アナリティクスタグ・SDKの埋め込み

タグを1行入れるだけでも外部送信規律の対象。プライバシーポリシーへの公表義務

なにが問題になるか

2023年の改正電気通信事業法で「外部送信規律」という義務が新設されました。Google Analyticsのタグ、SNSの「いいね」ボタン、広告用SDKなどの外部スクリプトを埋め込んでいる場合、「どこの誰に何のデータを送っているか」をユーザーに通知または公表する義務が生じます。

具体的には、プライバシーポリシーや専用のCookieポリシーページに、外部送信先のサービス名・提供情報・目的を記載することが求められます。

フロントエンドエンジニアが <script> タグを1行追加する行為は、法的に見れば「ユーザーの行動データを外部に送信する仕組みを設置する」行為です。「タグを入れるだけだから法務は関係ない」は、今や通用しません。

確認すべきこと

• 新しいサードパーティスクリプト（アナリティクス・広告・SDK）を追加する際、プライバシーポリシーへの反映を確認した
• 「このタグ／SDKを入れると、何がどこに送られるか」を実装前に把握した
• 外部送信先のサービス名・送信内容・目的がプライバシーポリシーに記載されている
• 送信データに個人情報が含まれる場合、第三者提供の整理をした（→ 外部データ連携）

こんな仕様が出たらアラート

• アクセス解析タグ・広告タグ・計測SDKの新規追加
• タグマネージャー経由でのタグの追加（把握漏れが起きやすい）
• デバッグ・監視ツール（エラートラッキング等）へのデータ送信

あわせて確認

• 個人情報を外部サービスへ渡すなら → 外部CRM・メール配信サービスへのデータ連携