「問い合わせフォームを置いているけど、個人情報保護法ってうちみたいな小さい会社にも関係あるの?」
ホームページに問い合わせフォームやメルマガ登録フォームを設置している事業者から、こうした質問をいただくことがあります。「個人情報保護法」と聞くと、大企業が気をつけるルールというイメージを持つ方も多いのですが、実はそうとは限りません。
この記事では、個人情報保護法の条文にもとづいて、問い合わせフォームで気をつけたい基本的なポイントを整理しました。結論を先に言うと、氏名やメールアドレスを入力してもらうフォームをデータとして管理しているなら、会社の規模にかかわらず法律の対象になりえます。何を、どこまで守ればいいのかを順番に見ていきましょう。
「小さい会社だから対象外」とは言えない理由
個人情報保護法には、かつて「取り扱う個人情報が5,000件以下の事業者は対象外」という規定がありましたが、この規定は2017年の法改正で廃止されています。現在の法律では、取り扱う件数による除外規定はありません。
法律の定義を見てみると、第十六条で「個人情報取扱事業者」は次のように定められています。
> この章及び第六章から第八章までにおいて「個人情報取扱事業者」とは、個人情報データベース等を事業の用に供している者をいう。ただし、次に掲げる者を除く。一 国の機関 二 地方公共団体 三 独立行政法人等 四 地方独立行政法人
除外されているのは国の機関や地方公共団体などの公的機関だけで、会社の規模や件数による除外はありません。問い合わせフォームで集めた氏名やメールアドレスを、検索・管理できる状態(名簿やシステム、スプレッドシートなど)で事業に使っているなら、個人事業主や従業員数名の会社であっても、法律上の義務がかかる可能性があると考えておいたほうが安全です。
そもそも、フォームの入力項目は「個人情報」にあたる?
問い合わせフォームでよく集める項目が、そもそも個人情報保護法上の「個人情報」にあたるのかどうかも確認しておきましょう。法律第二条では、個人情報を次のように定義しています。
> この法律において「個人情報」とは、生存する個人に関する情報であって、(略)当該情報に含まれる氏名、生年月日その他の記述等(略)により特定の個人を識別することができるもの(他の情報と容易に照合することができ、それにより特定の個人を識別することができることとなるものを含む。)をいう。
氏名が入っていれば、個人情報にあたることは分かりやすいと思います。意外と迷いやすいのが、メールアドレスだけの場合です。個人情報保護委員会のFAQでは、次のように説明されています。
> メールアドレスのユーザー名及びドメイン名から特定の個人を識別することができる場合(例:kojin_ichiro@example.com)、当該メールアドレスは、それ自体が単独で、個人情報に該当します。
つまり、「taro.yamada@example.com」のように氏名が読み取れるメールアドレスは、それだけで個人情報にあたります。社名だけのメールアドレス(info@example.comなど)であっても、フォームに入力された氏名や電話番号と組み合わせて管理していれば、全体として個人情報として扱う必要があります。
最低限守りたい4つのポイント
個人情報保護法には細かい規定がたくさんありますが、問い合わせフォームを運用するうえでまず押さえておきたいのは、次の4点です。
1. 利用目的をあらかじめ明示する
法律第二十一条第一項・第二項では、次のように定められています。
> 個人情報取扱事業者は、個人情報を取得した場合は、あらかじめその利用目的を公表している場合を除き、速やかに、その利用目的を、本人に通知し、又は公表しなければならない。(略)本人から直接書面に記載された当該本人の個人情報を取得する場合は、あらかじめ、本人に対し、その利用目的を明示しなければならない。
問い合わせフォームは「本人が直接入力する書面」にあたるため、送信してもらう前に「お問い合わせへの回答のために利用します」といった利用目的を、フォーム上やリンク先のプライバシーポリシーで明示しておく必要があります。「何に使われるか分からないフォーム」は、法律上もユーザーの信頼という意味でも避けたいところです。
2. 安全管理措置を講じる
法律第二十三条では、次のように定められています。
> 個人情報取扱事業者は、その取り扱う個人データの漏えい、滅失又は毀損の防止その他の個人データの安全管理のために必要かつ適切な措置を講じなければならない。
具体的に何をすればよいかは事業の規模によって異なりますが、問い合わせフォームに関しては、たとえば次のような対応が基本になります。
- フォームの通信を暗号化する(SSL/TLS、いわゆる「https」化)
- 届いたメールやデータを保存するフォルダ・システムへのアクセス権限を必要な人だけに絞る
- 不要になった古い問い合わせデータを整理し、いつまでも残しておかない
ホームページのSSL化や管理体制については、別記事「ホームページのセキュリティ対策、何から始めればいい?」でも具体的に整理していますので、あわせて確認してみてください。
3. 第三者に渡すときは、原則として同意が必要
法律第二十七条第一項では、次のように定められています。
> 個人情報取扱事業者は、次に掲げる場合を除くほか、あらかじめ本人の同意を得ないで、個人データを第三者に提供してはならない。
問い合わせフォームで集めた情報を、メルマガ配信の外部サービスに登録する、別の広告やDM用の名簿と合わせて使う、グループ会社や提携会社に渡す、といった場合は「第三者提供」にあたります。あらかじめ本人の同意を得ていない状態でこうした利用をすると、法律違反になるおそれがあります。フォームの送信ボタンの近くに、利用目的と合わせて「第三者への提供」の有無・範囲も明示しておくと安心です。
4. 事業者情報や苦情の受付窓口を公表する
法律第三十二条第一項では、保有している個人データについて、次の事項を本人が知り得る状態にしておくことを求めています。
> 一 事業者の氏名又は名称及び住所(法人は代表者の氏名) 二 利用目的 三 開示等の請求に応じる手続
また、第四十条では「個人情報の取扱いに関する苦情の適切かつ迅速な処理に努めなければならない」とも定められています。プライバシーポリシーのページに、会社名・住所・利用目的・問い合わせ窓口(苦情の連絡先)をまとめて掲載しておくことで、これらの義務にまとめて対応できます。
プライバシーポリシーに書いておきたい内容
ここまでの内容を踏まえると、ホームページに掲載するプライバシーポリシーには、最低限次の項目を含めておくと安心です。
- 事業者の名称・住所・代表者名
- 取得する個人情報の項目(氏名、メールアドレス、電話番号など)
- 利用目的(お問い合わせへの回答、資料送付など、具体的に)
- 第三者提供の有無(ある場合はその内容)
- 安全管理措置の概要
- 開示・訂正・利用停止などの請求を受け付ける窓口(苦情の連絡先)
すでにホームページを公開している場合は、プライバシーポリシーのページがあるか、内容が実際のフォームの運用と合っているかを一度見直してみることをおすすめします。これからホームページを作る、または問い合わせフォームを追加する場合は、制作の段階でプライバシーポリシーのページも一緒に準備しておくとスムーズです。
よくある疑問
Q. 問い合わせが年に数件しかない小さな会社でも、対応は必要ですか? A. 件数による除外規定は現在の法律にはありません。氏名やメールアドレスなどを管理している以上、件数が少なくても、利用目的の明示や安全管理措置といった基本的な対応は必要だと考えておくのが安全です。
Q. フォームの送信先を自分のGmailにしているだけでも対象になりますか? A. 届いたメールを一覧・検索できる状態で保管していれば、個人情報を事業に使っている状態にあたると考えられます。メールソフトでの管理であっても、利用目的の明示や安全管理の基本は意識しておく必要があります。
Q. メルマガ配信サービス(外部のツール)を使うのは「第三者提供」になりますか? A. 配信業務を委託しているだけで、委託先が自社の目的以外にデータを使わない場合は、法律上「第三者提供」には原則あたらないとされています(委託に伴う提供)。ただし、委託先の選定や契約内容の確認は必要です。個別の契約形態によって判断が変わるため、迷う場合は個人情報保護委員会の窓口や専門家に確認することをおすすめします。
Q. プライバシーポリシーのひな形をそのままコピーして使ってもいいですか? A. 自社の実際の運用(取得する項目、利用目的、第三者提供の有無など)と内容が一致していないと、かえって実態と異なる表示になってしまいます。ひな形を参考にする場合も、必ず自社の運用に合わせて内容を書き換える必要があります。
まとめ
- 個人情報保護法には件数による小規模事業者の除外規定がなく(2017年の改正で廃止)、規模にかかわらず対象になりうる
- 氏名が読み取れるメールアドレスは、それだけで「個人情報」にあたる
- 問い合わせフォームを運用するうえでは「利用目的の明示」「安全管理措置」「第三者提供の同意」「事業者情報・苦情窓口の公表」の4点が基本
- プライバシーポリシーには、事業者情報・取得項目・利用目的・第三者提供の有無・安全管理措置・問い合わせ窓口をまとめて掲載しておくとよい
- 個別の判断に迷う場合は、個人情報保護委員会の窓口や弁護士など専門家に確認する
私たちNACOSEでは、ホームページ制作の際にプライバシーポリシーページの準備についてもご相談いただけます。これから問い合わせフォームを設置する方も、すでにあるフォームの見直しをしたい方も、お気軽にお声がけください。