利用規約とプライバシーポリシーは、事業が変わるたびに見直した方がよい
こんにちは。LegalAgent 代表弁護士の朝戸です。
スタートアップの法務において、後回しになりやすい代表的な文書が利用規約とプライバシーポリシーです。会社の設立時やサービスの立ち上げ時に一度作成したきり、事業内容が大きく変化しているにもかかわらず、初めの文面がそのまま残されている例は珍しくありません。料金体系の改定や法人向けプランの追加、ユーザー投稿機能の導入のほか、外部の生成AIや海外クラウドの利用など、サービスは日々更新されていきます。その結果、営業資料では最新の機能を説明している一方で、規約やポリシーだけが過去の初期事業を前提にしたまま放置されているという不整合が生じがちです。
これは形式的に古い文章が残っているというだけの問題ではありません。利用規約は、事業者と利用者との間で提供内容や禁止行為、損害賠償をはじめとする責任の範囲を確定させる契約文書です。プライバシーポリシーは、個人情報をいかなる目的で取得し、どの範囲で利用し、第三者提供や外部委託をどう処理するのかを利用者に向けて明示する公表文書です。どちらも現在の事業実態と食い違いしていては本来の機能を果たせません。
事業の変化に伴う利用規約のズレ
利用規約は、サービスの提供条件を定める文書です。たとえば、初期に無料のβ版として公開したサービスを有料のSaaSへと移行させる場合、利用料金の支払時期や決済方法、途中解約時の返金対応などをどのように定めるかが直接の検討事項となります。法人向けプランを追加する局面では、組織内の管理者アカウントによる権限設定、従業員の利用管理、監査ログの開示請求への対応なども規約上の論点となります。
機能追加やプラン変更がもたらす影響
ユーザーが文章や画像を投稿できる機能を持たせるサービスであれば、投稿されたデータの著作権の帰属先や、利用規約違反となる不適切な投稿への削除対応基準を事前に明確にしておく必要があります。外部の生成AIツールを組み込む場合は、利用者が入力したプロンプトや出力された成果物の取り扱い、AIモデルの学習にデータが利用されるか否かなども規約に反映させておかなければなりません。
このように、事業やサービスのあり方が変われば、規約に盛り込むべき条件も自ずと変化します。機能追加や料金プランの変更を企画する段階で、影響する契約条項を点検します。
民法上の定型約款ルールと改定手続
新しい利用規約をウェブサイトに掲載しただけで、既存の全ユーザーに当然に適用されるとは限りません。民法548条の4に基づく定型約款の変更が認められるのは、変更が相手方一般の利益に適合する場合、または、契約をした目的に反せず、かつ、変更の必要性、変更後の内容の相当性、変更条項の定めの有無や内容などに照らして合理的といえる場合に限られます。
変更を実施する際は、効力発生時期をあらかじめ定めたうえで、規約を変更する旨、変更後の規約内容、効力発生時期を適切な方法で周知しなければなりません。このうち合理性を根拠とする変更ルートでは、効力発生時期が到来する前に周知を済ませておかなければ、法的な効力が生じないと定められています。定型約款の要件に該当しない取引である場合や、これらの変更要件を満たせない場合には、個別の再同意を取得するなどの別の法的根拠を用意することになります。料金の引き上げや責任制限の強化、解約制限の追加などを行う際は、従前の契約内容と変更理由を踏まえ、同意取得や事前告知の手段を慎重に定めます。
この適法性の判断は、条文の文面だけを見ていても下せません。どのような性質のサービスで、どのようなユーザー層が利用しており、なぜその変更が事業の存続や成長に必要なのかという実態まで把握したうえで、改定手順を設計します。現場の営業担当者やプロダクトチームが規約の確認を経ずにサービス条件を変更してしまう事態を防ぐため、法務側でも条文の改定だけでなく、ユーザーへの告知文面や営業資料、実際の退会・解約画面の導線まで合わせて確かめる姿勢が大切です。
消費者契約法および特定商取引法の規律
一般消費者を対象とするBtoCサービスでは、事業者が利用規約を自由に作成できる幅が一段と狭まります。消費者契約法は、不当な勧誘による契約の取消権を認めるほか、消費者の権利を制限し事業者の責任を不当に免除する条項を無効と定めています。事業者の損害賠償責任を一律に免除する条項や、消費者に過大な違約金を課す規定などは、文言として規約に明記されていても効力が否定されるおそれがあります。
ECサイトやサブスクリプション型サービスにおいては、特定商取引法に基づく表示義務や最終確認画面の設計も直接関わってきます。定期課金の金額や支払時期、自動更新の有無、解約の手順などについて、利用者が最終的な注文ボタンを押す直前に明確に認識できる画面設計になっているかは、規約本文の記載とは別に確認する事項です。
利用規約の文面だけを整えても、実際の申込導線や広告表現、決済画面の文言と矛盾があれば、法的なトラブルを防ぎきれません。法務の点検では、規約の条文確認にとどまらず、ユーザーが実際に契約に至る画面遷移の全体を実機やプレビューで確認することが欠かせません。
プライバシーポリシーと社内データの流れ
プライバシーポリシーにおいては、個人情報保護委員会の通則ガイドラインを踏まえ、利用目的をできる限り具体的に特定して記載します。書面や入力フォームを通じて本人から直接個人情報を取得する場合には、原則として事前に利用目的を明示する必要があります。個人データの第三者提供と業務委託の違いを正確に区別して整理することも基本です。
個人情報保護法等の改正法は、委員会の公表によれば2026年7月10日に成立し、7月17日に公布されました。一部の規定を除き、公布の日から2年以内において政令で定める日から施行されることになっています。成立・公布と各条文の施行時期には時間差があるため、2026年9月13日現在の実務においては、すでに効力を持つ現行法の規定に即した実務対応と、将来施行される改正規定に向けた準備作業とを切り分けて進めます。
事業の規模が拡大するにつれて、社内でやり取りされるデータの流れは複雑化します。初期は簡単な問い合わせ窓口だけだったものが、CRMツールの導入、アクセス解析ツールの連携、さらには生成AIの活用へと広がっていきます。採用活動における応募者情報や取引先担当者の連絡先を社内システムに集約する場面も増えます。したがって、ポリシーの見直しを行う際は、条文の言い回しを直す前に、社内のデータフローを可視化したデータマップを作成して確認する方法が有効です。
どの画面で誰のいかなる情報を取得し、それを社内のどの部署が扱い、どの外部SaaSや海外サーバーへ送信しているのか。広告配信やプロファイリングに利用しているのか、業務委託に伴う預託なのか、第三者提供に該当し得るのか。こうした実態を把握せずにポリシーだけを修正しても、実際の取り扱いと乖離した文書になってしまいます。利用目的の変更が認められるのは、従前の目的と関連性を有すると合理的に認められる範囲内に限られます。この範囲を超える利用には、法令上の例外を除き、その利用について本人の同意が必要です。すでに取得した同意があれば、その対象範囲を確認します。ポリシーを書き換えてサイトに掲載しただけで、目的外利用や第三者提供に関する有効な同意を取得したことにはならない点に十分な注意が必要です。
生成AIの導入に伴うデータ取扱いの明記
近年は既存サービスへ生成AI機能を組み込む取り組みが広く見られます。ここで確認すべきなのは、ユーザーが入力したプロンプトや社内資料がどこのサーバーへ送信され、どのように保管され、モデルの機械学習に利用されるのかという点です。自社でモデルを運用しているのか、外部のAPI事業者へデータを渡しているのか、相手先事業者が独自の学習目的で入力データを利用する規約設定になっているのかによって、利用規約およびプライバシーポリシーに記載すべき内容は異なります。
利用者が業務上の秘密情報や個人情報を入力する可能性があるサービスであれば、入力禁止データの範囲や安全管理措置の内容、問い合わせ窓口の連絡先を規約や画面上で明確に定めておきます。
また、外国にある受託者へ個人データを提供する行為は、個人情報保護法28条の規制対象となり得ます。外国への委託でも、法令上の除外に該当するか、法が求める相当措置を継続的に実施する体制があるか、あるいは必要事項を提供したうえで本人の同意を得ているかといった提供根拠を確かめます。クラウド事業者が個人データを自ら取り扱わない仕様であっても、契約内容とアクセスの実態を確かめて判断します。
AI機能は画面上は一つの追加機能に見えますが、背後では個人情報保護、著作権、責任制限などの複数分野の法律関係が交差しています。機能追加の際には、関係する諸規程をひとまとまりのものとして見直す運用が大切です。
営業資料との整合と変更管理
見落としやすい問題として、利用規約と営業資料の食い違いが挙げられます。規約上は「当社は事前の通知なくサービス内容を変更できる」と定めているのに、営業提案書では「本機能は永続的に利用可能です」と説明されていたり、ポリシーに広告利用の明記がないのに現場では広告連携を提案していたり、規約ではサポートを努力目標としているのに個別提案書で「24時間以内の対応」と記載していたりする事例です。このような齟齬は、商談のトラブルや紛争時の責任追及を招く原因となります。
法務が確認すべき対象は、利用規約やプライバシーポリシーの条文にとどまりません。顧客向けの提案書、ウェブサイトのヘルプページ、自動送信メールの文面なども含まれます。とりわけシリーズA前後の組織拡大期には、営業資料や個別対応の覚書が急増します。この段階で規約と営業現場の説明内容の整合性を確保しておくことは大切です。
実務における点検項目
利用規約とプライバシーポリシーの改定を進める際は、まず以下の項目を出発点として点検します。
- サービス内容、料金体系、契約期間、解約手順と実際の運用の合致
- 法人利用における管理者・利用者・再委託先・サポート範囲の整理
- ユーザー投稿、ファイル保存、生成AI機能の有無の反映
- 禁止事項、利用停止、データ削除、仕様変更条件の実効性
- 消費者向け契約における免責・損害賠償条項と消費者契約法の整合
- 通信販売・サブスクリプションにおける特商法の表示および最終確認画面との一致
- 個人情報の利用目的と社内における取得・利用実態の一致
- 外部委託、共同利用、第三者提供、外国事業者への提供状況の整理
- 情報漏えい等の事故発生時における報告・本人通知・社内体制の整備
- 営業資料、FAQ、LP、申込画面、解約画面との整合
この点検は法務部門だけで完結させず、開発や営業、情報システム部門が持つ情報を集約して文書に反映させていきます。
LegalAgentの法務アウトソーシングでは、事業の変化に合わせて利用規約やプライバシーポリシーを見直します。新機能を公開する前に規約への影響を確認する、料金改定の前に既存ユーザーへの適用方法と告知文を確認する、AI機能を導入する前に入力データの流れを調べる、といった判断の積み重ねが重要です。
外部弁護士が社内法務に近い立場で継続的に支援することで、こうした法務判断を日常的に進められます。スポットで規約を改定したあとも、事業に変更が生じた際に社内の誰が法務への相談を行うかという手順をあらかじめ定めておきます。事業の進展に合わせて利用規約、プライバシーポリシー、操作画面、営業資料を連動して更新していく体制こそが、スタートアップにおける堅実な法務体制につながると考えています。
利用規約・プライバシーポリシーの見直しに関するご相談
利用規約やプライバシーポリシーの定期的な見直しを外部弁護士とともに進めたい場合は、以下のページをご参照ください。
よくある質問
事業やサービスが変化した際に利用規約やプライバシーポリシーを見直すべきなのはなぜですか？
事業実態と文書の記載が食い違うと本来の機能を果たせなくなるためです。利用規約は提供内容や禁止行為、責任範囲を確定させる契約文書であり、プライバシーポリシーは個人情報の利用目的や第三者提供を明示する公表文書です。料金改定や機能追加、外部AIの利用など実態に合わせた更新を怠ると、予期せぬ法的トラブルを招く恐れがあると考えられます。
ウェブサイト上で新しい利用規約を掲載すれば既存ユーザーにも当然に適用されますか？
当然に適用されるとは限りません。民法上の定型約款の変更が認められるのは、変更が相手方一般の利益に適合する場合、または契約をした目的に反せず合理的といえる場合に限られ、いずれも変更後の内容と効力発生時期を適切な方法で周知する必要があるためです。これらの要件を満たせない場合や定型約款に該当しない取引では、個別の再同意を取得するなどの別の法的根拠を用意する必要があると解されています。
プライバシーポリシーを改定してサイトに掲載すれば新たな個人情報の利用が可能ですか？
掲載しただけでは新たな利用が可能になるとはいえません。利用目的の変更が認められるのは従前の目的と関連性を有すると合理的に認められる範囲内に限られ、それを超える利用には法令上の例外を除き本人の同意が必要となるためです。ポリシーの文面を書き換えて公開しても、目的外利用や第三者提供に関する有効な同意を取得したことにはならないと解されています。
このテーマに関連するサービス