外部送信規律はネットショップにも関係する？｜計測タグとプライバシーポリシーに書くこと

外部送信規律とは

外部送信規律は、2022年6月の電気通信事業法の改正で設けられ、2023年6月16日に施行されたルールです(法第27条の12)。総務省の説明によれば、ウェブサイトやアプリを使うとき、利用者が気づかないうちに、タグや情報収集モジュールによって利用者の情報が外部へ送られている場合があります。そこで、送られる情報を利用者が自分で確認できるようにすることが目的です。

対象になる事業者は、利用者の端末に外部送信を指示するプログラム(タグなど)を送るとき、あらかじめ次の事項を利用者に通知するか、利用者が容易に知り得る状態に置く必要があります。同意を取る方法や、送信を止められるオプトアウトの仕組みを用意する方法もあります。

1. 送信される利用者に関する情報の内容
2. その情報を取り扱うこととなる者の氏名または名称
3. その情報の利用目的

FAQによれば、Cookieを使っていなくても対象になり得ます(問1-7)。送信先には、第三者だけでなくサービス提供者自身のサーバーも含まれます(問1-16)。

対象は「電気通信事業」を営む者だけ

外部送信規律は電気通信事業法のルールなので、「電気通信事業」を営んでいなければ、外部送信が行われていても対象になりません(FAQ問1-8)。さらに、利用者の利益に及ぼす影響が少なくない役務として省令で定めたものを、ブラウザやアプリで提供している場合に限られます。FAQ問1-9は、それを次の4つに整理しています。

自社の商品を売るネットショップはどうなるか

総務省の外部送信規律のページは、ホームページの運営のうち「自社商品等のオンライン販売」と「企業等のホームページ運営・個人ブログ」は電気通信事業に該当しないため対象にならない、と説明しています。

FAQ問1-12は、家電小売業者が自社のウェブサイトで商品を販売する例について、「本来業務である小売業の遂行の手段として電気通信を用いているに過ぎず、自己の需要のために電気通信サービスを提供している」ため、電気通信事業に該当せず、外部送信規律も適用されないと答えています。問1-13では、実店舗がなく、もっぱら自社ウェブサイトで販売している場合も同じだとしています。

つまり総務省の説明どおりに読めば、自社の商品だけを自社サイトで売るネットショップは、外部送信規律の対象外と整理されています。ただし、同じ事業者でも運営しているサービスによって結論が変わります。FAQに出てくる例を表にまとめます。

読み物やお客さま同士の交流の機能があるときは、それが自社商品の販売のためのものか、情報提供サービスやSNS・掲示板に近いものかで判断が分かれる可能性があります。一律には決められないので、確認をおすすめします。

迷うときに確かめる順番

1. サイトで提供しているものを書き出す。商品の販売、ブログ、会員ページ、レビュー投稿などを並べます。
2. それぞれが自社の販売のためか、他人の通信の「場」や情報提供サービスかを考える。
3. タグを入れているページを確かめる。FAQ問2-12のように、同じサイトでもページごとに扱いが分かれることがあります。
4. 判断がつかなければ相談する。総務省は、電気通信事業法の適用を判断するための考え方と事例を「電気通信事業参入マニュアル[追補版]」とそのガイドブックで公開しています。外部送信規律のページには、総合通信基盤局 電気通信事業部 利用環境課の連絡先も載っています。

対象になる場合に求められる書き方

対象になると分かった場合、またはモールの運営などで対象になる場合は、FAQに具体的な書き方が示されています。主な点は次のとおりです。

一方で、ページを正しく表示するための情報など「真に必要な情報」や、サービス提供者がその端末に送ったIDをその提供者のサーバーへ送る場合(First Party Cookieに保存されたIDなど)は、通知等が不要とされています。ただし、IDと一緒に送られる情報や、IDを使って第三者に送られる情報は、原則どおり除外されないとされています(問6-3、6-4)。計測タグや広告タグの多くは後者にあたるので、「Cookieのことだから書かなくてよい」とは考えないほうが安全です。

対象外でも必要なこと: 個人情報保護法

外部送信規律の対象外であっても、ネットショップは個人情報保護法の義務を負います。計測やポップアップに関係するのは主に次の3つです。

1. 利用目的をできる限り特定する(第17条)。個人情報保護委員会のガイドライン(通則編)は、「事業活動に用いるため」「マーケティング活動に用いるため」のような書き方は具体的に特定していない例だとしています。閲覧履歴や購買履歴を分析して広告に使うなら、「取得した閲覧履歴や購買履歴等の情報を分析して、趣味・嗜好に応じた新商品・サービスに関する広告のために利用いたします。」のように、本人が想定できる程度に書くよう示されています。
2. 利用目的を通知または公表する(第21条)。あらかじめ公表していれば、取得のたびに通知する必要はありません。
3. 個人関連情報を第三者へ提供するときの確認(第31条)。ガイドラインは「Cookie等の端末識別子を通じて収集された、ある個人のウェブサイトの閲覧履歴」を個人関連情報の例に挙げています。提供先がそれを個人データとして取得することが想定されるときは、本人の同意が得られていることを確認しないで提供してはならないとされています。

注意したいのは、閲覧履歴がメールアドレスや氏名と結びつく場面です。たとえばメール登録のポップアップやフォームで送信された時点で、それまでの閲覧の記録がその人の情報としてつながります。ガイドラインでは、特定の個人を識別できる場合は個人情報にあたり、個人関連情報にはあたらないと整理されています。メルマガ登録の同意の取り方はメルマガ登録の同意の取り方で詳しく紹介しています。

marketingLABOの計測タグが送る情報と保存するもの

プライバシーポリシーを書くには、まず自分のサイトのタグが何を送っているかを知る必要があります。marketingLABOの計測タグ(2026年10月12日時点)は、主に次の情報をmarketingLABOのサーバーへ送ります。

1. 閲覧したページのURL、参照元(どこから来たか)、URLに付いたUTMパラメータ
2. ページを開いたこと・離れたこと、リンクのクリック
3. ヒートマップ用のクリック位置、マウスの動き、スクロールした深さと画面の大きさの区分
4. ポップアップの表示とクリック
5. フォームやメール登録ポップアップで送信された入力内容
6. IPアドレスやブラウザの種類など、通信に伴って届く情報

ブラウザには、次のCookieなどを保存します。

marketingLABOの利用規約第10条では、計測タグが閲覧したページ、閲覧日時、IPアドレス、Cookie、ブラウザの種類、フォームに入力された情報などを取得すること、利用者(ショップ)がプライバシーポリシー等で公表し必要な同意を取得すること、当社は利用者の委託を受けて情報を取り扱うことを定めています。Cookieで訪問者を見分ける仕組みの限界は初めての人とリピーターで出すものを変えるでも説明しています。

同意管理(CMP)の機能はありません

marketingLABOには、Cookieの同意を管理するツール(CMP)の機能はありません。同意の有無でタグの動作を切り替える必要がある場合は、別の同意管理ツールで計測タグの読み込みを制御してください。

プライバシーポリシーに書く内容の例

外部送信規律の対象かどうかにかかわらず、使っているツールと送っている情報を書いておくと、お客さまにとって分かりやすくなります。総務省も、外部送信される情報の透明性を高めることは、サービスの安全性や信頼性をアピールすることにつながると説明しています。以下は書き方の一例です。実際に使っているツールと内容に合わせて書き換えてください。

【アクセス解析・ポップアップ表示ツールについて】
当ショップでは、サイトの改善とお知らせの表示のため、
ibis studio株式会社が提供する「marketingLABO」を利用しています。

送信される情報:
閲覧したページのURL、閲覧日時、参照元、クリックやスクロールの状況、
IPアドレス、ブラウザの種類、Cookieに保存した識別子、
フォームに入力・送信された内容

利用目的:
閲覧状況の分析によるサイトの改善、閲覧状況に応じたお知らせの表示、
メールマガジンの配信(登録された方のみ)

Cookieはブラウザの設定で削除・拒否できます。
その場合、一部のお知らせが正しく表示されないことがあります。

広告タグなど他のツールも使っている場合は、ツールごとに同じ項目を並べます。

公開前のチェックリスト

1. サイトで提供しているサービスを書き出し、自社の販売のためのものか、モールや情報提供サービスにあたるものがないかを確かめた。
2. サイトに入っているタグ(計測、広告、チャットなど)をすべて書き出した。
3. タグごとに、送る情報・送信先の事業者名・利用目的を確認した。
4. プライバシーポリシーの利用目的が「マーケティングのため」のような抽象的な書き方になっていない。
5. メール登録のポップアップやフォームの近くに、プライバシーポリシーへのリンクがある。

よくある質問

Q. 自社サイトで商品を売っているだけなら、何もしなくてよいですか？
総務省の説明では、自社商品のオンライン販売は外部送信規律の対象外です。ただし個人情報保護法の利用目的の特定・公表は必要です。プライバシーポリシーで、使っているツールと目的を分かるようにしておきましょう。

Q. Shopifyなどのカートシステムを使っている場合、対象になりますか？
カートシステムを使っていても、自社の商品を自社のショップで売っているかどうかで考えます。カートシステムを提供する会社の側がどう扱われるかとは別の話です。タグを貼る場所はカートシステム別、計測タグを貼る場所の一覧にまとめています。

Q. Cookieの同意バナーは出さなければいけませんか？
外部送信規律は、通知・公表、同意、オプトアウトのいずれかで対応する仕組みで、同意バナーだけが方法ではありません。個人関連情報を提供先で個人データとして取得させる場合は、本人の同意の確認が必要になります。どれが必要かは、使っているタグと送り先によって変わります。

marketingLABOを使うときは

marketingLABOは、計測タグ1行でヒートマップ・行動履歴・ポップアップ・フォームを使えるツールです。タグが送る情報は上の表のとおりなので、プライバシーポリシーを書くときの材料にしてください。フリープランは無料で登録でき、料金は料金表でご確認いただけます。計測の仕組みとできること・できないことはECサイトのマーケティングオートメーション(MA)とはで紹介しています。

参考にした資料

総務省「自分に関する情報が第三者に送信される場合、自身で確認できるようになります。」(外部送信規律): https://www.soumu.go.jp/main_sosiki/joho_tsusin/d_syohi/gaibusoushin_kiritsu.html

総務省「外部送信規律FAQ」: https://www.soumu.go.jp/main_sosiki/joho_tsusin/d_syohi/gaibusoushin_kiritsu_00002.html

総務省「外部送信規律 法令・ガイドライン・パンフレット」: https://www.soumu.go.jp/main_sosiki/joho_tsusin/d_syohi/gaibusoushin_kiritsu_00001.html

e-Gov法令検索「電気通信事業法」(第27条の12): https://laws.e-gov.go.jp/law/359AC0000000086

e-Gov法令検索「個人情報の保護に関する法律」(第2条第7項、第17条、第21条、第31条): https://laws.e-gov.go.jp/law/415AC0000000057

個人情報保護委員会「個人情報の保護に関する法律についてのガイドライン(通則編)」: https://www.ppc.go.jp/personalinfo/legal/guidelines_tsusoku/