Cookieと外部送信規律。Webサイトの運営者が確かめること

外部送信規律とは、Webサイトやアプリが、利用者の端末から利用者に関する情報を第三者に送らせるときに、送られる情報の内容や送り先を、利用者が確かめられるようにする電気通信事業法のルールです。2023年6月16日に施行されました。対象になるのは電気通信事業に当たるサービスに限られるため、まず自社のサービスが対象かを確かめ、対象であれば、送っている情報を洗い出して公表することから始めます。

Cookie と外部送信は、どう関係するか

Cookieとは、Webサイトが利用者のブラウザに保存させる小さな情報で、ログインの状態や閲覧の履歴を覚えるために使われます。アクセス解析や広告の配信のサービスを使うと、Webサイトに組み込んだタグ（プログラム）が、利用者の閲覧の情報や Cookie の ID を、そのサービスの事業者に送ります。

このように、利用者が自分で送っていることを意識しないまま、利用者の端末から第三者に情報が送られることを、外部送信と呼びます。総務省の案内では、外部送信された情報にもとづいて、利用者が知らない間に目にする情報が選ばれるなどの影響を受けることもあり得るため、利用者が確かめられるようにするルールを設けたと説明されています。

出典：自分に関する情報が第三者に送信される場合、自身で確認できるようになります（総務省）

法律は何を求めているか

電気通信事業法 第27条の12は、対象になる事業者が、利用者の端末に情報を送らせる指令を送ろうとするときに、送られることになる利用者の情報の内容や送り先などを、あらかじめ利用者に通知するか、利用者が容易に知り得る状態に置くことを求めています（2026年11月時点の条文で確かめた内容です）。

ただし、サービスの提供に必要な情報、サービスの提供者が自ら送った ID（ファーストパーティの Cookie に保存された ID など）、利用者が同意している情報、オプトアウトの措置を講じたうえで利用者が停止を求めていない情報は、通知や公表が要らないとされています。

出典：電気通信事業法 第27条の12（e-Gov法令検索）

自社のサービスは、対象になるか

外部送信規律が適用されるのは、電気通信事業を営む者が、一定の電気通信役務を提供する場合です。総務省の案内では、主な対象として、メッセージを仲介するサービス、SNS、検索サービス、ニュースサイトやまとめサイトなど各種の情報をオンラインで提供するホームページの運営が挙げられています。

一方で、自社の商品などをオンラインで販売するホームページの運営や、企業のホームページの運営・個人のブログは、電気通信事業に当たらないため対象にならないとされています。総務省は、対象になるかを判断するためのフローチャートも公表しています。

出典：自分に関する情報が第三者に送信される場合、自身で確認できるようになります（総務省）

コラムや情報の記事を多く載せているサイト、会員どうしがやり取りできる機能のあるサービス、社外の人も使える情報のポータルなどは、対象になるかを個別に確かめる必要があります。判断に迷う場合は、総務省のフローチャートと「電気通信事業参入マニュアル［追補版］」を確かめたうえで、弁護士などの専門家にご相談ください。

対象になる場合に、示すこと

対象になる場合は、送る情報ごとに、決められた事項を、決められた方法のいずれかで利用者に示します。総務省の案内では、通知または公表する事項は次の3つです。

1. 送られることになる利用者の情報の内容
2. その情報を取り扱うことになる者の氏名または名称
3. その情報の利用目的

示し方は、通知・公表（容易に知り得る状態に置く）、同意を得る、オプトアウトの措置を講じる、のいずれかです。同意を得る場合は、あらかじめチェックを付けておくなど、利用者が自ら同意したとはいえない方法をとらないよう案内されています。オプトアウトの措置とは、利用者の求めに応じて、情報の送信または送られた情報の利用を止める措置で、その措置があることや申し込みの方法などを、利用者が容易に知り得る状態に置くことが求められます。

公表する場合の書き方として、日本語で、専門用語を使わず、平易な表現で書くこと、拡大などの操作をしなくても文字が適切な大きさで表示されること、Webサイトの場合は外部送信のプログラムを送るページか、そこから容易にたどり着けるページに表示することなどが示されています。

出典：自分に関する情報が第三者に送信される場合、自身で確認できるようになります（総務省）

Webサイトでの進め方

外部送信規律への対応は、サイトに組み込んでいるタグを洗い出すところから始めます。担当者が替わるうちに、使っていないタグが残っていることも少なくありません。

1. タグを洗い出す：アクセス解析、広告、チャット、地図、動画の埋め込みなど、外部の事業者に情報を送るプログラムを、ページごとに書き出します。ブラウザの開発者ツールで、どこに通信しているかを確かめると漏れを防げます
2. 要らないタグを外す：使っていないサービスのタグは外します。送る情報が減れば、公表する内容も減ります
3. 対象かを判断する：サービスが外部送信規律の対象になるかを、総務省のフローチャートなどで確かめます
4. 公表する内容を書く：送る情報、送り先の事業者の名前、利用目的を、サービスごとに一覧にします。事業者が公開しているオプトアウトの方法へのリンクを添えることもあります
5. 掲載して、更新の手順を決める：タグを追加・削除するときに、公表の内容も直す手順を決めます

対象にならない場合でも、どのような情報を外部に送っているかを示しておくことは、利用者の信頼につながると考えられます。

個人情報保護法との関係

外部送信規律は電気通信事業法のルールで、個人情報保護法とは別のものです。Cookie の ID や閲覧の履歴は、それだけでは個人情報に当たらない場合がありますが、会員の情報と結びつけて使う場合などは、個人情報保護法の扱いも確かめる必要があります。

プライバシーポリシーに外部送信の内容をあわせて載せる会社も多いですが、外部送信規律で求められる事項がそろっているかを、別に確かめます。個人情報保護法でシステムの面から求められることは、個人情報保護法で、システムの面から事業者が守ることで説明しています。

外部送信規律と個人情報保護法の当てはめは、サービスの内容によって変わります。個別の判断は、弁護士などの専門家にご確認ください。

当社のご支援

アメリア・テクノロジーのWebシステム開発では、Webサイトやサービスの開発と、公開した後の運用・改善を受け持っています。組み込んでいるタグの洗い出しや、要らないタグの整理、タグを追加するときの手順づくりもご相談いただけます。法律の当てはめの判断は、弁護士などの専門家と連携して進めていただくようお願いしています。サイトの現状をおおまかに確かめたい場合は、無料のWebサイト診断もお使いください。