英文プライバシーポリシーの作り方｜中小企業が確認したい実務ポイント

＊本記事は、2021年に公開したものを2026年に改訂した内容となります。

プライバシーポリシーとは、Webサイトで収集される個人情報の利用目的や管理方法等の取扱い方針を定めた文書のことを言います。普段目にするプライバシーポリシーは日本語で記載されているものが多いと思いますが、海外向けビジネスを行っている企業のWebサイトでは、英文プライバシーポリシーの記載が必要となる場合もあります。今回は、英文プライバシーポリシーの作り方についてQ&A方式で詳しく解説します。

海外向けサイトに英文プライバシーポリシーは必要ですか？

GDPR、CCPA*等の海外のデータ保護法の適用がある場合は、これらの法令により、一定の事項を通知・公表する法的義務が課されます。この通知・公表はプライバシーポリシーへの記載によって行うことが一般的であり、また通知・公表は、個人データの対象となる『本人』にとって理解できる言語で行う必要があると考えられますので、海外の方向けに必要事項の通知・公表を行うツールとして、英文プライバシーポリシーが必要となる場合が多いと考えられます。

これらの海外のデータ保護法の適用が無い場合も、適切な英文プライバシーポリシーがあれば、個人情報を慎重に取り扱うための手順が整備されている企業であると対外的に示すことができ、海外顧客から信頼を得る一助となるでしょう。

海外では、企業は英文のプライバシーポリシーを掲載し、個人情報の適切な取扱体制があることを示すことで、顧客を安心させるという手法が取られることがあります。このようなことから、日本企業が英語のホームページにて「安心安全」、「最高品質」、「顧客との信頼第一」とPRする一方で、顧客を安心させる「英文プライバシーポリシー」すら準備出来ていない状況は、ちぐはぐな印象を与えかねないでしょう。
近年では、問い合わせフォーム、メール配信ツール、アクセス解析ツール、クラウドサービス等を通じて海外ユーザーの個人データを取得・管理するケースも増えており、海外向けサイトでは個人情報保護対応の重要性が高まっています。

なお、ホームページの運営に伴って個人情報を取り扱う場合以外に、会員向けウェブサービスやアプリの提供に伴って個人情報を取り扱うような場合にも、プライバシーポリシーは必要です。

*CCPA　カリフォルニア州消費者プライバシー法（California Consumer Privacy Act）

日本語プライバシーポリシーを英訳するだけでは不十分ですか？

日本語のプライバシーポリシーは、日本の個人情報保護法の要請に基づき作成・公表されています。日本の個人情報保護法に基づき作成・公表されたプライバシーポリシーを英訳したとしても、日本の個人情報保護法しか遵守したことにはなりません。

これに対して、日本企業に海外のデータ保護法が適用される場合は、適用される海外のデータ保護法に従った対応が求められます。この場合、海外向けの英語のプライバシーポリシーは、例えばEUや米国等の海外の法律の要請に基づき作成・公表されることが求められます。

それぞれの法律によって、本人に通知・公表すべきとされる事項は異なります。そのため、日本企業に海外のデータ保護法が適用される場合、日本語のプライバシーポリシーを英訳するだけでは、GDPRやCCPAとの関係では内容が不十分で法的リスクは回避できないため、該当する国の法律に基づいたプライバシーポリシーを、新規で準備することをおすすめします。

EU向け、米国向け、など各国対応が必要なのですか？

日本企業に対しては、原則として日本の個人情報保護法が適用され、一定の要件を満たした場合に、GDPR・CCPAといった海外のデータ保護法が日本の個人情報保護法とともに適用されることになります。

従って、この場合、日本の個人情報保護法に対応したプライバシーポリシーの日・英のバージョンを「通則」として掲載し、当該「通則」に加えて、EUや米国のお客様がいるのであれば、当該お客様向けにGDPRに対応したプライバシーポリシーの日・英のバージョン、米国カリフォルニア州のお客様がいらっしゃるのであれば、当該お客様向けにCCPAに対応したプライバシーポリシーの日・英のバージョンを、それぞれ「特則」として掲載することが実務上みられる取扱いです。
もっとも、上記の対応方法では、日・欧・米の法令に対応したプライバシーポリシーをそれぞれ日本語と英語で作成することになる結果、合計6つのプライバシーポリシーをウェブサイトに掲載することになり、プライバシーポリシーを管理する労力・コストが相応のものとなるため、日本の中小企業にとっては負担が重く、現実的には対応しにくいと考えられます。

そのため、日本の中小企業の場合には、最小限の対応方法として、①日本の個人情報保護法に対応した日本語のプライバシーポリシー、②GDPR、CCPA（いずれか、または両方）に対応した特則としての英語のプライバシーポリシーをウェブサイトに掲げるという方法があり得ると考えられます。

プライバシーポリシー自動生成ツールは利用しても問題ありませんか？

近年、個人情報保護の関心の高まりから、会社名の入力といくつかの質問に回答すればその場で自動生成できる『プライバシーポリシージェネレーター』と呼ばれるツール等の利用も増えているようです。実際のビジネスの状況を見て必要十分な内容と判断できれば、それらを活用することもありえるでしょう。

但し、プライバシーポリシーの内容をよく把握せずにコピー＆ペーストで自社サイトに掲載することには様々なリスクがあることも忘れてはいけません。

想定されるリスクとしては、プライバシーポリシーと自社のビジネスが乖離してしまうことが挙げられます。例えば、顧客から「私の個人情報をいつまでどんな形で保管するのか？」と質問を受けた場合、即答できるでしょうか。「個人情報を削除して欲しい」と言われた場合、どの情報をどこまで削除すれば十分なのか社内に分かる人はいるでしょうか。

英文のプライバシーポリシーを掲載している、ということは当然、海外顧客は上記についての正確な対応を期待します。少なくとも海外展開を進める企業の経営者の方は、英文プライバシーポリシーの内容、構成をよく理解し、自社のビジネスに合った内容であることも確認し、もしもの時に備え誰が何をすべきかを社内の共通理解に落とし込んでおかねばならないでしょう。
近年では、AIツールや海外クラウドサービスを利用して文章生成・顧客管理等を行うケースも増えており、入力・共有する個人データの範囲や利用ルールについても確認が必要です。例えば、問い合わせ内容をAIツールへ入力して返信文案を作成する場合や、海外メール配信ツール・顧客管理システムを利用する場合には、どの情報が海外サーバーへ保存されるのか、誰が閲覧できるのか等も確認したうえで、実態とプライバシーポリシーの記載の整合性を確認する必要があるでしょう。

なお、下記の個人データを取り扱う事業を海外で展開している場合は、不適切な取扱いがあった場合の法的なリスクが特に高くなりますので、専門家（弁護士等）に別途相談することをおすすめします。

未成年者の個人データ
機微性の高い（センシティブな）個人データ/特別なカテゴリの個人データ

EU向けのプライバシーポリシーに含めなければならない必須項目は何ですか？

個人データを会員等のデータ主体から直接データを取得する場合と、データ主体以外からデータを取得する場合があります。以下は、いずれかの場合又はその両方の場合における必須項目です。

管理者の身元・連絡先（代理人がいる場合には、その代理人の身元・連絡先も含む）
データ保護オフィサー（DPO）がいる場合には、その連絡先
予定されている個人データの取扱いの目的やその取扱いの法的根拠
その法的根拠が「正当な利益の目的」の場合、その求める正当な利益の内容
個人データの取得源
個人データの保存期間またはその決定基準
個人データの共有・開示等があれば、その共有先又は共有先の類型
個人データの種類
個人データの提供の性質、提供義務の有無、不提供の場合の生じうる結果
個人データの域外移転に関する事項
個人データの域外移転を予定している場合には、その旨及び十分性認定の有無、該当する場合には適切又は適合する保護措置に関する情報など
個人データへのアクセス、訂正、消去、取扱いの制限、取扱いに対する異議、ポータビリティなどのデータ主体に関する権利（GDPR15条～18条、20条、21条）
GDPR 22条1項・4項に定める個人データの自動処理が存在する場合には、その存在やその自動処理に含まれるロジック、データ主体に生じうる結果等に関する重要な情報
同意の撤回権
監督機関への異議申立ての権利

クッキーポリシーとは何ですか。プライバシーポリシーと違うものですか。

まず、クッキーとは何かについて説明します。

Cookie（クッキー）とは、Webサーバーがクライアントコンピュータに預けておく小さなファイルのことです。

分かり易く説明するために、例えばここに『キコウ市場』というショッピングサイトがあるとします。あなたはそのサイトの来訪者です（Webサーバーを『キコウ市場』、クライアントコンピュータを『あなたのPC』とします。）。

『あなたのPC』が、『キコウ市場』に初めてアクセスした際に、『キコウ市場』が『あなたのPC』の中に、『キコウ市場』専用のCookieファイルを作成します。
そして次回、『あなたのPC』が『キコウ市場』に接続したときには、『あなたのPC』のブラウザ（インターネットエクスプローラーやグーグルクローム、マイクロソフトエッジ等）がそのCookieを『キコウ市場』に送信します。このような仕組みによって、『キコウ市場』は、『あなたのPC』が前回使用していた情報を読み取ることができるようになります。

　Cookieには、『キコウ市場（のサーバー）』によってどのような情報でも格納できますが、多くの場合は、ユーザー名などの接続情報、ショッピングサイトなどで購入する商品を一時的に保管する“買い物かご”の情報、氏名や住所、電話番号などの一度登録した会員情報といった管理に利用されています。

このCookieの取扱いについての声明がクッキーポリシーであるところ、EU法対応の実務においては、

Cookieの名称
Cookieの種類
Cookieの保存期間
第三者がCookieにアクセスできるか否か

などについて説明されているものです。

また、EU法対応の実務において、Cookie利用にあたっては、ウェブサイトの訪問時にCookieバナーによる同意取得及びCookie設定管理画面の整備が原則として求められます。

さらに、EU法対応の実務では、プライバシーポリシーとは別に、Cookieポリシーを独立したものとして掲載することが求められています。

なお、日本の個人情報保護法においてCookie単体では個人情報に当たらない、とされていますが、EUのGDPR、米国のCCPAにおいてはCookie単体でも個人データ（または個人情報）に該当するとされています。

以上のように、海外市場では、個人情報の取扱い、プライバシーポリシーやクッキーポリシーに対する考え方、意識がより厳格となっており注意が必要です。日本国内のやりかたのままで事業を進めていける海外市場は実はどこにもありません。日本の事業展開の延長線上に海外市場はなく、海外市場そのものに対応しようとする新しい努力が必要です。

参考文献：
TMI総合法律事務所『プライバシーポリシー作成のポイント』
TMI総合法律事務所『Cookieポリシー作成のポイント』

おわりに

越境ECや海外向けホームページに必要な英文のプライバシーポリシーやクッキーポリシーについてお困りではありませんか？中小機構では『英文プライバシーポリシー、英文クッキーポリシー』についてのご相談を受付けています。具体的な対策が重要だと思うが、どこから手を付ければ良いか判らないなど、お悩みの場合には、お気軽に中小機構の海外展開ハンズオン支援をご利用ください。

著者紹介

小川陽子　中小機構中小企業アドバイザー（新市場開拓）

海外営業・海外販路開拓支援を専門とし、約20年にわたり中小企業の海外展示会、海外営業、海外Web活用を支援。海外販路の開拓と社内への海外営業ノウハウの定着を両立する支援を行う。自ら海外展開を目指す中小企業向けWebサイトを運営し、実践・検証を重ねながら現場で役立つ海外ビジネスの情報を日々発信している。

監修：伊藤亮介　中小機構　中小企業アドバイザー（新市場開拓）