電気通信事業法とは？外部送信規律の対象判定とタグ管理・同意取得の実装要件を解説

自社サイトにアクセス解析や広告のタグを入れている。それだけで法律上の義務が生じるのか、という問いから電気通信事業法にたどり着く担当者が増えています。答えは条件つきで「生じることがある」。2022年の改正で加わった第27条の12、いわゆる外部送信規律が2023年6月16日に施行され、ブラウザやアプリを通じてサービスを提供する事業者に、利用者情報の外部送信について確認の機会を与える義務が課されました。本稿では、施行規則が定める4つの役務類型で対象を判定する手順、通知・公表・同意・オプトアウトという4つの対応方式の使い分け、通知すべき3項目をタグ運用へ落とす方法を、総務省の一次情報にもとづいて2026年9月時点で整理します。

まとめ：外部送信規律で自社サイトに求められる対応と判定の要点

電気通信事業法は、電気通信事業を営む者に対する規律を定めた法律です。通信インフラ事業者だけの法律と思われがちですが、2022年改正（令和4年法律第70号）で新設された第27条の12によって、Webサイトやアプリを運営する一般の事業会社にも関係する場面が生まれました。条文が規律するのは、利用者の端末に記録された情報を外部へ送信させるプログラム、つまりタグや情報収集モジュールを配布する行為そのものです。

対象になるのは「電気通信事業者又は第三号事業を営む者」であって、「利用者の利益に及ぼす影響が少なくない電気通信役務」を提供している場合に限られます。この役務は施行規則第22条の2の27で4類型に整理されており、メッセージ媒介、SNSや電子掲示板・動画共有・オンラインショッピングモール、検索サービス、ニュースや動画・地図といった各種情報のオンライン提供が並びます。会社案内だけで構成されたコーポレートサイトは自己の情報発信にあたり、そもそも電気通信事業に該当しません。判定はサイト単位ではなくページ単位で進めるのが実務の勘所になります。

対応方式は、通知・利用者が容易に知り得る状態に置くこと（公表）・同意取得・オプトアウト措置の4つのうちいずれかを選べば足ります。同意ポップアップの設置が必ず求められるわけではありません。多くのサイトは、外部送信一覧のページを用意し、タグを設置しているページから容易に到達できる位置にリンクを置く「公表」で要件を満たせます。負荷が集中するのはむしろ運用側で、タグを追加・削除するたびに一覧を更新し続ける仕組みを作れるかどうかが分かれ目です。

電気通信事業法の全体像と、Webサイト運営者に及ぶ規律の位置づけ

外部送信規律を正しく読むには、その手前にある事業区分の理解が要ります。自社がどの区分に立つかで、負う義務の範囲が変わるためです。

電気通信事業者と第三号事業者の区分と、登録・届出が必要になる境界

法第2条第4号は、電気通信事業を「電気通信役務を他人の需要に応ずるために提供する事業」と定義しています。他人の通信を媒介する役務を提供する場合は、規模に応じて総務大臣の登録または届出が求められます。一方、SNSや検索サービス、オンラインショッピング、ソフトウェアのオンライン提供のように、他人の通信を媒介しない形態は登録も届出も不要です。ただし規律の外に出るわけではなく、検閲の禁止や通信の秘密の保護といった規定が課される第三号事業者として扱われます。

この該当性の判断は解釈の幅が大きいため、総務省が電気通信事業参入マニュアル［追補版］で届出等の要否に関する考え方と事例を公開しています（令和5年1月30日改定）。自社サービスが登録・届出の対象になるかを確かめる場面では、まずこの資料の事例集にあたるのが早道です。外部送信規律の側は、登録や届出の要否とは切り離して考えてください。届出が不要な第三号事業者であっても、規律は等しく適用されます。

2022年改正で加わった外部送信規律と特定利用者情報の取扱い義務

令和4年法律第70号による改正は、利用者情報の取扱いに関する規定を大きく増やしました。柱は2本です。1本目が大規模な事業者を対象とする特定利用者情報の適正な取扱い義務で、総務大臣の指定を受けた事業者に情報取扱規程の届出や統括管理者の選任を求めるもの。もう1本が、事業規模を問わず適用される外部送信規律です。

一般の事業会社が向き合うのは後者になります。根拠条文は電気通信事業法第27条の12（情報送信指令通信に係る通知等）で、施行日は2023年6月16日。関係する施行規則は第22条の2の27から第22条の2の31までの5か条にわたり、対象役務・通知方法・通知事項・除外情報・オプトアウト措置がそれぞれ定められています。条文と省令の対応関係は総務省が公開している法令・ガイドラインのページに一覧化されており、解釈はガイドライン第51条とその解説第7章が担っています。

外部送信規律の対象になるサービスを4つの役務類型で判定する手順

最初に決めるのは、自社のどの機能が規律の対象に入るかです。ここを曖昧にしたまま同意ポップアップを全ページに出す対応は、費用も利用者の手間も無駄に増やします。

施行規則第22条の2の27が定める4類型と、あてはまるサービスの具体例

「利用者の利益に及ぼす影響が少なくない電気通信役務」は、電気通信事業法施行規則第22条の2の27で4つの類型に整理されています。いずれもブラウザまたはアプリケーションを通じて提供されているものが該当します。

第2号の射程は広く、個人間のチャット機能を持たないオンラインゲームやオンライン教育のコンテンツサービスも含まれると総務省は説明しています。第4号も同様で、自社のコーポレートサイト内に記事を配信するオウンドメディアを構えていれば、その部分は各種情報のオンライン提供として類型に入ります。動画配信を伴うサービスの要件整理は動画配信システムの法規制をまとめた記事で著作権や課金表示と併せて扱っているため、配信基盤の企画段階ではそちらも参照してください。

対象から外れる自己の情報発信・閉域システム・開発環境の切り分け

逆に、対象から明確に外れる領域も総務省の外部送信規律FAQで示されています。会社案内のページは自己の情報発信のために運営していると考えられ、電気通信事業に該当しません。同じサイトの中にニュース配信ページと会社案内ページが同居している場合、前者だけが対応の対象になります（問2-12）。

サーバー間でのみデータを連携するシステムやRPAは対象役務の類型に含まれず、外部インターネットに開かれていない閉域LANの業務システムも同様に対象外です（問2-9・問2-10）。開発環境や検証環境については、企業が業務のために自ら設置・運営し自己の通信のために行われるものとして、そもそも電気通信事業に当たらないと整理されています（問2-11）。受託開発の現場では、ステージング環境に解析タグが残っていることを理由に対応を求められる場面がありますが、法的な根拠はここにはありません。

利用者数やCookie利用の有無では判定が変わらないという注意点

誤解が起きやすい論点を2つ挙げます。1つ目は利用者数です。新規に立ち上げたニュース配信サイトで利用者がまだ少ない場合でも、役務の性質で類型が決まる以上、判断は変わりません（問1-11）。「影響が少なくない」という文言はサービスの規模ではなく役務の種類を指しています。

2つ目はCookieの利用有無です。外部送信規律は、利用者の端末から外部へ情報を送信するよう指令するプログラムを配布する行為全般を規律します。Cookieを一切使っていなくても、ローカルストレージや広告ID、フィンガープリントに類する手法で情報を外部へ送っていれば対象になります（問1-7）。いわゆるCookie規制という通称は、規律の範囲を実際より狭く見せてしまう呼び方です。実店舗を持つ小売業者が自社サイトでも商品を販売する場合の該当性は、FAQの問1-12から問1-14に事例が並んでいるため、自社の販売形態に近いものを直接あたるのが確実といえます。Cookieを使わないアクセス解析ツールでも、外部の解析サービスへ計測データを送るなら公表の対象に含めて扱います（具体例はPlausibleとは？Cookieレス解析の仕組みとGA4との違いを参照）。

通知・公表・同意・オプトアウトの4方式から実装方法を選ぶ基準

対象と判定できたら、次は確認の機会をどう与えるかを決めます。法が求めているのは4方式のいずれか1つであり、すべてを実装する必要はありません。

ジャストインタイム通知に求められる表示の要件と実装現場の負荷

通知は、規則第22条の2の28の第1項と第2項が要件を定めています。内容面では、日本語を用いて専門用語を避け、平易な表現で書くこと、そして端末側で拡大・縮小の操作をしなくても適切な大きさで文字が表示されることが要件です。方法面では、ポップアップ等による即時通知（ジャストインタイム通知）を行うか、それと同等以上に利用者が容易に認識できる方法を採ることになります。

ポップアップに全文が収まらない場合は、一部を表示したうえで全文を掲載したページへ遷移するリンクを置く形が認められています。日本に居住・滞在する外国人ユーザーを主な対象にしたサービスでも日本語の記載は必要で、英語などの併記が望ましいとされる点は見落としやすいところです。書面による通知は認められません。

容易に知り得る状態に置く方式の配置要件と、公表で足りる実務場面

実装の負荷が最も軽いのが、利用者が容易に知り得る状態に置く方式です。同条第3項により、Webサイトから利用するサービスでは、情報送信指令通信を行うウェブページ自体か、そのページから容易に到達できるウェブページに表示すれば足ります。アプリの場合は、起動後に最初に表示される画面か、その画面から容易に到達できる画面が指定先になります。

「容易に到達できる」の解釈は、遷移先に通知事項が表示されていることが利用者にとって理解できる形でリンクが配置されているかどうか、という基準で示されています。フッターに「外部送信について」という文言でリンクを置く構成が実務で広く使われているのは、この要件を満たしやすいためです。ポップアップを出さない判断は、ここを根拠に説明できます。

同意取得とオプトアウト措置を選ぶ場面と、具体的な受付方法の設計

同意取得とオプトアウト措置は、公表より手間がかかる代わりに利用者の選択権を厚く保障する方式です。オプトアウト措置は規則第22条の2の31が扱っており、利用者の求めに応じて情報の送信または利用を停止する措置を指します。求めを受け付ける方法は、ボタンのクリックやタップ、指定フォームへの入力、ダッシュボードでの操作、リンクの表示などが例示されており、利用者にとって使いやすい方法を選ぶ必要があります。

オプトアウトを適用した結果としてサービスの利用や特定機能に制限が生じる場合は、その旨も知らせる対象です。4方式の性格を並べると次のようになります。

通知すべき3項目をタグ管理と外部送信一覧の運用へ落とし込む手順

方式を決めたあとに残るのが、何を書くかという問題です。ここで詰まる組織が多く、対応が止まる原因にもなっています。

情報の内容・送信先の名称・利用目的という3項目の実務上の書き方

通知または公表すべき事項は、規則第22条の2の29が3項目に限定しています。第1に、送信されることになる利用者に関する情報の内容。第2に、その情報の送信先で情報を取り扱うことになる者の氏名または名称。第3に、その情報の利用目的です。

情報の内容は、実際に送信されている情報を利用者が認識できる粒度で書く必要があり、総務省は「閲覧したWebサイトのURL、当該サイトを閲覧した日時等」という記載例を示しています。送信先については、サービス名のほうが認知されやすい場合でも、氏名または名称との併記が求められます。利用目的は、送信先が公開しているページやプライバシーポリシーへのリンクを示す方法でも構いませんが、リンク先が日本語以外でのみ記載されている場合、リンク表示だけの対応は認められません。総務省が公開しているパンフレットには、事業者向けの確認事項がコンパクトにまとまっています。

タグの棚卸しと外部送信一覧を維持し続ける継続運用体制の作り方

3項目を書くには、自社サイトが今どのタグを配信しているかを把握していることが前提になります。タグマネージャーのコンテナに登録されたタグ、テーマやプラグインが直接出力するスクリプト、外部埋め込みのウィジェットまで洗い出し、それぞれについて送信先事業者の正式名称と利用目的を突き合わせる作業です。ここまで進めれば、外部送信一覧のページはその棚卸し結果をそのまま整形するだけで作れます。

問題は初回ではなく、その後にあります。広告出稿やA/Bテストのたびにタグは増減し、一覧は数か月で実態から離れていく。防ぐには、タグの追加をリリース手順に組み込み、一覧の更新を完了条件に含めるしかありません。計測設計そのものを見直すならGA4を使ったアクセス解析の進め方とあわせて整理すると、不要なタグを落とす判断も同時に進みます。棚卸しから一覧の整備、更新フローの定着までを外部に任せる選択肢もあり、Webコンサルティング・アクセス解析の支援では計測要件の設計と実装を含めて対応しています。

確認機会の付与が不要になる除外情報を一覧から適正に外す実務判断

すべての送信を書き出す必要はありません。法第27条の12の第1号と第2号、および規則第22条の2の30により、2種類の情報が除外されています。1つは、利用者が利用を希望している役務を提供するために真に必要な情報。画面を正しく表示するための情報や、カート内の状態を保持する処理などが典型です。もう1つが、事業者自身が利用者を識別するために送信した識別符号、いわゆる1st Party Cookieに保存されたIDになります。

ただし境界は繊細です。1st Party CookieのIDと一緒に第三者へ送信される利用者情報は除外されません（問6-4）。自社ドメインで発行したIDだから安全、という整理は成り立たない。同じくファーストパーティで発行したIDでも、解析事業者のサーバーへ閲覧履歴と組にして送っているなら、それは記載対象です。除外の判断は「誰が発行したか」ではなく「どこへ何が送られるか」で行ってください。

対応方式を選ぶ判断条件と、同意管理ツールの導入を見送るべき場面

ここからは、どの方式をどんな条件で選ぶかを言い切ります。判断を保留したままツールの検討へ進むと、費用だけが先に確定します。

公表で足りる条件と、同意取得まで踏み込むべき実務条件の線引き

公表で足りるのは、次の3条件がそろう場合です。送信先がアクセス解析と広告配信の定番サービスに限られていること。日本国内の利用者だけを想定していること。そして、タグの構成が四半期に一度程度しか変わらないこと。この範囲であれば、外部送信一覧のページを整備し、対象ページのフッターから到達できるようにする対応で法の要件を満たせます。

同意取得まで踏み込むべきなのは、EUやEEAの居住者にサービスを提供していて欧州の規制へ同時に対応する必要がある場合、広告プラットフォーム側の仕様として同意情報の受け渡しが求められる場合、そして個人情報保護法の側で本人同意の確認が必要な提供類型を含む場合です。3つ目は外部送信規律とは別建ての規制であり、混同すると設計を誤ります。個人データ側のルール改定の動きは令和8年改正個人情報保護法の解説記事で整理しているため、同意設計を一本化する前に両方の要求を並べて確認してください。

同意管理ツールを導入すべきでない場面と、代わりに取るべき手当て

同意管理ツールの導入を見送るべき場面は3つあります。第一に、配信しているタグが数本で固定され、海外利用者も想定していないサイト。ツールの月額費用と設定工数に見合う効果が出ず、静的な外部送信一覧ページで同じ要件を満たせます。第二に、会社案内と採用情報だけで構成され、そもそも4類型に当たらないサイト。対象外の領域に同意バナーを出しても、法的な義務が減るわけではなく、離脱率だけが上がります。第三に、閉域LANの業務システムやサーバー間連携のように、対象役務の類型に含まれない領域です。

これらの場面で取るべき手当ては、ツールではなく運用の側にあります。タグの棚卸し結果を一覧ページとして公開し、タグ変更時に一覧を更新する担当と手順を決め、除外情報の判断根拠を社内に残す。この3点を用意しておけば、後から同意取得へ切り替える必要が生じたときも、記載内容をそのまま移せます。逆に、ツールを先に入れて一覧の中身を埋めないまま運用すると、バナーは出ているのに通知事項が実態と合わないという、規律の趣旨から最も遠い状態になります。

よくある質問｜電気通信事業法の外部送信規律に関する実務の5問

検討の場でよく寄せられる質問を、条文と総務省FAQの記述にそって整理します。

Cookieを使っていなければ外部送信規律の対象外ですか？

対象外にはなりません。外部送信規律が規律するのは、利用者の端末から外部へ情報を送信するよう指令するプログラム等を送信する行為全般です。総務省もFAQの問1-7で、Cookieを利用していなかったとしても、こうした行為を行っていれば規律対象になると明示しています。ローカルストレージや広告IDを用いる実装も同じ扱いです。

コーポレートサイトだけを運営している場合も対応が必要ですか？

会社案内のページは自己の情報発信のために運営していると考えられ、電気通信事業に該当しないため、対応は求められません。ただし同じサイト内にオウンドメディアの記事配信やニュースリリースの配信、口コミ投稿機能などがあれば、その部分は施行規則第22条の2の27の類型に入り得ます。サイト単位ではなく、機能とページの単位で判定してください。

同意取得のポップアップを設置しなければ違法になりますか？

同意取得は4つの選択肢のうちの1つにすぎません。法が求めているのは確認の機会の付与であり、通知・公表・同意取得・オプトアウト措置のいずれかを行えば要件を満たします。国内向けのサイトであれば、外部送信一覧を公表する方式で対応している例が多数を占めます。

社内の業務システムや開発環境も対応の範囲に入りますか？

入りません。閉域LANで構築され利用者が限定されている業務システム、サーバー間でのみデータを連携するシステムやRPAは、対象役務の類型に含まれないと整理されています。開発環境や検証環境も、企業が業務に関して自ら設置・運営し自己の通信のために行うものとして、電気通信事業に該当しません。

外部送信規律と個人情報保護法の同意取得は何が違いますか？

守備範囲が異なります。外部送信規律は、利用者の端末から情報が外部へ送信されるという事実を利用者に知らせる仕組みで、送信先での取扱いそのものを規制するものではありません。個人情報保護法は取得した情報を個人データとして扱う場面の規制であり、第三者提供や個人関連情報の提供に関する同意の考え方も別に定められています。両者を1つの同意バナーで処理する設計は可能ですが、要求される記載事項が違う以上、通知事項の一覧はそれぞれの根拠条文に照らして作る必要があります。

関連記事

• 個人情報保護法改正とは？2026年7月公布の令和8年改正で企業対応はこう変わる：同意設計を一本化する前に、個人データ側の要求を確認するための記事です。
• 動画配信システムの法規制｜著作権・外部送信規律・課金表示を要件定義に落とす整理：配信サービスを企画する段階で、外部送信規律を他の法規制と並べて検討できます。
• コンテンツセキュリティポリシー（CSP）とは？nonce方式の設定とXSS防御の実装判断を解説：外部スクリプトの読み込みを技術面から制御する手段の解説です。
• 仮名加工情報とは？作成基準と利用制限を分析基盤の設計要件に翻訳して解説：収集した行動ログを分析へ回す段階の法的な枠組みを押さえられます。