対象事業者は、上記2.の利用者の利益に及ぼす影響が少なくない電気通信役務を提供する際に※20、下記1.の外部送信行為を行おうとするときは、あらかじめ、下記2.の所定の事項について、下記3.の方法で、事前に利用者に通知し、又は当該利用者が容易に知り得る状態に置く(本ニュースレターでは、分かりやすさを考慮して「公表」といいます。行っていないのであれば、外部送信規制の対象外です※22。利用者の電気通信設備(利用者のパソコン、携帯電話、スマートフォン、タブレット等の端末設備)が有する「情報送信機能」(すなわち、利用者の端末設備に記録された当該利用者に関する情報を、当該利用者以外の者の電気通信設備に送信する機能)を起動する指令となるプログラム等を送信すること※23を指します(改正法27条の12柱書)。者の連絡先情報等が含まれます※24。外部送信規制は「Cookie規制」等と説明されることがありますが、Cookieのみが規制対象というわけではありません。利用者自身がウェブページやアプリケーションにおいて入力して送信した情報は、外部送信規制の対象外です※25。ごとに(すなわち、ウェブページやアプリに埋め込まれたタグや情報収集モジュールごとに)以下の事項を事前に通知・公表する必要があります(改正施行規則22条の2の29)。新サービスの企画、アンケート調査その他マーケティング分析のため」、「お客さまにお勧めする商品・サービス・コンテンツ等のご案内のため」、「お客さまに適した当社および他社の広告の表示・配信のため」等の記載粒度でも問題なし※31また、GL解説では、上の事項に加えて、オプトアウト措置の有無、送信される情報の送信先における保存期間、送信元における問合せ先等の事項についても、通知・公表することが望ましいとされています※32。対象事業者が利用者に対して通知又は公表(利用者が容易に知り得る状態に置くこと)を行うにあたっては、以下の方法に従う必要があります(改正施行規則22条の2の28)。日本語を用い、専門用語を避け、及び平易な表現を用いること操作を行うことなく文字が適切な大きさで利用者の電気通信設備の映像面に表示されるようにすること通知・公表事項(上記2.における1~3の事項。アプリケーションの起動後最初に表示される画面において、当該事項を表示する画面へのリンクを記載すること※37上記2つの方法と同等以上に利用者が容易に到達できるようにすることまた、通知・公表事項が記載された送信先のウェブページのリンクを示す、既存のプライバシーポリシーやクッキーポリシーに記載した上で当該ページへのリンクを示すといった方法による場合、リンク先で表示される通知・公表事項の概略を併せて示すことが望ましいとされています※38。ごとに、通知・公表事項に差異があるのであれば、当該差異が分かるようにする必要があります※39。該当したとしても、以下の情報について情報送信指令通信を行おうとするときには、利用者に対して事前通知・公表をする必要はありません※40。オプトアウト措置を適切に講じているが、利用者がオプトアウト措置の適用を求めていない情報(ア)適用除外1:利用者が電気通信役務を利用する際に送信をすることが必要な情報(改正法27条の12第1号)下表の情報を送信させる情報送信指令通信を行おうとする場合は、利用者にとって送信が想定できるものであることから、事前通知・公表は不要とされています。利用する際に必ずしも必要がなく、送信が通常想定できない情報や、通常想定できない利用目的で利用される情報については、「真に必要な情報」に該当せず、適用除外の対象とならないとの考え方が示されています。Cookieに保存されたID)を利用者に送信して、利用者の電気通信設備に記録した場合において、対象事業者がその識別符号を利用者から回収する通信については、対象事業者自身が利用者に付した識別符号を回収しているに過ぎないため、事前の通知・公表を不要とするものです。(ウ)適用除外3:利用者が送信に同意している情報(改正法27条の12第3号)利用者に関する情報の外部送信について当該利用者が同意※42している場合、事前の通知・公表等は不要です。ついて事前通知・公表を行うことが望ましいとされています※43。利用者の具体的かつ能動的な同意を取得することが必要とされており、GL解説においては、ウェブページやアプリケーションに埋め込まれたタグや情報収集モジュールごとに同意を取得することが望ましく、同意のためのチェックボックスにあらかじめチェックを付しておく方法(デフォルト・オン)等、利用者が能動的に同意を行ったとはいえないような方法は避けるべきとされています※44。(エ)適用除外4:オプトアウト措置を適切に講じている場合に、利用者がオプトアウト措置の適用を求めていない情報(改正法27条の12第4号)対象事業者が、情報の送信又は利用を停止する措置(オプトアウト措置)を適切に講じており、利用者が当該措置の適用を求めていない情報については、事前の通知・公表は不要です。対象事業者は、単にオプトアウト措置を講じるだけではなく、以下の事項を公表する(利用者が容易に知り得る状態に置く)※45必要があります(改正施行規則22条の2の31各号)。外部送信規制が適用される可能性のある企業におかれましては、本年6月16日の施行に向けて、以下のような対応を取る必要があると思われます※48。第三号事業者)に該当するか、どのサービスについて外部送信規制が適用されるかの見極めを行う。*既にCookieポリシーやCookieバナーをおいている場合、既存のポリシーやバナーと外部送信規制のギャップ分析を行う。オプトアウト措置のいずれに依拠するか決定し、それに応じた記載内容を検討し、各適用対象サービスに実装する。本改正を機に、法令上最低限の対応を超えて、ユーザーに対する透明性の観点からベストプラクティスに沿った対応を検討されたり、GDPR・eプライバシー指令あるいはカリフォルニア消費者プライバシー権法に基づくクッキー規制への対応との整合性を確認するのも望ましい対応と思われます。※1改正法の他の対象事項としては、1一定のブロードバンドサービスに対する交付金制度、2所定の設備を用いた卸役務の提供義務及び料金算定方法等の提示義務、3大規模な事業者が取得する利用者情報について適正な取扱いを行う義務等があります。係る電気通信事業における個人情報保護に関するガイドラインの解説案について」(以下、「GL解説案」といいます。Cookieといいます。Cookieを利用することにより、例えば、ウェブサイトの閲覧者の識別や認証が可能になったり、Cookieに紐付く利用者の閲覧履歴等の把握が可能となったりします。※8「『個人情報の保護に関する法律についてのガイドライン』に関するQ&A」(2022年5月26日更新)のQA8-10(法第31条の適用の有無について)。上の設例において「A社がB社のタグにより収集される閲覧履歴を取り扱ってい」る場合は、「提供」に該当する余地があるとされています。して届出が必要となります(改正法164条1項3号)。マニュアル(追補版)ガイドブック」(令和5年1月30日改定)4頁の図を加工したものです。)※14GL解説7-1-2(1)~(4)※15GL解説7-1-2(2)※16インターネット経由で複数の店舗でネットショッピングを行うことができる又は複数の出品者の商品等を購入できる「場」を提供するものをいいます。※20当該対象事業者が、「利用者の利益に及ぼす影響が少なくない電気通信役務」に該当しないサービスを提供する際には、外部送信規制は適用されません(FAQ1-10)。「その利用者に対し電気通信役務を提供する際に」行われるものに限られます。したがって、個別の事案次第ではあるものの、対象事業者のウェブサイトに掲載される広告に関連する第三者(広告主やDSPなど)、利用者に対して当該役務を提供するものではなく対象事業者にサービスを提供するような第三者、および対象事業者のウェブサイトに設置されたWebトラッキングコードを発行した第三者については、対象事業者に該当したとしても、当該ウェブサイトとの関係では、外部送信規制の対象にならない場合もあると考えられるとされています(パブコメ結果36~39頁)。※22この場合に「外部に送信する情報はありません」や「外部送信規律の対象になる情報の送信はありません」といった通知等をする必要はありません(パブコメ結果35頁)。該当しないと考えられるとされています(パブコメ結果39~41頁)。※26GL解説7-1-1(1)※27現時点で送信される利用者に関する情報に加えて、これと区別した上で、将来的に送信され得る利用者に関する情報について、併せて通知等を行うことは妨げられません(パブコメ結果57頁)。※29正確には、1の「情報の送信先となる電気通信設備を用いて当該情報を取り扱うこととなる者の氏名又は名称」(改正施行規則22条の2の29第2号)※30GL解説7-3-1(3)。送信先に送信された後、送信先から送信元に提供する場合や、送信先からさらに別の者に提供される場合等については、いずれも送信先が当該情報を取得した後に第三者(送信元も含む)に提供するものであり、外部送信規制の対象外となります(FAQ4-3、4-4)。※31パブコメ結果54~55頁。利用者に関する情報から、当該利用者に関する行動・関心等の情報を分析する場合、どのような取扱いが行われているかを当該利用者が予測・想定できる粒度で利用目的を記載しなければならないとされています。)によると、ウェブサイトのヘッダーもしくはフッター部分に、プライバシーポリシーと同様に「外部送信について」というリンクを設置することが考えられます。※36GL解説7-2-3(1)。GL解説におけるこの記載は、あくまで適切な通知又は容易に知り得る状態に置く方法の一例であって、個別具体的な態様・実状に鑑み、より利用者の容易な理解・把握・確認に資する場合(1ページに記載したのでは、記載事項が複雑かつ膨大となる場合等)には、掲載するウェブページを複数のウェブページに分割・区分・整理したうえで、リンク等を用いて利用者に当該情報を供することも許容されるとされています(パブコメ結果51~52頁)。※37GL解説7-2-3(2)。「アプリケーションの起動後最初に表示される画面」とは、起動後すぐの画面を意味するのではなく、当該アプリケーションを利用する際に一般的に初期とされる画面をいいます(パブコメ結果52~53頁)。「リンクを記載」は、単純なリンクではなく、アプリケーション独特のメニュー等のインターフェースによる遷移も可能とされています(パブコメ結果52~53頁)。※40改正法27条の12各号の例外事由に、個情法27条5項各号に相当する例外規定は含まれていませんので、利用者に関する情報の取扱いの委託に伴って、委託先の第三者に対して利用者に関する情報が送信される場合であっても、対象事業者は確認の機会を付与することが必要となります(GL解説7-1の(※3))。※41GL解説7-4-1-1※42ここにいう「同意」とは、個情法27条1項の「本人の同意」ではなく、改正法27条の12第3号における「同意」をいいます(GL解説7-1の(※1))。※43GL解説7-4-2-1※44GL解説7-4-2-2※45かかる公表にあたっては、上記3.において述べた公表の方法に準じるのが望ましいとされています(GL解説7-4-3-2)。ような記載粒度でも問題ないとされています(パブコメ結果58~59頁)。新サービスの企画、アンケート調査その他マーケティング分析のため」、「お客さまにお勧めする商品・サービス・コンテンツ等のご案内のため」、「お客さまに適した当社および他社の広告の表示・配信のため」等の記載粒度で問題なく、ただし、例えば、利用者に関する情報から、当該利用者に関する行動・関心等の情報を分析する場合、どのような取扱いが行われているかを当該利用者が予測・想定できる粒度で利用目的を記載しなければならないとされています(パブコメ結果58~59頁)。オプトアウト措置の記載内容については、事業者団体等の見解も示されており、参考になると思われます。係る電気通信事業における個人情報保護に関するガイドラインの解説案について」8頁)。最新のGL解説案ではこの記載は削除されている点にご留意ください。本ニュースレターは、各位のご参考のために一般的な情報を簡潔に提供することを目的としたものであり、当事務所の法的アドバイスを構成するものではありません。見解に亘る部分は執筆者の個人的見解であり当事務所の見解ではありません。一般的情報としての性質上、法令の条文や出典の引用を意図的に省略している場合があります。個別具体的事案に係る問題については、必ず弁護士にご相談ください。Lounge会員登録のご案内ホットなトピックスやウェビナーのアーカイブはこちらよりご覧いただけます。最新情報をリリースしましたらすぐにメールでお届けします。会員向けコンテンツホットなトピックスやウェビナーのアーカイブはこちらよりご覧いただけます。最新情報をリリースしましたらすぐにメールでお届けします。南北アメリカ米国ブラジルその他アメリカ地域ヨーロッパ。