「外部送信規律に対応していますか」と取引先や制作会社から聞かれて、何のことか分からなかった。調べると電気通信事業法の改正で、Cookieや解析ツールに関係するらしい。自社のホームページも対応しないといけないのか、何を書けばよいのか——当社にも、こうしたご相談をいただくことがあります。
外部送信規律は、2023年6月16日に施行された改正電気通信事業法のルールです。ただし、すべての会社のホームページに一律に義務がかかるわけではありません。対象になるかどうかは、そのサイトでどんなサービスを提供しているかで変わります。一方で、対象外だったとしても、自社のサイトから外部へ何が送られているかを把握しておくことは、プライバシーポリシーを正しく書くためにも、サイトを引き継ぐときのためにも役に立ちます。
この記事では、制度の概要と対象になるかの考え方、自社サイトから送られている情報の調べ方、公表ページに書く項目を順に整理します。法律の当てはめは個別の事情で変わるため、最終的な判断は総務省の資料と、必要に応じて専門家への確認で行ってください。
外部送信規律は、利用者のブラウザから第三者へ情報を送らせる仕組み（解析タグや埋め込みなど）について、送られる情報の内容・送信先・利用目的を利用者に分かるようにするためのルールです。対象は電気通信事業者と、検索・SNS・情報提供サイトなどの「第三号事業」を営む者で、自社の商品やサービスを紹介するだけの一般的なコーポレートサイトは、対象外と整理される場合が多いとされています。ただし掲示板・利用者の投稿・情報提供サービスなど、サイトが提供している役務の内容によって判断が変わります（会員登録の有無だけでは決まりません）。まずはブラウザの開発者ツールで外部への送信を一覧にし、総務省の資料で対象かどうかを確かめ、対象なら公表ページを用意してください。迷うときは、制作会社と専門家に確認するのが確実です。
外部送信規律とは何か
外部送信規律は、電気通信事業法の改正で設けられたルールで、2023年6月16日に施行されました。
ホームページを開くと、そのページを作った会社のサーバーだけでなく、ほかの会社のサーバーにも通信が発生していることがあります。たとえばアクセス解析のタグを入れていれば、閲覧したページやブラウザの情報が解析サービスの会社へ送られます。動画や地図を埋め込んでいれば、動画サービスや地図サービスのサーバーにも通信が行きます。
こうした送信は、利用者の側からは見えません。外部送信規律は、利用者のブラウザに指示して、利用者に関する情報を利用者以外の者の設備へ送らせる場合に、その内容を利用者が確認できるようにすることを求めています。送信先には外部のサービスだけでなく、サイト運営者自身のサーバーも含まれうる一方、サイトの表示に欠かせない情報などは対象から外れるとされています。具体的には、次のいずれかの方法を取ることになっています。
- 通知または公表：送信される情報の内容・送信先・利用目的などを、利用者に通知するか、分かりやすい場所に公表する
- 同意の取得：送信の前に利用者の同意を得る
- オプトアウト：送信、または送信した後の利用を止められる手段を用意し、止め方・申し出の方法と、送信される情報・送信先・利用目的などを利用者が容易に確認できるようにする
中小企業のサイトで現実的なのは、多くの場合「公表」です。専用のページを作り、どの外部サービスに何が送られているかを一覧にして載せる形です。
自社のホームページは対象になるのか
いちばん判断に迷うのがここです。外部送信規律の対象は、法律上「電気通信事業者」と「第三号事業を営む者」のうち、利用者に一定の電気通信役務を提供する者とされています。
第三号事業とは
第三号事業は、登録や届出は要らないものの電気通信事業にあたる事業のことで、総務省の資料では、検索サービス、SNS、オンラインのショッピングモール、ニュースや情報を提供するサイトなどが例に挙がっています。「他人の需要に応じて」通信サービスを提供しているかが考え方の中心になります。
一般的なコーポレートサイトの場合
自社の会社案内や商品・サービスの紹介だけを載せているホームページは、自社の本来の業務に付随して情報を発信しているにすぎず、電気通信事業にあたらない、と整理されることが多いとされています。その場合、外部送信規律の義務はかかりません。
一方で、次のような機能を持つサイトは、判断が分かれる可能性があります。
| サイトの機能 | 判断の傾向 |
|---|---|
| 会社案内・事業紹介・採用情報のみ | 対象外と整理されることが多い |
| 自社商品だけを売るネットショップ | 自社の販売に付随するものとして、対象外と整理されることが多い |
| 業界情報やノウハウを広く提供するメディア | 情報提供サービスとして対象になる可能性がある |
| 会員登録・会員同士のやり取り・掲示板・口コミ投稿 | 対象になる可能性がある |
| 他社の商品も扱うポータル・比較サイト | 対象になる可能性がある |
この表は当社が判断の目安として整理したもので、個別のサイトが対象かどうかを確定させるものではありません。総務省は「電気通信事業参入マニュアル［追補版］」で、届出の要否や電気通信事業にあたるかの考え方を事例とともに示しています。また、外部送信規律の詳しい解釈は、総務省と個人情報保護委員会の「電気通信事業における個人情報等の保護に関するガイドライン」とその解説にまとめられています。自社のサイトに会員機能や情報提供型のコンテンツがある場合は、これらの資料を確認し、判断がつかなければ総務省の相談窓口や弁護士に確認してください。
対象外でも、把握しておく価値はある
対象外と判断した場合でも、外部への送信を把握しておくことには意味があります。理由は3つあります。
- プライバシーポリシーを正しく書ける：Cookieや解析ツールについての記載が、実際の設定と食い違っていないかを確かめられます。個人情報保護法の観点から記載が必要になる場面もあります
- 使っていないタグを整理できる：昔の広告キャンペーンで入れたまま放置されているタグが見つかることがあります
- サイトを引き継ぐときの資料になる：制作会社を替えるとき、どの外部サービスを使っているかの一覧があると、引き継ぎの漏れが減ります。引き継ぎで起きやすいトラブルは「前の制作会社と連絡が取れないときの引き継ぎ手順」でも整理しています
よく使われる外部サービスと、送られている情報
中小企業のホームページでよく見かける外部サービスと、一般的に送られている情報の種類を整理します。実際に送られる内容は、サービスの設定や仕様の変更で変わるため、最終的には各サービスの公式の説明で確かめてください。
| 外部サービス | 主な用途 | 送られている情報の例 |
|---|---|---|
| Googleアナリティクス（GA4） | アクセス解析 | 閲覧したページのURL、参照元、ブラウザや端末の情報、Cookieなどの識別子、IPアドレス |
| Googleタグマネージャー（GTM） | タグの一括管理 | タグを読み込むための通信。中で動かしている各タグがそれぞれ情報を送る |
| reCAPTCHA | お問い合わせフォームの迷惑送信対策 | 端末やブラウザの情報、ページ上の操作の情報、Cookieなど |
| YouTubeの埋め込み | 動画の掲載 | 閲覧中のページの情報、Cookie、ブラウザの情報 |
| Googleマップの埋め込み | アクセス地図 | 閲覧中のページの情報、ブラウザの情報、Cookie |
| チャットツール・広告タグ | 問い合わせ受付・広告の効果測定 | サービスにより異なる（閲覧ページ、識別子、入力内容など） |
注意したいのは、GTMを使っている場合、GTMの中に何のタグが入っているかを見ないと全体が分からないことです。サイトのソースにはGTMのコードしか見えなくても、GTMの管理画面では広告タグや解析タグが複数動いていることがあります。
また、外部送信は「全ページで起きる」とは限りません。地図はアクセスページだけ、reCAPTCHAはお問い合わせページだけ、というように、ページによって送信先が違います。GA4の基本的な仕組みは「Google Analytics（GA4）の見方」、フォームの迷惑送信対策については「お問い合わせフォームの作り方（スパム対策まで）」もあわせてご覧ください。
自社サイトから何が送られているかを調べる手順
外部への送信は、パソコンのブラウザに付いている開発者ツールで確認できます。ここではGoogle Chromeを例に説明します。専門的に見えますが、手順どおりに進めれば、送信先の一覧を作るところまでは担当者でもできます。
手順1：シークレットウィンドウで開く
Chromeのシークレットウィンドウで、自社のホームページを開きます。普段のウィンドウだと、以前に保存されたCookieや拡張機能の通信が混ざり、結果が読みにくくなるためです。Cookieの同意バナーを出しているサイトでは、同意する前と同意した後の両方を確認します。
手順2：開発者ツールの「Network」タブを開く
ページ上で右クリックして「検証」を選ぶか、キーボードのF12キー（Macは Command＋Option＋I）を押すと、開発者ツールが開きます。上部のタブから「Network」（ネットワーク）を選びます。
手順3：ページを再読み込みして、通信先を並べる
Networkタブを開いたままページを再読み込みすると、そのページで発生した通信が一覧で表示されます。一覧の見出しを右クリックして「Domain」（ドメイン）の列を表示させ、ドメインの順に並べ替えると、送信先ごとにまとまります。自社のドメイン以外のものが、外部への送信の候補です。
手順4：ページの種類ごとに繰り返す
トップページ、お問い合わせページ、アクセスページ、動画を載せているページ、ブログ記事など、作りの違うページごとに同じ確認をします。ページを移動したら、一覧をいったん消してから再読み込みすると見やすくなります。
手順5：一覧表にまとめる
見つかったドメインを、表計算ソフトに書き出します。列は「送信先ドメイン」「どのページで発生するか」「何のサービスか」「何のために入れたか」の4つで十分です。ドメインだけでは何のサービスか分からないものは、ドメイン名で検索すると提供元が分かることが多いです。入れた理由が誰にも分からないタグが見つかったら、それは削除を検討する候補です。
この一覧はあくまで通信先の確認で、送られている情報の中身までは分かりません。中身は、各サービスの公式のプライバシーに関する説明で確かめるのが確実です。
公表ページに書く項目と書き方
対象になると判断した場合、あるいは対象外でも利用者への説明として載せておきたい場合は、公表ページを用意します。総務省の資料やガイドラインの解説では、公表する事項として主に次の3つが挙げられています。
| 項目 | 書く内容 | 書き方の例 |
|---|---|---|
| 送信される情報の内容 | 何の情報が送られるか | 閲覧したページのURL、ブラウザの種類、Cookieに保存された識別子 |
| 送信先 | 情報を受け取る会社の名称 | Google LLC（Googleアナリティクス） |
| 利用目的 | 当サイトが送信を行う目的と、送信先が受け取った情報を取り扱う目的の両方 | 当サイト：利用状況を分析し内容を改善するため／送信先：Googleが提供する解析サービスの運営・改善のため（送信先の公表内容を確認して書く） |
これを外部サービスごとに1つずつ並べます。
あわせて、送信先の会社のプライバシーポリシーへのリンクや、利用者が送信を止める方法（オプトアウトの手段）があれば、その案内も載せておくと親切です。
書き方で気をつけること
- 専門用語を避け、日本語で分かりやすく書く：「識別子」のような言葉を使う場合は、短い説明を添えます
- 外部送信が行われる各ページから1回程度の操作でたどり着ける場所に置く：全ページ共通のフッターに「外部送信について」などのリンクを置き、リンク先に外部送信の説明があると分かる名前にする形がよく使われています
- プライバシーポリシーと矛盾させない：既存のプライバシーポリシーの中に章として入れる方法もあります
- タグを追加・削除したら更新する：一覧が実態と合わなくなると、載せている意味がなくなります
なお、ガイドラインでは、サイトの表示に欠かせない情報（画面の表示や言語の設定に必要なものなど）は、公表の対象から外れる場合があるとされています。どこまでを載せるかの線引きに迷ったら、無理に省かず載せておくほうが、利用者への説明としては安全です。
制作会社・専門家に相談したほうがよい場面
ここまでの作業のうち、送信先の一覧づくりは社内でも進められます。一方で、次のような場面では、制作会社や専門家に相談したほうが確実です。
- 対象かどうかの判断がつかない：会員機能や情報提供型のコンテンツがある場合は、総務省の相談窓口や、IT分野に詳しい弁護士への確認をおすすめします
- GTMの中身が分からない：GTMの管理画面に入れる人が社内にいない、どのタグが何のために入っているか誰も説明できない場合は、サイトを作った制作会社に一覧を出してもらうのが早道です
- 同意バナーを入れるか迷っている：同意を取る方式にすると、解析の数字の取れ方も変わります。サイトの目的と合わせて決める必要があります
- 不要なタグを削除したい：削除すると広告の効果測定が止まるなど、影響が出る場合があります。誰が何のために入れたかを確かめてから外してください
制作会社に依頼するときは、「外部送信規律の対象かどうかを判断してほしい」と頼むより、「サイトで動いている外部サービスの一覧と、それぞれを入れた目的を出してほしい」と頼むほうが、話が具体的に進みます。法的な当てはめは専門家の領分で、制作会社が答えられるのは技術的な事実までだからです。
当社では、制作したサイトの保守・運用サポートの中で、使っている外部サービスの棚卸しや、不要になったタグの整理もお手伝いしています。これからサイトを作り直す場合は、ホームページ制作の段階で、外部サービスの一覧を納品物に含めておくことをおすすめします。
よくある質問
- 会社案内だけのホームページでも、外部送信の公表ページは必要ですか？
-
自社の事業を紹介するだけのサイトは、外部送信規律の対象外と整理されることが多いとされています。ただし、対象かどうかはサイトの機能によって変わるため、総務省の資料で確認してください。対象外であっても、プライバシーポリシーでCookieや解析ツールについて説明しておくことは、利用者への配慮として意味があります。
- 公表ページはテンプレートをそのまま使ってもよいですか？
-
ひな形を参考にするのはかまいませんが、載せる送信先は必ず自社サイトの実態に合わせてください。使っていないサービスが載っていたり、使っているサービスが抜けていたりすると、公表している意味がなくなります。開発者ツールで確認した一覧と突き合わせてから載せてください。
- 一度公表ページを作れば、あとは放置してよいですか？
-
タグや埋め込みを追加・削除したときは、そのつど更新が必要です。広告キャンペーンの開始や終了、チャットツールの導入などのタイミングで見直す習慣をつけておくと、一覧と実態のずれを防げます。
