個人情報を取得するときの注意点｜申込フォーム・名刺・問い合わせ対応

第4話で「利用目的の特定・通知・公表」を学びました。第5話では、それを踏まえて実際の取得場面で何を確認するかに踏み込みます。利用目的の基本を振り返りたい方は第4話：利用目的の特定・通知・公表もご覧ください。

まず結論｜個人情報の取得時に見るべき5つのポイント

取得場面はさまざまですが、確認すべき軸は共通しています。まずは、個人情報を取得するときの5つの基本チェックを押さえましょう。この5点を意識するだけで、取得時のリスクの多くを早めに発見できます。

個人情報の取得に関する基本ルール

場面別の話に入る前に、個人情報の取得に共通する基本ルールを、フォームや名刺管理・問い合わせ対応で「何を見るか」に落とし込んで整理します。

• 適正取得：偽りその他不正の手段で個人情報を取得してはなりません（法第20条第1項）。だましたり、利用実態を隠して不正に取得したりする設計は避けます。本人が通常想定しにくい方法で取得する場合は、利用目的の表示や取得方法の適切性を慎重に確認します。
• 利用目的の通知・公表：個人情報を取得した場合は、あらかじめ利用目的を公表している場合を除き、速やかに本人に通知し、または公表する必要があります（法第21条第1項）。
• 直接書面等で取得する場合の明示：申込書やWeb入力画面など、本人から直接書面等で個人情報を取得する場合は、原則としてあらかじめ利用目的を本人に明示します（法第21条第2項）。

申込フォーム・問い合わせフォームで取得するときの注意点

Webフォームや申込フォームは、本人から直接入力してもらう典型的な取得場面です。本人から直接書面等で取得する場面にあたるため、利用目的の明示やプライバシーポリシーへの導線が特に重要になります。フォーム最下部に小さく書くのではなく、送信前に本人が確認できる配置が望まれます。

あわせて確認したいのが、入力項目が過剰になっていないかです。氏名、会社名、メールアドレス、電話番号、住所、問い合わせ内容、役職、業種——これらの各項目について、「なぜ必要か」を利用目的との関係で説明できるかを確認します。必須項目と任意項目を分けることも有効です。

外部のフォーム作成ツールを使う場合は、保存先や事業者の関与（委託など）も確認が必要です。詳しくは本記事の第9章および第14話：SaaS・クラウドサービス利用時のチェックで扱います。

名刺交換・名刺管理アプリで取得するときの注意点

名刺はビジネスで日常的に扱う情報ですが、氏名、会社名、部署、役職、メールアドレス、電話番号など、個人情報に該当し得る情報が含まれます。名刺交換は、申込フォームのように本人が入力する取得場面とは性質が異なり、本人が自発的な意思で簡便に提供する場面と整理されることがあります。

もっとも、これは「名刺ならどう使ってもよい」という意味ではありません。取得後に名刺管理アプリ、CRM、営業リスト、メール配信リストに登録して利用する場合には、利用目的、社内での共有範囲、外部サービスの利用、メール配信の可否を確認する必要があります。

名刺情報・営業リスト・メール配信の詳しい実務は、第13話：営業リスト・名刺情報・メール配信の個人情報保護法チェックで扱います。

アンケート・キャンペーン・資料請求で取得するときの注意点

アンケート、キャンペーン応募、資料請求は、取得項目が増えやすく、マーケティング利用や営業フォローにつながりやすい場面です。だからこそ、取得時の利用目的の表示、メール配信の有無、第三者提供・共同利用の有無、外部ツールの利用を確認しておく必要があります。

特に注意したいのが、取得時の目的と、後で使いたくなる目的のズレです。「プレゼント応募のために取得した情報を、無関係な営業活動や広告配信に使えるか」は、慎重な確認が必要です。

取得した情報を当初と異なる目的で使う場合は、目的外利用の問題につながります。詳しくは第6話：目的外利用とは何かをご覧ください。

採用応募・人事関連で取得するときの注意点

採用応募では、履歴書、職務経歴書、学歴、職歴、資格、連絡先、志望動機、面接評価など、多くの個人情報を扱います。情報量が多いぶん、取得時の整理が特に重要になります。

注意したいのは、要配慮個人情報やセンシティブな情報につながる項目を安易に取得しないことです。選考に必要な範囲かを確認し、不要な情報を集めない姿勢が求められます。また、不採用者情報の保存期間、削除ルール、応募者への案内、採用管理システム（ATS）の利用についても確認しておきましょう。

電話・口頭・対面で取得するときの注意点

個人情報の取得は、書面やWebフォームに限りません。電話受付、店頭受付、対面相談、イベント受付など、口頭や対面でも個人情報を取得する場面は多くあります。

口頭で取得した内容をメモやシステムに記録する場合も、利用目的、記録範囲、保存先、共有範囲の確認が必要です。「電話で聞いただけ」「口頭だから」といって個人情報保護法と無関係になるわけではありません。本人にどのように利用目的を伝えるか（受付時の案内文や応対マニュアルへの反映など）も、実務上の検討ポイントになります。

外部サービス・SaaSを使って取得する場合の注意点

フォーム作成ツール、CRM、MAツール、採用管理システム、名刺管理アプリ、アンケートツールなど、外部サービスを通じて個人情報を取得・保存する場面が増えています。便利な一方で、確認すべき論点もあります。

まず、自社が直接取得しているのか、外部サービス事業者が関与しているのかを整理します。そのうえで、委託・第三者提供・共同利用・海外移転（外国にある第三者への提供）の論点がないかを確認します。「外部ツールに保存しているから自社は関係ない」とは言えません。委託している場合でも、委託元としての責任は残ります。

同意チェックボックスの使い方と限界

Webフォームでよく見かける「個人情報の取扱いに同意する」チェックボックス。これは、本人に内容を確認してもらう導線として有用な場合があります。しかし、「置けば何でも適法になる」ものではありません。

そもそも、通常の個人情報の「取得」自体には、原則として本人の同意が法律上の要件とされているわけではなく、利用目的の通知・公表・明示が基本です。一方で、要配慮個人情報の取得や第三者提供などは、原則として本人の同意が必要とされる場面です。つまり、「同意が本当に必要な場面なのか」「何に対する同意なのか」を整理することが先決です。

ポイントは、チェックボックスの有無だけで適法性が決まるわけではないということです。リンク先の内容が実際の取扱いと一致しているか、必須にする必要が本当にあるか、同意取得が必要な場面かを、セットで確認しましょう。

取得項目を増やしすぎないための実務チェック

個人情報は、「将来使うかもしれないから」と広く取得しがちです。しかし、使わない情報を持つことは、管理コストと漏えい時のリスクを増やすだけになりかねません。利用目的との関係で本当に必要な項目かを、取得前に確認しましょう。

確認の視点は、「利用目的に必要か」「任意項目にできないか」「保存期間を決めているか」「閲覧できる人を限定しているか」です。以下に、取得項目ごとの必要性確認の例を示します。

取得項目を絞ることは、利用目的との整合を説明しやすくし、本人の安心や漏えい時の影響範囲の縮小にもつながります。日本の個人情報保護法には、GDPRのような一般的なデータ最小化義務が明文で定められているわけではありませんが、利用目的をできる限り特定し、適正に取得・管理するという観点から、「多く取る」より「必要性を説明できる範囲で取る」運用が実務上望ましいといえます。

取得時に法務担当者が事業部門に確認すべき質問

事業部門から「このフォームで個人情報を取ってよいか」と相談を受けたら、次の質問で論点を洗い出します。設計段階で確認しておくと、後からの手戻りを防げます。

漏えい・誤送信への備えは、第10話：漏えい等が起きたときの初動対応、および漏えい時の「速報」「確報」報告義務で詳しく扱います。

よくある誤解と正しい理解

個人情報の取得をめぐる代表的な誤解を整理します。いずれも実務で見られるものです。

このシリーズでの次の学び方

取得場面の注意点を押さえたら、次は取得した個人情報の「使い方」と「守り方」に進みます。第6話では、取得した個人情報を別目的で使う場合の目的外利用を、第7話では外部提供・委託・共同利用の基本を扱います。第8話・第9話では、取得後の安全管理措置と社内管理ルールへと続きます。

まとめ｜取得の「入口」を設計段階から確認する

個人情報を取得するときは、取得項目・利用目的・表示方法・保存先・外部サービス・取得後の利用範囲をセットで確認することが重要です。場面ごとに確認ポイントは異なりますが、「何のために、どの情報を、どこで、どう示して取得するか」という軸は共通しています。