- 小さな事務所でも、個人情報を事業に使っていれば個人情報保護法の対象です。扱う人数による除外は、2017年5月30日になくなりました。
- フォームで本人から直接受け取るときは、あらかじめ利用目的を本人に示します（個人情報保護法第21条第2項）。送信ボタンの前に、利用目的とプライバシーポリシーへのリンクを置くのが分かりやすい形です。
- プライバシーポリシーには、事務所の名称・住所・代表者、利用目的、開示などの手続、安全管理措置、苦情の申出先などを書きます（同法第32条、施行令第10条）。
※ この記事は、2026年10月5日時点の法令と個人情報保護委員会の資料をもとにした一般的な説明です。個別の判断は、委員会の資料や専門家にご確認ください。
小さな事務所も、個人情報保護法の対象
個人情報保護法は、個人情報を検索できる形にまとめて事業に使っている事業者を対象にしています。以前は扱う人数が5,000人以下の事業者は対象外でしたが、2017年5月30日からこの除外はなくなりました。個人事務所でも、顧客の名簿や相談の記録を持っていれば対象です。
フォームで受け取るときに求められること
フォームに入力してもらうことは、本人から直接書面で受け取ることにあたります。この場合、事務所は「あらかじめ」利用目的を本人に示す必要があります（第21条第2項）。個人情報保護委員会のガイドラインは、送信ボタンを押す前に利用目的が目に留まるように置くこと、または1回程度の操作で利用目的のページに移れるリンクを置くことが望ましいとしています。
1ご入力いただいた情報は、ご相談への回答と、ご依頼いただいた業務のご連絡にのみ使います。詳しくはプライバシーポリシーをご覧ください。
2確認して送信する- 1送信ボタンの直前に、利用目的とプライバシーポリシーへのリンクを置く
- 2ボタンを押す前に目に入る位置にする。目的を変えたり足したりしたら、ここも直す
個人情報保護委員会のQ&Aによれば、受け取ったメールアドレスを「申込み内容の確認や結果の連絡」だけに使う場合は、取得の状況から利用目的が明らかとして、明示が要らないこともあります。ただし、事務所からのお知らせやセミナーの案内に使う場合は、明らかとはいえないことがあるため、明示しておきます。
プライバシーポリシーに書く6つのこと
事務所が持つ個人情報（保有個人データ）について、次の事項を本人が知り得る状態に置く必要があります（第32条第1項、施行令第10条）。ホームページへの掲載は必須ではなく、問い合わせに遅れずに答えられる体制でもよいとされていますが、ホームページに載せておくのがいちばん分かりやすい方法です。
| 書くこと | 書き方の例 | 根拠 |
|---|---|---|
| 1. 名称・住所・代表者 | 事務所の名称と住所。法人なら代表者の氏名 | 法32条1項1号 |
| 2. 利用目的 | ご相談への回答、ご依頼いただいた業務の遂行、ご連絡 など。第三者への提供があればその旨も | 法32条1項2号 |
| 3. 開示などの手続 | 利用目的の通知、開示・訂正・利用停止などを求めるときの連絡先と方法。手数料を決めたらその額 | 法32条1項3号 |
| 4. 安全管理措置 | 取扱いのルール、担当者、書類や機器の管理、通信の暗号化 などの概要 | 施行令10条1号 |
| 5. 苦情の申出先 | 個人情報の扱いについての問い合わせ窓口 | 施行令10条2号 |
| 6. 認定個人情報保護団体 | 団体の対象事業者である場合だけ、その名称と苦情の申出先 | 施行令10条3号 |
4の安全管理措置は、概要をホームページに載せ、詳しい内容は問い合わせに答える形でもよいとされています。一方で、「ガイドラインに沿って対策しています」とだけ書くのは適切でないとされています。
フォームのサービスを使うときの注意
外部の問い合わせフォームのサービスやクラウドを使う場合、そのサービス事業者が受け取った個人情報を取り扱うことになっているかどうかで、扱いが変わります。
- 事業者が取り扱う場合は「委託」にあたります。事務所は委託先を選び、契約を結び、取扱いの状況を把握して、監督する必要があります（第25条）。
- 契約上取り扱わない場合でも、事務所自身の安全管理措置は必要です。
- 外国の事業者のサービスを使う場合は、事業者とサーバがある国の名前と、その国の制度を踏まえて取った措置を、安全管理措置として示します。
個人情報保護委員会は、漏えいなどの報告の対象となる例として、入力フォームの作成ツールの事業者が不正の相手方になる場合も挙げています。フォームのサービスを選ぶときは、運営会社とデータの保管場所を確かめておきます。
通信の暗号化（https）
個人情報保護委員会のガイドラインは、安全管理措置の手法の例として「通信の経路又は内容を暗号化」することを挙げています。httpsを法律上の義務とする定めはありませんが、本人がフォームに入力して送るときの手法として、委員会のQ&AはSSL/TLSを例に挙げています。STUDIOで独自ドメインをつなぐと、通信を暗号化するための証明書は自動で発行されます。
士業の事務所が、とくに気をつけること
- 守秘義務は、個人情報保護法とは別にかかります。社会保険労務士法第21条、税理士法第38条、行政書士法第12条、司法書士法第24条は、業務で知った秘密を漏らすことを禁じ、資格を離れたあとも続く義務としています。フォームで受け取った相談の内容も、両方のルールに沿って扱います。
- 顧問先の従業員の情報を預かる事務所は、確かめておきたいことがあります。ガイドラインは、従業員100人以下の「中小規模事業者」向けに簡単な安全管理の手法を示していますが、委託を受けて個人データを取り扱う事業者は、この中小規模事業者から除かれています。給与計算や手続きのために顧問先の従業員の情報を預かっている場合は、この除外にあたるかどうかを確かめてください。
公開する前のチェックリスト
- 送信ボタンの前に、利用目的とプライバシーポリシーへのリンクがある
- プライバシーポリシーに、6つの事項（当てはまるもの）が書いてある
- お知らせや案内に使うなら、そのことも利用目的に書いてある
- フォームのサービスの運営会社と、データの保管場所を確かめた
- フォームのあるページが https で開く
- 届いた問い合わせのメールを、誰が見られるかを決めている
よくある質問
Q「同意する」のチェックボックスは必要ですか？
Qほかの事務所のプライバシーポリシーを、そのまま使ってもいいですか？
Q個人情報保護法は、また改正されるのですか？
確認した資料
- e-Gov法令検索：個人情報の保護に関する法律（第16条・第17条・第21条・第23条・第25条・第27条・第28条・第32条）、同法施行令（第10条）
- 個人情報保護委員会「個人情報の保護に関する法律についてのガイドライン（通則編）」、「ガイドラインに関するQ&A」（Q1-50・Q4-17・Q7-53・Q9-1・Q9-3・Q10-21・Q10-25・Q12-3 ほか）
- e-Gov法令検索：社会保険労務士法、税理士法、行政書士法、司法書士法
- STUDIO ヘルプ「独自ドメインでの公開」
- いずれも2026年10月5日に確認。