問い合わせフォームの個人情報｜扱い方とプライバシーポリシーの基本
問い合わせフォームから届いたメールに、お客さんの名前、会社名、メールアドレス、電話番号が並んでいる。返信して、営業に転送して、それで一段落——。そのやり取りを何度か繰り返したあとで、ふと思うことがありませんか。「これ、うちはちゃんと扱えているんだろうか」と。
サイトにプライバシーポリシーのページはある。でも、いつ誰が書いたのか分からない。フォームの下にチェックボックスはあるけれど、その先のリンクが今の運用と合っているかは、正直あやしい。しかも相手は法律の話で、社内に聞ける人もいない。手が止まるのは自然なことだと思います。
先にお伝えすると、これは「今まで何もしてこなかったあなたが悪い」という話ではありません。フォームは制作会社が作り、ポリシーは開設時のひな形のまま、担当は途中から引き継いだ——よくある経緯です。今日は責める話ではなく、預かっている情報を4つの場面に分けて、今の状態を確かめるところから始めましょう。
結論：個人情報の扱いは、①集める（何を・何のために）→ ②使う（決めた目的の範囲で）→ ③しまう（誰が見られる状態か）→ ④消す（いつまで持つか） の4場面に分けると整理できます。
そのうえで、①で決めた「何のために使うか（利用目的）」を、プライバシーポリシーに書いて公開し、フォームからそこへたどり着けるようにする。これが土台です。
全部を今日やらなくて大丈夫。まずは「うちのフォームは何の項目を集めているか」を書き出すだけでも、判断の材料がそろいます。
何が起きているのか
まず、多くの担当者が気にしている「うちみたいな規模でも関係あるの？」から。
日本の個人情報保護法は、扱っている件数の多い少ないにかかわらず、事業として個人情報を扱っていれば対象になります。以前は「5,000件以下なら適用外」という線引きがありましたが、2017年の改正でその除外はなくなりました。つまり、月に数件しか問い合わせが来ない会社サイトでも、考え方は同じということです。
とはいえ、これは脅しではありません。求められていることは、ざっくり言えばとても素朴です。
- 何のために使うかをはっきりさせて、本人に分かるようにしておく（利用目的の特定と、通知または公表）
- 決めた目的の範囲で使う。目的の外で使いたくなったら、あらためて本人の同意をもらう
- 他社に渡すときは原則、本人の同意を得る（業務を委託する場合など、別の枠組みで整理する場面もあります）
- 漏れたり、なくしたりしないように守る（安全管理措置）
- 万一漏れてしまった場合、一定の要件に当てはまるときは、個人情報保護委員会への報告と本人への連絡が求められる
「本人に分かるようにしておく」——ここを実務でどうやるかというと、プライバシーポリシー（個人情報保護方針）のページに書いて、いつでも読める場所に置くのが一般的なやり方です。
法律の条文を暗記する必要はありません。この4場面のどこが今あいまいかを知る。それが最初の一歩です。
よくある「うちも当てはまるかも」
現場でつまずきやすいのは、たいてい次のような場面です。心当たりがあっても、落ち込まなくて大丈夫。ほとんどの会社が通る道です。
- フォームの項目が、いつの間にか増えている：以前のキャンペーンで足した「ご予算」「従業員数」などが残ったまま。使っていない項目まで預かり続けている状態です。
- プライバシーポリシーが開設時のひな形のまま：書かれている利用目的が「弊社サービスのご案内」だけで、実際にはメルマガ配信やアンケートにも使っている、というズレ。
- 問い合わせメールが、いろんな場所にコピーされている：営業に転送、共有フォルダに保存、担当者のパソコンにダウンロード、表計算ソフトの一覧に転記。どこに何部あるか、誰も分からない状態になりがちです。
- フォームの送信先が、退職した人のメールアドレスのまま：気づかないうちに、届いていない・または見られない場所に個人情報が流れ続けているケース。
- フォームツールの管理画面に、問い合わせが全部たまっている：便利ですが、ログインできる人が誰なのか、何年前のデータまで残っているのかを把握できていないことが多いところです。
どれも「サボっていたから」ではなく、引き継ぎと日々の忙しさの中で自然に溜まったものです。だから、責任追及ではなく棚卸しとして進めていきましょう。
手順を小さく分ける
上から順に、1日ひとつずつでかまいません。最初の1と2だけでも、状態はかなり見通しよくなります。
- フォームが集めている項目を書き出す：自社サイトのフォームを実際に開いて、入力項目をそのままメモに写します。必須と任意も分けておくと後が楽です。そのうえで、「この項目、返信や対応に本当に必要かな」と1つずつ見ます。使っていない項目は減らす候補。預かる情報は少ないほど、守る手間も減ります（項目を減らすと問い合わせ自体も増えやすくなります。詳しくは問い合わせフォームの離脱を減らす項目の見直し方）。
- 利用目的を、自分の言葉で書き出す：「お問い合わせへの回答のため」「お見積り・ご提案のため」「サービスに関するご案内の送付のため」——実際にやっていることを、そのまま並べます。ここで大事なのは、書いた目的の外のことは、後からやらない（やるなら別途同意をもらう）という点。たとえば「回答のため」としか書いていないのに、集めたアドレスへメルマガを一斉配信するのは、ズレが生じます。
- プライバシーポリシーを開いて、2と突き合わせる：今のページに書かれている利用目的と、あなたが書き出した実態が合っているか。ズレていたら、実態に合わせて書き直す（実態のほうを目的に寄せる、という判断もあります）。あわせて、問い合わせ先（個人情報の窓口）や、開示・削除の求めがあったときの連絡先が現在の担当・部署になっているかも確認します。ここは会社の公式な文書なので、最終的な文面は上長や法務、必要に応じて専門家に見てもらうのが安心です。
- フォームからポリシーへたどり着けるようにする：送信ボタンの近くに、プライバシーポリシーへのリンクを置きます。「同意する」のチェックボックスを付ける場合は、リンク先が本当に開くかを実機で確認しましょう（リンク切れのまま何年も、というのは珍しくありません。リンク切れ・404の点検もあわせてどうぞ）。
- 保管場所を1枚にまとめる：問い合わせデータが「どこにあるか」を書き出します。フォームツールの管理画面／通知メールの受信箱／転送先／共有フォルダ／表計算ファイル。書き出したら、それぞれ誰がアクセスできるかを確認します。退職者のアカウントが残っていないか、共有リンクが「リンクを知っている全員」になっていないか。ここはサイト運用マニュアルや引き継ぎ資料に一緒に書いておくと、次の人も助かります。
- いつまで持つかを決める：「対応完了から◯年で削除」といった目安を決めて、年に1回でも見直す日を作ります。永久に持ち続けないと決めるだけで、守るべき範囲が減ります。契約や会計の都合で保存期間が決まっているものもあるので、社内のルールがあればそれに合わせます。
- 守り方の最低ラインを確認する：管理画面のパスワードは使い回していないか、二段階認証が使えるなら有効にしているか、共有フォルダの権限は必要な人だけか。まずはこの3つで十分です（WordPressのログインを守る基本の考え方がそのまま使えます）。
まずは「1. フォームの項目を書き出す」を今日の一手にできれば十分です。何を預かっているかが分かれば、残りの判断はぐっと軽くなります。
補足：フォームの項目やポリシーのリンクを触るときは、送信テストを1回してから公開しましょう。項目名を変えた拍子に、通知メールが届かなくなることがあります。サイト更新・公開前チェックリストで戻せる状態かも確認しておくと安心です。
プライバシーポリシーに書かれていることが多い項目
ゼロから作るのは大変なので、今のページを読みながら「これは書いてあるかな」と照らす使い方がおすすめです。法律で「このページを作りなさい」と決められているわけではありませんが、利用目的の公表など求められている事柄を、まとめて分かるようにしておく実務上の受け皿として広く使われています。
- 事業者名（会社名）と、個人情報に関する問い合わせ窓口
- 取得する情報の種類（フォームの入力項目、アクセス解析で取得する情報など）
- 利用目的（実態に合っていることが大切）
- 第三者に提供する場合の考え方（提供しないなら、その旨）
- 業務を外部に委託する場合の考え方（フォームツールやメール配信サービスなど）
- 安全管理のためにしていること（概要でかまいません）
- 本人からの開示・訂正・利用停止・削除の求めへの対応窓口と方法
- アクセス解析や広告タグなど、外部に情報を送る仕組みについての説明（この話はCookie同意バナーの基本で詳しく整理しています）
- 内容を変更する場合の扱いと、最終改定日
なお、制度は数年ごとに見直しが続いている分野です。この記事は2026年7月時点の一般的な整理として書いています。細かい要件や自社への当てはまり方は、個人情報保護委員会の公式サイトやガイドラインで最新を確認するか、必要に応じて法務・専門家に相談してください。この記事は「どこを見て、誰に相談すればいいか」を判断するための地図として使ってもらえたらうれしいです。
明日やること
短時間で終わるものから並べました。1つだけでも前進です。
- フォームを実際に開いて、入力項目をメモに書き写す（5分）。必須と任意も分けておく。
- 通知メールの受信箱を見て、届いた問い合わせが今どこに何部あるかを書き出す（10分）。転送先・保存先・ダウンロード先まで。
- プライバシーポリシーを声に出して読んでみる（10分）。実際の運用とズレている箇所に印をつける。
- フォームからポリシーへのリンクを実機でタップして開く（1分）。開かなければ、その場で直すタスクに。
- 管理画面にログインできる人の一覧を確認する（10分）。退職者や、もう関わっていない人が残っていないか。
チェックリスト
まずはこの3つ。ここが押さえられていれば、土台はできています。
- フォームで集めている項目を書き出し、必要なものだけになっているか見直した
- プライバシーポリシーの利用目的が、実際の使い方と合っている
- フォームからプライバシーポリシーにたどり着けて、リンクが開く
そのうえで、余裕があるときに。埋まっていない項目は「次の宿題」として置いておけば大丈夫です。
- 問い合わせデータの保管場所（管理画面・メール・フォルダ・ファイル）を一覧にした
- それぞれ誰がアクセスできるかを確認し、不要なアカウント・共有を外した
- 「いつまで持つか」の目安を決め、見直す日をカレンダーに入れた
- 個人情報に関する問い合わせ窓口が、現在の担当・連絡先になっている
- 管理画面のパスワード使い回しをやめ、可能なら二段階認証を有効にした
- 判断に迷う点を、公式ガイドラインで確認するか相談する予定を決めた
「個人情報」という言葉が出てきた瞬間、急に自分の手には余る話に思えてきますよね。実際、条文もガイドラインも量が多くて、読み始めると気が遠くなります。
でも、今日やったのは法律の勉強ではありません。うちのフォームは何を預かっていて、それがどこにあって、何のために使っているかを、自分の言葉で確かめただけです。その地味な棚卸しこそが、いざというときにいちばん効きます。
お客さんが名前とアドレスを入力して送信ボタンを押すのは、その会社を少し信頼したからです。その信頼を受け取る側にいるのが、あなたの仕事。一度に完璧にしなくて大丈夫。今日、フォームの項目をひとつ書き出せたなら、その信頼に応える準備は、もう始まっています。
よければ、こちらも
フォームまわりを続けて整えたいときは、問い合わせフォームの離脱を減らす項目の見直し方と迷惑メール・スパム問い合わせを減らす対策。送信後の体験を整えるならサンクスページと自動返信の基本、届いたあとの社内対応は問い合わせ返信テンプレと社内フローが近い話です。アクセス解析や広告タグなど「外部に送っている情報」のほうが気になるならCookie同意バナーの基本へ。「うちの場合はどう書けば？」と迷ったら、お問い合わせからいつでも声をかけてくださいね。