日本には、EUのようにCookieの保存そのものに事前の同意を求める一般的なルールはありません。中心は電気通信事業法の外部送信規律（2023年6月16日施行）で、対象のサイトやアプリは、タグで送らせる情報・送信先・利用目的を事前に通知または公表します（電気通信事業法27条の12）。
また、Cookie等の情報を提供先が個人データと紐付けると想定される場合、提供元は本人同意の取得を確認する必要があります（個人情報保護法31条）。EU域内の利用者に向けたサービスでは、GDPRとePrivacy指令に基づく同意も別に検討が必要です。
こんな場面で問題になります
- ニュースやコラムを配信するサイトに、アクセス解析や広告計測のタグを入れている。
- 会員サイトのログイン後のページに、広告ベンダーのタグが入っていて、会員IDと一緒に情報が送られている。
- 海外本社が用意したグローバル共通のCookieバナーを、日本向けサイトにそのまま使っている。
- 日本居住の外国人向けアプリなので、プライバシー関連の表示を英語だけにしている。
日本のCookie規制は「2本立て」です
日本でCookieやタグを使うときに主に関係する法律は2つです。
| 法律 | 何を定めているか |
|---|---|
| 電気通信事業法の外部送信規律 | 利用者の端末から情報を外部に送らせる行為そのものについて、利用者が確認できる機会を与えることを求めます。 |
| 個人情報保護法 | Cookieと紐付いた情報が個人情報や個人関連情報に当たる場合の取扱いを定めています。 |
2つは対象も義務の中身も異なります。外部送信規律の対象外のサイトでも、個人情報保護法は適用されます。逆に、個人情報に当たらない情報でも、外部送信規律の通知・公表は必要になり得ます。
外部送信規律（電気通信事業法27条の12）
対象になる事業者・ならない事業者
外部送信規律の対象は、電気通信事業を営む者のうち、総務省令で定める電気通信役務をブラウザやアプリで提供する事業者です（電気通信事業法27条の12、同法施行規則22条の2の27）。利用者への影響が少なくない役務として定められたものです。総務省の整理では、次の4類型が該当します。
| 類型 | 例 |
|---|---|
| 利用者間のメッセージ媒介等 | メッセージアプリ、ダイレクトメッセージ機能 |
| SNS・電子掲示板・動画共有・オンラインショッピングモール等 | 投稿・閲覧の「場」の提供、複数の出店者がいるモール |
| オンライン検索サービス | 検索エンジン |
| 各種情報のオンライン提供 | ニュース・気象情報・動画配信、地図サービス |
一方、自社商品を売るECサイトや、自社の情報発信のための会社ホームページは対象外とされています（総務省FAQ）。本来の業務の手段として通信を使っているにすぎず、電気通信事業に当たらないためです。
同じサイトの中でも、ニュース配信のページは対象、会社案内のページは対象外というように、ページごとに判断が分かれることがあります。広告やアフィリエイトで収益を得る情報サイトは、個人の運営でも対象になり得ます。
海外の事業者も無関係ではありません。2021年4月1日からは、外国から日本国内の利用者に向けて電気通信役務を提供する事業も、電気通信事業法の適用対象として扱われています（総務省）。
「外部送信」の範囲は広い
外部送信とは、利用者の端末に記録された利用者に関する情報を、利用者以外の者のサーバに送らせることです（電気通信事業法27条の12）。送信先には第三者のサーバだけでなく、サイト運営者自身のサーバも含まれます（総務省FAQ）。
Cookieを使っていなくても、タグやSDK（アプリに組み込む情報収集の部品）で情報を送らせていれば対象になります。送られる情報には、Cookieや広告IDなどの識別子、閲覧したページのURL、端末の情報などが幅広く含まれます。
通知・公表する3つの事項
対象事業者は、外部送信の前に、次の事項を通知するか、利用者が容易に知り得る状態に置く（公表する）必要があります（電気通信事業法27条の12、同法施行規則22条の2の29）。
| 事項 | 内容 |
|---|---|
| 1. 送信される利用者に関する情報の内容 | 例：閲覧したページのURL、閲覧日時 |
| 2. その情報を取り扱うこととなる者の氏名または名称 | サービス名だけでは足りず、会社の名称を書く必要があります。サービス名の方が知られている場合は、名称と併記するのが望ましいとされています。 |
| 3. その情報の利用目的 | 原則として自社と送信先の双方の目的を書きます（総務省FAQ）。 |
通知・公表の方法
内容は、日本語で、専門用語を避けた平易な表現で書きます。画面を拡大しなくても読める文字の大きさにすることも求められます（同法施行規則22条の2の28）。日本に住む外国人が主な利用者のサービスでも日本語での記載が必要で、英語などの併記が望ましいとされています（総務省FAQ）。
公表する場合、ウェブサイトでは、タグを送るページか、そこから容易にたどり着けるページに表示します。アプリでは、最初に表示される画面か、そこから容易にたどり着ける画面です。利用目的は、送信先が公表しているページやプライバシーポリシーへのリンクで示すこともできますが、リンク先の概要を併せて示すのが望ましいとされています。
通知・公表がいらない場合
次の情報は、通知・公表の対象から外れます（電気通信事業法27条の12ただし書）。
- サービスの提供に必要な情報（画面の正しい表示、ユーザー認証、セキュリティ対策などに必要な情報）
- サービス提供者が自ら発行した識別子を、自社のサーバに送り返す場合（ファーストパーティCookieのIDなど）
- 利用者が送信に同意している情報
- オプトアウト（利用者の求めで送信や利用を止める措置）を用意し、その方法などを公表したうえで、利用者が停止を求めていない情報
注意
守らなかった場合
外部送信規律に違反すると、総務大臣から業務の方法の改善などを命じられることがあります（電気通信事業法29条2項）。詳細は、総務省の「電気通信事業における個人情報等の保護に関するガイドライン」51条と、その解説の第7章に示されています。
個人情報保護法：Cookieはどう扱われるか
Cookieと紐付いた情報が「個人情報」になる場合
Cookie等の識別子を通じて集めた閲覧履歴は、それだけでは通常、特定の個人を識別できません。このような情報は「個人関連情報」（生存する個人に関する情報で、個人情報・仮名加工情報・匿名加工情報のいずれでもないもの）に当たります（個人情報保護法2条7項）。
ただし、自社で会員の氏名やメールアドレスと容易に照合できる状態にあれば、その閲覧履歴は個人情報として扱われます（個人情報保護法2条1項1号）。この場合は、利用目的の特定・公表や第三者提供の制限など、個人情報としての規律がかかります。違法・不当な行為を助長するような方法で利用することも禁止されます（個人情報保護法19条）。
個人関連情報の第三者提供（31条）
提供先が、受け取った個人関連情報を個人データとして取得することが想定される場合、提供元は、本人の同意が得られていることを確認しないと提供できません（個人情報保護法31条1項）。外国にある第三者に提供する場合は、その国の制度などの情報が本人に提供されていることの確認も必要です（同項2号）。
「個人データとして取得する」とは、提供先が受け取った情報を、IDなどを介して自社の顧客データに付け加える場合をいいます。「想定される」には、提供元が実際にそう認識している場合だけでなく、取引の状況から同業の事業者なら通常想定できる場合も含まれます（個人情報保護委員会ガイドライン通則編）。
同意は誰が取り、提供元は何をするか
同意を取得するのは、原則として情報を個人データとして使う提供先です。提供元が同意取得を代行することもでき、その場合は提供先を個別に明示する必要があります。ウェブサイトで同意を取るときは、説明を載せるだけでは足りず、ボタンのクリックを求めるなどの方法が必要です（同ガイドライン）。
提供元は、提供先からの申告などの方法で同意の有無を確認し、その記録を作成・保存します（個人情報保護法31条3項による30条3項・4項の準用）。契約で「提供先は受け取った情報を個人データとして利用しない」と定めていれば、通常は31条の対象になりません。ただし、実際には紐付けていると窺われる事情があれば、改めて確認が必要です。
2026年の改正法（未施行）
2026年7月17日に、個人情報保護法の改正法が公布されました。施行は、原則として公布日から2年を超えない範囲で政令が定める日です。
重要
GDPR・ePrivacy指令との違い
EUのePrivacy指令5条3項は、利用者の端末への情報の保存と、保存済みの情報へのアクセスを規制しています。認められるのは、原則として同意がある場合か、指令が定める必要性がある場合です。
Cookieに限らず、類似の技術も対象です。そのため、EUでは分析や広告のCookieに事前同意を取る運用が一般的です。
日本の外部送信規律は、通知・公表で足りる仕組みで、同意は例外の1つにすぎません。総務省も、ePrivacy指令と対象や内容が同じものではないと説明しています（総務省FAQ）。
一方、EU域内に拠点がない日本企業でも、EU域内の人に商品やサービスを提供する場合や、EU域内での行動を監視する場合はGDPRが適用されます（GDPR3条2項）。EUの利用者がいるサイトでは、日本向けの通知・公表とEU向けの同意を、利用者の所在に応じて出し分ける設計が考えられます。
実装の進め方
タグとSDKの棚卸し
最初に、サイトとアプリで動いているタグ・SDK・埋め込みコンテンツを一覧にします。タグマネージャーの設定だけでなく、ページに直接書かれたタグや、埋め込み動画・SNSボタンも確認します。項目ごとに、送信される情報、送信先の会社名、自社と送信先の利用目的、外部送信規律の対象か、31条の対象になり得るかを記録します。
公表ページとバナー
棚卸しの結果をもとに、外部送信に関する公表ページを作ります。各ページのフッターなど、利用者がすぐにたどり着ける場所からリンクを張ります。バナーを使う場合は、日本語で平易に書き、詳細ページへのリンクを置きます。
CMP（同意管理ツール）を使う場合
CMPは、同意の取得と記録、同意に応じたタグの出し分けを行うツールです。
ポイント
広告・解析ベンダーとの契約
ベンダーとの契約では、受け取った情報を個人データとして紐付けるかどうか、紐付ける場合に誰がどう同意を取るか、同意の確認方法を明確にします。ベンダーが海外の会社であれば、31条1項2号の情報提供も視野に入れます。
公表ページに書く送信先の名称や利用目的についても、ベンダーから正確な情報を得ておきます。
今すぐできること（チェックリスト）
- 1
対象サービスを確かめる
自社のサイト・アプリのうち、外部送信規律の4類型に当たるサービスがあるかを確認する（電気通信事業法27条の12）。
- 2
タグを棚卸しする
タグ・SDK・埋め込みコンテンツを洗い出し、送信情報・送信先の名称・利用目的を一覧にする。
- 3
公表ページを作る
外部送信に関する公表ページを日本語で作り、対象ページから容易にたどり着けるようにする。
- 4
例外の運用を確かめる
同意やオプトアウトを例外として使う場合、事前チェックがないこと、停止が実際に効くことを確かめる。
- 5
ベンダー契約を見直す
個人データとして紐付けるかどうかと同意の分担を確認する（個人情報保護法31条）。
- 6
EU対応を判断する
EU域内の利用者の有無を確認し、GDPR・ePrivacy指令への対応の要否を判断する。
- 7
改正法を追う
2026年改正法の政令・規則・ガイドラインの公表を追い、施行前に運用を点検する。
弁護士に相談すべきタイミング
- 自社のサービスが外部送信規律の対象か、ページごとの判断に迷うとき
- 広告ベンダーから、会員IDとの紐付けやデータ連携の提案を受けたとき
- 総務省や個人情報保護委員会から、報告の求めや問い合わせを受けたとき
- 利用者から、無断で情報が送られているという苦情や指摘が届いたとき
- EUと日本の両方の利用者がいて、同意と通知の出し分けを設計するとき
ご相談は、当事務所のお問い合わせページから受け付けています。
FREE CONSULTATION
ネット問題のご相談は、初回30分無料です
- ・日本・ニューヨーク州の弁護士 阿部祐介が担当します
- ・オンライン（Zoom等）・来所（東京・大手町）どちらも可
- ・日本語・英語のどちらでもご相談いただけます
よくあるご質問
日本ではCookieバナーで同意を取らないと違法ですか？
日本法では、Cookieの利用に一般的な事前同意の義務はありません。外部送信規律の対象サービスでは、通知または公表をすれば足ります。ただし、個人関連情報を提供先が個人データとして取得することが想定される場合は、本人の同意の確認が必要です（個人情報保護法31条）。
自社のコーポレートサイトや自社ECサイトも外部送信規律の対象ですか？
自社の情報発信のための会社ホームページや、自社商品を売るECサイトは、総務省の整理では電気通信事業に当たらず、外部送信規律の対象外です。ただし、同じサイト内でニュース配信など対象となるサービスを提供していれば、そのページは対象になります。個人情報保護法は対象外のサイトにも適用されます。
プライバシーポリシーに書いておけば、外部送信規律の公表になりますか？
送信される情報の内容、送信先の氏名または名称、利用目的の3つが、日本語で平易に書かれていれば、プライバシーポリシーの中での公表も考えられます。そのページが、タグを送るページから容易にたどり着ける場所にあることも必要です。送信先はサービス名だけでなく、会社の名称まで書きます。
海外の会社が日本の利用者向けに英語だけで通知してもよいですか？
外部送信規律では、日本語での記載が求められます。総務省は、日本に住む外国人が主な利用者のサービスでも日本語が必要で、英語などの併記が望ましいとしています。海外の事業者でも、日本国内の利用者に向けてサービスを提供していれば、電気通信事業法の対象になり得ます。