このページの要点
- 外部送信規律の対象は、電気通信事業者又は第三号事業を営む者のうち、SNS・掲示板・検索・ニュースや情報の配信などの役務をブラウザやアプリを通じて提供する者（電気通信事業法27条の12、施行規則22条の2の27）。
- 外部送信させる情報ごとに、①送信される情報の内容、②送信先で取り扱う者の氏名・名称、③利用目的を、通知するか容易に知り得る状態に置く（施行規則22条の2の29）。
- サービスの提供に真に必要な情報、サービス提供者自身が付与した識別符号を自分に送らせるもの、本人が同意しているものなどは、公表の義務がかからない（法27条の12ただし書）。
- Cookieと結び付いた閲覧履歴などは個人関連情報。提供先が個人データとして取得することが想定されるなら、提供先が本人の同意を得ていることの確認が必要（個人情報保護法31条）。
外部送信規律の対象になる事業者とサービス
電気通信事業法27条の12は、電気通信事業者と「第三号事業を営む者」のうち、利用者の利益に及ぼす影響が少なくないものとして総務省令で定める電気通信役務を提供する者に、外部送信についての通知・公表を義務づけています。総務省令は、ブラウザその他のソフトウェア（パソコンやスマートフォンでOSを通じて実行されるもの）により提供される、次の四つの役務を定めています（同法施行規則22条の2の27）。
| 号 | 役務の内容 | サービスの例 |
|---|---|---|
| 1号 | 他人の通信を媒介する電気通信役務 | メッセージ機能、チャット、メール |
| 2号 | 利用者から受信した情報を記録し、不特定の利用者の求めに応じて送信する機能を持つ設備を他人の通信の用に供する役務 | SNS、掲示板、口コミサイト、動画・写真の共有、オンラインモール |
| 3号 | 入力された検索情報に対応して、ウェブページの所在に関する情報を出力する役務 | 検索サービス |
| 4号 | 前号のほか、不特定の利用者の求めに応じて情報を送信する機能を持つ設備を他人の通信の用に供する役務で、不特定の利用者による情報の閲覧に供することを目的とするもの | ニュースや情報の配信、オンラインで提供するコンテンツサービス |
対象かどうかは、会社の規模や利用者の数ではなく、提供している役務の内容で決まります。自社の商品やサービスを紹介するだけのサイトは、通常は対象外とされています。一方、利用者の入力に応じて診断の結果をオンラインで提供するWebサービスのように、情報を提供すること自体がサービスになっているものは、4号に当たる可能性があります。そのようなサービスのCookieポリシーでは、対象に当たる可能性が高いとして、送信先ごとに公表した例があります。
個人向けの記録アプリや習慣づくりのアプリのように、総務省の資料で明示的に例示されていないサービスもあります。その場合も、対応の負担は大きくないため、「対象に当たるものとして備える」ことをおすすめしています。反対に、明らかに対象外のサイトで「外部送信規律に基づき公表します」と宣言する文は削ってかまいませんが、解析ツールなどの説明は、透明性のために残しておきます。
通知・公表する三つの事項
対象となる事業者は、利用者の端末に外部送信をさせようとするときは、あらかじめ、外部送信させる情報ごとに次の事項を利用者に通知するか、利用者が容易に知り得る状態に置かなければなりません（電気通信事業法27条の12、同法施行規則22条の2の29）。
- 送信されることとなる利用者に関する情報の内容
- その情報の送信先となる電気通信設備を用いてその情報を取り扱うこととなる者の氏名又は名称
- その情報の利用目的
表示の方法も定められています。日本語を用い、専門用語を避け、平易な表現を用いること、操作をしなくても文字が適切な大きさで表示されることなどです（同法施行規則22条の2の28第1項）。容易に知り得る状態に置く方法としては、外部送信を行うウェブページ又はそこから容易に到達できるページに表示すること、アプリであれば最初に表示される画面又はそこから容易に到達できる画面に表示することなどが挙げられています（同条3項）。Webサイトなら、すべてのページのフッターから外部送信ポリシーに到達できるようにしておくのが実務的です。
条文の書き方の例 外部送信ポリシーの記載例（一行分）
- 送信先：◯◯株式会社（アクセス解析サービス「◯◯」の提供者）
- 送信される情報：閲覧したページのURL、参照元のURL、閲覧日時、端末とブラウザの種類、IPアドレス、Cookieに記録された識別子
- 当社の利用目的：本サービスの利用状況の分析及び改善のため
- 送信先における利用目的：送信先が公表する利用目的による（送信先の説明ページへのリンク）
利用目的は、当社の目的だけでなく、送信先での利用目的も分かるようにしておきます。送信先の名称は、実際の契約の相手の正式名称で書きます。
公表の義務がかからない情報
次の情報は、外部送信規律の通知・公表の義務がかかりません（電気通信事業法27条の12ただし書）。
- サービスの提供に必要な情報：画面を適正に表示するために必要な情報、利用者が入力した情報を再表示するために必要な情報、不正行為の検知や被害の軽減のために必要な情報、設備の負荷を軽減するための情報など（同法施行規則22条の2の30）。ただし、その必要の範囲内で送信する場合に限られます。
- 自らが付与した識別符号：サービスの提供者が利用者に付与した識別符号を、自分の設備に送らせるもの（同法27条の12第2号）。
- 利用者が同意している情報（同条3号）。
- オプトアウトの措置を講じている情報（同条4号）。この例外を使うには、措置を講じている旨、送信の停止か利用の停止かの別、求めの受付方法、停止した場合の利用の制限、送信される情報・送信先・目的を、容易に知り得る状態に置く必要があります（同法施行規則22条の2の31）。
オプトアウトの例外については、「広告のCookieはブラウザの設定で無効にできます」と書いても、利用者自身のブラウザ設定の案内であって、事業者が講じる措置とは読みにくいことに注意が必要です。事務所では、オプトアウトの例外に頼らず、通知・公表で足りる形にしておくことをおすすめしています。
レビューでよく見つかる不備
- 送信先の名称が「◯◯等」になっている、社名が実際の契約の相手と違う。
- 送信される情報の書き方が、送信先の公式の説明より粗い。たとえば、ボット対策のサービスや、Webフォントの配信サービスが受け取る情報を、「アクセス情報」の一言で済ませている。
- 送信先での利用目的が書かれていない。送信先が、受け取った情報を自社のサービスの改善に使うと公表している場合があります。
- 表にない送信先がある。決済画面が別のボット対策のサービスを読み込んでいる、タグマネージャー経由で後から追加したタグが反映されていない、など。
- 決済代行の行が「支払に必要な情報」だけで、不正検知のために送られている端末の情報が書かれていない。
アプリでは、端末から送る情報と、サーバーから送る情報を分ける
外部送信規律が対象にしているのは、利用者の端末から、利用者以外の者（運営者自身を含む）の設備へ送信させる情報です。運営者自身への送信の多くは、サービスの提供に必要な情報や自ら付与した識別符号として、公表の義務がかかりません。運営者のサーバーから外部の事業者に送る情報（メール送信のAPI、共有ページ用の画像を作るAPI、外部認証の連携の解除など）は、外部送信の一覧ではなく、委託や第三者提供の整理の中で説明します。この区別を正確にすることが、アプリの書類全体の正確さの要になります。
ご相談でよく聞かれること：アプリの外部送信の整理
Q位置情報の取得にOSの機能を使っています。Androidでは、端末の設定によって周辺のWi-Fiや基地局の情報がGoogleに送られるそうですが、外部送信の一覧に載せるべきですか。
AOSの測位の機能として、利用者とGoogleとの取決めに従って行われる送信で、アプリが送信の内容を指定するものではありません。そこで一覧には載せず、本文で、送信される情報・送信先・仕組み・送信先の利用目的を確認できる場所を公表し、一覧に載せない理由もあわせて書きました。どちらの考え方に立っても、公表すべき事項は公表されている状態にしています。
Q地図の画像を、自社のドメインから配信する構成にしました。地図の事業者も一覧に載せますか。
A利用者の端末が通信するのは自社の配信基盤なので、その配信の事業者の行に「閲覧中の地図の範囲」を加えれば足り、地図の事業者の行は不要と整理しました。構成を変えると送信先も変わるので、実装を確定した段階で一覧を照合します。
解析やクラッシュの記録のSDKを追加したときに、一覧の更新を忘れることがよくあります。一覧は別表にして、SDKを追加・削除したら別表を更新するだけで済む設計にしておきます。アプリストアへのデータの申告と、プライバシーポリシー、外部送信の一覧を、同じ元の資料から作ると、食い違いが起きにくくなります（ストア審査のページ）。
Cookieと個人情報保護法：個人関連情報
Cookieなどの端末の識別子に結び付いた閲覧の履歴は、それだけでは特定の個人を識別できなくても、「個人関連情報」に当たり得ます。個人関連情報を第三者に提供する場合で、提供先がそれを個人データとして取得することが想定されるときは、提供先が本人の同意を得ていることなどを、提供元が確認しなければなりません（個人情報保護法31条1項）。提供先が外国にある場合は、本人の同意を得る際に外国の制度などの情報が提供されていることも確認します（同項2号）。外国にある第三者への提供の考え方は第三者提供と海外のクラウドのページで整理しています。
| 方式 | 考え方 |
|---|---|
| タグを設置し、広告事業者が直接情報を取得する（運営者は収集した内容を取り扱わない） | 運営者が個人関連情報を「提供」したことにはならず、広告事業者が直接取得するものと整理される。外部送信の公表は必要 |
| 運営者のサーバーから、広告事業者にイベントや暗号化したメールアドレスを送る | 運営者が提供元になる。暗号化しても、提供元で個人データに当たるなら第三者提供（外国の事業者なら28条）、個人関連情報なら31条の整理が必要 |
| 提供先が、個人データとして利用しない旨を約束している | 原則として31条1項の確認は不要とされる |
広告のタグには、入力されたメールアドレスなどを自動で広告事業者に送る設定（自動でマッチングを行う機能など）があります。事務所が作成したWebサービスの案件では、プライバシーポリシーに書かない限りこうした設定はオフにしていただき、入力された情報がURLのパラメータを通じて広告のタグに送られないことも確認していただきました。Cookieの閲覧データから算出したスコアを本人の同意なく提供したことが問題になった事案が、個人関連情報のルールが設けられるきっかけの一つになっています。
同意のバナーは必要か
日本の法律では、Cookieの利用そのものについて、一律に事前の同意を求める規定はありません。国内の利用者だけを対象にし、Cookieで得た情報を提携先に提供して個人と結び付ける予定もないのであれば、外部送信ポリシー（Cookieポリシー）の公表と、送信を止める方法の案内で足りると判断した例があります。一方、EUの利用者を対象にするなら、原則として必須でないCookieに事前の同意が求められます。英国も、近年の法改正で統計目的など一部の例外が設けられましたが、広告目的のCookieなどには事前の同意が求められます。ヒヤリングでは、海外の利用者を想定しているかを必ず確認しています。
| 区分 | 例 | 利用者への案内 |
|---|---|---|
| 必須 | ログインの維持、決済の画面、不正アクセスの対策 | 停止するとサービスが使えなくなる旨 |
| 分析 | アクセス解析のツール | 各社の停止のページ、ブラウザの設定 |
| 広告 | 広告の配信・効果測定のタグ | 各社の停止のページ、同意の設定 |
| 機能 | チャット、SNSのボタン、地図の埋め込み | ブラウザの設定など |
Cookieポリシーは、サイトに実際に設置されているタグの一覧をもとに書きます。タグマネージャー、ホスティング事業者の解析機能、Webフォント、埋め込みの動画やSNSの投稿など、外部に情報を送る仕組みはほかにもあるので、一覧をいただいたうえで作成します。サイト作成サービスが標準の機能として使うCookieと、運営者が自分で導入する解析ツールとでは主体が違うので、条文の上でも分けて書きます。アクセス解析を導入しないなら、取得する情報から「利用状況に関する情報」を削除します（プライバシーポリシーのページ）。
公開前のチェック：Cookie・外部送信
- 提供しているサービスが、外部送信規律の対象の役務に当たるかを確認した
- 実際に設置しているタグ・SDKの一覧をもとに、送信先ごとに情報の内容・送信先の名称・利用目的を書いた
- 送信先での利用目的も確認できるようにした
- 端末から送る情報と、サーバーから送る情報を分けて整理した
- すべてのページ（アプリは最初の画面）から容易に到達できる場所に置いた
- 広告タグの自動マッチングなどの設定と、プライバシーポリシーの記載を照合した
- 海外の利用者を対象にするかを確認し、同意のバナーの要否を判断した
よくあるご質問
外部送信規律は、すべてのWebサイトやアプリが対象ですか？
対象は、電気通信事業者と第三号事業を営む者のうち、メッセージ、SNS・掲示板、検索、不特定の利用者に閲覧させる情報の配信など、総務省令で定める役務をブラウザやアプリで提供する者です。自社の商品やサービスを紹介するだけのサイトは、通常は対象外とされています。
外部送信ポリシーには、何を書けばよいですか？
外部送信させる情報ごとに、送信される情報の内容、送信先で情報を取り扱う者の氏名又は名称、利用目的の三つを書きます（電気通信事業法施行規則22条の2の29）。日本語で、専門用語を避け、平易な表現で書くことも求められています。
Cookieを使っていなければ、外部送信規律は関係ありませんか？
外部送信規律はCookieに限らず、利用者の端末から外部へ情報を送信させる指令全般が対象です。アプリに組み込んだ解析やクラッシュの記録のSDKが送る情報も含まれます。
日本でもCookieの同意バナーは必要ですか？
日本の法律では、Cookieの利用について一律に事前の同意を求める規定はありません。ただし、Cookieで得た情報を提供先が個人データとして取得することが想定される場合は、個人情報保護法31条の確認が必要です。EUの利用者を対象にする場合は原則として、英国の利用者を対象にする場合も広告目的のCookieなどについて、現地の法令で事前の同意が求められます。
外部送信規律に違反すると、どうなりますか？
外部送信規律の違反に直接の罰則はありませんが、総務大臣による業務の改善の命令などの対象になり得ます。何より、送信先の記載漏れは利用者の信頼を損ない、プライバシーポリシーの記載の正確性の問題にもつながります。
あわせて読みたい、関連する別のガイド
- SNS運用代行とステルスマーケティング規制SNS運用代行の契約ガイド
- ネイルサロンの利用規約・プライバシーポリシー・特商法表記ネイルサロン開業の法務ガイド
あわせて読みたいページ
本ページは一般的な情報提供です。個別のサービスに必要な対応は、提供する機能、取得するデータ、課金の方法、利用者の範囲によって異なります。事務所の改訂例・ご相談の事例として紹介している内容は、アトラス行政書士法人が作成・レビューしてきたアプリ・Webサービス・SaaS・プラットフォームの利用規約、プライバシーポリシー、特定商取引法に基づく表記、外部送信ポリシー、開発委託契約書などを、個別の事業者が特定できない形に整理したものです。条文は e-Gov法令検索で確認しています（最終確認日：2026年10月15日）。参考: e-Gov法令検索 / 個人情報保護委員会 / 総務省 / 消費者庁 特定商取引法ガイド
