11.1 プライバシー法規制の基礎
この章で学ぶこと
- 個人情報保護法の「個人情報」と「個人関連情報」の違い
- 改正電気通信事業法の「外部送信規律」とウェブ解析の関係
- GDPR など海外の規制の基本
- プライバシー ポリシーに書くべきこと
注意 この章は、アクセス解析に関わる法規制の考え方を、一般的な範囲で紹介するものです。法律の解釈や、自社が対応すべき内容の判断については、最新の法令・ガイドラインを確認し、必要に応じて弁護士などの専門家に相談してください。
個人情報と個人関連情報
日本でアクセス解析に関わる代表的な法律が、個人情報の保護に関する法律（個人情報保護法）です。
個人情報とは
個人情報 とは、生きている個人に関する情報で、特定の個人を識別できるもの です。
| 個人情報に当たるものの例 | 内容 |
|---|---|
| 氏名、顔写真 | それだけで個人を識別できる |
| メールアドレス | 氏名や会社名を含むなど、個人を識別できる場合 |
| 個人識別符号 | マイナンバー、運転免許証の番号、パスポートの番号など |
| ほかの情報と容易に照合でき、個人を識別できる情報 | 会員 ID と行動の記録（社内で会員の氏名と照合できる場合） |
個人関連情報とは
2022 年 4 月に施行された改正個人情報保護法で、個人関連情報 という考え方が加わりました。個人関連情報とは、生きている個人に関する情報のうち、個人情報・仮名加工情報・匿名加工情報のいずれにも当たらないもの です。
| 個人関連情報の例 | 内容 |
|---|---|
| Cookie などの識別子に結びついた閲覧の履歴 | どのページを見たか |
| 位置情報 | 単体では個人を識別できないもの |
| 興味・関心の推定の情報 | 閲覧の履歴から推定した趣味など |
GA4 で計測している、Cookie の ID に結びついた閲覧の履歴は、通常、個人関連情報に当たると考えられます（自社の会員情報と照合できる形で扱えば、個人情報に当たることもあります）。
個人関連情報の第三者提供
個人関連情報についての主なルールは、第三者に提供する場合 のものです。
提供元（自社）では個人を識別できない情報でも、
提供先（ほかの会社）が、自社の持つ情報と組み合わせて「個人データ」として取得することが想定される場合
→ 提供元は、本人の同意が得られていることを確認しなければならないポイント アクセス解析の実務では、「GA4 のデータを、個人を識別できる情報と結びつけていないか」「広告のタグなどで、提供先が個人データとして使う可能性はないか」を確認しておくことが大切です。
改正電気通信事業法の外部送信規律
2023 年 6 月に施行された改正電気通信事業法では、外部送信規律 というルールが設けられました。
外部送信とは
外部送信 とは、ウェブサイトやアプリが、利用者のブラウザや端末に指示を送り、利用者の端末に保存されている情報（Cookie の ID、閲覧の履歴など）を、外部（第三者）に送信させる ことです。
ユーザーがサイトを開く
→ サイトに設置された GA4 のタグ、広告のタグ、SNS のボタンなどが動く
→ ユーザーのブラウザから、Google、広告媒体、SNS などのサーバーに情報が送られる
→ これが「外部送信」GA4 のタグや、広告のタグ、SNS の埋め込み、チャットのツールなど、多くのタグが外部送信に当たります。
求められる対応
外部送信規律の対象になる事業者は、外部送信を行うときに、次のいずれかの対応をとる必要があります。
| 対応 | 内容 |
|---|---|
| 通知・公表 | 送信される情報、送信先、利用目的などを、利用者が容易に知ることのできる状態にする（専用のページなど） |
| 同意の取得 | 送信の前に、利用者の同意を得る |
| オプトアウトの措置 | 利用者が送信を停止できる手段を用意し、そのことを知らせる |
公表する内容の例
| 項目 | GA4 の場合の例 |
|---|---|
| 送信される情報の内容 | 閲覧したページの URL、閲覧の日時、Cookie の ID、端末・ブラウザの情報 など |
| 送信先の名称 | Google LLC |
| 利用目的 | サイトの利用状況の分析、サービスの改善 |
| オプトアウトの方法（ある場合） | Google が提供するオプトアウトのアドオンのページ など |
注意 外部送信規律の対象になるかどうかは、提供しているサービスの内容によって決まります。対象かどうか、どのような表示が必要かは、総務省のガイドラインなどで確認しましょう。対象でない場合も、ユーザーの信頼のために、外部送信の情報を公表しておくことは有益です。
タグの棚卸しが前提
外部送信の情報を正しく公表するには、自社のサイトでどのタグが動いているか を把握している必要があります。GTM のタグの一覧（第 9 部）を定期的に整理し、公表の内容と一致しているかを確認しましょう。
GDPR と海外の規制
GDPR
GDPR（EU 一般データ保護規則）は、EU（と EEA）の個人データの保護のルールです。EU の中の人に、商品やサービスを提供している場合などは、日本の企業にも適用されることがあります。
| 特徴 | 内容 |
|---|---|
| 個人データの範囲が広い | Cookie の ID、IP アドレスなどのオンラインの識別子も、個人データに当たりうる |
| 処理の法的な根拠が必要 | 同意、契約の履行、正当な利益など、データを処理する根拠が必要 |
| Cookie の事前の同意 | ePrivacy 指令などにより、必要不可欠でない Cookie（解析、広告など）は、原則として 事前の同意 が必要 |
| 本人の権利 | アクセス、削除、データの持ち運びなどの権利 |
| 制裁金 | 違反した場合、高額な制裁金が科されることがある |
そのほかの地域
| 地域 | 主な規制 |
|---|---|
| 英国 | UK GDPR |
| 米国 | カリフォルニア州の CCPA / CPRA など、州ごとの法律 |
| そのほか | ブラジル（LGPD）、中国（個人情報保護法）など |
ポイント 海外のユーザーが多いサイトや、海外向けのサービスを提供している場合は、対象の地域の規制を確認し、地域ごとに Cookie バナーの動作（事前に同意を得る、あとから拒否できる、など）を切り替える必要があるかを検討しましょう。Google のサービスでも、EEA のユーザーに対しては同意モードの対応が求められています（次の章）。
プライバシー ポリシーへの記載
GA4 を使う場合、Google の利用規約により、Google アナリティクスを使っていること と、データの収集の方法 を、プライバシー ポリシーなどで開示することが求められています。
記載する内容の例
| 項目 | 例 |
|---|---|
| 使っているツール | 当サイトでは、Google LLC の提供する「Google アナリティクス」を利用しています |
| 収集の方法 | Cookie などを使って、閲覧の情報を収集しています |
| 収集する情報 | 閲覧したページ、閲覧の日時、端末・ブラウザの情報、おおよその地域 など |
| 利用目的 | サイトの利用状況の把握と、サービスの改善のため |
| 個人の識別 | 収集した情報は、匿名で集計され、個人を特定するものではありません（個人情報と結びつける場合は、その旨と目的） |
| 無効にする方法 | ブラウザの設定で Cookie を無効にする方法、Google が提供するオプトアウトのアドオン |
| Google のポリシーへのリンク | Google のサービスを使うサイトやアプリから収集した情報の利用について説明したページ |
| 広告の機能を使う場合 | Google シグナルやリマーケティングを使っていること、広告の設定で無効にできること |
記載するときの注意
- 実際の運用と一致させる：GA4 で User-ID を使っている、CRM と結びつけている、などの場合は、その内容も説明する
- 広告のタグも含める：GA4 だけでなく、広告や SNS などのタグについても記載する（外部送信の公表と合わせて整理する）
- 定期的に見直す：新しいツールを導入したら、プライバシー ポリシーと外部送信の公表を更新する
よくある質問
Q. GA4 を使うだけで、Cookie バナーは必ず必要ですか。
A. 必要かどうかは、対象のユーザーがいる地域の法規制、提供しているサービスの内容、自社の方針によって決まります。EU のユーザーを対象にする場合は、解析の Cookie についても事前の同意が原則として必要です。日本のユーザーだけを対象にする場合でも、外部送信規律への対応（通知・公表など）が必要になることがあります。自社に必要な対応は、最新の法令・ガイドラインを確認し、必要に応じて専門家に相談して判断しましょう。
Q. 外部送信の公表は、プライバシー ポリシーに書けばよいですか。
A. プライバシー ポリシーの中に書く方法も、専用のページを作る方法もあります。大切なのは、利用者が 容易に知ることができる 状態にすることです。サイトのフッターなど、わかりやすい場所からリンクしておきましょう。
Q. どのタグが外部送信に当たるか、わかりません。
A. 次の方法で、サイトで動いているタグを洗い出せます。
| 方法 | 内容 |
|---|---|
| GTM のタグの一覧 | GTM で配信しているタグを確認する（第 9 部） |
| ページのソース | HTML に直接書かれているタグ（広告、チャット、SNS の埋め込みなど）を確認する |
| ブラウザの開発者ツール | 「ネットワーク」のタブで、ページを開いたときに、どのドメインに通信しているかを確認する |
| CMP の調査機能 | Cookie やタグを自動で調べる機能を持つ CMP もある（次の章） |
Q. 法律の担当者と、どう連携すればよいですか。
A. 法律の担当者は、多くの場合、アクセス解析のタグの技術的な仕組みに詳しくありません。「どのタグが、どんな情報を、どこに、何のために送っているか」を一覧にして渡すと、判断がしやすくなります。
実践ワーク
自社のサイトの「外部送信の一覧」を作ってみましょう。
| タグ・ツール | 送信先 | 送信される情報 | 利用目的 | 公表・同意の状況 |
|---|---|---|---|---|
| Google アナリティクス 4 | Google LLC | 閲覧したページ、日時、Cookie の ID、端末の情報 | 利用状況の分析 | |
| Google 広告 | Google LLC | 広告の効果測定 | ||
| （自社のタグを書き足す） |
一覧ができたら、プライバシー ポリシーや外部送信の公表のページの内容と見比べ、記載が漏れているタグがないかを確認しましょう。漏れていた場合は、法務の担当者と相談して、公表の内容を更新します。この一覧は、GTM の運用ルール（第 9 部の第 6 章）の「不要タグの整理」とあわせて、定期的に見直しましょう。
まとめ
- 個人情報保護法では、Cookie の ID に結びついた閲覧の履歴は、通常、個人関連情報に当たり、第三者提供のルールに注意が必要
- 改正電気通信事業法の外部送信規律では、タグによる外部送信について、通知・公表、同意、オプトアウトのいずれかの対応が求められる
- GDPR では、Cookie の ID も個人データに当たりうるため、解析の Cookie にも事前の同意が原則として必要
- GA4 を使うことと、データの収集の方法を、プライバシー ポリシーで開示する
- 法規制の判断は、最新の法令・ガイドラインを確認し、必要に応じて専門家に相談する
次の章では、ユーザーの同意の状態に応じて、GA4 や広告のタグの動作を変える「同意モード」を学びます。