何が変わったか

個人情報の保護に関する法律等の一部を改正する法律は、2020年6月12日に公布されました。個人情報保護委員会は、この改正法の全面施行を2022年4月1日としています。改正では「個人関連情報」の規律が導入されました。Cookie等の情報を第三者に提供し、提供先で個人データになる場合があります。この場合、提供先が本人の同意を得ていることの確認が必要になります。同じ改正で加わった漏えい等の報告と本人通知は、個人情報の漏えいは報告と本人通知が義務ですで紹介しています。

電気通信事業法も2022年6月に改正されました。総務省は、タグや情報収集モジュールを使って利用者に関する情報を外部に送信する場合に、利用者が確認できるようにする規律を設けたと説明しています。これが外部送信規律です。改正電気通信事業法の施行日は2023年6月16日です。

外部送信規律が求めること

総務省の資料は、規律の概要を次のように示しています。

電気通信事業を営む者（ウェブサイト運営者、アプリケーション提供者等）は、利用者の端末に外部送信を指示するプログラムを送る際は、あらかじめ、送信される利用者に関する情報の内容等を、通知・公表（利用者が容易に知り得る状態に置く）等しなければなりません。

資料が対象として挙げているのは、メッセージ媒介サービス、SNS、検索サービス、ニュースサイトやまとめサイト等のホームページの運営です。一方で、自社商品等のオンライン販売や、企業等のホームページ運営・個人ブログは、電気通信事業に該当しないため対象にならないとされています。

会社が備えること

個人関連情報の規律については、次の点を見直します。

  • Cookie等の情報を第三者に提供しているかを把握します。
  • 提供先で個人データになる場合に、提供先の本人同意を確認する手順を定めます。

外部送信規律では、次の事項を通知するか、利用者が容易に知り得る状態に置くことが求められています。

  • 送信されることとなる利用者に関する情報の内容
  • その情報を取り扱うこととなる者の氏名又は名称
  • その情報の利用目的

表示の方法として、日本語で記載すること、専門用語を使わず平易な表現を使うことが挙げられています。ウェブサイトでは、外部送信のプログラムを送るページか、そこから容易に到達できるページ等に表示するとされています。アプリでは、最初に表示される画面や、そこから容易に到達できる画面等に表示するとされています。これらを踏まえ、プライバシーポリシーとCookieバナーの記載を見直します。

注意点

総務省の資料は、次の情報の外部送信について、通知・公表は不要になるとしています。

  • サービス提供にあたって必要な情報
  • サービス提供者が利用者に送信した識別符号（First Party Cookieに保存されたID）
  • オプトアウト措置を講じ、利用者がその適用を求めていない情報

同意を取得する方法について、資料は次のように注意しています。

同意するためのチェックボックス等にあらかじめチェックを付しておくなど、利用者が能動的に同意を行ったとはいえないような方法はとらないでください。

オプトアウト措置による場合は、措置を講じている事実や、送信と利用のどちらを停止するものかなどを、容易に知り得る状態に置く必要があります。

個人情報保護法の規律と外部送信規律は、根拠となる法律が異なります。資料を公表している機関も、個人情報保護委員会と総務省に分かれています。自社がどの規律の対象になるかは、それぞれの資料で確認が必要です。

出典