大平 修司（弁護士）
矢内 一正（ＴＢＳテレビビジネス法務部）

第3回　「電気通信ガイドラインの世界」

第1　電気通信ガイドライン

　インターネット上のサービスに関しては、後述する「通信の秘密」と直接関わる極めて高い公共性を有しており、かつ、プライバシーの保護を必要とする情報を取り扱うことも想定されることから、そこで取り扱われる個人情報を保護する必要性は大きい。
　そこで、電気通信ガイドラインは、「通信の秘密」等を含む個人情報の取扱いについて、通常の個人情報とは異なる上乗せ規制を設けている。その特色は、以下のとおりである。

１　規制対象
　電気通信ガイドラインは、専ら「電気通信事業者」を名宛人としている。この「電気通信事業者」とは、「電気通信事業¹を行う者」とされる²。ここで注意が必要（というかトリッキー）なのは、電気通信事業法における「電気通信事業者」の定義と、電気通信ガイドラインにおける「電気通信事業者」の定義が異なる点である。
　前者すなわち電気通信事業法上の「電気通信事業者」は、電気通信事業を営むことについて「総務大臣の登録を受けた者」と「総務大臣に届出をした者」という定義になっている³。要するに、国に登録や届出をした者が法律上の「電気通信事業者」になるのだが、後者すなわち電気通信ガイドライン上の「電気通信事業者」は、そうではなく、上述のとおり「電気通信事業を行う者」とされているのである。
　例えば、電話、ケーブルテレビ（CATV）、電子メール、クローズド・チャット等のサービスを提供する者は、登録又は届出が必要となる電気通信事業を営む者として、電気通信事業法の適用を受けるが、利用者間のメッセージの媒介を行わない電子掲示板等の開設であって、電気通信回線設備を設置しないものについては、同法による規制の大部分の対象外となり、登録又は届出が不要な電気通信事業にあたるものとされる⁴。しかし、これは「電気通信事業を行う者」であることには相違ないので、その者は電気通信ガイドラインの適用対象となる。電気通信ガイドラインは、このようなトリッキーな仕方で、電気通信事業法の主要な規制の対象外である「電子掲示板」や、これに類するサービス（例えば、ニュース配信サイトやコンテンツ配信アプリ、インターネット上のショッピングモールなど）もストレートに規制の対象としているのである。

２　通信の秘密に係る個人情報
　電気通信ガイドラインにいう「通信の秘密」とは、電気通信事業法上定められる電気通信に関する通信の秘密のことをいう。ここで、「電気通信」とは、電子メールやSNS上のメッセージのやりとり、各種情報のオンライン提供などが具体的な例として挙げられる。
　通信の秘密には、通信内容はもちろん、通信当事者の住所、氏名、通信日時、発信場所等通信の構成要素や通信の存在の事実の有無が含まれる⁵。
　通信の秘密は、電気通信事業法第4条第1項に定められるとおり、これを侵してはならない⁶。ただし、刑法第35条に定められる｢法令又は正当な業務による行為｣（いわゆる正当業務行為）による場合には、例外的に本人の同意なくして取得、保存、利用及び第三者提供することができる。したがって、例えば、課金、料金請求、苦情対応、不正利用の防止その他の業務の遂行（取得、保存、利用）上必要な場合において、通信履歴⁷を記録し必要最小限の期間保存し、その目的のために利用することなどは、正当業務行為として許容される⁸。

３　位置情報
　「位置情報」とは、移動体端末を所持する者の位置を示す情報であって、発信者情報⁹でないものをいう¹⁰。例えば、「通信事業者が基地局をベースに取得する携帯等端末ユーザーの位置情報」や「携帯等端末のGPS機能やWi-Fi機能を利用して取得される端末ユーザーの位置情報」などがこれに該当する¹¹。
　位置情報は、必ずしもそれ単体で個人情報に該当するものではないが、勤務先の住所や自宅の住所など他の情報と照合することで、特定の個人が識別され個人情報となる場合がある。さらに、通信に伴い取得される場合は、上述した「通信の秘密」に該当することにもなる。
　そのため、位置情報は、要配慮個人情報や通信の秘密と同様に、これを取得、保存、利用又は第三者提供をする際には、原則として、本人の個別具体的かつ明確な同意が必要となる。ただし、上述した「正当業務行為｣による場合には、例外的に本人の同意なくして取得、保存、利用又は第三者提供をすることができるとされる¹²。

４　その他

　個人情報を取り扱うに当たって特定する利用目的は、電気通信サービスを提供するため必要な範囲を超えないようにする努力義務が課されている。努力義務ではあるものの、遵守しようとするとややハードルの高い上乗せ規制である。

　電気通信事業者は、個人データを取り扱うに当たっては、利用目的に必要な範囲内で保存期間を定め、当該保存期間経過後又は利用する必要がなくなった後は、当該個人データを遅滞なく消去する努力義務が課されている。同様の上乗せ規制は、放送ガイドライン第11条にも見られるが、電気通信ガイドラインに特徴的なのは、上記第2項の上乗せ規制である。すなわち、通信の秘密に係る個人情報については、「違法性阻却事由」がある場合を除いて、保存してはならないうえに、保存が許されるとしても、その個人情報を速やかに消去しなければならない義務が課されている。なお、上記第1項括弧書きで「通信の秘密に係るもの」が除かれている理由は、上記第2項の上乗せ規制の対象になるためである。

　利用明細¹³に記載する情報の範囲は、上記第1項のとおり、利用明細の目的を達成するため必要な限度を超えてはならないとされる。そして、上記第2項では、利用明細を加入者その他の閲覧し得る者に閲覧させ又は交付するに当たっては、利用者の通信の秘密及び個人情報を不当に侵害しないよう必要な措置を講じなければならないとされる。利用明細の内容は、通信の秘密に属する通信履歴にほぼ等しいので、通信の秘密や本人のプライバシーに対する配慮が必要となるためである¹⁴。

第2　電気通信事業法によるCookie規制

　インターネットサービスのユーザーに関する情報については、個情法や各分野のガイドラインとは別のアプローチからも保護が図られている。2022年の改正により電気通信事業法に導入された「外部送信規律」（いわゆる「Cookie規制」）は、その代表例である。同改正により電気通信事業法に定められることとなったCookie等の保護のための制度は「外部送信規律」だけではないが、この規制が最も特徴的であると思われるので、以下ではこれについて説明する。
　外部送信規律は、一般にそれ単体では「個人情報」に該当しないとされているCookie等を対象とするもので、電気通信事業者等がユーザーに対してタグを設置してブラウザの情報を外部送信させようとする場合などに、あらかじめ法令で定められた情報を提供しなければならないとするものである¹⁵。
　なお、総務省は当初、「端末情報の適切な取扱いの確保のための具体的な規律の在り方については、eプライバシー規則（案）の議論¹⁶も参考にしつつ、今後検討が必要」と記載するなど、Cookieの利用について本人の同意取得を要するとする規律を目指していたようであるが¹⁷、経済界からの強い反発を受けて、同意取得ではなく「情報提供をしなければならない」という規律に留まった¹⁸。

１　Cookieの仕組み
　外部送信規律を読み解くためには、Cookieの仕組みを理解することが必要となるので、まずはこれを確認しよう。

　「Cookie」（クッキー）とは、特定のウェブサーバーにより生成され、ウェブサイトのコンテンツと共に送られてくる小さなテキストファイルであって、ユーザーのコンピューターの中に保存されるものである。例えば、ユーザーがあるウェブサイトにアクセスしたとき、そのウェブサイトはユーザーのウェブブラウザにCookieを送信し、保存する（図1-2）。このCookieは、ユーザーのブラウザを識別するための固有の識別子（ID）と、ユーザーのウェブサイト上の行動（例えば、ショッピングサイトにおいてカートに商品を追加したこと）に関する情報を含んでいる。ブラウザは、ユーザーが次回そのウェブサイトのサーバーにアクセスした際に、サーバーに対してCookieを送信する。これにより、サーバーはユーザー（ブラウザ）が前回そのサーバーにアクセスした者であることや前回のアクセス時の行動を把握することができるため、ユーザーが前回のアクセス時にカートに入れた商品はカートに入ったままになっている。ユーザーが訪問したウェブサイトの発行するこの種のCookieを「ファーストパーティクッキー」という。
　このように、Cookieはユーザーの利便性に資するものであるが、その一方で、企業がユーザーに関する情報を収集するためにも用いられている。
　ユーザーがあるウェブサイトにアクセスした際にそのウェブサイトがユーザーのブラウザにCookieを保存することは上述のとおりだが、そのウェブサイトには、同時に「情報収集モジュール」や「タグ」と呼ばれるプログラムが埋め込まれている場合があり、このタグ等により、ユーザーは第三者（例えば、インターネット広告事業者）のサーバーに知らぬ間にアクセスさせられてしまう（図1-4、このアクセスはユーザーには認識できない。）。そして、この際、当該第三者がユーザーのブラウザに対してCookieを送信することがある（図1-5）。この種のCookieは「サードパーティクッキー」と呼ばれ、広告事業者等は、それを利用することによりユーザーの閲覧履歴や広告への接触の履歴等を把握しているのである（図1-6）²⁰。

２　規制の概要
　外部送信規律として新たに設けられた電気通信事業法第27条の12は極めて複雑な規定になっているが、その概要は以下のとおりである。

①　規制の対象となる者
　規制の対象となる者は、電気通信事業者又は第三号事業（電気通信事業法第164条第１項第３号に定められるもの）を営む者であって、内容、利用者の範囲及び利用状況を勘案して利用者の利益に及ぼす影響が少なくないものとして総務省令で定める電気通信役務を提供する者である。
　詳細は省略するが、「第三号事業を営む者」には検索、SNS、オンラインショピングモール、掲示板、オンラインオークション等の事業を営むものが含まれるとされており²¹、その範囲は電気通信ガイドラインの適用範囲と類似する。ただし、第三号事業者については「利用者の利益に及ぼす影響が少なくないものとして総務省令で定める電気通信役務²²を提供する者」に該当する場合にのみ規制の対象となる²³。

②　規制の対象となる行為
　「情報送信指令通信」を行おうとするときは、ユーザーに対し、あらかじめ、一定の情報をユーザーに通知するか、又はユーザーが容易に知り得る状態に置かなければならないとされる²⁴。
　「情報送信指令通信」とは、例えば、ユーザーの端末に対し、その端末に記録されたCookieをそのユーザー以外の者に対して送信するよう指令を与える通信をいう。すなわち、タグ等を利用してユーザーの端末のCookieを第三者のサーバーに送信させようとするときは、その前に、ユーザーに対して情報提供をしなければならない。
　なお、提供すべき情報の内容は、ユーザーの端末から送信されるユーザーに関する情報の内容、送信先となる者の氏名又は名称、及び送信先における利用目的とされている²⁵。

③　例外規定
　電気通信事業法第27条の12各号は、上記②の情報提供義務が適用されない場合を以下の表1のとおり定めている。すなわち、情報送信指令通信により外部送信される情報が表1の第1号から第4号までのいずれかに該当する場合には、上記②の情報提供義務は適用されない。

第３　残された検討課題

　以上のとおり、電気通信事業分野における利用者情報の保護は、上記第1で述べた個情法のラインに属する電気通信ガイドラインによるものと、上記第2で述べた電気通信事業法のラインに属するものが存在する。後者は個情法上の「個人情報」に該当しない情報であるCookie等を対象とするものであるが、前者も「位置情報」など個人情報に該当するか否かを問わず適用される規制を含んでおり、これから両者がどのように棲み分けされるのか（あるいは統合されるのか）、今後の議論の行方が注目される。

（次回に続く）

この記事に関するご意見等は下記にお寄せ下さい。
chousa@tbs-mri.co.jp