ネットショップを作ると、利用規約とプライバシーポリシーのページが要る、と言われます。どこかからひな形を持ってきて貼る人も多いと思います。
ただ、この2つは性格がまったく違うものでした。片方は法律に項目が並んでいて、もう片方は並んでいません。
この記事では、個人情報の保護に関する法律と同法施行令、それに民法の条文から引きます。個別の判断は専門家に確認してください。
この2つは、性格がまったく違います
先に整理しておきます。よく並べて語られますが、根拠になっている法律が別です。
プライバシーポリシーは、個人情報の保護に関する法律が背景にあります。何を書くかが、条文に列挙されていました。
利用規約のほうは、そういう条文がありません。ただし、書いた内容が契約として扱われるかどうかについて、民法に規定がありました。
まず、違いを並べます。
2つの違い
プライバシーポリシー：書く項目が個人情報の保護に関する法律 第32条と施行令 第10条に列挙されている
利用規約：書く項目を列挙した条文はない。ただし民法の定型約款（第548条の2から第548条の4）の規定が関係してくる
ひな形を貼るだけだと、片方が合いません
プライバシーポリシーのほうは、項目が決まっているので、ひな形が役に立ちます。ただし中身は自分の店に合わせる必要がありました。
利用規約のほうは、条文に項目がない代わりに、書いた内容が自分の店の運び方と合っているかどうかが全部になります。
ひな形をそのまま貼ると、やっていないことが書かれていたり、やっていることが書かれていなかったりします。順番に見ていきます。
プライバシーポリシーに書く項目は、条文に並んでいます
個人情報の保護に関する法律に、第32条という条文があります。見出しは「保有個人データに関する事項の公表等」です。
ここに、何を本人が知り得る状態にしておくかが並んでいました。4つの号に分かれています。
まず、本文と最初の3つを引きます。
4つ目は政令に飛ぶので、そのあとで見ます。条文だけを読んでも、そこは中身が分かりません。
個人情報取扱事業者は、保有個人データに関し、次に掲げる事項について、本人の知り得る状態（本人の求めに応じて遅滞なく回答する場合を含む。）に置かなければならない。
一 当該個人情報取扱事業者の氏名又は名称及び住所並びに法人にあっては、その代表者の氏名
二 全ての保有個人データの利用目的
三 （開示等の）請求に応じる手続（手数料の額を定めたときは、その手数料の額を含む。）
出典：個人情報の保護に関する法律 第32条第1項（e-Gov法令検索。第三号は条文の引用部分を省略して示しています）
個人事業主なら、氏名と住所を書くことになります
1つ目の項目に、氏名または名称と住所、そして法人の場合は代表者の氏名、と書かれています。
法人にあっては、という書き方なので、個人でやっている場合は氏名と住所になります。 特定商取引法に基づく表記のほうでも同じ話になりますが、根拠になっている条文は別でした。
この媒体では、個人事業主と法人の違いを別の回で扱っています。住所を出したくないという相談はよく聞きますが、書かない方向で考えるより、書く前提で準備するほうが早いと思います。
4つ目は、政令に飛びます
第32条の4つ目の号は「前三号に掲げるもののほか、保有個人データの適正な取扱いの確保に関し必要な事項として政令で定めるもの」となっています。
条文だけを読むと、何のことか分かりません。同法施行令の第10条に、中身が書かれていました。
3つ挙げられています。1つ目が、見落としやすい項目でした。
そのまま引きます。
一 法第二十三条の規定により保有個人データの安全管理のために講じた措置（本人の知り得る状態に置くことにより当該保有個人データの安全管理に支障を及ぼすおそれがあるものを除く。）
二 当該個人情報取扱事業者が行う保有個人データの取扱いに関する苦情の申出先
三 当該個人情報取扱事業者が認定個人情報保護団体の対象事業者である場合にあっては、当該認定個人情報保護団体の名称及び苦情の解決の申出先
出典：個人情報の保護に関する法律施行令 第10条（e-Gov法令検索。第一号はかっこ書きの一部を省略して示しています）
安全管理のために講じた措置も、書く対象です
1つ目が、ひな形に入っていないことがある項目でした。どう守っているかを書く、という内容です。
ただし、かっこ書きに例外が入っています。知り得る状態に置くことで安全管理に支障を及ぼすおそれがあるものは除く、というものでした。鍵のかけ方を全部書く必要はない、と読めます。
苦情の申出先のほうは、メールアドレスか問い合わせフォームの場所になります。認定個人情報保護団体の項目は、その対象事業者である場合だけです。個人の店なら、たいてい関係しません。
あわせて6項目になります
条文と政令を合わせると、書く項目は6つでした。氏名または名称と住所、利用目的、開示等の請求に応じる手続、安全管理のために講じた措置、苦情の申出先、認定団体の項目です。
これが、法律の側から見た最低限になります。多くのひな形には、このほかにアクセス解析やクッキーについての記述も入っています。
そちらは別の根拠になるので、この記事では扱いません。まず6つがそろっているかを見るのが順番だと思います。
「本人の知り得る状態」でよい、という書き方です
第32条の本文の言い方に、もう1つ注目したい部分がありました。ウェブサイトに載せろ、とは書かれていません。
本人の知り得る状態に置かなければならない、となっています。そしてかっこ書きで、範囲が広げられていました。
求めに応じて答える場合も含む、という内容です。置き方は1つに決められていませんでした。
短いので、もう一度引きます。
本人の知り得る状態（本人の求めに応じて遅滞なく回答する場合を含む。）に置かなければならない。
出典：個人情報の保護に関する法律 第32条第1項（e-Gov法令検索）
結局、ページに置くのがいちばん簡単でした
聞かれたら答える、という運び方でも条文の形には合います。ただ、聞かれるたびに対応するほうが手間がかかります。
ページを1枚作って置いておけば、その状態が続きます。 だから多くの店は、プライバシーポリシーのページを作る形になります。
カートによっては、この内容を入れる欄が最初から用意されています。特商法表記の欄とは別に用意されていることが多いので、両方を確かめてください。
利用目的は「できる限り特定」します
6項目のうち、いちばん手が止まるのが利用目的だと思います。何をどこまで書くかという話です。
ここについては、別の条文に基準がありました。第17条です。どのくらい細かく書くかについて、程度を示す言葉が入っています。
広く書いておけば安心、という考え方とは逆の方向でした。
短い1文ですが、程度が示されています。
そのまま引きます。
個人情報取扱事業者は、個人情報を取り扱うに当たっては、その利用の目的（以下「利用目的」という。）をできる限り特定しなければならない。
出典：個人情報の保護に関する法律 第17条第1項（e-Gov法令検索）
書いた目的を超えて使えません
第18条には「あらかじめ本人の同意を得ないで、前条の規定により特定された利用目的の達成に必要な範囲を超えて、個人情報を取り扱ってはならない」とあります。
つまり、書いてある目的が、使える範囲の上限になります。商品の発送のためとだけ書いていると、あとからメールマガジンを送りにくくなります。
広く書けばいいという話でもありません。できる限り特定する、という条文があるためです。実際にやること、やる予定のことを並べる形になります。
取得したら、通知か公表が要ります
第21条には「個人情報を取得した場合は、あらかじめその利用目的を公表している場合を除き、速やかに、その利用目的を、本人に通知し、又は公表しなければならない」とあります。
あらかじめ公表しているなら、そのつど通知しなくてよい、という書き方です。ここでも、ページを1枚作っておくほうが楽になります。
なお、第22条には「利用する必要がなくなったときは、当該個人データを遅滞なく消去するよう努めなければならない」という規定もありました。努力義務の形ですが、ずっと持ち続ける前提ではないことになります。
第三者に渡すには、同意が要ります
もう1つ、ネットショップで関係してくるのが第三者提供です。第27条に規定があります。
原則が最初に書かれていました。そのあとに、例外が7つ並んでいます。
例外は法令に基づく場合や人の生命の保護に必要な場合などなので、ふだんの運営では関係しません。原則のほうだけ覚えておけば足ります。
原則の部分を引きます。
個人情報取扱事業者は、次に掲げる場合を除くほか、あらかじめ本人の同意を得ないで、個人データを第三者に提供してはならない。
出典：個人情報の保護に関する法律 第27条第1項（e-Gov法令検索）
配送会社に渡すのは、別の扱いです
ここで気になるのが、配送会社に届け先を渡すことだと思います。これは委託にあたるという整理が一般的です。
法律には、委託についての規定が別にあります。第25条は「個人データの取扱いの全部又は一部を委託する場合は、その取扱いを委託された個人データの安全管理が図られるよう、委託を受けた者に対する必要かつ適切な監督を行わなければならない」というものでした。
渡してよいかどうかではなく、渡したあとの監督の話になっています。 ただ、自分の店の形がこれに当たるかどうかは、専門家に確認してください。
利用規約は、定型約款にあたることがあります
ここから利用規約の話です。さきほど書いたとおり、書く項目を並べた条文はありません。
代わりに、民法に定型約款という仕組みがありました。第548条の2からの3か条です。
まず、定型取引と定型約款の定義から始まります。不特定多数を相手にして、内容が画一的な取引。ネットショップは、ここに入ってくる形です。
そして、どういうときに個別の条項まで合意したとみなされるかが書かれていました。
合意したとみなされる場合（民法 第548条の2第1項）
一 定型約款を契約の内容とする旨の合意をしたとき。
二 定型約款を準備した者があらかじめその定型約款を契約の内容とする旨を相手方に表示していたとき。
出典：民法 第548条の2第1項（e-Gov法令検索）
表示していたとき、という形が使えます
2つ目の号が、ネットショップで使える形だと思います。あらかじめ、この規約を契約の内容とする、と相手方に表示していたとき、という条件です。
購入の画面から規約へのリンクを置いて、規約が適用されることを書いておく。この形なら、1条ずつ同意をとらなくても条項が契約の内容になります。
なお、第548条の3には、相手方から請求があった場合には遅滞なく相当な方法で内容を示さなければならない、という規定もあります。見られる場所に置いておくことになります。
不当な条項は「合意をしなかったものとみなす」
定型約款には、歯止めもついていました。第548条の2の第2項です。
相手方の権利を制限したり、義務を重くしたりする条項について書かれています。
どういうものが対象になるかは、抽象的な言い方でした。ただ、当てはまったときの効果ははっきり書かれています。
無効になる、ではなく、もっと手前の言い方をしています。
そのまま引きます。
前項の規定にかかわらず、同項の条項のうち、相手方の権利を制限し、又は相手方の義務を加重する条項であって、その定型取引の態様及びその実情並びに取引上の社会通念に照らして第一条第二項に規定する基本原則に反して相手方の利益を一方的に害すると認められるものについては、合意をしなかったものとみなす。
出典：民法 第548条の2第2項（e-Gov法令検索）
書いておけば何でも通る、ではありません
規約に書けば強くなる、という考え方は当てはまらないことになります。一方的に不利な条項は、合意しなかったものとして扱われる書き方でした。
ひな形を探すときに、自分に有利そうなものを選ぶ意味は、あまりありません。
それよりも、実際の運び方と合っているかどうかです。返品を受けると書いてあるのに受けていない、という状態のほうが問題になります。
規約を変えるときにも、条件があります
作ったあとの話も書かれていました。第548条の4です。
個別に相手方と合意しなくても変更できる場合が、2つ挙げられています。相手方の一般の利益に適合するとき、そして変更が合理的なときです。
そのうえで、周知についての規定がありました。ここが、運営のしかたに直接効いてくる部分です。
変えられるかどうかとは別に、手続きが決まっています。
2項と3項を引きます。
定型約款準備者は、前項の規定による定型約款の変更をするときは、その効力発生時期を定め、かつ、定型約款を変更する旨及び変更後の定型約款の内容並びにその効力発生時期をインターネットの利用その他の適切な方法により周知しなければならない。
第一項第二号の規定による定型約款の変更は、前項の効力発生時期が到来するまでに同項の規定による周知をしなければ、その効力を生じない。
出典：民法 第548条の4第2項・第3項（e-Gov法令検索）
黙って書き換えると、効力を生じません
3項の書き方が強い部分です。効力発生時期が来るまでに周知をしなければ、その効力を生じない、とされています。
規約のページをそっと書き換えて終わり、という運び方は当てはまりません。変えること、変えた内容、いつから有効かの3つを知らせることになります。
この媒体の別の回で、記事の日付を変える話を書きました。規約のほうは、変えた日付を残しておく理由が法律の側にあります。
自分で書くときの順番
ここからは公式の記述ではなく、条文を読んで整理した順番です。ひな形を使う場合も、この順で見ていくことになります。
先にプライバシーポリシー、あとで利用規約という順番がよさそうでした。項目が決まっているほうが進めやすいためです。
そして利用規約は、自分の店でやっていることを書き出してから作ります。
並べます。
作る順番
1. プライバシーポリシーの6項目を埋める（氏名・住所／利用目的／開示等の手続／安全管理措置／苦情の申出先／認定団体）
2. 利用目的は、いまやっていることと、やる予定のことを並べる
3. 利用規約は、自分の店の運び方を書き出してから作る（返品、キャンセル、在庫切れ、配送の遅れ）
4. 購入の画面から、規約へのリンクを置く
※ここは公式の記述ではなく、自分で整理した手順です
やっていないことを書かないでください
ひな形をそのまま使うと、やっていないことが入ります。よくあるのが、会員登録の仕組みがないのに退会の条項が入っている、というものです。
書いてあること自体で罰を受けるわけではありませんが、問い合わせが来たときに困ります。自分で説明できない条項は、消したほうが運営は楽になります。
返品やキャンセルの条件は、特定商取引法に基づく表記のほうにも書く項目があります。2か所の内容がずれていると、どちらが正しいのかという話になるので、そろえておいてください。
できたら、自分で1回読み通します
作ったあとに、スマートフォンで開いて上から読んでみます。長いひな形をそのまま貼ると、自分でも読み通せないことがあります。
読み通せない規約は、お客さんも読みません。読まれない前提で置くものではありますが、読もうとした人が読める長さかどうかは見ておく価値があります。
なお、ここに書いたのは条文を読んで整理した内容です。自分の店に当てはめるときの判断は、専門家に確認してください。
まとめと、確認できなかったこと
確かめた内容を並べ直します。いずれもe-Gov法令検索で条文そのものを開いて確かめたものです。
そして、確かめられなかったことも書きます。クッキーやアクセス解析についての扱いは、別の法令が関係してくるので今回は扱えませんでした。ひな形に入っている項目のうち、根拠を追えなかった部分です。
法令は変わります。作る前に、そのときの条文を確かめてください。
確かめたこと
プライバシーポリシーに書く項目は、法第32条と施行令第10条を合わせて6つ
安全管理のために講じた措置も、公表の対象に入っている
利用目的は「できる限り特定」し、その範囲を超えて使えない（法第17条・第18条）
利用規約は定型約款にあたることがあり、あらかじめ表示していれば条項が契約の内容になる（民法第548条の2）
規約を変えるときは周知が必要で、周知しなければ効力を生じない場合がある（民法第548条の4）
確認できなかったこと
クッキーやアクセス解析についての記載義務。別の法令が関係するため、今回は扱えませんでした
個人のネットショップで「安全管理のために講じた措置」をどこまで書けばよいかの具体例
カートが用意しているひな形が、この6項目をすべて満たしているかどうか
※e-Gov法令検索の条文を確認したものです。法令は変わります。個別の判断は専門家に確認してください。
よくある質問
プライバシーポリシーには何を書けばいいですか
個人情報の保護に関する法律 第32条第1項には、氏名または名称および住所（法人の場合は代表者の氏名）、すべての保有個人データの利用目的、開示等の請求に応じる手続（手数料を定めたときはその額を含む）、そして政令で定めるものが挙げられています。同法施行令 第10条では、安全管理のために講じた措置、苦情の申出先、認定個人情報保護団体の対象事業者である場合はその名称と苦情の解決の申出先が定められています。合わせて6項目です。個別の判断は専門家に確認してください。
ウェブサイトに載せないといけませんか
条文は「本人の知り得る状態（本人の求めに応じて遅滞なく回答する場合を含む。）に置かなければならない」という書き方です。聞かれたら答えるという形も含まれています。ただ、聞かれるたびに対応するより、ページを1枚作って置いておくほうが手間がかかりません。あわせて第21条に、あらかじめ利用目的を公表している場合は取得のたびの通知が不要という規定もあるので、公表しておくほうが運営は楽になります。
利用目的はどこまで書けばいいですか
第17条第1項に「その利用の目的をできる限り特定しなければならない」とあります。一方、第18条第1項には「あらかじめ本人の同意を得ないで、前条の規定により特定された利用目的の達成に必要な範囲を超えて、個人情報を取り扱ってはならない」とあるので、書いた目的が使える範囲の上限になります。商品の発送のためとだけ書いていると、あとからメールマガジンを送りにくくなります。いまやっていることと、やる予定のことを並べる形になります。
利用規約に書けば、どんな条件でも通りますか
通らない場合があります。民法 第548条の2第2項には、相手方の権利を制限し、または義務を加重する条項であって、基本原則に反して相手方の利益を一方的に害すると認められるものについては「合意をしなかったものとみなす」と書かれています。ひな形を探すときに自分に有利そうなものを選ぶ意味は、あまりありません。それよりも、実際の運び方と合っているかどうかを見てください。
規約を書き換えるときは、お知らせが必要ですか
必要になる場合があります。民法 第548条の4第2項には、変更するときは効力発生時期を定め、変更する旨と変更後の内容と効力発生時期をインターネットの利用その他の適切な方法により周知しなければならない、とあります。さらに第3項で、合理性を理由とする変更については、効力発生時期が到来するまでに周知をしなければその効力を生じない、とされています。黙って書き換えるという運び方は当てはまりません。
あわせて読みたい