Webサイトのプライバシーポリシーを作成する方法

プライバシーポリシーの質は、その裏付けとなる一覧の質で決まります。文章を書き始める前に、訪問者として、また管理者としてサイトを一通り操作し、データが入ってくる地点や出ていく地点をすべて書き留めましょう。

• フォーム： お問い合わせ、見積もり、予約、ニュースレター、求人応募の各フォーム。隠しフィールドやファイルのアップロードも含みます。
• アカウント： 登録、ログイン、パスワード再設定、プロフィールの各ページ。
• アクセス解析： Google Analytics、サイトビルダー内蔵の解析機能、ヒートマップ、セッション録画。
• Cookieとローカルストレージ： それぞれの役割と、誰が設定しているか。
• 埋め込みコンテンツ： YouTubeやVimeoのプレーヤー、地図、SNSのフィード、予約ウィジェット、チャットの吹き出し。
• ホスティングとセキュリティ： サーバーログ、コンテンツ配信ネットワーク、ファイアウォール、CAPTCHAツール。
• メールとマーケティング： ニュースレター配信サービス、CRM、広告ピクセル。
• 決済： 決済ページ、決済代行事業者、請求書発行ツール。

簡単な技術的チェックも役立ちます。ブラウザーの開発者ツールを開き、プライベートウィンドウでいくつかのページを読み込んで、Cookie、ストレージ、ネットワークリクエストを確認しましょう。表示された外部ドメインはどれも、ポリシーで言及が必要になる可能性のある提供事業者です。

ほとんどのWebサイトは、運営者が求めていなくても個人データを収集しています。ホスティング事業者はサーバーログにIPアドレスを記録し、アクセス解析のスクリプトは識別子を設定し、お問い合わせフォームが一つあるだけでも氏名やメールアドレスが集まります。いくつかの法律により、これがプライバシー通知を公開する義務につながります。

• GDPRと英国GDPR： 第13条と第14条はデータを収集する際に本人に提供すべき情報を定め、第12条はその情報を簡潔で透明性があり、容易にアクセスできる形で提供するよう求めています。
• CalOPPA： カリフォルニア州の住民から個人を特定できる情報を収集する商用Webサイトは、プライバシーポリシーを目立つように掲載しなければなりません。
• その他の制度： カナダ、オーストラリア、ブラジル、ニュージーランドはいずれも、組織が個人情報の取扱いについて透明であることを求めています。

プラットフォームの規約にも独自の要件があります。Google AnalyticsとGoogle AdSenseはどちらも、利用前に適切なプライバシーポリシーを用意するよう求めています。誰が公開する必要があるのか全体像を知りたい場合は、プライバシーポリシーは必要かと、プライバシーポリシーがない場合に起こることのガイドをお読みください。

一覧を、どのデータか、なぜ収集するか、誰が受け取るか、どのくらいの期間保存するか、そしてGDPRが適用される場合はどの法的根拠に基づくか、という5列のシンプルな表にまとめます。この表がポリシーの骨格になります。

小さな制作スタジオのWebサイトでの簡単な例です。

• お問い合わせフォーム：氏名、メールアドレス、メッセージ。目的：問い合わせへの返信。提供事業者：メールのホスティング事業者。保存期間：やり取りの終了から12か月。
• アクセス解析：閲覧ページ、端末の種類、IPアドレスから推定したおおよその位置。目的：どのページが効果的かを把握するため。提供事業者：アクセス解析サービスの提供事業者。保存期間：解析ツールの設定で定めた期間。
• ニュースレター：メールアドレスと登録日。目的：本人が希望した最新情報を送るため。提供事業者：メールマーケティングサービス。保存期間：配信停止まで。

解析データの保存期間、広告機能、データ共有の切り替えなど、答えを左右する設定については具体的に記載しましょう。アクセス解析に関するプライバシー開示のガイドでは、どの解析設定によって記載すべき内容が変わるかを説明しています。

法律が問う核心的な事項は共通しているため、Webサイトのプライバシーポリシーの多くは同じ骨組みになっています。訪問者が流し読みできる分かりやすい見出しを使いましょう。

1. 運営者が誰で、どう連絡を取ればよいか。プライバシーに関する連絡先メールアドレスを含めます。
2. 収集する個人データ。フォーム、アカウント、自動収集、第三者という取得元ごとにまとめます。
3. 利用する理由と、GDPRまたは英国GDPRが適用される場合はその法的根拠。
4. Cookieおよび類似の技術と、設定を変更する方法。
5. データを受け取る者：ホスティング、メール、アクセス解析、決済、広告の各提供事業者。
6. 国際的なデータ移転と、依拠する保護措置。
7. カテゴリーごとの保存期間。
8. 本人の権利とその行使方法。
9. 子どものデータ、セキュリティ、変更のお知らせ方法。

能動態で書き、実際に行っていることを述べましょう。「当サイトはページビューの計測にGoogle Analyticsを使用しています」のほうが、「当サイトはさまざまな技術を使用する場合があります」よりも明確です。各セクションの詳しい説明は、プライバシーポリシーに含めるべき内容のチェックリストをご覧ください。

小規模なWebサイトがつまずきやすいのが地域別のセクションです。適用される法律を見落とすか、逆に適用されない法律のセクションまで書き写してしまうかのどちらかです。

• EUと英国の訪問者： EUや英国の人々に商品やサービスを提供する場合、またはその行動をモニタリングする場合は、GDPRまたは英国GDPRが適用されると考えましょう。法的根拠、権利、データ移転、監督機関に苦情を申し立てる権利の記載が必要です。GDPRに対応したプライバシーポリシーのガイドをご覧ください。
• カリフォルニア州： CalOPPAは、カリフォルニア州の住民から個人を特定できる情報を収集する商用サイトに適用され、特にDo Not Trackシグナルにどう対応するかの記載を求めています。CCPAは、インフレ調整後の売上高の基準や、10万以上のカリフォルニア州の消費者または世帯の個人情報を取り扱うことなど、一定の基準を満たす事業者にのみ適用されます。CCPA・CPRAのガイドをご覧ください。
• その他の米国州、カナダ、ブラジル、オーストラリア、ニュージーランド： それぞれに独自の適用条件と用語があります。

自社に適用される権利と義務だけを記載しましょう。守っていない権利を約束するポリシーは、それ自体がリスクになります。

現実的な選択肢は3つあり、それぞれに一長一短があります。

• 自分で書く： 無料で完全に自社に合わせられますが、時間がかかり、データ移転の保護措置やDo Not Trackに関する文言など、必要な記載を見落としやすくなります。
• 他サイトのポリシーを流用する： 速いもののリスクがあります。そのサイトの運用、提供事業者、法的義務はあなたのものとは異なり、文章は通常、著作権で保護されています。理由はプライバシーポリシーをコピーしてもよいかで説明しています。
• テンプレートや作成ツールを使う： ツールが空欄を一般的な約束で埋めるのではなく、実際の運用について質問してくれるなら、より手早く作れます。

Legal Policy GeneratorのWebサイト用プライバシーポリシー作成ツールは3つ目の方法です。フォーム、アクセス解析、トラッキング、提供事業者、対象地域について分かりやすい質問に答えると、回答に合ったバージョン管理された条項をツールが選びます。実行時にAIが条項を書くことはありません。質問票、全文プレビュー、シンプルなHTML・PDFのダウンロードはアカウントなしで無料です。高度な地域別モジュールやオプションのモジュールは$5です。どの方法を選んでも結果は法的助言ではないため、実際の設定と照らし合わせて確認してください。

ポリシーには、/privacy や /privacy-policy のような短く変わらないアドレスで専用ページを用意しましょう。このURLはアプリストア、広告プラットフォーム、メールツール、決済設定に貼り付けることになり、そこでリンク切れがあると審査が止まることがあるため、URLが変わらないことが重要です。

一般的な手順は、ほぼどのプラットフォームでも同じです。

1. 「プライバシーポリシー」というタイトルの新しいページを作成します。
2. ポリシーの本文またはHTMLをページ本文に貼り付けるか、ホスティングされたコピーにリンクします。
3. 読者がどのバージョンを読んでいるか分かるよう、冒頭に施行日を記載します。
4. ページを公開し、プライベートウィンドウで開いて、ログインなしで表示されることを確認します。
5. 見出し、リスト、リンクが貼り付け後も崩れていないか確認します。

Legal Policy Generatorでは、シンプルなHTMLのダウンロードをサイトビルダーのページに貼り付けられます。公開Webページにリンクしたい場合は、オプションのホスティングが一回限り$0.99で追加でき、月額$5のサブスクリプションには契約期間中のホスティングが含まれます。プラットフォームごとのアドバイスは、Wix、Squarespace、Webflow、Shopifyにプライバシーポリシーを追加する方法をお読みください。

誰にも見つけられないポリシーでは、ほとんど役に立ちません。最低限、すべてのページのフッターに「プライバシーポリシー」というリンクを置き、トップページにも、訪問者が最初にたどり着くどのページにも表示されるようにしましょう。

そのうえで、データを収集する各地点に文脈に合ったリンクを追加します。

• お問い合わせ、見積もり、ニュースレターの各フォームの送信ボタンの横。
• アカウント登録ページと決済ページ。
• Cookieバナーや設定センターを使っている場合は、その中。
• プライバシーポリシーのURLを求めるアプリストアの掲載情報、広告プラットフォームの設定、OAuthの同意画面。

分かりやすいリンク文言を使い、モバイルのレイアウトでもリンクが見えるようにし、JavaScriptなしでも機能することを確認しましょう。CalOPPAの「目立つように掲載」という文言やGDPRの要請については、プライバシーポリシーのリンクを置く場所のガイドで詳しく説明しています。

プライバシーポリシーはある時点のWebサイトを説明したものであり、Webサイトは絶えず変化します。次のいずれかが起きたときはポリシーを見直しましょう。

• プラグイン、スクリプト、埋め込みコンテンツ、連携機能を追加または削除したとき。
• ホスティング、メール、アクセス解析、決済の提供事業者を切り替えたとき。
• 広告、リターゲティング、オンライン販売を始めたとき。
• 新しい国や地域の訪問者向けにサービスを始めたとき。
• 依拠している法律が改正されたとき、またはプラットフォームが規約を更新したとき。

各バージョンを日付付きで保管し、本文を変更したら施行日を更新し、重要な変更はサイト上のお知らせやアカウント保有者へのメールなど、相手との関係に合った方法で伝えましょう。何も変わっていないように見えても数か月ごとに簡単な見直しを行えば、チームメンバーが黙って追加したツールにも気づけます。実践的な見直しスケジュールは、プライバシーポリシーはどのくらいの頻度で更新すべきかをお読みください。