プライバシーポリシーの書き方をステップごとに解説

正確なプライバシーポリシーは、ひな形からではなくデータの棚卸しから始まります。スプレッドシートを開き、ユーザーと同じ流れで製品を操作しながら、個人情報が入ってくる場所をすべて書き出しましょう。

• フォーム：お問い合わせ、会員登録、購入手続き、サポート、採用応募
• アカウント：メールアドレス、氏名、パスワードのハッシュ、プロフィール写真、設定
• 自動的な収集：IPアドレスを含むサーバーログ、Cookie、SDK、クラッシュレポート
• 第三者からの情報：GoogleやAppleによるログイン、決済完了の通知、広告オーディエンス
• ユーザーが作成するコンテンツ：メッセージ、アップロード、レビュー、AI機能に送信されるプロンプト

各行にはデータの種類、取得元、それを扱うツールを記録します。目に見えない収集も忘れないでください。埋め込み動画、第三者から読み込むWebフォント、チャットウィジェットはいずれもIPアドレスを送信することがあります。スクリプトの動作が分からない場合は、提供元のドキュメントを読むか、ブラウザの開発者ツールでネットワークタブを確認しましょう。この一覧は以降のすべてのステップの土台になるため、1時間余分にかける価値があります。

次に、それぞれのデータをなぜ使うのかを書き出します。典型的な目的は、サービスの提供、アカウント管理、決済処理、サポートへの対応、ニュースレターの配信、利用状況の測定、不正防止、広告などです。目的は具体的にしましょう。「サービス向上のため」だけでは読み手にほとんど何も伝わりませんが、「分かりにくいコンテンツを改善するために、訪問者がどのページを読んでいるかを確認するため」なら誠実で具体的です。

欧州経済領域（EEA）や英国の人があなたの製品を利用する場合、GDPR（EU一般データ保護規則）第13条により、契約、同意、法的義務、正当な利益など、目的ごとの法的根拠を示し、依拠する正当な利益の内容も明記する必要があります。メモに簡単な対応表を作っておくと、ポリシーの一貫性を保てます。

• ニュースレターのメール：同意
• 注文の履行と領収書：契約
• 不正防止とセキュリティ：正当な利益
• 税務・会計の記録：法的義務

記載するのは、現在実際に行っている目的だけにしましょう。いずれ追加するかもしれない目的は、今日の通知ではなく将来の更新で扱うべきものです。

読み手も規制当局も、ほかに誰がデータを受け取るのかを知りたいと考えています。データ一覧を見直し、ホスティング、コンテンツ配信、メール配信、アクセス解析、決済、カスタマーサポート、エラー追跡、広告、AIモデル提供者など、すべてのサービス提供者を書き出しましょう。それぞれについて、処理者（プロセッサー）やサービスプロバイダーのようにあなたの指示に従ってのみデータを扱うのか、多くの広告ネットワークのように自らの目的にもデータを使うのかを記録します。

ポリシーでは提供先のカテゴリーを説明し、読み手の役に立つ場合は提供者の名前も記載します。提供者の契約によっては、特定の記載を求められることがあります。たとえばGoogleアナリティクスの利用規約では、Googleアナリティクスを使用していることと、それがデータをどのように収集・処理するかを開示したプライバシーポリシーの掲載が求められます。そのセクションに通常何を書くかは、アクセス解析の開示ガイドで解説しています。

また、各提供者がデータをどこで処理するかも記録しましょう。情報が欧州経済領域や英国の外に移転される場合、GDPRは移転の事実と、十分性認定や標準契約条項（SCC）など依拠する保護措置を記載することを求めています。

初めての草案でつまずきやすいのが、データをどれくらいの期間保存するのか、そしてどのように保護するのかという2つの問いです。保存期間について、GDPRは固定の期間か、期間を決めるための基準のどちらかを認めています。実際の例は次のとおりです。

• アカウント情報：アカウントが有効な間は保存し、解約後は定めた期間内に削除
• 請求記録：税法・会計法が求める期間保存
• サポートのメール：チケットのクローズ後、定めた期間保存
• アクセス解析データ：解析ツールで設定した保存期間に従って保存

セキュリティについては、通信の暗号化、従業員のアクセス制限、ソフトウェアの迅速な更新など、実際に講じている対策を一般的な言葉で説明しましょう。「お客様のデータは完全に安全です」のような断定的な約束は避けてください。侵害を完全に防げるシステムはなく、誇張したセキュリティの主張は、問題が起きたときにまさに欺瞞的な行為とみなされかねない記述です。実現したいことではなく、実際に行っていることを書きましょう。

地域別の記載内容の多くを決めるのは、会社の所在地だけでなく利用者の所在地です。利用者はどこにいるのか、何を取得するのか、事業の規模はどれくらいか、という3つの問いを確認しましょう。

• EUまたは英国の利用者：法的根拠、越境移転、監督機関への苦情申立ての権利など、GDPRとUK GDPRの透明性に関する項目。GDPRプライバシーポリシーガイドに一覧があります。
• カリフォルニア州の訪問者：CalOPPA（カリフォルニア州オンラインプライバシー保護法）は、カリフォルニア州の住民から個人を特定できる情報を収集するすべての商用Webサイトやオンラインサービスに、目立つ形でポリシーを掲載することを求めており、規模の基準はありません。CCPA（カリフォルニア州消費者プライバシー法）は、その基準を満たす事業者に詳細な開示を追加で求めます。詳しくはCCPA・CPRAガイドで解説しています。
• その他の米国の州：現在では多くの州に包括的なプライバシー法があり、それぞれ独自の適用基準とオプトアウトの権利を定めています。
• 子ども：米国で13歳未満の子どもを対象とするサービスには、COPPA（児童オンラインプライバシー保護法）の通知と保護者の同意に関するルールが適用されます。
• カナダ、ブラジル、オーストラリア、ニュージーランド：それぞれに独自の公開性・透明性の義務があります。

適用されるモジュールだけを含めましょう。「念のため」にあらゆる法律を加えると、実際には運用していない請求手続きを約束するなどの矛盾が生じます。

プライバシーポリシーは、権利を行使したい人のための取扱説明書でもあります。対象とする地域ごとに適用される権利を挙げ、誰かが確認しているメールアドレス、Webフォーム、アプリ内の設定など、具体的な行使方法を説明しましょう。

GDPRでは、アクセス、訂正、消去、処理の制限、データポータビリティ、異議申立て、同意の撤回、監督機関への苦情申立てが含まれます。CCPAの対象となる事業者と関わるカリフォルニア州民には、知る権利、削除権、訂正権、個人情報の販売・共有をオプトアウトする権利、センシティブな個人情報の利用を制限する権利があり、CCPA規則では請求の本人確認方法の概要を説明することも求められています。

公開前に窓口をテストしましょう。自社のプライバシー用アドレスに請求を送り、届くことを確認し、誰がどれくらいの期間で回答するのかを決めておきます。誰も確認していない受信箱を案内する権利のセクションは、役に立たないどころか有害です。ポリシーが管理されていないことを読み手に示し、実際の請求が放置されてしまうからです。

GDPR第12条は、簡潔で透明性があり、理解しやすく、容易にアクセスできる形式で、明確かつ平易な言葉を用いて情報を提供することを求めています。これはどの読み手に対しても有効な助言であり、いくつかの習慣を取り入れるだけで、長いポリシーでも読みやすくなります。

• 冒頭に最も重要なポイントの短い要約を置く
• 「データの共有先」のように、流し読みできる内容の分かる見出しを使う
• 「当社」「データ主体」より「私たち」「あなた」を使う
• 「場合があります」「一定の」といったあいまいな言葉は、できる限り具体的な内容に置き換える
• データの種類はリストで、保存期間は表で示す
• ポリシーが長い場合は、アンカーリンク付きの目次を加える

草案を声に出して読んでみましょう。理解するのに読み返しが必要な文は書き直します。平易な言葉とはくだけた文体のことではなく、読み手が自分の情報に実際に何が起きるのかを理解できるようにすることです。実際の文例については、プライバシーポリシーの例文ガイドでセクションごとに注釈付きで紹介しています。

ポリシーは変わらない公開URLで公開し、利用者が自分のデータについて判断する場所すべてからリンクしましょう。一般的な掲載場所は次のとおりです。

• Webサイトの全ページのフッター
• 会員登録、購入手続き、ニュースレターのフォーム
• アプリ内の設定画面や情報画面
• App Store ConnectとGoogle Play Consoleの掲載情報

アプリストアには独自のルールがあります。Appleのガイドライン5.1.1(i)は、App Store Connectのメタデータ欄と、アプリ内の容易にアクセスできる場所にプライバシーポリシーへのリンクを設けることを求めています。Google Playは、Play Consoleとアプリ内に、有効で一般公開され、地域制限のないURLへのリンクを求めており、PDFは認められません。CalOPPAはポリシーを目立つ形で掲載することを求め、CCPA規則は、ホームページまたはアプリのダウンロードページに「privacy」という語を含む目立つリンクを置くことを想定しています。実際のサイトで機能するレイアウトについては、プライバシーポリシーのリンクを置く場所をご覧ください。

プライバシーポリシーは常に更新していく文書です。CalOPPAが求める施行日を冒頭に示し、公開したすべての版のコピーを保管して、利用者がいつ何を見ていたかを示せるようにしましょう。次のような場合には、ポリシーを見直します。

• ツール、SDK、委託先を追加または削除したとき
• 新しい種類のデータの取得や、新しい目的でのデータ利用を始めたとき
• 新しい国や米国の州でサービスを開始したとき
• AI機能、広告、決済を追加したとき
• 利用者が権利を行使する方法を変更したとき

CCPAの対象となる事業者は、民法典1798.130条(a)(5)により、カリフォルニア州で求められる情報を少なくとも12か月に1回更新しなければなりません。何も変わっていないように見えても、年1回の見直しを予定に入れておきましょう。重要な変更の場合は、ページをこっそり書き換えるのではなく、利用者に直接知らせましょう。通知文例を含む全体の流れは、プライバシーポリシーを更新すべき頻度で解説しています。

ポリシーを公開する前に、次のチェックリストを確認しましょう。

1. 運営者の正式名称、連絡用メールアドレス、必要な場合は郵便の住所が正しい
2. データ一覧にあるすべての種類のデータがポリシーに記載され、余計なものは含まれていない
3. すべての目的が具体的で、EUまたは英国の利用者が対象の場合は法的根拠が示されている
4. アクセス解析ツールや広告ツールを含め、すべての提供先カテゴリーが記載されている
5. 該当する場合、国際的なデータ移転とその保護措置が説明されている
6. 保存期間、またはその判断基準が記載されている
7. 対象とする地域ごとに、権利、請求方法、本人確認が説明されている
8. Cookieやトラッキングの選択肢が、同意バナーの実際の動作と一致している
9. 子どものデータ、センシティブなデータ、AI機能がある場合は、それらに触れている
10. 施行日が設定され、過去の版が保管されている
11. フッター、フォーム、アプリの設定画面、ストアの掲載情報にリンクがある

これらを手作業でまとめたくない場合は、Legal Policy Generatorが平易な言葉で同じ質問をし、回答に基づいてバージョン管理された条項を選択します。質問票と完全なプレビューは無料で、アカウントも不要なので、出力を自分のチェックリストと照らし合わせられます。