2026年10月23日
士業の問い合わせフォームはなぜ特に注意が必要ですか？ Studioに残っている過去の問い合わせは新しいWordPressへ移すべきですか？ WordPressの新しいフォームはどう設定すればいいですか？ 過去の回答が漏えいした可能性への対応は移行と同時にできますか？ # 士業の問い合わせフォームはなぜ特に注意が必要ですか？ 「名前とメールアドレスくらいしか入っていないはず」と考えがちですが、士業の問い合わせでは、自由記述欄に相談の経緯まで書かれることがよくあります。相続で揉めている親族の名前や、借金の額、離婚に至った事情などです。
士業への相談フォームには、人に知られたくない事情が書き込まれます。たとえば特定の個人の病歴が含まれていれば、法令上「要配慮個人情報」として扱われます。ただ、相続や債務の相談がすべて同じ扱いになるわけではありません。
加えて、Studioの管理画面に自由記述欄を含むフォーム回答が保存されている場合、自分で名簿などの一覧を作っていなくても、個人データに当たることがあります。実際、Studioの事案の案内 は、暗号化して保存していた送信内容も、復号の鍵が同じ攻撃で読み出されたため、流出した可能性のある情報に含めています。添付ファイルは中身ではなくファイル名だけが対象です。
自分のプロジェクトが対象かは、個別メールやログイン時の案内で確かめ、自由記述欄も含めて個人を特定できる情報が入っているかを見てください。サイトをWordPressへ移しても、Studioに残る過去の回答の問題はそのまま残ります。
# Studioに残っている過去の問い合わせは新しいWordPressへ移すべきですか？ 古いサイトに届いた相談履歴を、新しいWordPressのデータベースへそのまま移し替える必要はあるでしょうか。全部を新しいWordPressへ移す必要はありません。そもそもWordPressには、標準で問い合わせフォームが入っていません。過去の回答を受け入れる場所が最初から用意されているわけではないので、移す前に「その回答をこの先も使うか」を一件ずつ考えるほうが現実的です。
取り出し方は簡単で、回答一覧画面の3点メニュー から、すべての回答をCSV形式でダウンロードできます。受任につながった案件の記録として残すものと、営業メールや一度きりの問い合わせのように使い道がないものを分けておくと、手元に置く量がかなり減ります。
個人情報保護法には、一律の保存期間や廃棄の時期の決まりはありません。ただ、使う必要がなくなった個人データは、遅滞なく消すよう努めることになっています。Studio側の回答を完全に消すには、回答のステータスをゴミ箱に変え、ゴミ箱の中で対象を選んで「完全に削除」を実行します。消す時期は、後で触れる報告や本人への連絡の準備とあわせて決めてください。
もうひとつ、外部の制作会社にサイト移行を頼む場面でも、委託する業務に関係のない個人データまで渡してしまわない配慮が欠かせません。もし個人データの取り扱いを伴う作業を委託するなら、委託先の安全管理措置を確認し、適切に監督する義務が生じます。デザインやページの移し替えだけなら、過去の回答のCSVを制作会社へ送る理由はないはずですね。契約を交わす際も、取り扱い状況を把握できる取り決めを含めておく形が望ましいでしょう。
# WordPressの新しいフォームはどう設定すればいいですか？ フォームの回答をサーバー上に蓄積していくサービスがある一方で、WordPressでは届いた内容をメール送信だけで完結させる設計を選べます。代表的な無料プラグインであるContact Form 7の公式ページ に記載されている通り、初期設定のまま使用する場合、送信された個人データをサーバーのデータベースに書き出す動作を行いません。サーバー上に相談文をためない運用にしやすい反面、メールの受信箱には回答が残るので、事務所のメール側の管理は引き続き必要です。
また、入力画面では利用目的の明示が原則として求められます。問い合わせへの返信のためという目的が状況から明らかなケースでは省略が認められる規定もありますが、送信ボタンの近くに利用目的や個人情報の取り扱い方針を簡潔に示しておくと親切です。
なお、迷惑送信対策でreCAPTCHA v3を入れるなら、Googleの登録画面で種類にv3を選び、新しいサイトのドメインを入力してキーを取得します。そのあと、WordPress管理画面の「お問い合わせ」から「インテグレーション」を開き、サイトキーとシークレットキーを入力して保存します。v2用に取ったキーはv3では使えません。気をつけたいのは、reCAPTCHAのような機能を有効にすると、送信者のIPアドレスを含む個人データがサービスの提供元へ送られる可能性がある点です。「事務所のメールにしか届かない」と案内している場合は、その書き方を見直してください。
# 過去の回答が漏えいした可能性への対応は移行と同時にできますか？ 作業として並行して進めることはできますが、サイトを移したからといって報告や通知の義務がなくなるわけではありません。漏えいそのものだけでなく、漏えいのおそれがある段階でも、被害の拡大を防ぐ手当て、事実関係の調査と原因の確認、影響する範囲の特定、再発防止策の検討と実施が必要です。
個人の権利や利益を害するおそれが大きい事態が生じたときは、個人情報保護委員会への報告と相談者本人への通知が求められます。漏えい等報告の期限 は、速報が知った後速やか（概ね3〜5日以内）。確報は原則30日以内で、不正な目的によるおそれがある場合は60日以内です。
Studioは2026年10月20日、フォーム利用者に向けて、自分で個別に報告するか、Studioが取りまとめる連名報告 に加わるかを選べると案内しました。委員会と協議して決めた方法での連名報告に限り、速報の目安期間を過ぎても報告遅延として扱われません。申込方法や受付期間は、決まり次第案内されることになっています。
あわせて、本人への通知は状況に応じて速やかに行い、連絡がつかないなど通知が難しい場合は、本人を守るための代わりの措置で対応することが認められています。
はまれぽは、フォームを同じ項目のままメールで届く形に置き換え、回答データは受け取らずに移管します。はまれぽはStudio社とは関係のない第三者で、パスワード入力やリンクのクリックを求めることはありません。
こんな聞き方も 士業のホームページをStudioからWordPressへ移すとき、問い合わせフォームの個人情報はどう扱いますか？ 税理士事務所 studio フォーム 個人情報 弁護士事務所のStudioサイト フォーム 漏えい 対応 社労士 ホームページ 問い合わせフォーム 保存しない 士業 ホームページ studio 移行 wordpress 行政書士 studio 不正アクセス 報告 あわせて知りたい（関連する疑問） Q 個人の士業事務所でも報告義務はありますか？ 法人化していない個人経営の事務所であっても、個人情報の取り扱いに関する法令の報告義務は及ぶのでしょうか。個人の事務所であっても報告義務の対象になります。個人情報のデータベースや一覧を事業で使っている事業者は、法人格の有無や人数の規模に関係なく「個人情報取扱事業者」に該当するためです。依頼者や相談者の名簿を業務で使っている事務所なら、ほとんどがこれに当てはまるでしょう。
報告の基準には、要配慮個人情報が含まれる事態、財産的な被害が生じるおそれがある事態、不正な目的による行為のおそれがある事態、そして本人の数が1,000人を超える事態という区分が存在します。どれも、実際に漏れた場合だけでなく、漏れたおそれがある場合も含みます。そのため、事務所の規模が小さいことや、相談者の数が少ないことだけを理由に対象外にはなりません。自分の事務所は規模が小さいから関係ないと思い込んでしまうと、対応が遅れてしまう恐れがありますね。
期限も事務所の規模で変わりません。報告対象にあたると分かったら速やかに速報を出し、確報は発覚した日から30日以内、不正な目的によるおそれがある場合は60日以内に出します。
Q 問い合わせが数件しかない場合も報告が必要ですか？ たとえば、開業して間もない事務所で、Studioのフォームから届いた問い合わせが5件だけだったとします。件数が少ないので報告はいらない、と考えたくなりますが、報告の要否を左右するのは送信件数の少なさではありません。不正な目的によるアクセスで個人データが漏えいした、あるいは漏えいしたおそれがある類型には、人数の下限が定められていないからです。相談者が1人や2人であっても、悪意ある第三者による不正侵入の疑いがある場合は、報告を求められる事態になり得ます。1,000人超という数字は大量漏えいに関する別の基準であり、不正アクセスの事案全般に当てはまる足切りラインではないのですね。基準の詳細は個人情報保護委員会の通則ガイドライン に詳しく示されています。
数えるのは問い合わせの件数ではなく、本人の数です。同じ人が2回送ってきていれば1人ですし、一つの問い合わせに家族や相手方の名前が書かれていれば、その人たちも関わってきます。自由記述欄まで読み返さないと、何人分の情報が入っているかは分かりません。
行政への報告と、本人への通知も分けて考えます。報告対象にあたる事態を知った事業者は、原則として本人にも通知します。Studioが提示した連名報告を選択した場合でも、個人情報保護委員会への手続きがまとめられるだけで、相談者本人への通知までは含まれていません。数件であれば、一人ずつ連絡先を確かめて通知できることが多いでしょうね。
Q Googleフォームを埋め込んでいた場合も対象ですか？ 「Studioのサイトに置いていたフォームだから、うちも対象では」と心配になるところですが、Googleフォームを埋め込んでいた場合は事情が違います。外部のGoogleフォームを埋め込んでいた場合、サイトを訪れた人が送信した内容は、閲覧者のブラウザから直接Googleのサーバーへ届く仕組みになっています。Studioのシステムを経由しておらず回答データを預けていないため、2026年10月のStudio不正アクセス事案において回答内容が流出した可能性のある情報には含まれません。
ただし、Studioのデザインエディタ内に貼り付けていた埋め込み用のHTMLコード自体は、不正アクセスによって読み取られた可能性があります。もしコードの中に外部に知られては困る秘密のAPIキーや認証トークンを直書きしていたなら、外部サービス側でキーを速やかに再発行して更新しなければなりません。Googleフォームの通常の埋め込みコードだけなら、この点は当てはまらないことが多いはずです。
ちなみに、Googleフォームの埋め込みと、Studioのフォーム機能で回答をGoogleスプレッドシートに送る連携は、別のものです。後者を使っていた場合は、次の「Studioに保存」の話も確かめてください。
移行に合わせて見直したいのが、共有の範囲です。Googleフォームの回答データは、Google側の管理画面や紐付けたスプレッドシートで確認できます。共有相手を見直したいときは、Googleドキュメントエディタのヘルプ にある通り、フォームとスプレッドシートの双方で個別に権限を更新します。
Q 「Studioに保存」をOFFにしていた場合は？ 「フォームの結果をStudioに保存」というスイッチを事前にオフにしていた場合、漏えいのリスクは避けられたのでしょうか。回答が保存されない設定にしていた期間中に送信されたメッセージは、Studioのサーバーに残っていないため、流出の恐れがある対象には含まれません。ダッシュボードへの保存を無効化すると、入力された内容は指定したメールアドレスへ直接送信され、Studio側には保管されなくなる仕様です。
過去の運用履歴には注意を払う必要があります。運用の途中でオフに切り替えた場合、それ以前に届いていた回答はゴミ箱から完全に削除するまでStudio内に保管され続けているため、今回の事案の対象に含まれてしまうからです。いまOFFになっているというだけで、過去の分も対象外とはいえません。
さらに、回答をGoogleスプレッドシートへ自動連携させていた事務所では、Studioへの保存設定のオン・オフに関わらず、連携用の認証情報が読み取られた可能性があります。該当する恐れがあるときは、Googleアカウントのセキュリティ画面からStudioへのアクセス権を取り消し、連携を解除しておく手順が有効ですね。
現在の設定が意図どおりかは、保存を無効にする手順 にあるとおり、公開サイトからテスト送信して確かめます。メールに回答が届き、ダッシュボードに残っていなければ正しく動いています。ただ、これは今の動きを確かめる方法で、過去にいつから無効だったかを示すものではありません。
対象のプロジェクトは、2026年10月16日の個別メールに記載されています。メールが届いていなくても、フォーム機能を使っていたプロジェクトなど、Studio側で確認できる情報は窓口で案内を受けられるので、メールが来ていないことを対象外の理由にはしないでください。
前のQ&A StudioからWordPressへの移行費用に使える補助金はありますか？次のQ&A Studioから移行した後に404エラーになっているページを見つけるにはどうしますか？
