自社サービスやECサイトを始めるとき、多くの中小企業では利用規約とプライバシーポリシーを「他社のものを参考に、とりあえず」用意しています。しかし利用規約は民法の定型約款ルールを満たさなければ契約内容になりませんし、消費者契約法に反する条項は無効と判断されます。プライバシーポリシーも、個人情報保護法が求める記載が欠けていれば、同意を取ったつもりが取れていない事態を招きます。この記事では、定型約款（民法548条の2〜548条の4）、消費者契約法で無効になる条項、個人情報保護法で必要な記載、同意の取り方の4つの観点から作り方を整理します。
利用規約とプライバシーポリシーは何が違い、なぜ両方必要か
二つの文書は似たものと思われがちですが、法的な性質は異なります。利用規約は会社と利用者との間の「契約の内容」を定める文書で、料金、禁止事項、退会、責任の範囲など、もめたときに会社を守るルールを書きます。プライバシーポリシーは、個人情報保護法が事業者に求める利用目的や保有個人データに関する事項の公表を果たす文書で、同意を得る場面の土台にもなります。
| 項目 | 利用規約 | プライバシーポリシー |
|---|---|---|
| 法的性質 | 会社と利用者の契約内容（定型約款） | 個人情報保護法上の公表・通知事項と同意の前提 |
| 主な根拠法 | 民法548条の2〜548条の4、消費者契約法 | 個人情報保護法17条・21条・27条・28条・32条など |
| 書く内容 | サービス内容、料金、禁止事項、解除、免責、準拠法・管轄 | 取得する情報、利用目的、第三者提供、委託、外国への提供、開示請求の手続 |
| 不備の結果 | 条項が契約内容にならない・無効になる | 目的外利用や同意なき第三者提供として法違反になる |
二つは分けて作成し、利用規約からプライバシーポリシーを参照する形が実務上は扱いやすいと考えています。
利用規約を契約として有効にする ― 民法の定型約款ルール
2020年4月施行の改正民法で、不特定多数を相手に画一的な内容で取引するための条項群は「定型約款」として明文のルールが置かれ、利用規約もこれに従います。
規約が契約内容になる条件（548条の2第1項）
個別条項に合意したものと「みなされる」のは、①定型約款を契約の内容とする旨の合意をしたとき（「利用規約に同意する」にチェックして申し込む運用）、または②会社があらかじめその旨を表示していたときです。申込みの流れの中で表示も合意もされていなければ、「規約に書いてあった」という主張は通りにくくなります。
書いてあっても合意しなかったとみなされる条項（548条の2第2項）
相手方の権利を制限し、または義務を加重する条項で、取引の態様や実情、社会通念に照らして信義則に反し、相手方の利益を一方的に害するものは、合意しなかったものとみなされます。事業者相手の取引にも適用され、「当社はいかなる場合も一切責任を負わない」といった条項が典型例です。
内容の表示請求と変更のルール（548条の3・548条の4）
利用者から請求があれば会社は遅滞なく規約の内容を示さなければならず、合意前の請求を正当な理由なく拒むと規約は契約内容になりません（548条の3）。548条の4は、個別の同意なしに規約を変更できる場合を、①変更が利用者の一般の利益に適合する場合、②契約の目的に反せず、変更の必要性・変更後の内容の相当性・変更条項の有無などに照らして合理的な場合に限っています。変更時は効力発生時期を定め、変更する旨・変更後の内容・効力発生時期を周知する必要があり、②の変更は効力発生時期までに周知しなければ効力を生じません。
利用規約は「置いてあるだけ」では契約になりません。申込み導線での合意・表示、一方的に不利な条項の排除、変更時の事前周知が民法上の最低条件です。
消費者契約法で無効になる条項 ― 免責・解約制限・違約金・一方的不利益
利用者に個人（消費者）が含まれるサービスでは、民法に加えて消費者契約法の不当条項規制がかかります。行き過ぎた条項はまるごと無効になり、かえって会社を守れません。
| よく見るNG条項 | 根拠 | 修正の方向性 |
|---|---|---|
| 「当社は一切の損害賠償責任を負いません」 | 8条1項（責任の全部免除は無効） | 故意・重過失を除いたうえで賠償額の上限（例：直近数か月分の利用料金）を定める |
| 「当社の責任は利用料金の範囲に限ります」（限定の対象が不明確） | 8条3項（軽過失に限る旨を明らかにしない一部免除は無効） | 「当社に故意または重大な過失がある場合を除き」と明記する |
| 「お客様はいかなる場合も契約を解除できません」 | 8条の2（債務不履行による解除権の放棄は無効） | 会社側の債務不履行があれば解除できる前提で手続・時期を定める |
| 「中途解約時は残期間の料金全額を違約金として申し受けます」 | 9条1項1号（平均的な損害を超える部分は無効） | 解約時期ごとに実際に生じる損害の見込みに合わせ、算定根拠を説明できる金額にする |
| 「支払が遅れた場合は年20％の遅延損害金」 | 9条1項2号（年14.6％を超える部分は無効） | 年14.6％以内に設定する |
| 「解約の申出がなければ有料プランに自動移行します」など不作為を申込みとみなす条項 | 10条（信義則に反して消費者の利益を一方的に害する条項は無効） | 移行前の明確な通知と容易な解約手段を用意する |
9条2項は、違約金の算定根拠の説明を消費者から求められた場合、事業者はその概要を説明するよう努めなければならないとしています。「なぜこの金額なのか」を説明できない違約金は見直すべきです。
消費者向け規約では、全部免責・解除権の放棄・平均的な損害を超える違約金・年14.6％超の遅延損害金が無効条項の代表です。無効にならない範囲まで引き下げて確実に効かせる方が会社を守ります。
利用規約に盛り込む条項チェックリスト
どのサービスでも検討すべき基本項目は共通しています。自社の規約と照らし合わせてください。
- 適用範囲・定義：対象サービス、用語の定義、個別契約との優先関係。
- 料金・支払：料金、支払時期・方法、返金の有無と条件、遅延損害金（消費者相手は年14.6％以内）。
- 禁止事項：法令違反、迷惑行為、不正アクセスなど。利用停止・解除の根拠になるため具体的に列挙します。
- 知的財産権・投稿コンテンツ：権利の帰属と投稿コンテンツの利用許諾の範囲。
- サービスの中断・終了、利用停止・解除／退会：中断事由、終了の予告期間、会社側の解除事由、利用者側の退会方法。
- 免責・責任制限：故意・重過失を除くことを明示したうえでの賠償額の上限。
- 規約の変更：民法548条の4に沿った変更手続と周知方法。
- 準拠法・合意管轄：日本法を準拠法とし、会社所在地の裁判所を専属的合意管轄とする定め。
利用者に個人事業主が含まれる場合は消費者契約法の適用が問題になり得るため、消費者向けと事業者向けで規約を分ける設計も検討します。
プライバシーポリシーに必要な記載 ― 個人情報保護法の要求事項
個人情報保護法は「プライバシーポリシーを作れ」と直接命じてはいませんが、事業者に課された公表・通知義務を一つの文書で果たす手段として実務上用いられています。記載事項を根拠条文から逆算して整理します。
| 記載事項 | 根拠条文 | 書き方の要点 |
|---|---|---|
| 利用目的 | 17条1項（できる限り特定）、21条1項（取得時の通知・公表） | 「サービス提供のため」だけでは不十分。本人確認、料金請求、問い合わせ対応など、利用者が使われ方を想像できる粒度で書く |
| 第三者提供 | 27条1項（原則本人の同意）、27条2項（オプトアウト） | 提供先の類型、項目、方法を明記し、同意に基づくか法令上の例外かを区別する |
| 委託 | 25条（委託先の監督）、27条5項1号（委託は第三者提供に当たらない） | 決済代行、配送などの委託先に提供する旨を書く。同意は不要だが監督義務を負う |
| 外国にある第三者への提供 | 28条（提供を認める旨の同意等） | 海外のクラウドやツールに個人データを預ける場合は、提供先の国名など法が求める情報を示して同意を取る |
| 保有個人データに関する事項 | 32条1項（本人の知り得る状態に置く） | 事業者の名称・住所・代表者氏名、保有個人データの利用目的、開示・訂正・利用停止等の請求手続、安全管理のために講じた措置、苦情の申出先 |
| Cookie等の利用 | 31条（個人関連情報） | アクセス解析や広告ツールに利用者情報を送信する場合は、その旨とツール名を記載する |
見落とされやすいのが「安全管理のために講じた措置」です。32条1項の事項には政令で定めるものが含まれ、安全管理措置の内容がこれに該当します。組織的・人的・物理的・技術的措置の概要を記載します。また、個人の権利利益を害するおそれが大きい漏えい等が生じた場合は、個人情報保護委員会への報告と本人への通知が義務付けられています（26条）。
プライバシーポリシーの中身は、個人情報保護法17条・21条・27条・28条・32条の要求事項の裏返しです。他社のひな型を流用すると、自社で行っていない第三者提供が書かれ、実際に使う海外ツールへの提供が抜けがちです。自社のデータの流れの棚卸しが出発点です。
同意の取り方と規約変更の実務
利用規約への同意
民法548条の2第1項の「合意」または「表示」を申込み導線で確実に残します。登録ボタンの直前に規約を示し、「利用規約に同意して登録する」というボタン表記かチェックボックスを設ける方法が一般的です。最初からチェックが入った初期設定は避けます。同意日時と規約のバージョンをログに残せば、紛争時に「どの内容に同意したか」を立証できます。
個人情報の取扱いへの同意
利用目的の範囲内で使うだけなら通知または公表で足り、同意は不要です（21条1項）。同意が必要になるのは、第三者提供（27条1項）、外国にある第三者への提供（28条）、要配慮個人情報の取得（20条2項）などの場面です。「プライバシーポリシーに同意する」というチェック一つで全てをまかなう運用は、同意の対象が特定されていないと評価されるおそれがあります。
規約・ポリシーを変更するとき
利用規約の変更は548条の4に従い、効力発生時期を定め、変更内容と効力発生時期をサイト上の告知やメールで事前に周知します。値上げなど利用者に不利な変更は「合理的」といえるかが問われるため、必要性の根拠を残し、周知から効力発生まで十分な期間を置きます。利用目的の変更は、変更前の目的と関連性を有すると合理的に認められる範囲に限られ（17条2項）、変更後の目的は通知または公表が必要です（21条3項）。その範囲を超える目的で使うなら本人の同意が必要です（18条1項）。
2026年改正個人情報保護法への備え
2026年7月17日公布の改正個人情報保護法は、課徴金制度の導入や子どもの個人情報・生体データの規律強化を内容とし、公布から2年以内に政令で定める日に施行されます。同意のない第三者提供などに経済的制裁が加わる方向は明確であり、施行を待たずに点検しておくことをお勧めします。
よくある質問（FAQ）
他社の利用規約をコピーして使っても問題ありませんか？
利用規約はサイトにリンクを置いておけば契約内容になりますか？
「当社は一切の責任を負いません」という免責条項は本当に無効ですか？
個人情報の利用目的は「サービス提供のため」と書けば十分ですか？
利用規約を変更するとき、利用者全員の同意を取り直す必要がありますか？
まとめ
- 利用規約は契約内容、プライバシーポリシーは個人情報保護法上の公表・通知と同意の土台であり、分けて作成します。
- 利用規約は民法548条の2〜548条の4の定型約款ルールに従い、申込み導線での合意・表示、不当条項の排除、変更時の事前周知を満たす必要があります。
- 消費者向け規約では、全部免責（8条）、解除権の放棄（8条の2）、平均的な損害を超える違約金・年14.6％超の遅延損害金（9条）、一方的不利益条項（10条）が無効の代表例です。
- プライバシーポリシーには、利用目的、第三者提供、委託、外国への提供、保有個人データに関する事項を実態に合わせて記載します。
- 同意は対象を特定して取得し、同意日時と規約バージョンの記録を残します。2026年改正個人情報保護法の施行前に点検しておくことが望まれます。
利用規約とプライバシーポリシーは、料金改定や新機能の追加、利用ツールの変更のたびに見直しが必要になる文書です。当事務所の顧問弁護士サービスでは、規約・ポリシーの作成から改定時の周知設計、個人情報の社内ルール整備まで、チャット・オンラインで全国の企業を継続的に支援しています。現在の規約に不安がある場合や新サービスの公開を予定している場合は、お問い合わせ（無料相談）からお気軽にご連絡ください。
※ 本記事は一般的な情報提供を目的とするものであり、個別の事案に対する法的助言ではありません。法令・制度の内容は公開日時点のものです。具体的なご対応にあたっては、最新の法令をご確認のうえ、弁護士にご相談ください。