パーソナルジム・ピラティススタジオのプライバシーポリシーの作り方

結論：ポリシーは「店名義で、取得から窓口まで」を一枚にそろえる公表文書

パーソナルジム、ピラティススタジオ、整体院が公開するプライバシーポリシーは、取得する個人情報の種類、利用目的、預け先や渡し先、保有個人データについての請求の手続、苦情の窓口を、店の名義で一枚にまとめた公表文書です。結論から言えば、予約・会員管理のシステム会社が用意した文書をそのまま掲げるだけでは足りず、店自身の取得と利用の実態に合わせて書く必要があります。会員の氏名や連絡先、予約の履歴、問診票の内容を、顧客台帳や予約システムの会員名簿のように検索できる形で事業に使っていれば、小規模な店でも個人情報取扱事業者です（個人情報保護法16条2項。件数による除外はありません）。

ポリシーが担う役目は、法律上、三つに分かれます。一つ目は、個人情報を取得したときの利用目的の公表です（同法21条1項）。二つ目は、保有個人データ（店が開示、訂正、利用停止などを行う権限を持つ個人データ。同法16条4項）について、事業者の名称・住所・法人なら代表者の氏名、利用目的、請求に応じる手続（手数料を定めるならその額）、安全管理のために講じた措置、苦情の申出先を、本人が知り得る状態に置くことです（同法32条1項、同法施行令10条）。三つ目は、外国にある第三者への提供、共同利用、サイトからの外部送信など、個別の規律が求める公表事項の置き場です。

はじめに押さえておきたいのは、ポリシーは契約の条項ではなく、法律が求める公表のための文書だということです。利用規約のように「同意のうえ利用する」と書いて契約の内容にするものではありません。同意が法律上必要になる場面は別にあり、それは該当する場面ごとに取ります（次の節で扱います）。会員規約全体の組み立ては別のガイドで扱い、本ページはポリシーに絞って、条の並べ方と、書き方でつまずきやすい点を順に見ていきます。開業前に必要な書類の全体像は、開業準備と書類一式で扱っています。

「同意します」を何に対して求めているのか：公表と同意を混ぜない

ポリシーの冒頭に、「利用者は本ポリシーに同意のうえ、本サービスをご利用いただくものとします」と置く書き方は、広く見られます。しかし、法律が店に求めているのは、利用目的を特定して公表または明示すること（同法17条1項、21条）であって、ポリシー全体への包括的な同意ではありません。他方で、本人の同意が必要になる場面は、法律がそれぞれ個別に定めています。要配慮個人情報を取得するとき（同法20条2項）、特定した利用目的の達成に必要な範囲を超えて取り扱うとき（同法18条1項）、個人データを第三者に提供するとき（同法27条1項）、外国にある第三者に提供するとき（同法28条1項）です。包括的な同意の一文は、これらの場面で必要な同意を、取ったことにはしてくれません。何について同意したのかが分からないからです。運動に伴うリスクへの同意（同意書）も別の話で、個人情報の同意とは分けて取ります（けが・同意書と免責）。

同意が要る場面では、その場面の画面や書面で、対象と内容を示して取ります。たとえば、問診票の冒頭に「健康状態に関する記入は、安全にトレーニングを行う目的で利用します」と書き、記入欄の近くで確認してもらう形です。外国にある第三者への提供に同意を求めるなら、同意を求める画面に、提供先の国の名称と、その国の制度、提供先が講じる措置についての情報を添えます（同法28条2項、同法施行規則17条）。ポリシーのリンクを置いただけでは、この情報提供をしたことになるかが不明確になります。

利用目的を書くときは、取得の状況から目的が明らかな場合の扱い（同法21条4項4号）にも注意が要ります。問診票で聞いた健康状態を、安全にトレーニングを行うために使うことは、取得の状況から明らかといえるでしょう。しかし、同じ情報や連絡先を使って、キャンペーンの案内を送ることや、写真を広告に載せることは、明らかとはいえません。後者は、利用目的に挙げ、取得の際に本人に明示します。申込書や入力フォームのように、契約に伴って書面（電磁的記録を含みます）に記載された本人の情報を直接取得する場合は、あらかじめ利用目的を明示しなければならないからです（同法21条2項）。

予約・会員管理システムを使う店の二者構造を、ポリシーにどう映すか

予約・会員管理のシステムを使う店では、会員の情報をめぐって、店とシステム会社の二者が登場します。個人情報保護法の整理は次のとおりです。会員から情報を取得して利用目的を決めるのは店で、店が個人情報取扱事業者です。システム会社は、店の利用目的の達成に必要な範囲で個人データの取扱いを委託された者になり得て、その場合、データの提供は第三者提供に当たりません（同法27条5項1号）。そのかわり、店は委託先に対して必要かつ適切な監督を行います（同法25条）。他方、システム会社が自社のサービス改善などのために独自に利用する部分は、システム会社が自らのポリシーで説明する領域で、店の委託の範囲では説明しきれません。委託先の選定と監督、外国にあるシステム会社の扱いは、別のページでも扱っています（予約システム・カルテアプリを使う前に確かめること）。ここでは、その整理をポリシーの文面にどう反映するかに絞ります。

システム会社が共通のテンプレートを作り、各店が自店の名義で公開する方式もあります。この方式は、それ自体は考えられる運用です。ただ、テンプレートの文面が、店の実際の取得と利用の範囲に合っているかは、店が確かめなければなりません。たとえば、テンプレートがシステム会社を主語にして会員の情報の収集と利用目的を書いていれば、店のポリシーとして採用するには主語から直す必要があります。店の名称・住所・代表者、保有する項目、共有の範囲、苦情の窓口、削除の時期を、店の実態に置き換えたかを一つずつ確かめます。

会員がシステムの画面から、自分の情報の開示や削除を求める場合もあります。このとき、請求を受けるべきなのは、保有個人データについて開示や訂正の権限を持つ店です。受付の方法は店が定めることができ（個人情報保護法37条1項。申出先、様式、本人確認の方法、手数料の徴収方法を定められます。同法施行令12条）、その窓口がポリシーに書かれていることで、会員も、システム会社も、迷わず回送できます。窓口が「担当トレーナー」「システムの問合せ窓口」のままだと、請求が店に届かないおそれがあります。

外部送信の規律：解析・広告タグを入れたサイトは何を公表するか

サイトの閲覧者の端末から、閲覧したページや端末の識別子が、アクセス解析や広告配信の事業者へ自動的に送られる仕組みがあります。電気通信事業法は、一定の電気通信役務を提供する者に対し、利用者の端末から利用者に関する情報を外部へ送信させる指令を出すときは、あらかじめ、送られる情報の内容、送信先で情報を取り扱う者の名称、情報の利用目的を、利用者に通知するか、利用者が容易に知り得る状態に置くことを求めています（同法27条の12、同法施行規則22条の2の29）。ポリシーに外部送信の章を置くのは、この「知り得る状態」を作るための代表的な方法です。

この規律の入口には条件があります。同法施行規則22条の2の27は、対象を、ブラウザなどのソフトウェアで提供される電気通信役務のうち、他人の通信を媒介するもの、利用者から受けた情報を不特定の利用者の求めに応じて送信する機能を他人の通信の用に供するもの、検索の機能を持つもの、不特定の利用者による閲覧に供することを目的とする情報送信機能を他人の通信の用に供するもの、に限っています。したがって、口コミの投稿欄や会員同士のメッセージのように、利用者の通信や投稿を扱う機能の有無で、対象に当たるかが分かれます。自店のサービスを案内し、予約を受け付けるだけのサイトは、この類型のどれに当たるかが問題になります。判断が分かれる場合に備え、送信先と目的をポリシーに載せておく方法が考えられます。

電気通信事業法の規律とは別に、個人情報保護法の側にも整理が要ります。Cookieなどの識別子は、それだけでは特定の個人を識別できず、「個人関連情報」（生存する個人に関する情報で、個人情報、仮名加工情報、匿名加工情報のいずれにも当たらないもの。同法2条7項）に当たることがあります。個人関連情報を他社へ提供する側には、提供先が個人データとして取得することが想定される場合に、本人の同意が得られていることなどを確認する義務があります（同法31条1項）。広告のために会員のメールアドレスなどの一覧を広告事業者に渡す運用は、個人データの提供に当たり、委託と整理できるか、本人の同意が要るかは、広告事業者の利用条件（渡した情報を事業者が自社のために使うか）によって分かれます。ツールを入れる前に、利用条件を確かめておくのが先です。

国外のクラウド・決済：同意を取るか、基準に適合する体制の相手を選ぶか

予約システム、決済、メール配信、クラウドの保管場所は、外国にあることがあります。外国にある第三者に個人データを提供するには、原則として、あらかじめ外国にある第三者への提供を認める本人の同意を得なければなりません（個人情報保護法28条1項）。例外は、規則で定める基準に適合する体制を整備している者に提供する場合と、個人の権利利益の保護について日本と同等の水準にあると認められる制度を持つ外国として規則で定められた国にある第三者への提供です（同項かっこ書）。

気をつけたいのは、委託との関係です。委託先は「第三者に該当しない」とされますが（同法27条5項1号）、それは同条の各項の適用についての規定です。外国にある第三者への提供を規律する28条は別の条なので、外国にある委託先に個人データを渡す場合も、28条の整理が必要になると解されています（個人情報保護委員会の公表資料で確認が必要です）。もっとも、クラウドの事業者が契約上、保存されたデータを取り扱わないことになっていれば、そもそも「提供」に当たらない整理があります。いずれにしても、外国にあるのは誰か、そのサーバーにどの情報が置かれるのかを、サービスの書面で確認することが出発点です。

この区別が文面に表れていない例が、よく見られます。「当社が外国にある第三者に個人情報を提供する場合は、事前にその旨を利用者に通知し、または同意を取得します」という書き方は、基準に適合する体制を整えた相手の場合と、同意が必要な場合を、「通知」と「同意」でひとまとめにしています。同意が必要な場合に、通知だけでは足りません。ポリシーには、実際に外国にある事業者を使うのか、使うならどの国の事業者かを書き、同意が必要な運用であれば、同意の取得の画面を別に用意します。

アンケート・キャンペーン・メルマガ：目的の明示と、メール広告の規律

入会前のアンケート、体験後のアンケート、紹介キャンペーンの申込みフォームは、個人情報の取得の入口です。入力フォームは、書面（電磁的記録を含みます）に記載された情報を本人から直接取得する場合に当たるので、取得の前に利用目的を明示します（個人情報保護法21条2項）。フォームの最後にポリシーへのリンクを置くだけでなく、入力欄の近くに「回答は、サービスの改善と、ご希望の方への案内の送付に利用します」のように、短く目的を書きます。アンケートに症状や既往歴を自由に書かせる設問があれば、要配慮個人情報を取得することになり（同法20条2項）、取得の同意と利用目的の記載を別に整える必要があります（カルテ・健康情報）。

キャンペーンの案内メールやメルマガを送ることは、サービスの提供とは別の利用目的として特定します。入会特典の条件を示す書面とも文言をそろえます（体験・入会・勧誘）。後から「案内も送るようにしたい」と考えて、目的を広げるときは、変更前の目的と関連性を有すると合理的に認められる範囲を超えられません（同法17条2項）。会員管理のための連絡先を、広告のメールの宛先に使うことが、関連性の範囲に収まるかは、取得のときの説明によって変わります。後から目的を足すより、取得の時点で別の項目として挙げる方が、整理が簡単です。

メールで広告を送るなら、特定電子メールの送信の適正化等に関する法律（特定電子メール法）の規律もかかります。事業者が自己または他人の営業につき広告または宣伝を行うための手段として送るメールが「特定電子メール」で（同法2条2号）、送信が許されるのは、同法3条1項各号に挙げる者に限られます。

紹介キャンペーンでは、紹介した人が、紹介される人の氏名や連絡先を店に伝えることがあります。この場合、店は、紹介される人の個人情報を、本人以外から取得します。取得したら、あらかじめ利用目的を公表していない限り、速やかに本人に利用目的を通知または公表する必要があります（同法21条1項）。紹介者に、紹介される人の同意を得てもらう手順を決めておくと、連絡を受けた側の不信感も減らせます。

退会後のデータと開示請求：保存期間、窓口、手数料の決め方

退会した会員の情報を、いつまで持つのか。ポリシーで答えを出しておきたい点です。個人情報取扱事業者は、利用目的の達成に必要な範囲内で個人データを正確かつ最新の内容に保つとともに、利用する必要がなくなったときは、遅滞なく消去するよう努めなければなりません（個人情報保護法22条）。努力義務ではありますが、何も決めずに「退会後も保存します」とだけ書くと、保存を続ける根拠と範囲が説明できなくなります。退会後に残す情報は、理由ごとに分けて書くと整理できます。

開示等の請求への対応は、手続を定めておくほど運用が楽になります。店は、開示等の請求を受け付ける方法を定めることができます（同法37条1項）。定められる事項は、申出先、提出すべき書面の様式、本人または代理人であることの確認の方法、手数料の徴収方法です（同法施行令12条）。代理人は、未成年者または成年被後見人の法定代理人と、本人が委任した代理人です（同法施行令13条）。子どもの会員の保護者が請求する場合は、前者に当たります。

ただし、手続を定めるにあたっては、本人に過重な負担を課すものとならないよう配慮しなければなりません（同法37条4項）。請求の対象になった保有個人データを特定するために、店が本人に必要な事項を尋ねる場合も、本人が容易かつ的確に請求できるように、特定に資する情報を提供するなど、本人の利便を考慮した措置をとります（同条2項）。手数料は、利用目的の通知と開示の請求についてだけ徴収でき、実費を勘案して合理的と認められる範囲で額を定めます（同法38条）。訂正や利用停止の請求については、手数料の定めを置けません。

訂正や利用停止の請求も、窓口に届くことが前提です。保有個人データの内容が事実でないときは、訂正、追加、削除を請求でき（同法34条1項）、利用目的の範囲を超えて取り扱われている場合や、不適正な取得があった場合は、利用停止または消去を請求できます（同法35条1項）。利用する必要がなくなった場合なども、請求の対象になります（同条5項）。窓口が一本化されていて、受け付けた人が責任者に回送する手順があれば、請求を受けた担当者の判断で処理が止まる事態を避けられます。

公開と更新：置き場所、施行日、変更の周知

ポリシーは、書いて終わりではなく、会員が見つけられる場所に置いて初めて機能します。保有個人データの公表事項は、本人の知り得る状態（本人の求めに応じて遅滞なく回答する場合を含みます）に置けばよいとされています（個人情報保護法32条1項）。実務では、サイトのフッター、予約画面と入会フォームのリンク、店頭の掲示（またはQRコード）の三か所に置くのが分かりやすい方法です。書面で入会を受け付ける店は、申込書の隅に「プライバシーポリシーは店頭およびウェブサイトに掲載しています」と書き添えます。

文書の末尾には、施行日と改定の履歴を置きます。利用目的を変更したときは、変更された利用目的を本人に通知または公表します（同法21条3項）。このとき、利用目的を、変更前と関連性を有すると合理的に認められる範囲を超えて変えることはできず（同法17条2項）、その範囲を超える利用をするなら、あらかじめ本人の同意が必要です（同法18条1項）。ポリシーの改定履歴に、どの条をどう変えたかを一行ずつ書いておくと、会員への周知にも、社内の確認にも役立ちます。

利用規約の変更は、民法の定型約款の規定（民法548条の4）で、契約内容の変更の要件が定められています。ポリシーは、契約の内容にするための条項というより、法律が求める公表の文書なので、この規定を前提に「変更後に利用すれば同意したとみなす」と書くのは、なじみません。変更は、周知を先に行い、同意が必要な変更なら同意を取り直す、という順番で進めます。

よくあるご質問

あわせて読みたいページ

本ページは一般的な情報提供です。法令の解釈や行政の運用は、個別の事情や今後の改正・通知によって異なることがあります。書き方の例として紹介している内容は、一般に見られる書き方を整理した例で、特定の事業者や案件を示すものではありません。条文は e-Gov法令検索で確認しています（最終確認日：2026年10月22日）。参考: e-Gov法令検索 / 特定商取引法ガイド（消費者庁） / 国民生活センター / フリーランス法特設サイト（公正取引委員会） / 個人情報保護委員会