総務省は11月4日、有識者会議「利用者情報に関するワーキンググループ」（主査・山本龍彦慶応義塾大大学院教授）の第2次報告書を公表した。ウェブサイトやアプリが利用者の情報を外部に送る際のルール「外部送信規律」の遵守策をまとめたもので、別添の手引きは案が取れ、運営者が使える記載例（雛形）も示された。意見募集に寄せられた24件には、負担増を懸念する意見と規制強化を求める意見の双方があったが、法令上の義務と自主的な取り組みを分ける枠組みは維持された。
手引きが挙げた対象のサイト
外部送信規律は、令和4年の電気通信事業法改正で導入された（同法第27条の12）。閲覧者の端末に保存された閲覧履歴などを、広告配信や行動分析のために別の事業者のサーバーへ送らせる場合に、送る情報、送信先、利用目的を利用者が確認できるようにする義務を定めている。報告書によると、総務省が令和7年12月に実施した委託調査では、アプリを提供していないウェブサイトの遵守率は43.2％だった。この調査結果と10月9日の会合で示された案の内容は既報の通りだ（Cookieの外部送信ルール、アプリの無いサイトは遵守率43.2％ 総務省WGが雛形と定期調査を提言）。
報告書は、適用対象の電気通信役務が分かりにくいことを課題に挙げている。手引きは対象を四つの類型に分け、該当するサービスの例を並べた。
| 類型 | 該当するサービスの例 |
|---|---|
| 1 メッセージ媒介 | メール、ダイレクトメッセージ、チャット、参加者を限定したウェブ会議 |
| 2-1 SNS等 | SNS、電子掲示板、動画共有、オンラインショッピングモール、シェアリング、マッチング |
| 2-2 ストリーミング等 | ライブストリーミング、オンラインゲーム |
| 3 検索 | オンライン検索サービス |
| 4 ニュースサイト、各種情報のオンライン提供 | ニュース配信、気象情報配信、動画配信、オンライン地図、電子書籍、乗り換え案内 |
出典: 総務省「利用者情報ワーキンググループ第2次報告書」別添の手引き
判断が分かれやすいのは類型4だ。企業が自社の採用情報や自社商品の販売のために設けるサイトは、自己の需要のための運営として対象外となる。一方、採用サイトに業界研究のまとめやニュースを載せる場合、企業サイトに業界動向やコラムを載せる場合、金融商品や旅行商品の販売とあわせて投資情報や観光情報を載せる場合は対象になると例示した。個人についても、おすすめの商品や店、場所をまとめたブログ記事を書いて利益を得ている場合を対象の例に挙げている。
最低限の義務は通知か公表
対象の事業者は、「通知または公表」「同意の取得」「オプトアウト（事後に送信や利用を止められる手段）の提供」のいずれかを講じなければならない。報告書は、通知または公表が最低限求められるとしている。
手引きによると、記載するのは送信される情報の内容、送信先の事業者名、利用目的の3項目で、外部サービスごとに書く。利用目的は、運営者と送信先のそれぞれについて、なるべく具体的に用途が分かるように記す。あわせて、外部サービスの名称と送信先の国名を書くことが望ましいとした。
書き方にも条件がある。日本語で、専門用語を避け、平易な表現を用いる。公表の場合は、外部送信を行うページか、そこから容易にたどり着けるページに表示する。送信のたびに説明する必要は無いが、ユーザー登録時に一度説明しただけでは公表したことにならず、継続して掲げておく必要がある。送信の内容が変わったら更新するため、定期的な確認も求めた。プライバシーポリシーの中に書くこともできるが、別の見出しを立てるなど参照しやすくする工夫が望ましいとし、「Cookie」は広く知られた語とは限らないので見出しに使うなら解説を加えるよう促している。
通知や公表が要らない情報も整理した。画面を正しく表示するための情報、利用者が入力した情報や認証情報を再表示するための情報、不正行為の検知や設備の負担軽減に必要な情報などだ。
推奨はオプトアウト、「実施するべき」は「望ましい」に
法令より進んだ取り組みとして、報告書はオプトアウトの提供を推奨した。同意の取得を義務化している欧州連合（EU）で利用者の「同意疲れ」が問題になっていること、米カリフォルニア州でオプトアウト措置が義務化される状況にあることを参考に挙げ、現時点の国内の利用者の意識を踏まえると、同意の取得は利用者の自由な意思決定を確保できるとは限らないと判断した。
手引きはオプトアウトの方法を2段階で示した。一つは、外部サービスの提供事業者が設けたオプトアウトのページへリンクを張る方法で、もう一つは運営者が自ら手段を提供する方法だ。どちらを選ぶかは各事業者の事情に応じるとした。リンク先が英語の場合は、操作方法を日本語で示すことを求めている。同意を取る場合は、チェックボックスにあらかじめチェックを入れておく方法は能動的な同意とはみなせないとして避けるよう明記し、誤解や不安を生じさせる「ダークパターン」の回避も挙げた。
8月の意見募集の時点から書き換えられた箇所もある。規律の対象外のサイトについて、手引きの項目名は「外部送信を行う全てのウェブサイト、アプリケーションが実施するべき事項」だったが、「実施が望ましい事項」に改めた。対象外のサイトへの「周知すること」も「周知することが望ましい」とした。法令上の義務ではなく、義務の対象事業者の記載と区別すべきだとする新経済連盟の意見を受けた修正だ。
技術の記述も改めた。ローカルストレージ計測やフィンガープリンティング（端末やブラウザーの特徴による識別）などをサードパーティーCookieを「代替する」技術としていた箇所は、Cookieを「用いない」利用者追跡技術に直し、メールアドレスや電話番号を基に生成する広告識別子が使われていることも書き加えた。
24件の意見、負担増と規制強化の双方から
意見募集は8月20日から9月18日まで行われ、新経済連盟、KDDI、一般社団法人MyDataJapanなど6団体と個人18件の計24件が提出された。
負担を懸念する側では、ある個人が、定期調査やオプトアウトの推奨は費用と便益の根拠が不十分で、現段階で追加策を進めるべきではないと主張した。別の個人は、同意やオプトアウトが「適当」との記述を「適当な場合がある」に変え、対応は事業者の判断を尊重すると明記するよう求めた。総務省は前者に、遵守率は法令遵守の割合を参考値として数値化したもので、利用者の被害規模として扱うものではないと答えた。後者には、これらは義務として一律に求めるものではないと説明し、記述は誤記の訂正にとどめた。
反対に、広告や行動分析のための送信は事前の同意を原則とし、外部サービスの提供者にも直接の法的義務を課すよう求める意見もあった。総務省は、報告書は規制強化を含む制度的な検討を排除しておらず、指摘を踏まえて検討すると答えた。違反が確認された事業者への措置と実施状況の公表を明記するよう求めた個人の意見には、定期調査で不十分な運営者に改善を求めていくと答えるにとどめた。
海外の事業者については、Association for Competitive Technology（ACT）が、日本に拠点を持たない運営者に規律が及ぶのかが明らかでないと指摘した。総務省は、海外に拠点を置く事業者でも、日本の利用者向けに電気通信事業を営む場合は電気通信事業法が適用されると答えた。
定期調査の進め方と制度の見直し
今後の焦点の一つは、定期調査の結果をどこまで公表するかだ。報告書は、総務省が遵守状況を定期的に調べて結果を公表し、対応が不十分な運営者に改善を求めるのが適当だとしたが、本文は開始の時期や頻度を示していない。ACTは、運営者が雛形を見つけて対応する期間が過ぎるまでは事業者名を挙げず、集計で公表するよう要望した。総務省は、事業者名を公表する場合は「事業者の不利益性を十分に考慮する必要がある」との考えを示した。KDDIは、事業者を広く公平に扱うよう求め、総務省は指摘も踏まえて法執行を進めると答えた。
ブラウザーの設定で一括して拒否を伝える「Global Privacy Control（GPC）」については、日本シーサート協議会の法制度研究ワーキンググループが、信号を尊重していれば個別のオプトアウトの提供義務を果たしたとみなす扱いを手引きに明示するよう提案した。総務省の回答は、今後の検討の参考として承るというものだった。米カリフォルニア州の規則改正は同様の信号の設置を義務化しており、施行は2027年1月1日だと報告書は記している。
報告書は当面、手引きを使った法令遵守とオプトアウトなどの実践に可能な限り速やかに取り組むよう関係者に求めた。中長期の課題には、適用対象の簡素化・明確化の要否、ブラウザーなどの画面レベルでのオプトアウトの規制、Cookieに依存しない特定手法やAIの影響の検証の三つを挙げ、法執行の状況や令和8年の個人情報保護法改正を踏まえ、必要に応じて制度改正を排除せず検討するのが適当だとしている。