ECサイトのプライバシーポリシー・利用規約の作り方

プライバシーポリシーと利用規約は、法律用語を覚えて書くものではなく、自分の店が実際にやっていることを、そのまま言葉にする作業です。テンプレートを貼っただけのページが機能しないのは、書いてある内容と実際の運用がずれているからにほかなりません。この記事では、プライバシーポリシーに書くべき項目・特定商取引法に基づく表記との役割分担・利用規約の要となる条項・公開場所と改定の運用までを、開業前でも順に進められる形で整理します。なお、法令の解釈や自店に必要な対応範囲は状況によって変わるため、最終的な判断は必ず公式情報と専門家への確認を組み合わせてください。

プライバシーポリシーとは｜ECサイトに必要な理由

プライバシーポリシー（個人情報保護方針）とは、事業者が取得した個人情報をどんな目的で使い、どう管理し、誰に提供するのかをまとめて公表する文書です。個人情報を取り扱う事業者には、利用目的をあらかじめ公表するか、取得時に本人へ通知することが求められており、その公表手段としてWebサイト上に置かれるのがプライバシーポリシーにあたります。

ネットショップの場合、注文を受けた時点で氏名・住所・電話番号・メールアドレスを必ず取得します。つまり開業した瞬間から個人情報を扱う事業者になるということで、規模の大小は関係ありません。加えて、カートやモールの審査、決済代行の審査、広告出稿の審査でもプライバシーポリシーの掲載が確認されることが一般的です。

ここで押さえておきたいのは、プライバシーポリシーは「安全に管理します」という宣言文ではなく、実際の取り扱いを説明する説明書だという点です。立派な文章が書いてあっても、実際には別の使い方をしていれば意味を失います。作る順番は、文章から入るのではなく、まず自店が「どんな情報を・どこから・何のために」取得しているかを書き出すところからです。

この3つは重なる部分があるため混同されがちですが、目的が異なるので原則として個別に用意します。特定商取引法に基づく表記の書き方はECの特定商取引法の表記｜書き方と必須項目で詳しく解説しています。

プライバシーポリシーに書くべき項目

プライバシーポリシーの骨格は、「誰が」「何を」「何のために」「誰に渡すか」「どう管理するか」「問い合わせ先はどこか」の6つで組み立てられます。以下は一般的な構成例で、自店の取り扱いに合わせて増減させて使ってください。

このうち、店舗ごとの差が最も出るのが利用目的です。「商品の発送のため」だけで済む店舗はほとんどなく、実際にはメルマガ、LINE配信、レビュー依頼、同梱チラシの宛名印字、リターゲティング広告、アンケートなど、複数の使い方をしています。書いていない目的には使えないと考えるのが基本なので、将来やる予定があるものも含めて先に洗い出しておくと、あとから追記する手間が減ります。

ECで見落としやすい3つの論点

ネットショップ特有の抜け漏れは、外部ツール・委託先・海外サービスの3か所に集中します。どれも「自分では個人情報を渡している意識がない」場所である点が共通しています。

とくに③は、生成AIツールを業務に取り入れる店舗が増えたことで論点として大きくなっています。問い合わせ文面をそのままAIツールに貼り付けて返信案を作る運用は、お客さまの氏名や住所を外部サービスに送っていることになり得ます。社内ルールとして、AIに投入する前に個人が特定できる情報を削る手順を決めておくのが現実的です。

利用規約は何のために作るのか｜プライバシーポリシーとの違い

利用規約は、店舗とお客さまの間の取引条件をあらかじめ定めておく契約文書です。プライバシーポリシーが「説明」であるのに対し、利用規約は「取り決め」であり、トラブルが起きたときにどちらの言い分が通るかの根拠になります。

利用規約がないとどうなるか。実務でよく起きるのは次のような場面です。

なかでも重要度が高いのが注文成立の時期です。自動返信メールをもって契約成立とするのか、店舗が別途承諾の連絡をした時点とするのかで、在庫切れや誤表示が起きたときの対応可能な範囲が変わります。多くの店舗では後者を選び、自動返信メールには「注文を受け付けた旨であり、契約の成立ではない」旨を明記する運用をとっています。

利用規約に入れておきたい主な条項

ネットショップの利用規約は、注文の流れに沿って条項を並べると抜けにくくなります。最低限の骨格は次のとおりです。

作成時にとくに注意したいのが、返品・キャンセル条項が特定商取引法に基づく表記と食い違わないことです。両方に返品の記載があるのに条件が違う、というケースは実際によくあります。片方を直したらもう片方も直す、というルールにしておくと事故を防げます。また、免責条項は範囲を広く書けば安心というものではなく、消費者との契約では効力が認められない書き方もあるため、この部分こそ専門家の確認をおすすめします。

作成から公開までの手順

作業は「実態の棚卸し → たたき台 → 自店仕様への修正 → 設置 → 確認」の5段階で進めると迷いません。順番を守るだけで、テンプレートを写すだけの状態から抜け出せます。

公開場所については、フッターに置くだけで満足しないのがポイントです。お客さまが最も判断に迷うのは注文確定の直前なので、その画面から返品条件や規約に到達できるかを実際にクリックして確かめてください。スマートフォンでフッターまで到達するには相当なスクロールが必要になることも多く、PCで確認して終わりにすると導線の悪さに気づけません。

よくある不備と、公開後の運用

公開後に問題になるのは、書き忘れよりも更新されていないことです。文書は作った時点が最新で、以後は運用が変わるたびに実態から離れていきます。

典型的な不備は次の4つです。

①テンプレートの固有名詞が残っている。他社名やサンプルの住所がそのままになっているケースは珍しくありません。公開前に社名・屋号・連絡先を全文検索して確認します。

②新しいツールを入れたのに追記していない。チャットボット、レビュー収集、広告タグ、AIツールの導入は、いずれも取り扱いの変更にあたり得ます。ツール導入の稟議に「ポリシー確認」を1行足しておくのが確実です。

③販路を増やしたのに反映していない。自社サイトのみだった店舗が楽天やAmazonに出店すると、取得経路も委託先も増えます。モール側の規約と自社の規約の関係も整理が必要になります。

④最終改定日が書かれていない。いつ時点の内容かが分からない文書は、お客さまにも社内にも不親切です。改定日と、可能なら主な変更点を残しておきます。

よくある質問

カートのテンプレートをそのまま公開してはいけませんか？

そのまま公開すること自体が禁じられているわけではありませんが、実務上はほぼ確実に手直しが必要です。テンプレートは「多くの店舗に当てはまる最大公約数」で書かれているため、自店が実際にやっていない取り扱い（例：メルマガ配信をしていないのに配信目的が書いてある）が残ったり、逆に実際にやっていること（外部の広告タグ、レビュー投稿の利用、同梱物への氏名印字など）が書かれていなかったりします。プライバシーポリシーは「実際の取り扱いを説明する文書」なので、実態とずれていることのほうが問題になります。最低限、①利用目的の一覧を自店の業務に合わせて書き換える、②使っている外部ツール（アクセス解析・広告・チャット・レビュー）を洗い出して反映する、③問い合わせ窓口を自店の連絡先にする、の3点は必ず直してください。そのうえで、どこまでが必要十分かの最終判断は専門家に確認するのが安全です。

プライバシーポリシーと利用規約は1ページにまとめてもいいですか？

分けて作るほうが実務では扱いやすくなります。理由は3つあります。1つ目は、2つの文書は性格が違うためです。プライバシーポリシーは個人情報の取り扱いを説明・公表するための文書で、利用規約はお客さまとの間の契約条件を定める文書です。2つ目は、改定のタイミングが揃わないためです。新しい分析ツールを入れればプライバシーポリシーだけを直すことになり、1ページにまとまっていると変更履歴が追いにくくなります。3つ目は、購入フローでの見せ方が違うためです。利用規約は注文確定前に同意を取る導線に載せることが多く、プライバシーポリシーは常時公表しておく性格が強いので、リンク先を分けたほうが導線を作りやすくなります。ページ数を増やしたくない場合でも、1ページ内で見出しと目次を明確に分け、それぞれに最終改定日を書いておくと運用しやすくなります。

個人で運営する小さなショップでも必要ですか？

規模にかかわらず用意しておくことをおすすめします。ネットショップは注文を受ける時点で氏名・住所・電話番号・メールアドレスといった個人情報を必ず取り扱うため、事業として販売している以上は個人情報を扱う事業者としての対応が求められる、というのが基本的な考え方です。売上規模や法人・個人の別で不要になる、と単純化しないほうが安全です。加えて、実務上の理由も大きく、利用規約がないと注文成立の時期やキャンセルの扱いが決まらず、価格の誤表示や在庫切れが起きたときの説明根拠がなくなります。トラブルは規模の小さい店舗でも同じように起きるので、むしろ人手の少ない店舗ほど「書いてあるものを見せて説明できる」状態の価値が高くなります。自分の店舗にどこまでの対応が求められるかは、個人情報保護委員会などの最新の公表資料と専門家への確認を組み合わせて判断してください。