LASSIC Media らしくメディア

多くのWebサイトには、アクセス解析や広告配信のためのタグ（計測用の小さなコード）が組み込まれています。これらは、訪問者の端末に保存されたCookieのIDや広告ID、閲覧したページのURLといった情報を、外部の事業者へと送っています。ふだんは意識されにくいこの「外部への送信」に、ルールを定めたのが、改正電気通信事業法の外部送信規律です。2023年6月16日に施行され、日本版のCookie規制とも呼ばれています。

自社サイトがこの規律の対象になる場合、送信について利用者に知らせる、あるいは同意を得るといった対応が求められます。ただ、この話は「個人情報保護法」や「アプリのプライバシー対応」としばしば混同されがちで、根拠となる法律も対象も異なる別の話です。本記事では、Webサイトを運営する企業の情報システム部門や担当者に向けて、外部送信規律とは何か、近い制度との違い、求められる措置、そして対応や外注の勘所を整理します。なお、適用の有無や具体的な対応は、総務省のガイドラインや専門家にご確認ください。

外部送信規律とは——個人情報保護法・アプリ対応との違い

外部送信規律とは、改正電気通信事業法にもとづくルールで、Webサイトやアプリが、利用者の端末に記録された情報を外部の事業者へ送信する際に、その旨を利用者へ知らせるなどの対応を求めるものを指します。ここでいう情報には、CookieのIDや広告ID、閲覧したページのURLといった、利用者の行動に関わるものが含まれます。個人が特定できるかどうかにかかわらず対象になり得る点が特徴です。似た文脈で語られる2つの制度と並べると、違いがはっきりします。

個人情報保護法は、氏名や連絡先など、個人を特定できる情報の取扱い全般を対象とする法律です。外部送信規律とは根拠となる法律が異なり、対象とする情報の範囲も違います。またアプリのプライバシー対応（プライバシーマニフェストなど）は、スマートフォンアプリがどんな情報を扱うかを、アプリストアの求めに応じて示す取り組みです。これらに対して外部送信規律は、電気通信事業法にもとづき、Webサイトなどが端末の情報を外部へ送る場面を対象とします。

個人情報の取扱い全般でも、アプリストア向けの透明性でもなく、Webで端末の情報を外部へ送る場面のルール——ここに違いがあります。なお、Cookieそのものの技術的な仕組みは、Cookieとセッションの解説もあわせてご覧ください。自社が向き合うのが、個人情報の管理なのか、アプリの透明性なのか、それともWebの外部送信なのかを見極めておくと、対応の範囲を絞りやすくなります。

なぜ対応が求められるのか

Webサイトを訪れると、利用者が意識しないうちに、さまざまな情報が外部へ送られています。どのページを見たか、どんな端末を使っているか、といった情報が、広告やアクセス解析の事業者へ渡り、興味に合わせた広告の表示などに使われるのが実情です。便利さの裏で、自分の情報がどこへ送られているのか分からない、という不安の声も高まってきました。

こうした背景から、改正電気通信事業法の外部送信規律が2023年6月16日に施行されました。狙いは、端末の情報が外部へ送られることを利用者が把握できるようにし、選べる状態にすることです。対象となる情報は、個人情報保護法でいう個人情報よりも広く、CookieのIDや閲覧したページのURLなど、個人を特定できないものも含まれ得ます。対応を怠れば、利用者の信頼を損なうだけでなく、法令上の問題にもつながりかねないものです。だからこそ、自社サイトがどんな情報を外部へ送っているのかを把握し、必要な対応を整えておくことが求められます。まずは現状を知ることが、対応の出発点になります。

求められる3つの措置

外部送信規律の対象となる場合、事業者には、外部へ送る情報について、次の3つのうちいずれかの措置を講じることが求められます。自社サイトの状況に照らし合わせてみてください。

一つ目は、通知または公表です。どんな情報を、どこへ、何のために送るのかを、利用者が分かる形で示します。プライバシーポリシーのようなページにまとめて示す方法などがあります。二つ目は、同意の取得です。情報を送る前に、利用者から同意を得ます。同意を管理する仕組み（同意管理ツール、CMPと呼ばれます）を使い、同意があるまでタグを動かさないように制御するのが一般的です。三つ目は、オプトアウトの提供です。利用者が、送信を止める手段を選べるようにします。どの措置をとるかは、サイトの性質や送っている情報の内容によって判断します。図にすると次のとおりです。

つまずきやすい難所

外部送信規律への対応を進めるうえで、あらかじめ想定しておきたい難所がいくつかあります。着手前に押さえておくと、後戻りを避けやすくなります。

一つ目は、対象となるタグの洗い出しです。長く運用してきたサイトほど、いつ誰が入れたか分からない計測タグが残っていることがあります。何が、どこへ、どんな情報を送っているのかを棚卸しするところから始める必要があります。二つ目は、同意前の送信制御です。同意を得る方式をとる場合、同意があるまでタグを動かさない作り込みが要ります。ここが甘いと、同意前に情報が送られてしまいます。三つ目は、同意管理ツール（CMP）の選定と組み込みです。既存のサイトへ後から組み込むと、表示や動作に影響が出ることもあり、検証が欠かせません。四つ目は、他の制度との整理です。個人情報保護法やアプリの対応と重なる部分があり、それぞれ根拠が異なるため、どの制度でどこまで対応するのかを整理しておかないと、対応の抜けや重複が生じます。

対応の進め方

外部送信規律への対応は、いきなりツールを入れるのではなく、現状の把握から順に進めるのが現実的です。おおまかな流れを整理しました。

実装して終わりではなく、タグの追加や仕様の変更に合わせて見直す運用も要ります。新しい計測ツールを入れるたびに、送信先や対応の要否を確かめる流れを作っておくと、対応が形骸化しにくくなります。適用の有無や、どの措置が適切かの最終的な判断は、総務省のガイドラインや専門家に確認したうえで進めるのが望ましいところです。

外注時に確認しておきたい点

外部送信規律への対応を外部に委託する場合は、次の点を事前にすり合わせておくと、認識のずれを防ぎやすくなります。まず、対象とするサイトやアプリと、いま組み込まれているタグの状況です。棚卸しから任せるのか、把握済みのタグへの対応だけを頼むのかで、進め方が変わります。次に、どの措置で対応するか。通知・公表で足りるのか、同意管理ツール（CMP）まで入れるのかで、実装の重さが変わってきます。

さらに、同意前にタグを動かさない制御をどこまで作り込むか、既存サイトへの組み込みで表示や動作に影響が出ないかの検証、そしてタグを追加したときに見直す運用の進め方も、あらかじめ整理しておきたいところです。法令の適用の判断は自社と専門家で押さえたうえで、それを踏まえた実装や運用の部分を委託する、という分担が現実的です。実装だけを頼むのか、運用や見直しまで含めて依頼するのかを明確にしておくと、任せたあとのつまずきを抑えやすくなります。

まとめ：外部送信規律で押さえる3つの視点

外部送信規律は、個人情報保護法やアプリのプライバシー対応とは根拠の異なる、「Webで端末の情報を外部送信する場面」を対象とする電気通信事業法のルールです。検討するうえで押さえたい視点は3つに整理できます。第一に、個人情報保護法・アプリ対応・外部送信規律を切り分け、自社が向き合うのがどれなのかを見極めること。第二に、対象になる場合は通知・公表／同意／オプトアウトのいずれかの措置が求められると踏まえ、まず自社サイトのタグと送信先を棚卸しすること。第三に、同意方式をとるなら同意前に送らない制御まで作り込み、タグの追加に合わせて見直す運用を組むことです。この3点を踏まえておけば、「知らないうちに情報を送っていて、対応が後手に回る」という事態を避けやすくなります。適用の判断や具体的な対応は総務省ガイドラインや専門家に確認しつつ、実装や運用に不安があれば外部の手を借りるのも一つの選択肢です。

よくある質問

著者：テレリモ総研編集部　鈴木 亮佑

ご不明な点はお問い合わせフォームからもご連絡いただけます。

1. *1　出典：総務省「電気通信事業法の外部送信規律」関連情報（https://www.soumu.go.jp/）

Tweet