外部サービスをプライバシーポリシーにどう書くか：予約・決済・メール・クラウド・解析・広告・AIの区分早見表

結論：サービスの名前から入って、検討する区分を引く。「使っている」ことと「提供している」ことは別である

小さな事業でも、予約の受付、決済、メール配信、データの保管、アクセスの解析、広告の計測など、多くの外部のサービスを組み合わせて運営しています。プライバシーポリシーに「第三者に提供しません」と書くとき、あるいは「外部のサービスを利用しています」と書くとき、その外部のサービスとの間で個人情報がどう動いているのかを、事業者自身が説明できるかどうかが問われます。ところが、サービスの数が多いほど、一つ一つについて条文に当てはめる作業は面倒になり、結局、ひな形の一文で済ませてしまいがちです。

このページは、サービスの名前から入って、検討する区分を引けるようにした早見表を中心に構成しています。条文の説明は、早見表を使うのに必要な範囲にとどめます。区分は六つあります。委託、第三者提供、共同利用、個人関連情報の提供、外国にある第三者への提供、そして外部送信です。一つのサービスが複数の区分に同時に関わることもあります。

• 外部のサービスに個人情報が渡るとき、まず「そのサービスは自分の指示の範囲で動くのか、自分の目的でも使うのか」を確かめる。
• 委託に当たる場合、渡す先は第三者に当たらないが、委託先の監督（25条）が求められる。
• 外国の事業者に渡すなら、28条の同意が要るのか、体制の整備を理由に外れるのかを確かめる。
• ブラウザから外部へ情報が送られる仕組みは、個人情報保護法とは別の外部送信規律（電気通信事業法27条の12）が関わり得る。
• 「提供しません」と書くなら、実際の情報の流れを確かめてから書く。

情報の洗い出しは情報の棚卸しで行い、ここでは洗い出した情報が外部のサービスに渡る場面の整理に絞ります。ポリシー全体の位置づけは全体の地図をご覧ください。

六つの区分の地図：何を確かめれば、どの区分か

区分を選ぶときに確かめる点は、条文ごとに違います。次の表は、条文の要点だけを並べたものです。表の「確かめる点」を、自分のサービスに当てはめて、一つずつ答えを出していきます。

表の最初の二つ、委託と第三者提供は、この順に確かめるのが基本です。27条5項1号は、利用目的の達成に必要な範囲内で個人データの取扱いの全部または一部を委託することに伴って個人データが提供される場合、提供を受ける者は、第三者に該当しないとしています。委託に当たるなら27条1項の本人の同意は要りません。ただし、委託先に対して必要かつ適切な監督を行う義務（25条）があります。委託に当たらないなら、27条1項の同意の要否を検討します。

サービス名から引く早見表

次の表は、事業者が使うことの多い外部のサービスを並べ、最初に確かめる点と、検討する区分を示したものです。実際のサービスの仕組みは、一つ一つ違いますので、あくまで一般的な出発点として使ってください。

この表の「個人データを取り扱わない契約なら提供に当たらない整理がある」は、個人情報保護委員会のQ&Aに、クラウドサービスの利用が第三者提供に当たるかは、保存データに個人データが含まれるかではなく、提供事業者が個人データを取り扱うこととなっているかで判断される、とする項目があることによるものです。契約でサービス側が内容を取り扱わないこととされ、適切にアクセス制御がされているなどの事情が前提になります。細かい条件は、原文で確認してください。

「提供しません」と書きながら、外部へ送っている矛盾を見つける

プライバシーポリシーの不備として最も多いのが、この矛盾です。ひな形にある「個人情報を第三者に提供しません」という一文が残っているのに、実際には予約システムやメール配信に情報を預けている、という形で起きます。委託に当たるなら、法律上は第三者提供に当たらないため、文章として必ずしも誤りとはいえません。それでも、利用者が読んだときに、外部のサービスに情報が渡っていないという印象を与えるなら、実態を正しく伝えているとはいえません。

外国の事業者のサービスと、「相手のポリシーを見てください」

外部のサービスの運営事業者が外国にあることは珍しくありません。外国にある第三者に個人データを提供する場合、28条1項は、例外を除いて、あらかじめ外国にある第三者への提供を認める旨の本人の同意を得なければならないと定めます。ただし、提供先が規則で定める基準に適合する体制を整備している場合や、規則で定める、同等水準にあると認められる制度を持つ外国にある場合は、この同意の対象から外れます（28条1項かっこ書。規則15条・16条）。

同意を得る場合に本人に提供する情報は、規則17条2項に、外国の名称、その外国における個人情報の保護に関する制度に関する情報、第三者が講ずる保護のための措置に関する情報、の三つが挙げられています。外国の名称が特定できない場合は、その旨とその理由を提供し、第三者の措置について情報提供ができない場合も、その旨と理由を提供します（同条3項・4項）。

ここで、「相手方のプライバシーポリシーを参照してください」と書くだけで足りるかという問いが出てきます。規則は、情報を提供する方法を、電磁的記録の提供、書面の交付、その他の適切な方法としています（17条1項）。個人情報保護委員会のQ&Aは、規則17条2項から4項までの情報が掲載されたウェブページのURLを自社のホームページに載せて閲覧させる方法も「適切な方法」に当たり得るとしつつ、URLを分かりやすい場所に載せ、同意の判断の前提として確認を明示的に求めるなど、本人が閲覧すると合理的に考えられる形で提供する必要がある、としています。そのため、相手のポリシーへのリンクを置くかどうかだけでなく、案内の仕方まで含めて、この三つの事項が本人に届く形かを個別に見る必要があります。リンク先が外国語だけの文章である場合や、国の名称に触れていない場合は、情報が提供されたといえるかが疑わしくなります。

外部送信規律：通知か容易に知り得る状態に置く事項は三つ

電気通信事業法27条の12は、利用者の端末から外部へ情報を送らせる指令（情報送信指令通信）を行おうとするとき、あらかじめ、送信される情報の内容、送信先の設備を用いて情報を取り扱う者の名称などを、利用者に通知し、または利用者が容易に知り得る状態に置くことを求めています。広告のタグや解析ツール、外部の動画や地図の埋め込みは、ブラウザからこれらの事業者へ情報を送る仕組みで、この規律が関わり得ます。

対象となる電気通信役務は、省令で定められています。規則22条の2の27は、ブラウザなどのソフトウェアにより提供される役務のうち、他人の通信を媒介する役務、利用者から受信した情報を不特定の利用者の求めに応じて送信する機能を持つ設備を他人の通信の用に供する役務、入力された検索情報に対応してウェブページの所在に関する情報を出力する役務、そして、不特定の利用者の求めに応じて情報を送信する機能を持つ設備を他人の通信の用に供する役務であって、不特定の利用者による情報の閲覧に供することを目的とするもの、の四つを挙げています。事業者のウェブサイトがこの区分のどれに当たるかは、サイトの性質に応じて判断することになります。総務省の解説で確認してください。

電気通信事業法27条の12には、適用除外も定められています。利用者がその役務を利用する際に送信が必要な情報（規則22条の2の30。画面の適正な表示に必要な情報など）、自ら提供した役務で発行した識別符号を自社の設備に送信する場合、あらかじめ利用者が同意している情報、そして利用者の求めに応じて送信や利用を停止するオプトアウト措置を講じ、その事項を容易に知り得る状態に置いている場合です。外部の解析ツールや広告タグが、これらのどれにも当たらないなら、通知または公表が必要になります。

この規律は、個人情報保護法と目的が違い、個人情報でない情報も対象になります。ポリシーの中に、外部送信の説明を一つの項目として設けるのが、実務上は分かりやすい方法です。ただし、自分のウェブサイトが対象になるかは、サイトの内容によって変わり、書類の中に一律に義務と書くことも、まったく触れないことも、いずれも正確ではありません。総務省の資料と条文で確認したうえで、書き方を決めます。

ハッシュ化したメールアドレスや、閲覧の記録を広告事業者へ渡す場合

メールアドレスや電話番号を、ハッシュ化（元の文字列に戻しにくい別の文字列に変換すること）して、広告事業者に渡す場面があります。ハッシュ化すれば個人情報ではなくなる、と考えられることがありますが、これは正確ではありません。変換した後の文字列を受け取った広告事業者が、自社の持つ情報と照合して本人を特定できるなら、特定の個人を識別できる情報として扱われ得ます。提供する側が個人データとして管理している情報を渡す場合は、提供する側では個人データの提供の問題として検討しておくのが安全です。提供元と提供先のどちらを基準に判断するかは、個人情報保護委員会のガイドラインとQ&Aの原文で確認が必要です。

一方、閲覧の記録のように、氏名と結びついておらず、個人情報、仮名加工情報、匿名加工情報のいずれにも該当しない、生存する個人に関する情報は、個人関連情報です（2条7項）。個人関連情報を提供する事業者は、提供を受ける第三者が、その情報を個人データとして取得することが想定されるときは、本人の同意が得られていることなどを、あらかじめ確認せずに提供してはなりません（31条1項）。外国にある第三者に提供する場合は、さらに、規則17条の情報が本人に提供されていることの確認も要ります（同項2号）。

個人情報保護委員会のQ&Aには、自社のサイトに他社のタグを設置し、その他社が利用者の閲覧履歴を取得する場合、自社が閲覧履歴を取り扱っていなければ、自社から他社への提供にはならないとする項目があります。ただし、その他社が個人情報として取得するなら、その他社には、不正取得の禁止や利用目的の通知・公表などが求められます。自社が提供したことになるかどうかは、自社がその情報を取り扱っているかで分かれます。

この整理を書くときは、目的の特定が重要です。広告や計測のための利用は、利用目的の書き方で、目的に入れる場合と別の同意を取る場合の分け方を説明しています。

起きがちなこと

よくあるご質問

あわせて読みたいページ

本ページは一般的な情報提供です。個別の事業への当てはめは、取り扱う情報の種類やサービスの仕組みによって異なることがあります。条文は e-Gov 法令検索（法令API）で確認した現行のものに基づき、まだ施行されていない改正は現行の内容として扱っていません。参考: e-Gov法令検索 / 個人情報保護委員会 / 総務省