「公表して終わり」では不十分!? 改正電気通信事業法への継続的な対応方法を紹介

2023年6月16日、改正電気通信事業法が施行されました。記事をご覧の方の中には、すでに対応が完了している方も、これから対応をする予定の方もいるかと思います。本記事では新たな規制の内容とその影響、そして施行に際して必要となる継続的な対応の方法例について紹介します。

この記事の例を参考にしたうえで、自社の対応方針や具体的な対応方法については、自社の顧問弁護士や法律の専門家などにご相談ください。

ポイントは「外部送信規律」への対応

電気通信事業法の目的は、電気通信の健全な発達と円滑なサービス提供、利用者の利便保護を図ることです。今回の改正では、インターネットなどの利用による電気通信事業環境の変化に対応し、必要な規制や制度が追加されました。

改正法の特徴的な点は、新たに盛り込まれた「外部送信規律」と呼ばれる利用者保護ルールです。これはWeb行動履歴などユーザーに関する情報について、事業者が第三者に送信する場合に、送信先ごとに、その名称、利用目的、情報の内容などを、ユーザーに分かりやすく通知（または公表、オプトアウト、同意取得）を行わなくてはならない義務のことです。アクセス解析ツールや広告配信ツール、MA（マーケティングオートメーション）などもその対象となります。

適用対象の企業について

電気通信事業法は一般に、登録や届け出を要する電気通信事業者に対する法制度というイメージがありますが、改正法では適用される対象の範囲が広がります。

適用対象となるサービスの幅は広く、具体的な適用対象のサービスの形態は総務省の「電気通信事業参入マニュアル（追補版）」などの資料を参照にしていただければと思いますが、何らかのオンラインサービスを手掛けている企業は、新たな規制の対象となる可能性があります。

今回の改正に先行して、2022年4月に施行された改正個人情報保護法において、個人情報の取り扱いに関する規制が強化され、ルールが整備されましたが、それは主に自社が持つ個人情報の取り扱いが対象でした。

しかし、改正電気通信事業法では、利用者情報が個人情報であるかどうかに関わらず、ユーザーの端末から外部に送信させようとする企業が規制の対象となります。そういった点からも、適用対象となる企業が多くなると見られます。

改正法への対応手順

ここからはどのように改正法に対応し、「運用」を行っていく必要があるかについて説明します。

外部送信先を網羅的に把握する

改正法への対応にあたり、まずは、自社のサービスがどのような第三者のサービス・事業者に対して「外部送信」を行っているかを把握する必要があります。

外部送信先を網羅的に把握する最も単純な方法は、外部ツールへの通信を一つひとつ確認することです。しかし、通信を確認し、通信先が何のツールであるかを把握するのは非常に手間がかかり、コストが高く、自社で対応するのは難しいというのが私の見方です。

また、外部ツールへデータを送信する方法も一つだけではありません。Cookieを利用するツールもあれば、JavaScriptのプログラムを経由して送るツールなどもあります。そういった観点からも、通信先を網羅的に確認することには高い専門性が求められるため、自社で行うのは現実的ではありません。

「ツール利用目的の把握」を運用する仕組みを作る

次に、自社でのツール利用目的と、通信した先の外部ツールがどのような目的で情報を利用しているかを把握しなくてはなりません。

ただ、導入したツールの利用目的は刻々と変化していきます。そのため、どの程度の頻度で各ツールの利用目的を把握するべきかなど、「運用」という視点から確認のフローやスケジュールを決定する必要が出てきます。

CMP（同意管理プラットフォーム）などの一部のツールでは、導入しているツールの利用目的などをデータベースとして保有していますので、その情報を利用することもできます。しかし、日本国内企業のサービスは独自の外部通信を行うツールも多いため、網羅するためにはやはり個別対応が必要となるケースも発生すると思われます。

通信先や利用目的を把握するには、「webtru（ウェブトゥルー）」などのツールが国内でも存在しています。効率的に対応していくために、そういったツールに頼ることも検討が必要かもしれません。ただし、ツールごとに把握できる通信先が異なるので、実際に試してみるのがいいでしょう。

情報を通知・公表し、定期的な運用ルールを整備する

最後にこれらの得られた情報を通知・公表（または同意取得、オプトアウト措置）するという業務を回すことが求められます。

こちらについても、定期的に自社のプライバシーポリシーなどをアップデートするなど、運用ルールや頻度を整備していく必要があります。そういった点でも改正電気通信事業法は「対応する」というよりも「対応を運用する」ということが求められると意識する必要があると考えます。

日本企業の対応事例

6月16日の改正電気通信事業法の施行後、Google検索などで「外部送信」という文字列を検索すると、各社の対応状況を見ることができます。上位に出てくる企業の外部送信のポリシーは網羅性も高く、参考になるものが多いです。

特に、データに関わる法律の対応は、通信キャリア各社で模範解答的な内容が公表されています。それらをベンチマークにして、対応していく方針を決めていくのも良いのではないかと思います。

まとめ

電気通信事業法は対応ができていない状態が続くと、総務省から行政指導を受け、最悪の場合には業務改善命令を受ける可能性があります。これはサービスの信頼性を揺るがす深刻なダメージになり得ます。

また、我々インティメート・マージャーのようなベンダーにとっても、適切な運用がされないことによってツールの導入に時間がかかったり、導入機会が失われてしまったりすることが考えられます。

そういった点からも、改正電気通信事業法への対応は、外部ツールを導入している企業と外部ツールを提供しているベンダーが、一緒に対応を検討していくことが重要であると考えています。