商談の録画をプライバシーポリシーに書くとき、条文が並べている5項目
2026年10月14日
商談を録画して文字起こしを残すようになると、プライバシーポリシーをどう直すかという話が出てきます。検索して出てくるのは、プライバシーポリシーの雛形の配布か、商談録画の許可の取り方のどちらかでした。録画と文字起こしという中身について、ポリシーの側に何を書けばよいのかに答えたページはありませんでした。この記事は、個人情報保護法の第三十二条と施行令、個人情報保護委員会のガイドラインを引いて、書かなければならない5項目と、書いてはいけない部分を確かめたものです。出典はすべて本文に置きます。法律相談ではなく、条文から読める範囲の整理です。
上位は「雛形」と「許可の取り方」に分かれていました
「商談 録画 プライバシーポリシー 書き方」で検索して出てきた9件は、2つに割れていました。半分がプライバシーポリシーの書き方と雛形の配布、残りが商談録音の許可の取り方を解説した営業向けの記事です。
雛形の側は、ウェブサイトのフォームから情報を集める前提で作られています。項目は運営者名、利用目的、Cookie、問い合わせ先。録画や音声データは出てきません。許可の取り方の側は「目的を伝える」「用途を伝える」「管理方法を伝える」と商談の場での話し方を書いていますが、それは相手への説明であって、ポリシーに何を載せるかではありません。この2つの間が空いていました。
条文が並べているのは5つです
第三十二条の第1項が、置かなければならない事項を挙げています。
> 個人情報取扱事業者は、保有個人データに関し、次に掲げる事項について、本人の知り得る状態（本人の求めに応じて遅滞なく回答する場合を含む。）に置かなければならない。 > 一 当該個人情報取扱事業者の氏名又は名称及び住所並びに法人にあっては、その代表者の氏名 > 二 全ての保有個人データの利用目的（第二十一条第四項第一号から第三号までに該当する場合を除く。） > 三 次項の規定による求め又は次条第一項（略）、第三十四条第一項若しくは第三十五条第一項、第三項若しくは第五項の規定による請求に応じる手続（第三十八条第二項の規定により手数料の額を定めたときは、その手数料の額を含む。） > 四 前三号に掲げるもののほか、保有個人データの適正な取扱いの確保に関し必要な事項として政令で定めるもの
4号の政令が施行令の第十条です。中身は3つあります。
> 一 法第二十三条の規定により保有個人データの安全管理のために講じた措置（本人の知り得る状態（本人の求めに応じて遅滞なく回答する場合を含む。）に置くことにより当該保有個人データの安全管理に支障を及ぼすおそれがあるものを除く。） > 二 当該個人情報取扱事業者が行う保有個人データの取扱いに関する苦情の申出先 > 三 当該個人情報取扱事業者が認定個人情報保護団体の対象事業者である場合にあっては、当該認定個人情報保護団体の名称及び苦情の解決の申出先
合わせると5つです。名前と住所と代表者の氏名、すべての利用目的、請求に応じる手続と手数料の額、安全管理のために講じた措置、苦情の申出先（第三十二条／施行令第十条）。雛形でよく見る「取得する情報の種類」や「Cookieの扱い」は、この5つには入っていません。入っていないものが並び、入っているものが抜ける。 雛形がこの条文の順で作られていないからです。
3号の「請求に応じる手続」は、開示・訂正・利用停止を求められたときの窓口と手順です。請求そのものの中身は開示を求められたときと削除してほしいと言われたときに書きました。ここで言っているのは、その手順を先に決めて出しておけという話です。
「取得の状況から明らか」でも、公表の義務は残ります
2号にかっこ書きがあります。除かれているのは第二十一条第四項の1号から3号まで。その第四項を見ると、号は4つあります。
> 一 利用目的を本人に通知し、又は公表することにより本人又は第三者の生命、身体、財産その他の権利利益を害するおそれがある場合 > 二 利用目的を本人に通知し、又は公表することにより当該個人情報取扱事業者の権利又は正当な利益を害するおそれがある場合 > 三 国の機関又は地方公共団体が法令の定める事務を遂行することに対して協力する必要がある場合であって（略） > 四 取得の状況からみて利用目的が明らかであると認められる場合
4号が除外に入っていません。 取得したときに利用目的を伝えなくてよい場合として、条文は「取得の状況からみて明らか」を認めています。名刺を受け取ったときのように、言わなくても分かる場合です。けれど第三十二条が除いているのは1号から3号までなので、4号に当たるものは、取得時の通知は要らないのに、利用目的の公表だけは残ります（第二十一条）。
商談の録画はここに当たりやすい場面です。録画していることをその場で伝えて相手も分かっている、だからポリシーには書かなくてよい、とはなりません。2号は「全ての保有個人データの利用目的」です。名刺のほうの扱いはオンライン商談の名刺交換に書いています。
安全管理措置は、書く部分と書いてはいけない部分に分かれます
施行令第十条の1号に、かっこ書きが付いていました。「置くことにより当該保有個人データの安全管理に支障を及ぼすおそれがあるものを除く」。ガイドラインは、除かれるものの事例を4つ挙げています。
> 事例1）個人データが記録された機器等の廃棄方法、盗難防止のための管理方法 > 事例2）個人データ管理区域の入退室管理方法 > 事例3）アクセス制御の範囲、アクセス者の認証手法等 > 事例4）不正アクセス防止措置の内容等
線の引き方も書かれています。
> 「盗難又は紛失等を防止するための措置を講じる」、「外部からの不正アクセス又は不正ソフトウェアから保護する仕組みを導入」といった内容のみでは、本人の知り得る状態に置くことにより保有個人データの安全管理に支障を及ぼすおそれがあるとはいえないが、その具体的な方法や内容については、本人の知り得る状態に置くことにより保有個人データの安全管理に支障を及ぼすおそれがあると考えられる
（ガイドライン（通則編） 3-8-1）
措置があることは書く。やり方は書かない。 録画と文字起こしを扱う側にとっては、ここがいちばん効きます。誰がファイルを開けるかをどう絞っているか、入室の確認をどう組んでいるかは、事例3と事例4にそのまま当たります。この記事でもその中身は書きません。
「法令を遵守し適切に管理します」では足りません
同じ 3-8-1 に、はっきりした線がもう1本ありました。
> 本人の知り得る状態については、本人の求めに応じて遅滞なく回答する場合を含むため、講じた措置の概要や一部をホームページに掲載し、残りを本人の求めに応じて遅滞なく回答を行うといった対応も可能であるが、例えば、「個人情報の保護に関する法律についてのガイドライン（通則編）」に沿って安全管理措置を実施しているといった内容の掲載や回答のみでは適切ではない。
雛形がいちばんよく渡してくる一文が、名指しで足りないとされています。 「関係法令・ガイドラインを遵守し、適切に管理します」だけのポリシーは、この4号の項目を満たしていない形になります。
ではどこまで書くのか。ガイドラインは、基本方針の策定、規律の整備、組織的・人的・物理的・技術的安全管理措置、外的環境の把握という区分で事例を並べ、中小規模事業者向けには別に軽い版の事例を立てています。組織的なら「整備した取扱方法に従って個人データが取り扱われていることを責任者が確認」、人的なら「個人データの取扱いに関する留意事項について、従業者に定期的な研修を実施」。概要の粒度はここが目安になります。安全管理措置そのものを負う義務の話は議事録は誰が書くのかで第二十三条を引いています。
最後の外的環境の把握は、文字起こしや要約を外部に投げている場合に当たります。事例は「個人データを保管しているA国における個人情報の保護に関する制度を把握した上で安全管理措置を実施」。国の名称は「必ずしも正式名称を求めるものではないが、本人が合理的に認識できると考えられる形で」とされています。AIに渡した文字起こしがどう扱われるかの条件はAI議事録に入力した内容は学習に使われるかに書いています。
置き場所は、ホームページでなくてもかまいません
第三十二条の言葉は「公表」ではなく「本人の知り得る状態」です。ガイドラインが並べている事例の1つ目は、ウェブサイトではありません。
> 事例1）問合せ窓口を設け、問合せがあれば、口頭又は文書で回答できるよう体制を構築しておく場合
一方、第二十一条の「公表」のほうは事例が厳しめです。「自社のホームページのトップページから1回程度の操作で到達できる場所への掲載」（通則編 2-15）。取得時の利用目的の公表はトップから1回で届く場所、第三十二条の5項目は窓口で答える形でも足りる、という組み方になっています。利用目的に第三者提供が含まれる場合は、その旨も明らかにしなければならないという注も付いています。第三者提供そのものの線は商談メモは誰まで見えるかです。
第2項と第3項も短く。本人から利用目的の通知を求められたら遅滞なく通知する。通知しないと決めたときも、遅滞なくその旨を通知する。黙っている形が条文に無いのは、開示や削除の請求と同じでした。
保存先を自社に置かないと、書く中身が変わります
Meetnectでは、録画と議事録の本文を当社のサーバーに置かず、利用者が指定するGoogleドライブ等に保存して、当社は保存先のリンクだけを管理する形にしました。決めたときの理由は保管のコストでした。ただ第三十二条の側から見ると、5項目のうち4つ目の中身が変わります。自分の手元に置いていないものについて、廃棄の方法やアクセスの絞り方を書くことはできません。
ただし「何も持っていない」にもなりません。保存先のリンクと文字起こしのテキスト、議事録はこちらを通ります。どこに置くかを決めた時点で、書かなければならない範囲は決まっています。 そこを決めずにポリシーだけ先に作ると、文章と実物が合わなくなります。何年残すかの決め方は商談の議事録は何年残すのかに書いています。
Meetnectの場合
この記事を書いていていちばん引っかかったのは、ポリシーに書く内容が、文章を書く仕事ではなく置き場所を決める仕事だという点でした。録画をどこに置くか、文字起こしを誰に渡すか、誰が開けるようにするか。それが決まっていれば5項目は埋まり、決まっていなければ雛形の一文で埋めるしかなくなります。Meetnectで保存先を利用者側に寄せたのはコストの話からでしたが、結果として書ける範囲がはっきりしました。順番は、置き場所が先です。