企業の具体的な対応方法

企業がWeb・アプリサービスの利用者のPC・スマ―トフォン・タブレット端末に対して、利用者のCookie ID、AppleアプリのIDFA、GoogleアプリのADIDなどの広告識別子、IPアドレス、Webサイトを閲覧しているユーザーのデバイス・OS・ブラウザ、それらのバージョンなどの情報（ユーザーエージェント情報）などの情報（利用者情報）を外部ベンダに送信するための指令通信を行う場合に、以下のクリアランス手段のどれか１つを実装する必要がある。

（i）クリアランス手段①通知・公表
以下の必要的記載事項を利用者に通知又は公表する（ガイドライン解説7-3-1 通知等を行うべき事項）。

【必要的記載事項】
①送信される利用者情報の項目
②送信先となる外部ベンダの名称
③送信される利用者情報の送信元の事業者および送信先の外部ベンダでの利用目的

ガイドライン解説では、通知の方法として、いわゆるCookieポップアップの即時通知などが想定されている（ガイドライン解説7-2-2 通知の場合に特に求められる事項）。
また、当該事項の一部のみを表示する場合においては、 1 回程度の操作で到達できるリンク先の画面に当該事項が表示されており、かつ、即時通知の画面において、リンク先の画面に残部の表示があることが利用者にとって理解できる形にする。この点、送信先の外部ベンダは、外国企業であることも多く、外部ベンダが示す英語の記載のプライバシーポリシーのリンクを貼るのみでは、利用者に送信先となる外部ベンダでの利用目的を適切に認識させることが困難であるため、これらの記載は日本語を用いて、平易な表現にすることなどが求められている。

【公表文の参考例】
本サイトやアプリご利用者のアクセスを解析し、画面毎のアクセス回数や滞在時間、利用環境や地域毎の利用者数、流入経路や検索語句等を分析し、利便性の向上やコンテンツの最適化、広告の効果測定などを行うために以下のサービスにパーソナルデータを送信しています。

（ii）クリアランス手段②同意
利用者情報が外部送信されることについて利用者の同意を取得する方法である（ガイドライン解説7-4-2 利用者が同意している情報）。もっとも、同意の前提として、あらかじめ、利用者に対し、（i）クリアランス手段①通知・公表で述べた必要的記載事項を通知・公表することが望ましい。
また、同意の取得により適切な確認の機会を付与したというためには、利用者の具体的かつ能動的な同意を取得することが必要である。したがって、情報送信指令通信ごと、すなわちWebページやアプリに埋め込まれたタグや情報収集モジュールごとに同意を取得することが望ましい。

（iii）クリアランス手段③オプトアウト
利用者に対して情報の送信又は利用を停止する措置（オプトアウト措置）を講ずるクリアランス手段である（ガイドライン解説7-4-3 送信又は利用の停止を求めていない情報）。
もっとも、この場合でも以下の項目を公表しておく必要がある。
①オプトアウト措置を講じている旨
② オプトアウト措置が、情報の送信又は情報の利用の停止のいずれの行為を停止するものであるかの別
③オプトアウト措置に係る利用者の求めを受け付ける方法
④利用者がオプトアウト措置の適用を求めた場合において、当該電気通信役務の利用が制限されることとなるときはその内容
⑤送信されることとなる利用者に関する情報の内容
⑥利用者に関する情報を取り扱うこととなる者の氏名又は名称
⑦利用目的

どのクリアランス手段を講ずるかの選択
上記のクリアランス手段①から③を見てもわかる通り、クリアランス手段①の通知・公表をするというクリアランス手段に対して、②または③のクリアランス手段は要件が加重されている関係にある。そのため、最も運用負荷の軽い、必要最低限のクリアランス手段を選択したい場合には、クリアランス手段①を採用することになる。
他方で、クリアランス手段②同意やクリアランス手段③オプトアウトは、Webサイト・アプリの利用者に対して利用者の意思決定の機会を与えることによって、よりプライバシーに配慮した企業姿勢をアピールすることが可能となる。
もっとも、クリアランス手段②同意を選択した場合には、Webサイトやアプリの利用者は、同意をしないことが多いため、これまで収集・利用できていた利用者情報を活用したWebサイトのアクセス解析や利用者情報から得た利用者の属性に着目したデジタルマーケティングの施策ができなくなってしまうというデメリットも勘案する必要がある。この点で、利用者情報の解析やオンライン広告への活用を担当するマーケティング部の意見を参考にすることが必須となろう。

_{クリアランス手段のメリット・デメリット}

クリアランス手段の実装方法

では、企業としては、どのように上記のクリアランス手段を実装していくべきか。

（１）①通知・公表
まず、クリアランス手段として最低限必要な①通知・公表を採る場合の実装方法としては、クリアランス手段①通知・公表における必要的記載事項を既存のプライバシーポリシーやCookieポリシーに追記する方法が考えられる。
なお、これまで一部の企業においてプライバシーへの配慮から実務的に行われていたWebサイトやアプリのCookieポリシーで記載されていた各タグや情報収集SDKごとに情報送信先となるベンダ名、当該ベンダのプライバシーポリシー・オプトアウトリンクを貼るということでは、必要的記載事項として不足があることに注意が必要である。

（２）②同意
次に、クリアランス手段②同意を採用する場合の実装方法はいかにすべきか。
この場合は、CMP（Concent Management Platformの略で、同意管理システムを言う。）の導入を検討する必要がある。すなわち、ある利用者が、外部送信に対して同意したか否か、またタグや情報収集SDKごとに同意の有無を管理し、同意の有無にしたがった利用者情報の収集・利用を制御する必要があるため、これらの機能を備えたCMPの導入が実務的には必須となる。また、クリアランス手段③オプトアウトを採用する場合も同じである。

企業の対応プロセス

【図表：企業の対応プロセスとそのステップ】

（１）フェーズ1・対象事業者か否かのアテハメ・該当性判断
自社が運営している全てのWebサイト・アプリを網羅したリストを作成し、各Webサイト・アプリサービスが規制対象役務に該当するか、すなわち自社が規制対象事業者に該当するかをチェックする。

（２）フェーズ2・データマッピング
フェーズ1の工程で、規制対象役務に該当したWebサイト・アプリについて、外部ベンダへの送信状況をすべて調査するデータマッピングを実施する。その際には、クリアランス手段①通知・公表での必要的記載事項である①から③に加えて、以下の④、⑤も併せて調査すると良い。

【必要的記載事項】
①送信される利用者情報の項目
②送信先となる事業者の氏名又は名称
③送信される利用者情報の送信元および送信先ベンダでの利用目的
④送信先となる外部ベンダのWebサイトのアドレス
⑤当該外部ベンダのプライバシーポリシー・オプトアウトリンク

（３）フェーズ3・クリアランス手段の検討
クリアランス手段の選択の項目でも述べたようにクリアランス手段を法務部、デジタルマーケティング部、Webサイト・アプリ開発・運用部と協議しながら選択する。

（４）フェーズ4・実装
フェーズ3で選択したクリアランス手段の実装フェーズである。ここでは、CMPを導入したうえで実装するか、または、各種のCMPのサービスやサービス提供会社を選択していくこととなる。

CMP実装の必要性

（１）各クリアランス手段とCMP実装の必要性
（i）クリアランス手段②同意または、③オプトアウトの場合
クリアランス手段として②同意または、③オプトアウトを選択する場合には、利用者の同意やオプトアウトしたステータスを管理する必要性から事実上、CMPの導入は必須となる。

（ii）クリアランス手段①通知・公表の場合
クリアランス手段①通知・公表を選択した場合はどうか。
この場合でも、フェーズ2のデータマッピング、フェーズ4の実装を手動で遂行することは、Webサイト・アプリに実装されるタグや情報収集モジュールの導入が随時、設置または廃止されていくことが発生することに鑑みると、それらをその度にマニュアルで更新し、通知・公表文に反映させていく運用負荷がかかることを覚悟する必要がある。そのため、新規のタグや情報収集モジュールの設置や廃止をタイムリーに把握するための体制整備や業務フローの構築が必要となる。

これらの対応を自社にてマニュアルで行うということに対比して、CMPを導入することにより相当量の運用負荷が軽減されることになる。そのため、CMP導入は必ずしも必要とは限らないものの、CMPを導入する企業が今後も増えていくことが予想される。なお、CMPは、その設定により、通知・公表モード、同意モード、オプトアウトモードの選択が可能であり、クリアランス手段の①から③のいずれも対応可能である。

（２）CMPベンダの選定ポイント
CMPは、元来、EUの個人情報保護規制であるGDPR（欧州一般データ保護規則）や米国のCCPA（カリフォルニア州消費者プライバシー法）の要求事項のクリアランス手段として開発されたものであり、必ずしも日本の改正電気通信事業法における利用者情報の外部送信規律のクリアランス手段に対応していない。特に、日本の電気通信事業法で要求される通知・公表の必要的記載事項を充足していないケースがあるため、適切なCMPベンダの選定や既存のCMPベンダからの切り替えが必要となる。

また、CMPの中には、技術的仕様から利用者情報の外部送信状況の一部しか検出できないCMPもあり、網羅的なデータマッピングが不可能なケースがある。そのため、利用者情報の外部送信状況をどのような技術的手法で検出しているか、また、検出できない外部送信はどのようなケースかの技術的仕様を含めたCMPベンダの選定を慎重に行う必要がある。

GDPRとの関係

この利用者情報の外部送信規律の対応前に、既に一定数の企業がWebサイトやアプリにおいて、利用者情報の外部送信状況をCMPを導入することにより公表し、または同意取得の対応をしている。これは、利用者のプライバシーの保護を強化する観点から任意の公表または同意取得しているケースやGDPRの適用があるWebサイトやアプリについてGDPRの法的対応の一環として利用者情報の外部送信について同意取得をしているケースが含まれる。
それゆえ、改正電気通信事業法の施行日以降は、既にGDPRの法的対応として、利用者情報の外部送信について同意を取得している企業においても、GDPRに加えて、改正電気通信事業法の対応を重畳的に実施する必要があることになる。

罰則・制裁

規制対象事業者が、上記のクリアランス手段のいずれかを実施しなかった場合、業務改善命令の対象となり、業務改善命令に従わなかった場合には罰則もあり得る。
また、この場合には事業者名の公表の制裁がなされる可能性があることに留意が必要である。

寄稿

TMI総合法律事務所
パートナー弁護士
大井 哲也 氏　https://tetsuyaoi.com

TMI総合法律事務所パートナー弁護士、TMIプライバシー＆セキュリティコンサルティング株式会社（https://tmiconsulting.co.jp）代表取締役。情報セキュリティの各産業分野における実務に精通し、情報セキュリティマネジメントシステム（ISMS）認証機関公平性委員会委員長、一般社団法人クラウド利用促進機構（CUPA）法律アドバイザー、経済産業省の情報セキュリティに関するタスクフォース委員を歴任。ビッグデータ利活用、情報管理体制の整備、情報漏えいインシデント対応を専門とする。