Q.Studioから移管する時、過去のフォーム回答は移管先へ引き継ぐべきですか？

「保存をOFFにしていたから、うちは関係ないはず」と思っている人もいるかもしれません。「フォームの結果をStudioに保存」を無効にしていた間に送信された回答は、Studioに保存されていないため、流出した可能性のある情報には含まれません。

しかし、現在設定がオフになっていることだけを根拠に対象外と判断するのは早計です。過去の運用途中で保存設定を無効へ切り替えたケースでは、それ以前にダッシュボードへ届いていた過去の回答がサーバー内に残存しています。最初からOFFだったのか、途中で切り替えたのかを思い出してみてください。

削除した回答の扱いは、日付で分かれます。2026年9月30日より前にStudio上で「完全に削除」した回答は対象外です。9月30日以降に削除した回答は、この対象外には当たりません。添付ファイルについては、対象になるのはファイル名だけで、ファイルの中身は含まれません。

なお、Studioのサイトに埋め込んだGoogleフォームなど、外部のフォームに届いた回答はStudioが預かっていないため対象外です。さらに注意したいのが、外部ツールとの連携です。Googleスプレッドシート連携を設定していた場合は、フォーム回答の保存設定を無効にしていたとしても、連携機能に用いていた認証情報が外部へ流出したおそれがあります。回答本文がStudio内に残っていなくても、連携先のアカウントに対する安全管理の確認は欠かせませんね。

サイトのリニューアルや移管を外部の制作会社へ任せるにあたり、過去のフォーム回答データまで業者へ預ける必要があるのでしょうか。多くの場合、回答そのものを渡す必要はありません。移管業者が新しいサイトで作り直すのは、フォームの項目のほうです。Studioでは、フォーム項目の設定として項目名、回答必須の指定、入力タイプ、選択肢などを決めています。Contact Form 7でも、フォームの内容を編集して項目を組み立てます。

回答一覧の3点メニューからCSVを書き出せるので、「とりあえず全部送っておこう」となりがちですが、書き出せることと渡す必要があることは別の話です。個人データの扱いを任せるときは、委託する業務に要らない個人データを渡さないことが前提とされています。デザインやフォームの作り直しだけを頼むなら、問い合わせてきた人の氏名や連絡先は作業に使いません。テストには架空のダミーデータを用い、過去の回答ファイルは自社内だけに留めておく切り分けを徹底したいですね。

どうしても回答を渡す場面もあります。たとえば、過去の回答を移管先のデータベースへ入れる作業まで頼む場合です。そのときは業者が委託先になり、委託先の選定、委託契約の締結、取扱状況の把握まで含めた監督が必要になります。秘密保持の条項を契約書に入れただけで足りるわけではありません。渡すなら、書き出したCSVから作業に要る列と行だけを残し、受け渡しの方法と作業後の削除まで業者と決めておいてください。

自社のフォームに届いた営業目的の売り込みや迷惑メールまで、情報流出の対象として報告や本人通知を行わなければならないのかと疑問に感じる方は多いでしょう。まず、本人への通知と、個人情報保護委員会への報告は分けて考えます。

送信された目的が営業活動やスパムであることだけを理由にして、本人への通知対象から一律に除外することは認められていません。Studioの事案に関する公式の案内でも、内容が営業やスパムであっても、回答の中に特定の個人を識別できる情報が含まれている場合は、原則として本人通知の対象になると説明されています。記載された会社名に担当者の個人名や直通の連絡先が添えられていれば、保護されるべき個人データに該当するためです。

ただし、すべてのスパムが対象になるわけではありません。機械的に送られた意味のない文字列だけの回答のように、特定の個人を識別できないものは通知の対象にならないことがありますね。一方で、送信元のメールアドレスが存在しなかったり、連絡先が古くて到達しなかったりして本人通知が困難なケースもあります。そうした事情があるときは、事案の公表といった代替措置をとることで法令上の対応を満たす運用が認められています。殺害予告のように安全上の心配がある回答は、通知の方法や時期を弁護士などの専門家や警察に相談してください。

委員会への報告は、漏えい等の報告の対象に当たるかで決まります。不正の目的で行われた行為による漏えいは対象の一つですが、ここでいう「不正の目的」は不正アクセスをした側の目的です。フォームを送ってきた人が営業目的だったこととは関係ありません。迷ったときは個人情報保護法相談ダイヤルでガイドラインやQ&Aに沿った説明を受けられますが、個別の事案が適法か違法かの判断はしてもらえません。

StudioのGoogleスプレッドシート連携機能を使って回答を保存していた場合、サイトを移管する際はどのような後処理を進めればよいでしょうか。スプレッドシート連携を利用していたときは、Studio側の連携解除とGoogleアカウント側のアクセス権削除をセットで行う手順が欠かせません。

まず、シートに何が入っていて、何が入っていないかを確かめます。Studioのフォームをスプレッドシートに連携すると専用のシートが作られ、以降の回答が自動で追加されていきます。ただし、スプレッドシート連携を開始する前に届いていた過去の回答は自動的にシートへ反映されません。また、フォームに添付された画像やPDFなどのファイルもスプレッドシート上には記録されず、Studioのダッシュボード内だけで確認できる仕組みでした。シートだけを残してStudio側を片付けると、連携前の回答や添付ファイルが手元からなくなります。

シートに送られたデータは、Googleの規約にもとづいて管理されます。移管したあともこのシートを残すなら、誰が見られるか、いつまで残すかを社内で決めておきましょう。

作業はまずStudioの管理画面から始めます。フォームダッシュボードで対象フォームの設定画面を開き、連携の項目から解除を選択します。Studio側で解除しても、Google側の許可が一緒に消えるとは書かれていません。削除すると、そのアプリはGoogleアカウントにアクセスできなくなります。

あとでもう一度連携すると、新しいシートが作られてそちらが自動更新されます。古いシートに続きが書き込まれるわけでも、古いシートが消えるわけでもありません。