の法律も適用される場合があります。 CalOPPAは、カリフォルニア州の居住者から氏名やメールアドレスなどの個人を特定できる情報を収集する商用Webサイトを対象としています。

そもそもサイトにポリシーが必要かどうかを検討中であれば、フォームがあるサイトのほぼすべてについて答えは「必要」です。法的な要件については、ガイドプライバシーポリシーは必要？で詳しく説明しています。

GDPR第5条のデータ最小化の原則では、個人データは目的にとって十分かつ関連性があり、必要な範囲に限定されなければなりません。お問い合わせフォームの目的は本人に返信することなので、そのために本当に必要なものは何かを考えましょう。

実用的な項目チェックリストは次のとおりです。

• メールアドレス： 返信に必要なので必須です。
• 氏名： 役立つことが多いものの、任意にするか、1つの欄にまとめることを検討しましょう。
• メッセージ： 必須とし、機微な情報を含めないよう注意書きを添えます。
• 電話番号： 実際に折り返し電話をする場合を除き任意にします。
• 会社名、予算、案件の種類： 問い合わせの振り分けや回答に使う場合に限ります。
• 生年月日、身分証番号、健康情報： 一般的なお問い合わせフォームではほぼ常に不適切です。

項目を1つ減らせば、その分だけ保護、保存、説明が必要なデータが減ります。クリニックや法律事務所のような専門的なサービスを運営している場合は、フォームから機微な情報を送らないよう求める一文を加え、そのためのより安全な連絡手段を用意しましょう。

多くのサイトは反射的にすべてのフォームに同意のチェックボックスを付けています。英国の規制当局のガイダンスは、それがしばしば適切な手段ではないことを示唆しています。通常は、第6条に定める別の2つの法的根拠のほうが適しています。

• 契約（第6条1項(b)）： ICOによれば、この根拠は契約締結前に本人の求めに応じて特定の措置を講じるために必要な処理を対象とします。見積もりの依頼や、サービス購入に関する質問が典型例です。
• 正当な利益（第6条1項(f)）： 一般的な問い合わせ、フィードバック、報道関係の質問については、返信は利用者が期待する正当な利益です。ICOは、正当な目的、必要性、本人の利益との比較衡量という3段階のテストを示しています。

ICOの同意に関するガイダンスは、いずれにせよデータを処理するのであれば、実質的な選択肢がないため、同意を求めることは誤解を招くと警告しています。質問を送ってきた人は、当然返信を期待しています。

マーケティングは別です。問い合わせへの返信は、その人をニュースレターに登録することまでカバーしません。eプライバシーのルールによりマーケティングメッセージに同意が必要な場合は、通常、同意がその法的根拠としても適切です。

メッセージへの返信については、通常は必要ありません。「プライバシーポリシーに同意します」という必須のチェックボックスは、かえって混乱を招くことがあります。同意が法的根拠ではないのに、そうであるかのように示してしまうからです。また、プライバシーポリシーは情報提供であって、利用者が同意すべき契約ではありません。

チェックボックスが意味を持つのは次のような場合です。

• ニュースレターやマーケティングのオプトイン： チェックの入っていない別のチェックボックスを使い、メッセージ送信の条件にしないでください。
• 任意の追加事項： たとえば、お客様の声として掲載する許可や、問い合わせ内容をパートナーと共有する許可などです。
• 特別な種類のデータ： 機微な情報が本当に必要な場合は、明示的な同意が依拠する条件の1つになることがあります。

GDPRのもとでは、あらかじめチェックが入ったボックスでは有効な同意は成立しない点に注意してください。プライバシー通知を確認したことを示したい場合は、送信ボタンの横にリンク付きの簡単な一文を置けば十分であり、同意を取得しているふりをする必要はありません。特定のフォームについて迷う場合は、GDPR対応プライバシーポリシー作成ツールのページで、法的根拠が生成されるポリシーにどう反映されるかを説明しています。

詳細を書くのはポリシー本文です。次の内容をカバーするセクション、またはデータ表の1行を追加しましょう。

1. 収集する情報： フォームの項目に加え、IPアドレスや送信日時など自動的に収集される情報。
2. 目的： 問い合わせへの回答と、見積もりの作成などのフォローアップの目的。
3. 法的根拠： 通常は契約締結前の措置または正当な利益で、同意は任意のマーケティングに限ります。
4. 受領者： フォームプロバイダー、メールホスティング、CRM、ヘルプデスク、スパム対策サービス。
5. 移転： これらの事業者が英国やEUの域外でデータを処理するかどうかと、用いている保護措置。
6. 保存期間： メッセージを保存する期間。
7. 権利： アクセス、訂正、削除、異議申立ての権利と、その請求方法。

ニュースレター、チャットウィジェット、予約フォームも運用している場合は、すべてを「お問い合わせ」にまとめず、それぞれに短い項目を設けましょう。提供すべきプライバシー情報に関するICOのガイダンスは、必要事項を照合するのに役立ちます。

GDPRの保存制限の原則では、個人データは目的に必要な期間を超えて保存してはなりません。お問い合わせフォームのメッセージについて一律の期間を定めた法律はないため、説明できる期間を自分で定め、それを守ることになります。

よくある方法は次のとおりです。

• 成約に至らなかった一般的な問い合わせ： 最後の返信から6〜12か月など、追加の質問に対応できる程度の一定期間が過ぎたら削除します。
• 顧客につながった問い合わせ： 取引関係と法定の記録保存義務が求める期間、顧客記録の一部として保存します。
• スパムや悪質なメッセージ： セキュリティ上必要な場合を除き、速やかに削除します。
• Webサイトのデータベースに保存されたフォームの送信内容： 多くのフォームプラグインは、メールとは別にすべての送信内容のコピーを保存します。プラグインで自動削除を設定するか、定期的に消去しましょう。

保存期間をプライバシーポリシーに記載し、リマインダーや自動削除を設定して、ポリシーの内容が事実であり続けるようにしましょう。受信トレイよりも長くコピーが残りがちなバックアップやメールアーカイブも忘れないでください。

はい。スパム対策ツールはフォームを利用する人に関するデータを処理するため、プライバシーポリシーに記載すべきです。

reCAPTCHA： GoogleのreCAPTCHAに関するFAQによれば、2026年4月2日以降、処理されるデータについては顧客が唯一の管理者となり、reCAPTCHAバッジからはGoogleのプライバシーポリシーと利用規約への言及が削除されました。顧客は、自らのエンドユーザー向けプライバシー開示を見直し、セキュリティ、不正行為、不正利用の防止という目的がカバーされているか確認すべきとされています。FAQでは、サイトがreCAPTCHAで保護されていることを利用者に見える形で伝えれば、引き続きバッジを非表示にできるとしています。また、reCAPTCHAはリスク分析のために必要なCookieを設定することにも触れています。

その他のサービス： hCaptcha、Cloudflare Turnstile、スパム対策プラグインは、いずれもフォームのデータや端末のシグナルを処理します。使用しているサービス名を挙げ、その目的を説明しましょう。

ハニーポット項目とレート制限は、自社サーバー上で動作し第三者が関与しない、より軽量な代替手段です。ただし、執拗なボットに対しては効果が劣る場合があります。どれを選ぶにしても、何を、誰が、なぜ確認するのかを平易な言葉で説明しましょう。

お問い合わせフォームが単一のツールで完結することはまれです。一般的な構成では複数の事業者が連携しており、そのすべてをポリシーに記載する必要があります。

• フォームプラグインまたはフォームサービス： 送信内容を保存し、事業者自身のサーバーに保存することもあります。
• メール配信： ホスティング事業者やトランザクションメールサービスを通じて、受信トレイに通知を送ります。
• 受信トレイとCRM： 共有メールボックス、ヘルプデスク、営業用CRMなど、メッセージが長期的に保管される場所です。
• 自動化： 送信内容をスプレッドシートやチャットチャンネルにコピーするツールです。

事業者がお客様に代わってデータを処理する場合、GDPR第28条により処理者条項を含む契約が必要です。通常は事業者のデータ処理補遺（DPA）がこれにあたります。これらの事業者を名称またはカテゴリーでポリシーに記載し、ツールを切り替えたときはリストを最新に保ちましょう。

Legal Policy Generatorの質問票では、Mailchimp、HubSpot、Zendesk、Intercom、SendGrid、reCAPTCHA、hCaptchaなどの外部サービスを選択でき、回答に合った条項が選ばれます。質問票、プレビュー、シンプルなHTMLダウンロードは無料です。文書のその他の部分については、ガイドWebサイトのプライバシーポリシーの作り方で解説しています。