電気通信事業法改正による
外部送信規律のポイント

電気通信事業法改正による外部送信規律のポイントは、Webサイトやアプリを通じて、利用者の端末から利用者に関する情報を外部へ送信させる仕組みについて、利用者が確認できる機会を設ける点にあります。単にCookieを使うかどうか、バナーを出しているかどうかだけで判断する制度ではありません。

典型例は、アクセス解析ツール、広告配信タグ、アフィリエイトタグ、SNSプラグイン、地図・動画・チャット等の外部サービス埋込み、アプリ内SDK、計測モジュールなどです。Cookie ID、広告ID、閲覧URL、アプリ利用履歴、端末情報、ログ、位置情報、入力情報などが広く問題になり得ます。

次の重要ポイントは、外部送信規律を形式対応ではなくデータガバナンスとして見るための要点を示しています。読者にとって重要なのは、表示文言を作る前に、サービス該当性、送信実態、更新運用を同時に確認する必要がある点です。

次の一覧は、企業が最初に確認すべき6つの論点を並べたものです。どれか一つだけで結論を出すのではなく、上から順に確認することで、対象外と思い込むリスクと過剰な表示で運用不能になるリスクの両方を抑えられます。

電気通信事業法第27条の12の外部送信規律は、すべてのWebサイトやアプリに一律に適用されるものではありません。施行規則上、利用者の利益に及ぼす影響が少なくない電気通信役務として、主に4つの類型が示されています。

次の比較表は、対象役務の4類型と典型例を整理したものです。読者にとって重要なのは、自社サイトの名称ではなく、利用者間通信、投稿の場、検索、情報提供という機能面から読み取る点です。

対象可能性はサービスの機能によって変わります。次の比較表は、一般的な検討例を高低で整理したものです。あくまで出発点であり、個別事情によって結論が変わるため、どの機能があると対象に近づくかを読み取ることが重要です。

同一ドメイン内に複数の性質のページが混在することもあります。ニュース配信サイトの中の会社概要ページなどでは、対象範囲を保守的に広く捉えて外部送信ポリシーを全体表示する選択もあり得ますが、表示内容は実際の送信実態と整合させる必要があります。存在しない送信先や利用していない目的を列挙すると、透明性を損ないます。

外部送信規律の原則的な対応は、利用者に対し必要事項を通知し、又は利用者が容易に知り得る状態に置くことです。実務では、外部送信ポリシー、Cookieポリシー、プライバシーポリシー内の独立項目、アプリ内表示等により対応する例が多く見られます。

公表の場合、情報送信指令通信を行うWebページ又はそこから容易に到達できるWebページに通知事項を表示する方法が考えられます。アプリでは、最初に表示される画面又はそこから容易に到達できる画面に表示する方法が問題になります。容易に到達できるとは、1回程度の操作で到達でき、リンク先に表示があることを利用者が理解できる配置であることが目安です。

次の比較表は、通知・公表の必須事項をツール別に整理した記載イメージです。読者にとって重要なのは、ツール名だけでなく、送信される情報、情報を取り扱う者、自社と送信先の利用目的まで具体的に読み取れる粒度にする点です。

表示では、「等」「その他」を多用しすぎると、利用者がどのような情報が送信されるのかを把握しにくくなります。抽象的に「利用者情報等をサービス改善等のために外部送信します」と書くのではなく、Cookie ID、閲覧ページURL、閲覧日時、端末・ブラウザ情報、IPアドレスなど、利用者が理解できる粒度で示すことが望ましいです。

次の一覧は、通知・公表を読みやすくするための設計要素をまとめたものです。なぜ重要かというと、形式的にリンクを置くだけでは確認機会として不十分になり得るためで、読み取るべき点は「日本語」「到達しやすさ」「情報の具体性」「送信先名の分かりやすさ」です。

外部送信規律は、個人情報保護法とは異なる観点から、利用者の端末からの情報送信について確認機会を与える制度です。送信される情報が個人情報に該当する場合には、個人情報保護法上の利用目的の特定・通知又は公表、第三者提供、委託、外国第三者提供、安全管理措置、個人関連情報の第三者提供等も併せて検討します。

次の比較表は、電気通信事業法と個人情報保護法の確認事項を分けたものです。読者にとって重要なのは、個人情報に該当しない情報でも外部送信規律上の利用者に関する情報として表示対象になり得る点を読み取ることです。

プライバシーポリシーは、個人情報の取得、利用目的、第三者提供、委託、安全管理、開示請求窓口等を説明する文書です。外部送信ポリシーは、利用者の端末から送信される情報、取扱者、利用目的を、タグ・SDK等の単位で説明する文書です。両者を一体化することは可能ですが、外部送信規律の表示事項が埋もれないよう、見出しや導線で明確に分ける必要があります。

海外法対応との関係では、日本法上の外部送信表示、GDPR/ePrivacy型の同意、米国州法のオプトアウト表示を混同しない設計が必要です。日本法対応として通知・公表で足りる場合でも、EU・英国、カリフォルニア、その他海外のプライバシー法制が適用されるサービスでは、Cookie同意、Do Not Sell/Share、GPC、広告オプトアウト、越境移転、データ処理契約等を別途検討します。

外部送信ポリシーは、利用者にとって読みやすく、かつ監査・法務レビューに耐える文書である必要があります。外部送信の概要、対象サービス、ツール・タグ・SDK一覧、各ツールごとの送信情報、取扱者名、利用目的、オプトアウト又は停止方法、問い合わせ先、改定日・改定履歴を整理します。

次の一覧は、外部送信ポリシーの構成要素を実務順に並べたものです。なぜ重要かというと、利用者向けの説明と社内管理用の情報を分けずに作ると更新漏れが起きやすいためで、読み取るべき点は、表示項目と運用項目を一体で管理することです。

次の比較表は、外部送信ポリシーの記載例を簡略化したものです。読者にとって重要なのは、ツール名だけで終わらせず、送信される情報、取扱者、自社側と送信先側の利用目的、停止手段を横並びで確認できる点です。

オプトアウト、保存期間、問い合わせ先、送信先国・地域などは、法令上必須ではない場合でも、利用者への適切な確認機会という観点から記載が望ましい場合があります。実際のサービス・送信実態、ベンダー文書、契約、管理画面、通信ログを確認し、自社の利用実態に合わせて記載します。

外部送信表示を正確に行うためには、ベンダーがどの情報を、どの目的で、どの国・地域で、どのサブプロセッサとともに取り扱うかを把握する必要があります。広告・解析・SDKベンダーとの契約又は利用規約に、情報取得に必要な条項・資料があるかを確認します。

次の一覧は、ベンダー契約や利用規約で確認すべき事項を整理したものです。読者にとって重要なのは、表示項目を作るための情報提供義務と、仕様変更時の通知・協力義務を契約上も確保する点です。

広告代理店、制作会社、解析会社が管理するタグも見落とされやすい領域です。代理店が追加した広告タグ、リターゲティングタグ、コンバージョンタグ、ヒートマップ、セッションリプレイ等について、タグ追加前承認、送信情報・送信先・利用目的の提供、法令対応協力、不要タグ削除、権限返還、定期棚卸しを契約や運用で定めます。

M&Aや事業譲受では、対象会社・対象事業のWebサイトやアプリにどの外部送信があるかをデューデリジェンスで確認します。広告タグ、アプリSDK、DMP、過去のキャンペーンLP、サブドメイン、古いアプリ、外部制作会社管理のタグマネージャーは見落とされがちです。PMIでは、グループ共通プライバシーポリシーへの統合、タグ統廃合、ベンダー契約の整理、外部送信表示の改定、CMP導入方針、海外法対応の統一を行います。

次の比較表は、外部送信台帳に含めるべき項目を整理したものです。なぜ重要かというと、表示内容と実際の通信先の一致を監査するためには、サービス、タグ、送信情報、適用除外判断、証跡を一つの台帳で追える必要があるためです。

内部監査では、外部送信台帳と実際の通信先が一致しているか、未承認タグがないか、未掲載SDKがないか、廃止ツールのタグが残っていないか、LPやキャンペーンページにも導線があるか、アプリの最新バージョンでSDK一覧が更新されているかを点検します。

次のリスク一覧は、監査で優先して確認すべき兆候をまとめたものです。読者にとって重要なのは、表示文言だけでなく、問い合わせ、苦情、炎上、不正タグ混入、委託先ミス、M&A確認の場面で説明できる証跡を残す点です。

外部送信規律は、Cookieだけの規制ではありません。タグ、SDK、ピクセル、広告ID、端末情報、閲覧URL、アプリ利用履歴等を含む、利用者端末からの情報送信全体を把握する必要があります。

次の重要ポイントは、企業法務として最後に確認すべき整理をまとめたものです。読者にとって重要なのは、法令上最低限の表示を置くだけでなく、利用者に分かりやすく、社内にとって運用可能で、監査に耐える仕組みに落とし込む点です。

1. 対象事業者は通信キャリアだけではなく、SNS、オンラインモール、動画共有、ニュース配信、地図、求人情報、マッチング、オンラインゲーム、情報メディア等にも波及し得ます。
2. 通知・公表すべき事項は、送信情報、取扱者名、利用目的の3点であり、タグ・SDK・情報収集モジュールごとに示す必要があります。
3. 表示方法は形式だけでなく、利用者が容易に確認できることが重要です。日本語、平易な表現、読みやすい文字、到達しやすいリンク、アプリ内導線を整えます。
4. 外部送信規律対応は、法務だけでもエンジニアだけでも完結しません。マーケティング、プロダクト、開発、広告代理店、制作会社、セキュリティ、内部監査、経営層を巻き込む必要があります。
5. タグ追加、SDK更新、ベンダー変更、送信先・利用目的変更が起きるたびに、表示内容と台帳を更新する運用が重要です。