そのプライバシーポリシー、実は違法かもしれません――Cookie規制と改正個人情報保護法で中小企業が今すぐ見直すべきポイント

「プライバシーポリシーはホームページ制作会社に任せて、公開したきり一度も見直していない」という中小企業経営者の方は少なくありません。しかし、プライバシーポリシーとCookie（クッキー）に関する表記は、個人情報保護法や電気通信事業法の改正により、年々求められる水準が高くなっています。テンプレートのまま放置していると、知らないうちに法令違反の状態になっているケースも珍しくありません。

本コラムでは、企業法務を専門とする弁護士の立場から、中小企業の経営者・管理職の方が押さえておくべきプライバシーポリシーとCookieポリシーの整備ポイントを、実務的な観点から解説します。

なぜ今、プライバシーポリシーとCookieポリシーの見直しが必要なのか

プライバシーポリシーの見直しが急務となっている背景には、主に次の3つの要因があります。

• 個人情報保護法の度重なる改正：3年ごと見直しの制度により、保有個人データの範囲拡大や開示請求への対応義務など、企業が対応すべき事項が継続的に増えています。
• 電気通信事業法の外部送信規律の導入：2023年6月施行の改正により、Cookie等を通じて利用者情報を外部の事業者（広告配信事業者や解析ツール提供会社など）に送信する場合、一定の通知・公表またはオプトアウト措置が義務付けられました。
• 取引先・投資家からのチェックの厳格化：大企業との取引開始時や資金調達の場面で、自社サイトのプライバシーポリシーが法令に準拠しているかを確認されるケースが増えています。

「うちは個人情報を扱う業種ではないから関係ない」と考えている経営者の方もいらっしゃいますが、問い合わせフォームやアクセス解析ツール（Google Analyticsなど）、広告タグを1つでも設置していれば、ほぼすべての企業が対応対象となります。

プライバシーポリシーの法的位置づけと必須記載事項

プライバシーポリシーは、個人情報保護法上「利用目的の公表」「安全管理措置の公表」などの義務を履行するための手段として位置づけられます。単なる形式的な文書ではなく、法律上の義務を果たすための重要な文書である点をまず理解しておく必要があります。

個人情報保護法に照らして、プライバシーポリシーに最低限盛り込むべき項目は以下のとおりです。

• 個人情報の利用目的（できる限り具体的に特定すること）
• 取得する個人情報の項目（氏名、メールアドレス、Cookie情報等）
• 第三者提供の有無とその内容（提供先、提供する情報の項目、提供の方法）
• 外部委託の有無（クラウドサービス事業者への預託を含む）
• 保有個人データの開示・訂正・利用停止等の請求手続きと問い合わせ窓口
• 安全管理措置の概要
• 個人情報の共同利用を行う場合はその範囲・目的・管理責任者

特に見落とされがちなのが、クラウド型の顧客管理システム（CRM）や外部のメール配信サービスを利用している場合の「委託」または「第三者提供」の整理です。海外事業者のサーバーにデータが保存される場合は、外国にある第三者への提供として追加の説明義務が生じることもあるため、注意が必要です。

Cookie・外部送信規律とは何か

2023年6月に施行された改正電気通信事業法では、ウェブサイトやアプリを通じて取得した利用者情報を外部の事業者に送信する場合に、利用者への通知または公表、あるいは同意取得等の措置を求める「外部送信規律」が新設されました。

この規律は、いわゆる「Cookie規制」と呼ばれることもありますが、対象となるのはCookieに限りません。次のような仕組みを利用している場合は、対応が必要となる可能性があります。

• Google Analyticsなどのアクセス解析タグ
• Facebook広告やGoogle広告などの効果測定用タグ（コンバージョンタグ）
• SNSのシェアボタンやログイン連携機能
• チャットボット・カスタマーサポートツールの外部SDK

対応方法としては、(1)通知・公表事項をプライバシーポリシーとは別に「外部送信ポリシー」として整理する方法や、(2)Cookie同意管理ツール（Consent Management Platform）を導入し、利用者の同意状況を管理する方法などがあります。自社サイトの規模やアクセス解析の利用状況に応じて、適切な方法を選択することが重要です。

対象外となるケースもある

すべてのウェブサイトが規律の対象となるわけではなく、一定規模以下の事業者や、送信される情報が第三者への提供を伴わない場合など、対象外となるケースもあります。ただし、自社が対象外であるかどうかの判断には専門的な検討を要するため、自己判断で「うちは関係ない」と結論づけることは避けるべきです。

中小企業のウェブサイトでよくある不備・落とし穴

実際に中小企業のウェブサイトを確認すると、次のような不備が頻繁に見受けられます。

• ホームページ制作会社が用意した汎用テンプレートをそのまま使用しており、自社の実際の個人情報の取り扱いと内容が一致していない
• 問い合わせフォームで取得する情報の利用目的が「お問い合わせ対応のため」とだけ記載され、営業メールの送付など実際の運用と乖離している
• 採用サイトで応募者の個人情報を取得しているにもかかわらず、採用活動に特化した記載がない
• Cookie利用について何ら言及がない、または「本サイトはCookieを使用しています」という一文のみで、外部送信規律が求める内容を満たしていない
• 問い合わせ窓口のメールアドレスが既に使われていないものになっている
• プライバシーポリシーの制定日・改定日が数年前のまま更新されていない

これらの不備は、平時には表面化しにくいものですが、個人情報漏えい事故が発生した場合や、取引先からのデューデリジェンスの場面で一気に顕在化し、企業の信用に関わる問題となります。

見直しのための実務チェックリスト

プライバシーポリシーとCookieポリシーの見直しは、以下のステップで進めることをお勧めします。

• ステップ1：現状の棚卸し　自社サイトで使用しているCookie、SDK、外部サービス（解析ツール、広告タグ、SNS連携等）を一覧化します。
• ステップ2：個人情報の取得場面の洗い出し　問い合わせフォーム、会員登録、採用応募、資料請求など、個人情報を取得するすべての場面を確認します。
• ステップ3：プライバシーポリシーの条文更新　利用目的、第三者提供、委託先の実態と条文が一致しているかを確認し、必要に応じて修正します。
• ステップ4：外部送信規律への対応　外部送信規律の対象となる送信がある場合、通知・公表事項の整理やCookie同意バナーの実装を行います。
• ステップ5：問い合わせ窓口・開示請求対応フローの整備　実際に開示請求等があった場合の社内対応フローを整備し、担当者を明確にします。
• ステップ6：定期的な見直し体制の構築　年に1回程度、法改正の動向や自社サービスの変更を反映してポリシーを見直す社内ルールを設けます。

対応を怠った場合のリスク

プライバシーポリシーやCookie対応の不備を放置した場合、次のようなリスクが想定されます。

• 行政指導・勧告のリスク：個人情報保護委員会による報告徴収・立入検査・指導、勧告、さらには命令の対象となる可能性があります。
• 企業名公表によるレピュテーションリスク：重大な違反や是正命令への不服従があった場合、企業名が公表されることで、取引先・顧客からの信用が損なわれます。
• 取引先からの取引停止・契約解除リスク：大企業との取引において、個人情報の取り扱いに関する誓約書の提出や監査への対応を求められることが増えており、不備が発覚すると取引継続に影響します。
• 損害賠償請求リスク：個人情報の不適切な取り扱いが原因でトラブルが生じた場合、利用者から損害賠償を請求される可能性もあります。

まとめ

プライバシーポリシーとCookieポリシーは、一度作成すれば終わりというものではなく、事業内容の変化や法改正に応じて継続的に見直すべき「生きた文書」です。特に外部送信規律への対応は比較的新しい制度であり、自社が対応済みかどうかを把握していない企業も多く見受けられます。

まずは自社サイトで利用しているCookieや外部サービスの棚卸しから始め、プライバシーポリシーの記載内容が実態と一致しているかを確認することをお勧めします。

自社のプライバシーポリシーが法令に準拠しているか不安な方、外部送信規律への対応方法について具体的なご相談をされたい方は、ぜひLeONE法律事務所へお気軽にお問い合わせください。初回相談は無料です。

個人情報保護法対応やウェブサイトの法務チェックを含む企業法務サービスの詳細については、企業法務サービスの詳細はこちらからご確認いただけます。