⚠ 本書式は弁護士監修前の草稿である。監修完了まで販売・配布・公開を禁止する。 本書式は一般的な情報提供を目的としたものであり、個別・具体的な法律相談に代わるものではない。

外部送信規律(電気通信事業法)に関する公表文

第1部: 書式本文(記載項目一覧)

1. 公表文の位置付け 本公表文は、当社が運営する【サイト名/アプリ名】(以下「本サービス」という。)において、電気通信事業法第27条の12に基づき、利用者の端末に保存された情報を外部に送信する指令を行う場合に必要な通知・公表事項を定めるものである。

2. 外部送信を行う理由 当社は、本サービスの利用状況の分析、広告配信の最適化、機能改善その他の目的のため、利用者の端末に保存された情報(Cookie、識別子等)を外部の事業者に送信する。

3. 外部送信される情報の項目 一 Cookie識別子(第三者Cookieを含む。) 二 閲覧履歴、行動履歴に関する情報 三 端末情報(OS種別、ブラウザ種別等) 四 その他【個別の送信情報項目】

4. 送信先事業者の一覧 別紙「外部送信先一覧」に、送信先事業者の名称、送信される情報の項目、送信先における利用目的を記載する。

5. 送信先における利用目的 送信先事業者は、送信された情報を、〔広告配信の最適化/アクセス解析/効果測定〕等の目的で利用する。

6. オプトアウトの方法 利用者は、本サービスの【設定画面/Cookie同意管理ツール】において、外部送信を停止する設定を行うことができる。ただし、一部の送信は本サービスの基本的な機能提供に必要であり、オプトアウトの対象外とする。

7. 適用除外の確認 当社は、本サービスにおいて送信する情報のうち、電気通信事業法施行規則が定める適用除外事由(利用者への影響が軽微なもの等)に該当する送信については、本公表の対象から除外している場合がある旨を付記する。

8. 公表文の更新 当社は、送信先事業者の追加・変更又は送信情報項目の変更があった場合、本公表文を速やかに更新する。

9. 問合せ窓口 本公表文の内容に関する問合せは、【問合せ窓口】まで連絡するものとする。

10. 施行日 本公表文は【〇年〇月〇日】から適用する。

第2部: 立場別・場面別の書き換えパターン

A. サイト運営者向け

A-1. Cookie同意管理ツールとの連携の明記

修正条文例:「当社は、Cookie同意管理ツール(CMP)を導入し、利用者が任意にCookieのカテゴリごとに同意・不同意を選択できる仕組みを提供する。」 一言解説: ウェブサイトにおける外部送信規律対応の実務上の標準的手法であるCMPの導入を明記する修正である。

A-2. 必須Cookieと任意Cookieの区別

修正条文例:「本サービスの提供に必要不可欠なCookie(ログイン状態の保持等)については、利用者の設定にかかわらず送信されることがある。」 一言解説: オプトアウトの対象となるCookieと、サービス提供上不可欠で対象とならないCookieを明確に区別する修正である。

B. アプリ提供者向け

B-1. OSレベルのトラッキング許可設定との関係

修正条文例:「本アプリにおける外部送信のうち広告識別子の送信については、OSが提供するトラッキング許可設定に従うものとし、利用者が許可しない場合は当該送信を行わない。」 一言解説: モバイルOSのプライバシー機能(トラッキング許可の要求)との関係を明記し、アプリ特有の実装を反映する修正である。

B-2. SDK単位での送信先の明示

修正条文例:「本アプリに組み込まれている各SDK(広告SDK、解析SDK等)ごとに、送信される情報の項目及び送信先事業者を別紙一覧に記載する。」 一言解説: アプリでは複数のSDKが個別に情報を外部送信することが多いため、SDK単位での粒度で開示する修正である。

第3部: 書き方と法的ポイント解説

使う場面/使ってはいけない場面 本書式は、令和5年施行の改正電気通信事業法によって新設された外部送信規律に対応するため、ウェブサイトやアプリの運営者が、利用者の端末に保存された情報を外部に送信する際に必要な公表・通知事項を整理する場面で用いる。単に自社のプライバシーポリシーを流用して代替することはできず、外部送信規律は電気通信事業法に基づく独立した通知・公表義務であるため、プライバシーポリシーとは別建てで、又はプライバシーポリシー内に本規律に対応した項目を明確に区分して記載する必要がある。

根拠法令 電気通信事業法第27条の12は、電気通信事業を営む者又はこれに準ずる一定の者が、利用者の端末に情報を送信させる指令を送るプログラム等を送信する場合、当該送信される情報の内容や送信先について、あらかじめ利用者に通知し、又は容易に知り得る状態に置かなければならない旨を定める(公表・通知義務)。総務省が公表するガイドラインは、通知・公表すべき事項として、送信される情報の内容、送信先事業者の氏名又は名称、送信される情報の利用目的等を挙げている。適用対象となる送信主体は「電気通信事業を営む者」に加え、電気通信事業に準ずる一定の要件を満たす者にも拡大されており、多くのウェブサイト・アプリ運営者が対象となり得る点に留意が必要である。ただし、送信される情報が利用者の利益に及ぼす影響が軽微であるものなど、施行規則が定める一定の適用除外事由も存在する。

実務でよくある失敗と対策 第一に、既存のプライバシーポリシーに個人情報保護法上の第三者提供に関する記載はあるものの、外部送信規律が要求する「送信先事業者ごとの送信情報項目・利用目的」の粒度での記載がなく、規律の要求水準を満たさない失敗がある。第4条のように送信先事業者一覧を別紙で具体的に整理することが対策となる。第二に、広告SDKや解析タグを追加・変更した際に、公表文の更新を怠り、実際の送信実態と公表内容が乖離してしまう失敗がある。第8条及びB-2のように送信先の変更時の更新プロセスをあらかじめ社内で定めることが有効である。第三に、オプトアウトの方法を用意していない、又は用意していても実質的に機能しない(設定してもすぐに送信が再開される等)失敗がある。第6条及びA-1のように実効性のあるCookie同意管理ツールの導入と、必須Cookieと任意Cookieの区別を明確にすることが望ましい。

外部送信規律の適用対象該当性や適用除外事由の判断は、送信される情報の性質や事業の実態によって異なるため、個別事案は専門家に確認することが望ましい。

第4部: 使用前チェックリスト

• [ ] 自社のサービスが電気通信事業法第27条の12の適用対象に該当するかを確認したか
• [ ] 外部送信される情報の項目を網羅的に洗い出したか
• [ ] 送信先事業者(広告SDK、解析ツール等)を一覧化したか
• [ ] 送信先における利用目的を記載したか
• [ ] オプトアウトの方法(設定画面、CMP等)を用意し実効性を確認したか
• [ ] 必須の送信(サービス提供に不可欠なもの)と任意の送信を区別したか
• [ ] 適用除外事由に該当する送信の有無を確認したか
• [ ] SDK・タグの追加変更時に公表文を更新する社内プロセスを定めたか
• [ ] プライバシーポリシーと外部送信規律対応の記載を区分又は連携させたか
• [ ] アプリの場合、OSのトラッキング許可設定との関係を整理したか