「ホームページの下にある『プライバシーポリシー』って、うちみたいな小さな店にも要るの？」「制作会社に言われて、ネットのひな形をそのまま貼ったけれど、何が書いてあるのかよく分からない」。お店を営む方から、こうした声をよく聞きます。
先に答えを書きます。お問い合わせや予約のフォームで名前や連絡先を受け取っているなら、小さなお店でもプライバシーポリシーを用意しておくのが基本です。法律が「プライバシーポリシーという名前のページ」を直接求めているわけではありませんが、個人情報保護法が求める「何に使うかを知らせる」などの義務を果たすには、ホームページに載せておくのがいちばん分かりやすい方法だからです。
この記事では、小さなお店に関係するルールの要点、書く6項目、ひな形を写すときの落とし穴、Cookie（クッキー）やアクセス解析の扱い、置き場所と見直し方までを、お店の目線でまとめます（2026年9月時点）。
01「うちは小さいから関係ない」とは言えない理由
2017年5月までの個人情報保護法は、扱う個人情報が5,000人分以下の事業者には適用されていませんでした。この条件は2017年5月30日の改正法の全面施行でなくなり、いまは規模にかかわらず、事業で個人情報を扱うすべての事業者が対象です（個人情報保護委員会の資料による）。個人事業主の美容室や整体院、家族経営の工務店も例外ではありません。
ホームページで関係してくる主なルールは、次の2つです（条文番号は2026年9月時点のものです）。
- 何に使うかを知らせる（第21条）：個人情報を受け取るときは、使い道（利用目的）を本人に知らせるか、あらかじめ公表しておく。フォームのように本人が直接入力する場合は、送信の前に使い道を示す
- 預かっている情報について、本人が知り得る状態にしておく（第32条）：事業者の名前や住所、使い道、開示などを求めるときの手続き、安全のためにしていること、苦情の申し出先など
個人情報保護委員会のガイドラインでは、「公表」にあたる例として「自社のホームページのトップページから1回程度の操作で到達できる場所への掲載」が挙げられています。店頭の掲示やパンフレットでも公表はできますが、ホームページを持っているなら、ここに載せるのが自然です。
とはいえ、できていないお店は珍しくありません。同委員会が2024年11月29日に公表した、従業員100人以下の事業者への調査（回答3,821件）では、プライバシーポリシーの策定・公表を「実施済み」と答えたのは17.4％でした。同じ調査で、個人情報の扱いの悩みとして「何をしてよいか分からない」を挙げた事業者は40.0％でした。
プライバシーポリシーは飾りの定型文ではなく、お客様の名前や連絡先を、何のために、どう預かるかの説明書です。
02書き始める前に、情報の「入口」を棚卸しする
いきなり文章を書き始めると、ひな形の言葉をなぞるだけになりがちです。先に、お店がどこから、どんな情報を受け取っているかを書き出します。全体像は図1のとおりです。
棚卸しは、次のような表にすると整理しやすくなります。
| 入口 | 集める情報 | 使い道 | 預け先 |
|---|---|---|---|
| お問い合わせフォーム | 名前・メールアドレス・相談内容 | 問い合わせへの返信 | フォームのサービス・店のメール |
| 予約フォーム | 名前・電話番号・希望日時 | 予約の受付と日程の連絡 | 予約システムの会社 |
| メールマガジン | メールアドレス | 新メニューやお休みのお知らせ | メール配信のサービス |
| アクセス解析 | 閲覧したページ・Cookieなど | ホームページの改善 | 解析サービスの会社 |
※ 表は書き方の例です。実際の入力画面を開いて、いま集めている項目を確かめてください。
書き出してみると、使っていない項目を必須にしていたことに気づく場合もあります。メールで返信するのに電話番号も必須にしている、といった例です。集める情報が少ないほど、預かる責任も、お客様が入力する手間も軽くなります。
03プライバシーポリシーに書く6項目
棚卸しができたら、中身を書きます。小さなお店のホームページなら、まずは次の6項目がそろっているかを確かめてください（個人情報保護委員会「民間事業者向け個人情報保護法ハンドブック」などをもとに整理。2026年9月時点）。
| 項目 | 書くこと | お店での書き方の例 |
|---|---|---|
| 1. 事業者の情報 | 店名（屋号）・事業者の氏名または法人名・住所（法人は代表者名も） | 「〇〇美容室（運営：山田花子）」 |
| 2. 利用目的 | 集めた情報を何に使うか。できるだけ具体的に | 「お問い合わせへの返信」「ご予約の受付と日程のご連絡」 |
| 3. 安全管理のためにしていること | 情報が漏れたり消えたりしないための取り組みの概要 | 「予約情報を扱えるのは店主とスタッフ1名に限っています」 |
| 4. 第三者への提供と、外部への委託 | 本人の同意なく他社に渡さないこと。予約や配信のサービスに預けている場合はその旨 | 「予約の管理を外部の予約サービスに委託しています」 |
| 5. 開示などの手続き | 本人が自分の情報の確認・訂正・削除などを求めるときの連絡方法 | 「下記の窓口へメールでご連絡ください」 |
| 6. 問い合わせ・苦情の窓口 | 実際に受け取れるメールアドレスや電話番号 | 「info@〜 ／ 電話 〇〇（平日10〜18時）」 |
※ 店名・氏名などは説明のための例です。
いくつか補足します。
- 利用目的は「その他」でぼかさない。ガイドラインでは、本人が使われ方を合理的に予想できる程度に具体的に書くことが求められています
- 安全管理は、細かく書きすぎなくていい。個人情報保護委員会のQ&Aでは、概要と問い合わせ窓口を載せ、詳しい内容は求められたときに遅滞なく答える方法も示されています。パスワードの設定内容など、書くとかえって危なくなることまで出す必要はありません
- 窓口は「届く」連絡先にする。載せたメールアドレスが迷惑メールに埋もれて誰も見ていない、という状態では窓口の意味がありません。フォームのメールが届いているかの確かめ方は、問い合わせフォームのメールが届かないときの記事で紹介しています
自宅兼店舗で、住所を出したくないとき
第32条の「本人が知り得る状態」には、本人から求められたときに遅滞なく答える場合も含まれます。そのため、個人情報保護法の上では、プライバシーポリシーに住所を書かず、求められたら答えるという形も取れます（2026年9月時点）。ただし、ネットで商品やサービスを売るときの「特定商取引法に基づく表記」は別のルールです。こちらの考え方は、特定商取引法に基づく表記の記事にまとめています。
04ひな形を写すときの5つの落とし穴
ひな形（テンプレート）は、項目の漏れを確かめる道具としては便利です。ただ、そのまま貼るとお店の実際と違う説明になってしまうことがあります。よく見かけるのは次の5つです。
| 落とし穴 | 何が困るか | 直し方 |
|---|---|---|
| 使っていないサービス名が残っている | 入れていない解析や広告の説明が載ったままになる | 棚卸しの表と一行ずつ照らして、使っているものだけ残す |
| 使っているサービスが書かれていない | 予約システムやメール配信に預けていることが伝わらない | 預け先の欄を、表の「預け先」に合わせて書く |
| 「当社」「弊社」や別の会社名が残っている | 誰が責任を持つページなのか分からなくなる | 店名・屋号に置き換え、事業者の情報を書く |
| 決めていない条件が書いてある | ひな形にあった手数料や受付方法が、店のルールとして読まれる | 自分で決めていない条件は消すか、決めてから書く |
| 利用目的が広すぎる | 「その他当店が必要と判断した目的」では、使い道が分からない | 棚卸しの「使い道」の欄をそのまま書く |
もう一つ気をつけたいのが、ほかのサイトの文章をそのまま写すことです。ひな形として配られているものとは違い、他社のプライバシーポリシーの文章を丸ごと写すのは、著作権の面でも避けたほうが安全です。写真や文章の扱いの考え方は、ホームページの写真と著作権の記事も参考になります。
05Cookieとアクセス解析は、どこまで書く？
ホームページにアクセス解析（どのページが何回見られたかを調べる仕組み）を入れていると、閲覧の情報がCookie（ブラウザに残る小さな記録）などを使って解析サービスの会社に送られます。ここは、次の順に考えると迷いにくくなります（図2）。
アクセス解析を入れているなら、書いておく
たとえばGoogleアナリティクスの利用規約では、プライバシーポリシーを公開し、Cookieなどの使用と、Googleアナリティクスを使っていること・データが集められる仕組みを開示するよう求めています（2026年9月時点で利用規約の「プライバシー」の項を確認）。Googleの説明ページへのリンクを目立つように載せる方法でも開示できる、とされています。
自分のホームページに何が入っているか分からない場合は、制作会社に「解析や広告のタグは何を入れていますか」と聞くのが早道です。制作を任せたまま中身を把握していない状態は、プライバシーポリシーに限らず、あとで困る原因になります。引き継ぎのときに確かめておきたいことは、ホームページの引き継ぎの記事で紹介しています。
「外部送信規律」は、小さなお店には関係ある？
2023年6月16日に施行された改正電気通信事業法には、利用者の情報を外部に送らせるときに、その内容を知らせるなどのルール（外部送信規律）があります。この話を聞いて不安になった方もいるかもしれません。
総務省の「外部送信規律FAQ」では、自社の情報発信のためのホームページ、自社の商品を売るためのサイト、来店予約のページは、この規律の対象にならないという考え方が示されています（2026年9月時点）。お店の紹介と予約だけのホームページなら、多くの場合は当てはまりません。一方、ニュースの配信のように、ほかの人に使ってもらうオンラインのサービスそのものを運営している場合は対象になり得ます。迷ったときは専門家に確かめてください。
06置き場所と、見直すタイミング
置き場所は「全ページの下＋フォームの送信ボタンの近く」
- 全ページの下（フッター）にリンク：トップページから1回の操作で開ける状態になります
- フォームの送信ボタンの近くに、使い道を一文とリンク：「ご入力いただいた内容は、お問い合わせへの返信にのみ使います（プライバシーポリシー）」のように。ガイドラインでも、送信ボタンを押す前に利用目的が目に留まる配置が望ましいとされています
フッターにリンクがあっても、送信ボタンに向かうお客様がページのいちばん下まで戻るとは限りません。フォームの横の一文のほうが、実際には読まれやすい場所です。
見直すのは「仕組みを変えたとき」
プライバシーポリシーは、一度書いたら終わりではありません。次のようなときに、棚卸しの表と見比べてください。
- 予約システムやメール配信のサービスを新しく入れた・乗り換えた
- アクセス解析や広告のタグを追加した
- フォームの入力項目を増やした・減らした
- 店名・住所・連絡先が変わった（制作会社を乗り換えたときも確認）
一人で決めずに相談したほうがいい場面
病歴など、取得に原則として本人の同意が必要な情報（要配慮個人情報）を扱う場合や、集めた情報をほかの会社と一緒に使う・渡す予定がある場合は、ひな形の組み合わせでは足りないことがあります。弁護士などの専門家や、個人情報保護委員会の相談窓口（個人情報保護法相談ダイヤル）に確かめてから書いてください。整体院のように体の状態を聞く業種は、とくに注意が必要です。
書いている側の立場
私たちはホームページ制作やMEO対策（Googleマップで見つけてもらいやすくする取り組み）をお手伝いしている会社です。ホームページ制作は 税別50,000円（税込55,000円）、公開後の運用は月額 税別2,000円（税込2,200円）でご案内しています（2026年9月時点）。ただ、この記事の棚卸しや6項目の確認は、どれもご自身で進められることです。法律の判断が必要な部分は、私たちではなく専門家にご相談ください。
※ 本記事は2026年9月時点の情報です。個人情報保護委員会「個人情報の保護に関する法律についてのガイドライン（通則編）」「民間事業者向け個人情報保護法ハンドブック」「中小規模事業者における個人情報等の安全管理措置に関する実態調査」（2024年11月29日公表）、総務省「外部送信規律FAQ」、Google アナリティクス利用規約の記載をもとにしています。法令や規約は改正されることがあるため、最新の内容は各公式ページでご確認ください。本記事は一般的な情報提供であり、個別の事案についての法的な助言ではありません。また、特定の会社やサービスを批判する意図はありません。
FAQよくあるご質問
お問い合わせフォームがなく、電話で予約を受けるだけのお店でも必要ですか？
電話で予約を受けて名前や電話番号を控える場合も、個人情報を扱っていることに変わりはありません。使い道の公表は、店頭の掲示などの方法でもできます。ホームページがあるなら、トップページから1回の操作で開ける場所に載せておくのが分かりやすい方法です。
ネットのひな形をそのまま使ってもいいですか？
項目の漏れを確かめる参考にするのは構いません。ただ、使っていないサービスの名前や、お店で決めていない手数料などが残ったままだと、実際と違う説明になってしまいます。お店で集めている情報と使い道に合わせて、一文ずつ書き直してください。
自宅兼店舗なので、住所を載せたくありません。
個人情報保護法では、事業者の住所などを、本人から求められたときに遅滞なく答えられる状態にしておく方法も認められています（2026年9月時点）。ただし、ネットで商品やサービスを売るときの特定商取引法に基づく表記は別のルールです。どちらの話なのかを分けて考えてください。
Googleアナリティクスを使っていたら、プライバシーポリシーに書く必要がありますか？
Googleアナリティクスの利用規約では、プライバシーポリシーでCookieなどの使用と、Googleアナリティクスを使っていることを開示するよう求めています（2026年9月時点）。入っているかどうか分からない場合は、ホームページを作った制作会社に確認するのが早道です。
＋まとめ
お問い合わせや予約のフォームがあるなら、小さなお店でもプライバシーポリシーを用意しておくのが基本です。進め方は4つ。①情報の入口を棚卸しする ②6項目（事業者の情報・利用目的・安全管理・第三者提供と委託・開示などの手続き・窓口）を書く ③ひな形の言葉を、お店の実際に合わせて書き直す ④全ページの下とフォームの横に置き、仕組みを変えたら見直す。
立派な文章である必要はありません。お店が実際にしていることと、書いてあることが一致しているか。いちばん大事なのは、そこです。
「自分のホームページのフォームや解析が、どうなっているか分からない」という段階のご相談も歓迎です。いまのホームページを一緒に見ながら、入口の棚卸しをお手伝いします。無料相談は15分から承っています。
