「Cookieバナーを出せばOK」でも、「Cookieを使わなければ関係ない」でもありません。
前回の記事では、世界のプライバシー規制が「同意疲れ」への反省から、Cookieの使い方を一律に扱うのではなく、広告目的か計測目的かなど「何のために使うのか」で線引きする方向へ動いていることをご紹介しました。
では、日本はどうなっているのでしょうか。
日本では2023年6月から、電気通信事業法の「外部送信規律」がすでに施行されています。総務省ではその後も利用者情報の扱いについて検討が続いており、2026年現在は、「このルールをどうすればもっと分かりやすく、実際に守られるものにできるか」というところまで話が進んでいます。
この記事では、そもそも外部送信規律とは何か、どんなWebサイトが対象なのか、GA4を使っている場合はどう考えるのか、そして2026年8月時点で何が変わろうとしているのかを整理します。
前回の記事：「同意疲れ」への反省とCookieの新しい線引き ― 世界のプライバシー規制でいま起きている変化
目次
外部送信規律とは？
外部送信規律は、2022年の電気通信事業法改正で設けられ、2023年6月16日に施行されたルールです。
ざっくり言えば、Webサイトやアプリを利用したとき、利用者が気づかないまま端末から情報が送信されることについて、「どんな情報が、どこへ、何の目的で送られているのか」を利用者が確認できる機会を設けましょう、というものです。
外部送信規律のポイント
- 2023年6月16日から施行済み
- 「Cookie規制」と呼ばれることもあるが、対象はCookieだけではない
- すべてのWebサイトが対象になるわけではなく、提供しているサービスの内容で判断する
- 対象になる場合は、通知・公表、同意取得、オプトアウト措置などで利用者に確認の機会を設ける
例えば、アクセス解析タグ、広告タグ、SNSのプラグイン、アプリのSDKなどを通じて、ブラウザ識別子や広告識別子、閲覧に関する情報などが利用者の端末外へ送られるケースがあります。
ここで少し注意したいのが「外部」という言葉です。単純に「GoogleやMetaなどの第三者へ送る」という意味だけではありません。法律上は、利用者の端末から端末外へ情報を送信するよう指示する「情報送信指令通信」が出発点になっています。
参考：JIPDEC「改正電気通信事業法における外部送信規律とは」
外部送信規律の対象になるWebサイト・アプリは？
ここは誤解されやすいところです。
「GA4を入れている会社のWebサイトは全部対象」ではありません。まず、そのWebサイトやアプリで提供しているサービス自体が、外部送信規律の対象となる電気通信役務に該当するかを確認します。
大きくは、次のようなサービスが対象になり得ます。
| サービスの類型 | 例 |
|---|---|
| 他人の通信を媒介するサービス | メール、DM、チャット、Web会議など |
| 利用者が入力した情報を不特定の利用者が閲覧できるサービス | SNS、掲示板、動画共有、ショッピングモール、マッチングサービスなど |
| オンライン検索サービス | インターネット全体を対象にした検索サービスなど |
| 各種情報のオンライン提供サービス | ニュース、気象情報、動画、電子書籍、地図などの情報配信 |
では一般企業のコーポレートサイトはどうでしょうか。
会社概要や自社の商品・サービスを紹介・宣伝するためだけのWebサイトであれば、一般には「自己の需要のため」に提供しているものとして、電気通信事業に該当しないと整理されています。
一方で、企業サイトの中でも業界情報、ノウハウ、ニュースなどを継続して配信するオウンドメディアやブログは、各種情報のオンライン提供サービスに該当する可能性があります。
つまり「会社のWebサイトだから対象外」「企業サイトだから対象」と一律には判断できません。サイトやサービス単位で、何を提供しているかを見る必要があります。
参考：TMI総合法律事務所「外部送信規律の施行（2023年6月）が間近です」
GA4を使っていると外部送信規律の対象？ Cookieバナーは必要？
Web担当者としては、ここが一番気になるところかもしれません。
GA4を使っている＝必ず外部送信規律の対象、ではない
まず確認するのは、先ほど説明した「そのWebサイト・サービス自体が外部送信規律の対象か」です。
そのうえで対象サービスにGA4などの外部解析ツールを設置している場合は、どの情報が、どの事業者へ、何の目的で送られているのかを確認し、外部送信規律に沿った対応が必要かを判断します。
GA4だけではなく、広告タグ、ヒートマップ、チャット、動画埋め込み、SNSボタンなど、サイトに後から追加されたツールも含めて確認することが重要です。
Cookieバナーは必須ではない
もう一つ大きな誤解が、「外部送信規律に対応するにはCookie同意バナーを出さなければならない」というものです。
日本の外部送信規律だけを見れば、Cookieバナーによる事前同意が必須というわけではありません。
後ほど説明するように、現在の制度では、必要事項を通知・公表する方法、利用者から同意を取る方法、オプトアウト手段を提供する方法などが用意されています。
もちろん、EUなど海外の利用者を対象にする場合には、GDPR・ePrivacyなど別の規制も考える必要があります。「日本の外部送信規律」と「海外のCookie同意規制」は分けて考えた方が整理しやすいです。
現在の外部送信規律では、何をすればいい？
対象となるサービスで外部送信が行われる場合、現在の制度では、主に次のいずれかの方法で利用者に確認の機会を設けます。
| 対応方法 | イメージ |
|---|---|
| ① 通知・公表 | 送信される情報、送信先、利用目的などを「利用者情報の外部送信について」等のページで分かりやすく示す |
| ② 同意取得 | 情報を送信する前に、利用者から具体的・能動的な同意を得る |
| ③ オプトアウト | 初期状態では送信されるが、利用者が希望したときに送信または利用を停止できる手段を提供する |
通知・公表を選ぶ場合に重要なのは、単に「Cookieを利用しています」と書くことではありません。
少なくとも、何が送信されるのか、誰に送信されるのか、何の目的で利用されるのかを、利用者が確認できるようにします。
実務では、フッターなどから「利用者情報の外部送信について」といったページへリンクし、導入している外部サービスごとに整理する形がよく使われています。
2026年現在、総務省では外部送信規律の何を議論している？
ここからが「2026年現在地」の話です。
外部送信規律について、総務省の「利用者情報に関するワーキンググループ」では、施行後も利用者情報の扱いについて継続して検討が行われてきました。
では、今は何を話しているのでしょうか。
かなり大ざっぱに言えば、「ルールは作った。次は、ちゃんと使えるルールにしよう」という段階です。
外部送信規律の遵守率は43.2%
総務省委託調査では、ウェブサイトのみで提供されるサービスの外部送信規律の遵守率は43.2%。半数以上が十分に対応できていないという結果でした。
まず、そもそも守られていない。
対応していたとしても、長い説明ページを置くだけでは利用者に伝わりにくい。事業者ごとに書き方もバラバラです。
そこで現在の議論では、単にルールを厳しくするというより、「事業者が対応しやすく、利用者にも分かりやすい形にするにはどうするか」という実務寄りの話が進んでいます。
いま検討されているのは、こんなことです
- 何を書けばいいか分かりやすくする ― 通知・公表の手引きやひな形を整える
- 作って終わりにしない ― 法令遵守の状況を継続して確認する
- 「知らせる」だけで終わらせない ― 利用者が止められるオプトアウトを、望ましい対応として推奨する
ちょうどこの記事を書いている2026年8月20日から、この議論をまとめた「利用者情報ワーキンググループ第2次報告書（案）」のパブリックコメントが始まりました。
報告書案には、Webサイト等で外部送信を行う事業者向けの「法令上ここは守ってください」「できればここまでやるのが望ましいです」を整理した手引き案も含まれています。
つまり今は、外部送信規律を新しく作り直しているというより、2023年からあるルールを「実際に使える形」に整えている途中と見ると分かりやすいでしょう。
参考：e-Gov「利用者情報ワーキンググループ第2次報告書（案）」意見募集要領（意見募集：2026年8月20日～9月18日）
その中で、いちばん注目したいのが「オプトアウト」
今回の議論の中で、Web担当者として特に見ておきたいのがオプトアウトです。
オプトアウトとは、情報の送信や利用が行われる状態から、利用者が「やめたい」と思ったときに停止できる仕組みのことです。
ただし、ここは少し注意が必要です。
オプトアウト自体は上にも記載しているとおり、2023年の外部送信規律の施行時から、対応方法の一つとして存在しています。
今回のポイントは、そのオプトアウトを「法律上選べる方法の一つ」から一歩進めて、望ましい対応として積極的に提供していこうという方向が示されていることです。
通知ページに「こんな情報を送っています」と書いてあっても、利用者がそれを止められなければ、できることは「読む」だけです。
そこに「送らない」という選択肢も用意する。世界で進んでいる「同意疲れ」への見直しとも、少し似た方向が見えてきます。
現時点で「すべてのWebサイトにオプトアウト機能が義務化された」という話ではありません。2026年8月時点では、総務省の手引き案で望ましい対応として推奨する方向です。
ちなみに、これは「将来の話」だけでもありません
外部送信規律というと、「ルールはあるけれど、実際にどこまで見られているの？」と思うかもしれません。
2026年7月31日、LINEヤフーは「LINE GAMEユーザー内部識別子の外部送信」に関して総務省から行政指導を受けました。その指導内容の一つに、「外部送信規律の遵守」が含まれています。
もちろん、これはLINE GAME固有の利用者情報管理をめぐる事案です。一般企業がGA4を設置しているケースと、そのまま同じ話ではありません。
ただ、「外部送信規律はあるけれど、誰も見ていない」というルールでもない。そこは頭の片隅に置いておいた方がよさそうです。
参考：LINEヤフー「LINE GAMEユーザー内部識別子の外部送信に関する総務省からの行政指導について」
「改正個人情報保護法」とは別の話です
ここで、2026年に成立した改正個人情報保護法との関係も整理しておきます。
外部送信規律は、総務省が所管する電気通信事業法のルール。
個人情報保護法は、個人情報保護委員会が所管する別の法律です。
2026年の改正個人情報保護法は7月10日に成立し、7月17日に公布されました。改正内容には、個人情報そのものではなくても、特定の個人に対して働きかけることが可能になる情報について、不適正利用や不正取得を禁止する規律などが含まれています。
一方で、今回の改正によって「通常のアクセス解析でCookie等を使う場合は、一律に事前同意が必要」というルールが新設されたわけではありません。
つまり両者は別の法律ですが、データの利用実態を利用者から見えやすくし、不適切な利用を防ぐという意味では、近い問題をそれぞれ別の角度から扱っています。
改正個人情報保護法については、別の記事でWeb担当者向けに整理しています。
参考：個人情報保護委員会「令和8年 改正個人情報保護法について」
Web担当者が今やっておきたいこと
では、2026年8月時点でWeb担当者は何をしておけばいいのでしょうか。
現時点で新しい義務が突然追加されたわけではありません。まず優先したいのは、現在の外部送信規律にきちんと対応できているかを確認することです。
一度確認しておきたい5項目
- 自社サイト・アプリが外部送信規律の対象サービスに当たるか
- 設置しているタグ・SDK・外部ツールを棚卸しできているか
- それぞれ「何を・どこへ・何のために」送っているか把握できているか
- 必要な外部送信情報を利用者が分かりやすく確認できるようにしているか
- 将来的なオプトアウト対応を追加しやすい構成になっているか
特に重要なのは、「Cookieを使っているか」だけで管理しないことです。
広告、アクセス解析、動画、チャット、SNS、ヒートマップなど、Webサイトではさまざまな目的で外部サービスが使われています。それぞれについて、利用目的とデータの送信先を把握しておく方が、今後ルールが変わっても対応しやすくなります。
前回の記事でご紹介した「広告目的と計測目的を分ける」という考え方も、ここにつながってきます。
QA ZEROは「規制を避ける」より、データの持ち方をシンプルにする
最後に少しだけQA ZEROの話をします。
まず前提として、Cookieを使わなければ外部送信規律の対象外になる、というわけではありません。外部送信規律はCookieだけを対象にしたルールではないからです。
QA ZEROが目指しているのは、「Cookieレスだから規制を回避できる」ということではありません。
QA ZEROは、Cookieを使わないアクセス解析と自社環境型という設計により、広告トラッキングとサイト改善のための計測を分け、どんなデータをどこで持つのかをシンプルに設計しやすくすることを重視しています。
世界でも日本でも、「とりあえず全部同意を取る」から、「何の目的でデータを使うのかを整理し、利用者がコントロールしやすくする」方向へ少しずつ動いています。
アクセス解析も、その前提から設計し直す時期に来ているのかもしれません。
外部送信規律についてよくある質問
Q. 外部送信規律はCookieだけが対象ですか？
いいえ。Cookie IDだけではなく、広告識別子や閲覧に関する情報など、利用者の端末から送信される「利用者に関する情報」が広く関係します。Cookieを使わない仕組みでも外部送信が行われていれば、確認が必要です。
Q. GA4を使っていれば、必ず対応が必要ですか？
GA4を使っているという理由だけで一律に決まるわけではありません。まずそのWebサイト・サービスが外部送信規律の対象かを確認し、そのうえでGA4を含む外部送信の内容を確認します。
Q. 外部送信規律に対応するにはCookieバナーが必須ですか？
日本の外部送信規律では必須ではありません。通知・公表、同意取得、オプトアウトなどの方法があります。ただし海外法が適用される場合は別途検討が必要です。
Q. 普通のコーポレートサイトも対象ですか？
会社概要や自社の商品・サービスの紹介だけを目的とするサイトは、一般には対象外と整理されています。一方、オウンドメディアや情報配信サービスを運営している場合は対象となる可能性があるため、サイトの内容ごとに確認が必要です。
Q. 2026年にオプトアウトが義務化されたのですか？
いいえ。2026年8月時点で一律の義務化が決まったわけではありません。オプトアウトは従来から対応方法の一つでしたが、現在の総務省の手引き案では、追加的な「望ましい対応」として推奨する方向が示されています。