外部送信規律とは?WordPressサイトの対応方法をチェックリスト付きで解説

「外部送信規律に対応してください」——制作会社や取引先からそう言われて、何をすればいいのか分からず検索された方も多いのではないでしょうか。

先に結論をお伝えします。GA4(Googleアナリティクス)や広告タグを使っている事業サイトの多くがこの規律の対象になり得ますが、必要な対応は多くの場合「外部送信ポリシーの公表」で足ります。 正しく理解すれば、1日で対応を終えることも可能です。

罰則を心配される方へ。公表義務への違反に直接の罰金はありませんが、総務省による行政指導や業務改善命令、事業者名の公表につながるリスクがあります。「バレなければいい」で放置するには重い代償です。

この記事では、①自分のサイトが対象かどうかの判定、②公表すべき内容の正確な理解、③WordPressでの具体的な対応手順、の3点を解説します。

外部送信規律とは何か

外部送信規律は、電気通信事業法第27条の12(第3章第2節「利用者情報の適正な取扱い」内)に定められた制度で、2023年6月に施行されました。細かな要件——対象となるサービスの範囲、公表すべき事項、表示の方法——は電気通信事業法施行規則(第22条の2の27以下)に委ねられています。つまり実務では、法本体と施行規則の両方を見る必要があります。サイト訪問者の情報(閲覧履歴、端末情報など)を、タグやCookieを通じて外部の事業者(Google、Metaなど)に送信する場合、その事実をあらかじめ利用者に知らせることを義務付けるものです。

よく「日本版Cookie規制」と呼ばれますが、この呼び方は正確ではありません。規律の対象はCookieに限らず、タグや情報収集モジュール経由の情報送信全般です。Cookieを使わない計測手法でも、外部にデータが送られていれば対象になります。

もう一つの大事なポイントは、EUのGDPRとの違いです。GDPRは原則として事前の「同意」を求めますが、日本の外部送信規律は「通知・公表」「同意取得」「オプトアウト提供」のいずれかで足ります。つまり、海外サイトでよく見る同意バナーの設置は、必ずしも義務ではありません(詳しくは後述します)。

あなたのサイトは対象?——対象事業者の判定

最初に確認すべきは、自分のサイトが規律の対象かどうかです。対象となるのは「電気通信事業者」と「第三号事業を営む者」(法第27条の12柱書。対象となるサービスの範囲は施行規則第22条の2の27)——と法律には書かれていますが、これでは分かりませんね。噛み砕くと、「他人同士のやりとりを媒介するサービスや、不特定多数に向けた情報のオンライン提供を行っている事業者」が対象です。

サイトの類型別に、対象になり得るかどうかの目安を示します。

サイトの類型	対象になり得るか
ニュース・情報配信サイト、広告収入を目的としたブログ・オウンドメディア	対象になり得る
オンラインショッピングモール(他社商品を扱うプラットフォーム)	対象になり得る
SNS・掲示板・マッチングサービス	対象になり得る
検索サービス、地図・天気などのオンラインサービス	対象になり得る
自社の会社案内のみの企業サイト(問い合わせフォーム程度)	対象外の可能性が高い
自社商品のみを販売するECサイト	個別判断(サイト内にメディア機能があると対象になり得る)

注意したいのは「うちは通信事業者じゃないから無関係」という思い込みです。広告収入を得ているブログやウェブメディアは「各種情報のオンライン提供」として対象になり得ます。WordPressで運営される事業サイトの多くが、この類型に触れる可能性があるということです。

ただし、対象性の判断は事業の実態によって変わる、法解釈を伴う領域です。この表はあくまで目安として、判断に迷う場合は総務省の外部送信規律のページにある対象事業者の考え方を確認するか、専門家(弁護士)に相談してください。

何をすればいい?——対応の3ルート

対象事業者に求められる対応は、次の3つのうちいずれか1つです。

1. 通知・公表 — 何がどこに送信されているかを、利用者が容易に知り得る形で表示する
2. 同意取得 — 送信の前に利用者の同意を得る(いわゆる同意バナー)
3. オプトアウト提供 — 利用者が送信を停止できる仕組みを提供する

条文の構造を正確に言うと、法第27条の12は「通知し、又は容易に知り得る状態に置く」こと(=①)を原則の義務として定め、ただし書で、利用者の同意がある情報(=②)やオプトアウト措置を講じている情報(=③)などを義務の対象から除外しています。なお、サービスの提供に真に必要な情報(いわゆるファーストパーティの必須Cookie等)も、同じただし書により対象外です。

実務上、多くのサイトにとって現実的なのは①の通知・公表です。運用負荷が最も軽く、訪問者の閲覧体験を妨げず、アクセス解析のデータ欠損も起きません。

②の同意取得を選ぶべきなのは、EU圏からのアクセスが相応にあるサイト(GDPRへの対応を兼ねる場合)や、プライバシー重視の姿勢を明確に打ち出したい場合です。日本国内向けのサイトで同意バナーが法的に必須になるケースは限定的です。この論点は「Cookie同意バナーは日本でも義務?」で詳しく整理しています。

公表すべき内容——3点セットの正確な理解

通知・公表を選んだ場合、次の3点を記載する必要があります(公表すべき事項は施行規則第22条の2の29、表示の方法——日本語で、平易な表現で、適切な文字サイズで表示すること等——は施行規則第22条の2の28に定められています)。

1. 送信される利用者情報の内容(例: Cookieに保存された識別子、閲覧ページのURL、閲覧日時)
2. 送信先の事業者の氏名または名称(例: Google LLC)
3. 利用目的

ここからが実務の勘所です。総務省のFAQには、記載の仕方について具体的な指針が示されています。

事業者名は必須。サービス名だけでは足りません。 「Googleアナリティクス」というサービス名の方が読者には伝わりやすいのですが、その場合も事業者名を併記します。推奨は「Google アナリティクス(Google LLC)」のような形式です。

利用目的は「自サイト側」と「送信先側」の両方を書きます。 例えばGA4なら、自サイト側の目的は「サイトの利用状況を分析し、コンテンツ改善に役立てるため」、送信先(Google)側の目的は「解析サービスの提供および同社サービスの維持・改善のため」といった具合です。送信先の利用目的は、日本語で書かれた送信先の説明ページへのリンクで補うことができますが、英語ページへのリンクだけで済ませる対応は認められていません。

「等」「その他」でぼかさないこと。 「Cookie等の情報を送信することがあります」のような曖昧な記載は、利用実態に合わせて具体的に書くことが求められています。

GA4を例にした記載イメージを1つ示します。

Google アナリティクス(Google LLC)

- 送信される情報: Cookieに保存された識別子、閲覧ページのURLとタイトル、閲覧日時、ご利用の端末・ブラウザの種類、おおよその地域情報
- 当サイトの利用目的: サイトの利用状況を分析し、コンテンツやサービスの改善に役立てるため
- 送信先の利用目的: 解析サービスの提供および同社サービスの維持・改善のため(Googleのポリシーページ・日本語)

GTM、AdSense、Metaピクセル、YouTube埋め込み、X埋め込みを含む6サービス分の記載例は、「外部送信ポリシーの書き方|記載例とテンプレート」にまとめています。

WordPressでの対応手順

それでは、WordPressサイトで通知・公表を実装する手順です。プラグインなしの手動でも完結できます。

手順1: 使っているタグの棚卸し。 サイトに入っている外部送信を洗い出します。GA4、GTM、AdSense、SNSのシェアボタン、YouTube埋め込み、お問い合わせフォームのreCAPTCHA——テーマやプラグインが自動で入れているものもあるので、ブラウザの開発者ツール(ネットワークタブ)で外部ドメインへの通信を確認するのが確実です。reCAPTCHA・Googleフォント・Googleマップは見落とされやすい三大盲点です。

手順2: 外部送信ポリシーの固定ページを作成。 WordPressの管理画面から固定ページを新規作成し、洗い出したサービスごとに前述の3点セットを記載します。ページタイトルは「外部送信ポリシー」「利用者情報の外部送信について」などが一般的です。

手順3: フッターにリンクを設置。 規律は「利用者が容易に知り得る状態」を求めています。実務的には、全ページ共通のフッターにリンクを置くのが標準的な対応です。プライバシーポリシーの隣に並べる形で問題ありません。

手順4: 記載内容の点検。 事業者名の併記、双方の利用目的、日本語リンク、「等」の乱用がないか——本記事末尾のチェックリストで確認してください。

以上で、法律が求める通知・公表の対応は完了します。

ただし、手動対応には維持の手間が伴います。新しいタグを導入するたびにポリシーページの更新が必要で、各社のポリシーページURLや仕様の変更にも追従しなければなりません。ガイドラインやFAQも改訂されることがあります。

この維持作業を自動化する選択肢として、弊社が開発した無料プラグイン「Consent Collector JP」があります。主要サービスの記載テンプレートからポリシーページを自動生成し、法改正・各社の変更にはプラグインの更新で追従します。同意の記録やポリシーの設定はすべて自サイト内に保存され、外部のサーバーに送信されることはありません。——とはいえ、手動でも対応は完結します。更新の手間を減らしたい場合の選択肢として検討してください。

対応チェックリスト

• 自サイトが対象事業者に該当するか確認した(迷う場合は総務省資料・専門家に確認)
• サイト内の外部送信(タグ・埋め込み・モジュール)をすべて洗い出した
• reCAPTCHA・Googleフォント・Googleマップなどの「見落とし枠」も確認した
• 対応ルート(通知・公表/同意/オプトアウト)を決めた
• 外部送信ポリシーのページを作成した
• 各サービスについて「情報の内容・事業者名・利用目的」の3点を記載した
• 利用目的は自サイト側・送信先側の双方を記載した
• 送信先の参照リンクは日本語ページを使った
• 全ページのフッターからポリシーページに到達できる
• タグを追加・削除したらポリシーも更新する運用ルールを決めた

よくある質問

Q. 違反すると罰金がありますか?
公表義務違反に直接の罰金はありませんが、総務省の行政指導・業務改善命令の対象となり得ます。命令に従わない場合には罰則があり、事業者名が公表されるリスクもあります。

Q. 個人ブログも対象ですか?
収益を目的としない純粋な個人の日記ブログは対象外と考えられますが、広告収入を得ている場合は「事業」として対象になり得ます。規模の大小は対象性の判断基準ではありません。

Q. GTM(Googleタグマネージャー)を使っている場合は?
GTM自体に加えて、GTM経由で発火している個々のタグ(GA4、広告タグなど)もそれぞれ記載が必要です。GTMだけ書いて済ませる対応は不十分です。

Q. 同意バナーを付ければ、ポリシーページは不要ですか?
同意取得ルートを選ぶ場合でも、何に同意しているかを示す説明は必要です。実務的にはポリシーページと併用するのが標準です。

まとめ

• GA4や広告タグを使う事業サイトの多くが外部送信規律の対象になり得る
• 対応は「通知・公表」「同意」「オプトアウト」のいずれかで足り、多くのサイトでは通知・公表が現実的
• 公表は「送信される情報・事業者名・双方の利用目的」の3点セットを、具体的に、日本語で
• 自社サイトが対象かどうかをすぐに確認したい方は、「外部送信規律 かんたん該当チェック」(4つの質問に答えるだけの無料診断)もご利用ください。

根拠条文一覧

内容	条文
外部送信規律の本体(通知・公表義務とただし書による除外)	電気通信事業法 第27条の12
対象となる電気通信役務の範囲	電気通信事業法施行規則 第22条の2の27
通知・公表の方法(日本語・平易な表現・文字サイズ等)	同施行規則 第22条の2の28
通知・公表すべき事項(情報の内容・事業者名・利用目的)	同施行規則 第22条の2の29
解釈の指針	電気通信事業における個人情報等の保護に関するガイドライン(同解説)・総務省FAQ

条文の原文はe-Gov法令検索で「電気通信事業法」「電気通信事業法施行規則」を検索すると確認できます。

一次情報は必ず公的機関の資料で確認してください: 総務省 外部送信規律 / 個人情報保護委員会

---

免責事項: 本記事は外部送信規律に関する一般的な情報提供を目的としたものであり、法的助言を提供するものではありません。個別の事案への適用については、弁護士等の専門家にご相談ください。記事の内容は執筆時点の法令・ガイドラインに基づいています。