「プライバシーポリシーを電気通信事業法対応版に書き直しました」
——この報告を受けて、法務部として安心してよいでしょうか。
実は、ポリシーの文言を整えることと、外部送信規律への実質的な対応が完了していることは、必ずしもイコールではありません。
書面上は整っていても、実際のサイト実装(タグ・Cookieの送信先)が記載内容と一致していなければ、対応は道半ばです。
本記事では、法務・コンプライアンス担当者が押さえておくべき論点を整理します。
外部送信規律とは何か
外部送信規律は、電気通信事業法の改正(第27条の12の新設)により導入された制度で、2023年6月1日に施行されました。
利用者の端末(スマートフォンやPC)から外部へ情報を送信させる場合に、対象となる事業者に対し、その内容についての通知または公表などの対応を求めるものです。
ここで重要なのは、対象となるのは「電気通信事業を営む者」のうち一定の役務を提供する事業者である、という点です。
登録・届出を行っていないWeb事業者であっても対象に含まれる場合があり、「うちは電気通信事業者ではないから関係ない」と早合点しないよう注意が必要です。
対象範囲の断定的な判断は避け、総務省が公表している「外部送信規律についての解説」等のガイドラインを一次情報として参照することをおすすめします。
「通知・公表」の要件とポリシー改訂の限界
外部送信規律への対応方法には、通知・公表のほか、同意取得(いわゆるCookieバナー)、オプトアウト措置といった選択肢があります。
ポリシー改訂は「公表」による対応を選んだ場合の一つの手段に過ぎず、それだけで規律への対応がすべて完了するわけではありません。
見落とされがちなのは、「公表」を選ぶ場合、送信される情報の内容・送信先・利用目的について、実態に即した具体的な記載が求められる点です。
テンプレート的な文言をそのまま流用しただけでは、実際にサイト上で動いているタグ(広告タグ、アクセス解析タグなど)の送信実態と記載内容が食い違っているケースが少なくありません。
法務部が文言を整えても、その裏側の技術実装まで把握・点検していなければ、記載内容の正確性を担保できません。
個人情報保護法との混同ポイント
もう一つ注意したいのが、電気通信事業法と個人情報保護法を混同して説明してしまうことです。
「Cookieは個人情報だから同意が必要」という理解は正確ではありません。
Cookie等の識別子は、単体では個人情報に該当しない場合が多い一方で、個人関連情報として扱われます。
個人関連情報を第三者に提供し、提供先で個人データとして取得することが想定される場合には、本人の同意が得られていることの確認等が必要になります。
これは電気通信事業法の外部送信規律とは根拠法・要件が異なる話であり、社内説明の際に両者を一段落の中で混ぜて語ると、誤解を招きやすくなります。
どちらの法律の、どの要件について話しているのかを常に明示することが、法務部として説明責任を果たすうえで重要です。
法務部がチェックすべき項目リスト
ポリシー改訂後、法務部として最低限確認しておきたい項目を整理します。
- 自社サイトが外部送信規律の対象事業者に該当するかどうかの根拠を整理しているか
- 通知・公表/同意取得/オプトアウトのうち、どの対応方法を選んだかが社内で明確になっているか
- プライバシーポリシーの記載内容が、実際にサイト上で動いているタグの送信実態と一致しているか
- 個人関連情報の第三者提供に該当する送信がないか、Web担当者と洗い出しを行ったか
- 施行時期や条文の引用箇所が最新の情報に更新されているか
これらはいずれも、法務部単独では完結せず、Web担当者・開発チームとの連携が前提になる項目です。
Web担当者との連携で見落としがちな実装面
法務部が「公表すべき内容」を定義しても、それを実装するのはWeb担当者です。
ここで生じやすいのが、法務側が把握しているタグと、実際にサイトに設置されているタグに差がある、という問題です。
マーケティング部門が独自に追加した計測タグや広告タグが、法務部の把握しないまま稼働しているケースも珍しくありません。
定期的に、法務部とWeb担当者が「現在サイトから外部に送信されている情報」を突き合わせる棚卸しの機会を持つことが、記載内容の正確性を維持するうえで有効です。
同意取得(バナー)方式を採用している場合は、同意状況の記録・保管の運用が実際に回っているかどうかも、法務部としてあわせて確認しておきたいポイントです。
Steconのような同意管理プラットフォーム(CMP:Consent Management Platform)は、こうした同意の取得・記録・管理を支援する仕組みですが、どの送信が規制対象になるかの整理や、公表文書の整備自体は、事業者自身が行うべき対応であることに変わりはありません。
まとめ
プライバシーポリシーの書き換えは、外部送信規律対応の重要な一歩ではありますが、それ単体で対応が完了するものではありません。実質的な対応のためには、法務部として次の3点を定期的に点検する仕組みを持つことが欠かせません。
- 記載内容と実際のサイト実装が一致しているか
- 個人情報保護法との違いを正確に区別できているか
- Web担当者との継続的な連携体制があるか
これらを継続的に見直すことが、実質的な対応の鍵になります。
※本記事は一般的な情報提供であり、法的助言ではありません。
個別の対応については、必要に応じて専門家にご確認ください。
