自社サイトに入っているタグを棚卸しし、公表と同意の状態を確認する
本記事は法的な助言ではありません。適用の有無や具体的な対応方法は、総務省および個人情報保護委員会の公式情報を確認し、必要に応じて弁護士等の専門家にご相談ください。ここで扱うのは、担当者がサイト側で実際に行える確認作業の手順です。 Web担当の引き継ぎでよくあるのが、「自社サイトにどんなタグが入っているか分からない」という状態です。広告のタグを入れたのは代理店、解析を設定したのは制作会社、チャットツールを追加したのは別部署。誰も全体像を持っていません。この状態では、何かを判断する以前に、判断材料がありません。
「日本には同意バナーの義務はない」で止まると、確認が抜けます
欧州の規則がそのまま日本に適用されるわけではない、という理解自体は間違っていません。ただ、そこで確認を終えてしまうと、日本の制度側で求められている事項を見落とします。
電気通信事業法には、利用者の端末に記録された情報を外部へ送信させる場合の通知・公表等に関する規定（いわゆる外部送信規律）があります。適用の対象となる事業者の範囲や、求められる方式は事業の内容によって異なり、すべてのサイトが同じ対応になるわけではありません。詳細は総務省の公式解説を確認してください。
加えて、問い合わせフォームや資料請求フォームを持っている以上、個人情報保護法上の利用目的の特定と公表は、ほぼすべての企業に関係します。こちらは個人情報保護委員会の公式サイトとガイドラインが一次情報です。
重要なのは、「自社は対象か」を判断する前に、実際に何が送信されているかを把握しておく必要があるという点です。把握していなければ、対象かどうかの判断もできません。
まず、自社サイトから外に出ている通信を洗い出す
最初の作業は、法律の読解ではなく棚卸しです。過去のキャンペーンで入れたまま止まっていないタグや、試験導入して使わなくなったツールが残っていることは珍しくありません。
確認方法は三つあります。タグ管理ツールを使っている場合はその管理画面で公開中のタグ一覧を見る。ブラウザの開発者ツールで、実際にどの外部ドメインへ通信が発生しているかを見る。そして、制作会社や広告代理店に「現在入れているタグの一覧」を依頼する。三つ目が最も早いことが多く、依頼として何も不自然ではありません。
洗い出した結果は、ツール名、目的、入れた部署、入れた時期、まだ使っているか、の5列で一覧にします。「まだ使っているか」の列が埋まらないものは、止める候補です。使っていないタグを残す理由はありません。
- アクセス解析ツール
- 広告のコンバージョン計測タグ、リマーケティングタグ
- チャットツール、問い合わせ用のウィジェット
- 埋め込みの地図、動画、SNSのタイムライン
- フォームや予約を外部サービスで提供している場合、その埋め込み
- ヒートマップ、A/Bテスト、セッション記録系のツール
- タグ管理ツール経由で後から追加されたもの
公表する場所と、書く内容を実態に合わせる
公表の方式には、プライバシーポリシーへの追記、専用ページの設置、サイト表示時の案内など複数の形があります。どの形をとるかより先に確認すべきなのは、利用者が容易に到達できる場所にあるか、そして記載内容が実際に入っているものと一致しているかです。
最も避けたいのは、記載だけを整えてタグの実態が違う状態です。テンプレートをそのまま貼り付けた結果、使っていないツールが列挙されていたり、逆に実際に入っているツールが書かれていなかったりします。棚卸しの一覧と記載を突き合わせる作業を、必ず先に行ってください。
もうひとつ、更新のきっかけを決めておきます。タグを1つ追加するたびに記載を見直す、というルールを一行決めておくだけで、数年後のずれを防げます。
フォームで集めている項目は、目的に対して多すぎないか
個人情報保護法は利用目的の特定を求めます。逆に言えば、何に使うか説明できない項目は、そもそも集めるべきではありません。
古いフォームには、当時の営業方針で追加された項目が残っていることがよくあります。役職、従業員数、部署名、住所。それらを実際に使っているかを確認してください。使っていない項目を外せば、法務面の説明が簡単になり、同時に入力の負担も減ります。
加えて、送信された内容がどこに保存され、誰が見られるのかも確認事項です。通知先のメールアドレスが退職者を含むグループ宛になっていた、というのはよくある話です。
- 必須項目と任意項目の見直し（実際に使っている項目だけを残す）
- 送信内容の保存先と、保存している期間
- 通知先メールアドレスの共有範囲と、退職者が含まれていないか
- 添付ファイルを受け取っている場合、その保存場所とアクセス権
誰がタグを入れ、誰が記載を更新するのか
この領域で問題が起きるのは、技術的な難しさよりも責任の分断が原因です。広告代理店がタグを追加し、制作会社がプライバシーポリシーのページを管理し、社内の担当者はどちらの作業内容も知らない。この構図だと、追加のたびに記載とのずれが積み上がります。
決めるべきことは多くありません。タグを追加できるのは誰か、追加したときに誰へ連絡するか、記載を更新するのは誰か。この三点を書面か社内の運用ルールに残せば、少なくとも把握できていない状態は避けられます。
そして、判断が必要な部分については、公式情報と専門家に確認してください。制作側ができるのは、実態を可視化すること、記載を実装すること、フォームを設計し直すことまでです。どこまで対応が必要かの法的判断を、制作会社が代わりに行うことはできません。
よくある質問
うちは小さな会社ですが、それでも対応が必要ですか。
規模だけでは決まりません。外部送信規律の適用範囲は事業の内容によって異なるため、総務省の公式情報を確認し、判断に迷う場合は専門家にご相談ください。ただし、自社サイトから何が外部に送信されているかを把握しておく作業自体は、規模を問わず行っておくべきです。判断の前提になります。
同意バナーは設置したほうがよいのでしょうか。
設置すれば安心という性質のものではありません。方式の選択は求められる内容と自社の状況によりますし、形だけのバナーを置いても実態と記載がずれていれば意味がありません。まず棚卸しを行い、そのうえで必要な方式を確認する順番をお勧めします。
タグの一覧は、制作会社に聞けば分かりますか。
制作会社が管理していれば分かります。ただし、広告代理店が直接タグ管理ツールに追加している場合や、別部署がツールを導入している場合は、制作会社も把握していないことがあります。関係する全ての委託先に確認し、そのうえでブラウザの開発者ツールで実際の通信を照合すると、抜けが見つかります。
プライバシーポリシーは、ひな形をそのまま使ってもよいですか。
出発点として使うのは一般的ですが、そのままにするのは避けてください。ひな形には自社が使っていないツールが書かれていることがあり、逆に実際に入れているツールが漏れていることもあります。記載と実態を一致させる作業が必要です。内容の妥当性については専門家の確認をお勧めします。
タグの棚卸し、公表内容と実態を一致させる実装、フォームの再設計といった技術面の作業をお手伝いできます。法的な助言は行いませんので、適用範囲の判断は公式情報と専門家にご確認ください。Karkium Webは海外を拠点とするリモートの制作スタジオで、日本国内に拠点はなく、やり取りはオンラインで行います。