サイトにインスタを埋め込むときの個人情報保護法と外部送信規律
Instagramの投稿一覧をサイトに埋め込むと、訪問者のブラウザは、あなたのサイトのサーバーだけでなく、ほかの会社のサーバーとも通信するようになります。そこで気になるのが、個人情報保護法と、2023年6月16日に施行された電気通信事業法の「外部送信規律」です。この記事では、個人情報保護委員会と総務省の公表資料、e-Gov法令検索の条文をもとに、埋め込みで何が起きるのか、どんなサイトが外部送信規律の対象になるのか、プライバシーポリシーに何を書けばよいのかを整理します。なお、この記事は一般的な情報の提供を目的としたもので、法的な助言ではありません。個別の判断は、弁護士などの専門家にご相談ください。
更新日：2026年10月12日
先に結論
- 会社案内のホームページや、自社商品を売るネットショップは、外部送信規律の対象になりません。総務省は、これらは「電気通信事業」にあたらないと説明しています。
- ニュースサイト、求人情報サイト、複数の店が出店するモールなどは対象になり得ます。対象なら、送られる情報の内容、送り先の名称、利用目的を、訪問者が容易に知り得る状態に置く必要があります。
- Cookieを使っていなくても、外部送信規律の対象から外れるわけではありません。総務省のFAQに明記されています。
埋め込むと、訪問者のブラウザは何を送るのか
Social Feed の埋め込みタグを置いたページを訪問者が開くと、訪問者のブラウザは次の通信を行います。どれもページの表示に伴う通常のHTTP通信で、ブラウザは通信の相手に、IPアドレス、ブラウザの種類(ユーザーエージェント)、ブラウザの設定によっては閲覧中のページのアドレス(リファラー)などを伝えます。
| 通信の相手 | 何のための通信か | 補足 |
|---|---|---|
| grip space のサーバー(埋め込みタグに書かれているドメイン) | ウィジェットを描画するプログラムと、表示する投稿の一覧を受け取る | 投稿の一覧はプログラムの中に含めて返す |
| grip space のサーバー | 表示数を数える(1×1の画像を1回読み込む) | ウィジェットが表示されたときに1回 |
| Instagram(Meta)の配信サーバー | 投稿の画像・動画、アカウントのアイコンを読み込む | 画像・動画は Instagram から直接、訪問者のブラウザに届く |
一方で、Social Feed のプログラムは、Cookie も localStorage も使いません。訪問者を見分けるためのIDを訪問者の端末に保存することはなく、Instagram へのログイン状態を読み取ることもありません。
表示数の集計で残るもの。表示数は、ウィジェットごと・日ごとの回数として記録します。記録するのは「どのウィジェットが、その日に何回表示されたか」だけで、IPアドレス、Cookie、閲覧ページのURLといった訪問者を識別する情報は含めません(当社プライバシーポリシーの「表示回数の集計」)。検索エンジンのクローラーなどのbotを数えないよう、受信したときにIPアドレスとブラウザの種類で判定していますが、その結果は回数を足すかどうかに使うだけです。
フリープランで保存するもの。フリープランでは、Instagram への問い合わせを減らすため、Instagram から取得した投稿の一覧(キャプション、投稿日時、投稿へのリンク、いいね・コメントの数、代替テキスト、画像・動画のURL)と連携アカウントのプロフィールを、最長24時間当社のサーバーに保存し、その後削除します。有料プランでは表示のたびに取得し、保存しません。どちらのプランでも、画像・動画のファイルそのものは保存せず、訪問者のブラウザが Instagram から直接読み込みます。ここで保存しているのは、サイト運営者が連携した自社アカウントの投稿の情報で、サイトを訪れた人の情報ではありません。
個人情報保護法ではどう考えるか
個人情報保護法は、「個人情報」を、生存する個人に関する情報で、氏名、生年月日その他の記述等により特定の個人を識別できるもの(ほかの情報と容易に照合でき、それにより特定の個人を識別できることとなるものを含む)などと定めています(第2条第1項)。
個人情報保護法には、「個人関連情報」という区分もあります(第2条第7項)。生存する個人に関する情報のうち、個人情報、仮名加工情報、匿名加工情報のいずれにもあたらないものです。個人情報保護委員会のQ&A(Q8-1)は、Cookie等の端末識別子について、個人情報にあたらない場合には、通常、個人関連情報にあたると考えられると説明しています。家族で端末を共用している場合も同じです。そして、ほかの情報と容易に照合して特定の個人を識別できる場合には、あわせて全体として個人情報になります。
個人関連情報を渡すときのルール。第31条は、提供先が個人関連情報を「個人データとして取得することが想定される」ときに、本人の同意が得られていることなどを確認するよう求めています。Q&A(Q8-3)は、この規定は個人関連情報の第三者提供一般に適用されるものではなく、そう想定される場合に限って適用されると説明しています。
他社のタグを置いた場合。Q&A(Q8-10)は、A社が自社サイトにB社のタグを設置し、B社がそのタグを通じて閲覧履歴を取得するケースについて、A社がその閲覧履歴を取り扱っていないのであれば、A社がB社に「提供」したことにはならず、B社が直接ユーザーから取得したことになると考えられる、としています。
埋め込みのウィジェットに当てはめると、サイト運営者が訪問者の情報を集めて渡しているわけではなく、訪問者のブラウザが直接、通信の相手とやり取りしている形です。ただし、最終的な判断は個別の事案ごとに行われるとQ&Aにも書かれています。会員情報などと組み合わせる場合は専門家に確認してください。
外部送信規律とは
電気通信事業法第27条の12は、一定の電気通信役務を提供する事業者が、利用者の端末に「情報送信指令通信」を行おうとするときは、あらかじめ、送信されることになる利用者に関する情報の内容や送信先などを、利用者に通知するか、利用者が容易に知り得る状態に置くよう定めています。ウェブサイトでいえば、訪問者のブラウザに、ほかのサーバーへ情報を送らせるタグやプログラムを読み込ませることがこれにあたります。
| よくある思い込み | 総務省のFAQ |
|---|---|
| Cookieを使っていなければ関係ない | Cookieを利用していなくても、外部送信を指令するプログラム等を送っていれば規律対象になる(問1-7) |
| 送り先が第三者のサーバーのときだけの話 | 通信の相手には、第三者のサーバーだけでなく、サービスを提供する事業者自身のサーバーも含まれる(問1-16) |
通知等が要らない情報。第27条の12のただし書きは、画面を適正に表示するために必要な情報など、サービスを利用する際に送信が必要な情報や、サービスの提供者が自分のサーバーに送らせる識別符号(いわゆるファーストパーティCookieに保存されたID)などを除いています。総務省の概要ページは、例として、OS情報、画面設定情報、言語設定情報、ブラウザ情報、セキュリティ対策やネットワーク管理に必要な情報を挙げています。
自分のサイトは対象になるか
外部送信規律が適用されるのは、「電気通信事業」を営む者のうち、利用者の利益に及ぼす影響が少なくないとして総務省令で定める役務を、ブラウザやアプリを通じて提供する者です。総務省のFAQ(問1-9)は、その役務を次の4つに分けています。
| 区分 | FAQに挙がっている例 |
|---|---|
| 利用者間のメッセージ媒介等 | メール、ダイレクトメッセージ、参加者を限定したWeb会議 |
| SNS、電子掲示板、動画共有、オンラインショッピングモール等 | ライブ配信、ユーザー同士の売買の場、オンラインゲーム、オンライン教育 |
| オンライン検索サービス | すべてのウェブページを対象にした検索 |
| 各種情報のオンライン提供 | ニュース配信、気象情報、動画配信、地図、乗換案内、就職・転職・アルバイト等の情報提供 |
一方、総務省は、次のようなページは「電気通信事業」にあたらず、対象にならないとしています。
| 対象にならない例 | 根拠 |
|---|---|
| 企業等のホームページ、個人のブログ | 総務省「外部送信規律」概要ページ |
| 自社商品のオンライン販売(実店舗があってもなくても) | FAQ 問1-12、問1-13 |
| サービスの案内ページ、来店予約のページ | FAQ 問1-18、問1-19 |
| 同じサイトの中の会社案内のページ | FAQ 問2-12(ニュース配信のページは対象、会社案内のページは対象外) |
つまり、Instagramの投稿一覧を会社のホームページや自社のネットショップに置くだけなら、外部送信規律の対象にはならないと考えられます。注意が必要なのは、地域の情報サイト、求人情報サイト、メディア運営、複数の事業者が出品するモールなど、他人の需要に応じて情報を提供しているサイトに置く場合です。迷う場合は、総務省の「電気通信事業参入マニュアル[追補版]」や専門家に確認してください。
対象になるサイトでは何を公表するか
総務省の概要ページとFAQによると、通知または公表する事項は次の3つです。
- 送信される利用者に関する情報の内容。実際に送られている情報を、利用者が認識できる粒度で書きます。FAQ(問4-7)は「閲覧したWebサイトのURL、当該サイトを閲覧した日時等」という記載例を示しています。
- その情報を取り扱う者の氏名または名称。サービス名だけでは足りず、会社名などの名称を明記します。サービス名のほうが知られている場合は併記が望ましいとされています(問4-2)。
- 利用目的。原則として、送信先と、タグを置いた事業者の双方の利用目的です(問4-3)。利用目的が書かれた送信先のページやプライバシーポリシーへのリンクで示すこともでき、その場合は内容の概略もあわせて示すことが望ましいとされています(問4-5、問4-6)。リンク先が日本語以外のときは、リンクだけの対応は認められません。
書き方は、日本語で、専門用語を避け、平易な表現にし、拡大や縮小をしなくても読める文字の大きさで表示します。ウェブサイトでは、タグを置いたページか、そこから容易に到達できるページに表示します(問3-2)。遷移先に該当の事項が書かれていることがわかる形でリンクを置けば、容易に到達できるページにあたると考えられています(問3-11)。
プライバシーポリシーに書く例
対象になるサイトで、Social Feed のウィジェットを置いている場合の記載例です。表示に必要な通信は通知等が不要な情報にあたり得ますが、表示数の計測は表示そのものには必要ないため、まとめて書いておくのが分かりやすいでしょう。名称や目的は、実際の利用状況に合わせて直してください。
| 送信先(取り扱う者) | 送信される情報 | 利用目的 |
|---|---|---|
| ibis studio株式会社(Social Feed by grip space) | IPアドレス、ブラウザの種類、閲覧中のページのアドレス(ブラウザの設定による)、ウィジェットが表示された日 | Instagramの投稿一覧を当サイトに表示するため。ウィジェットの表示回数を日ごとに集計するため(集計に閲覧者を識別する情報は含みません) |
| Instagram(運営会社の正式名称は Meta のプライバシーポリシーで確認) | IPアドレス、ブラウザの種類、閲覧中のページのアドレス(ブラウザの設定による) | 投稿の画像・動画を表示するため。そのほかの利用目的は Meta のプライバシーポリシーをご覧ください |
あわせて「当サイトの Instagram の一覧では Cookie を使用していません」と書いておくと、訪問者の不安を減らせます。ほかに Google アナリティクスや広告のタグを置いているなら、それらも同じ表に並べます。
確認のチェックリスト
- 自社サイトは、会社案内・自社商品の販売なのか、他人の需要に応じた情報提供(ニュース、求人情報、モールなど)なのか。
- ページに置いているタグやプログラムを洗い出したか(Instagramの一覧、アクセス解析、広告、チャットなど)。
- それぞれの送信先の会社名と、送られる情報、利用目的を確認したか。
- 対象のサイトなら、タグを置いたページから容易に到達できる場所に、日本語で平易に表示しているか。
- Instagramの一覧を、アクセス解析や会員情報と組み合わせて使っていないか(組み合わせる場合は個人情報保護法の扱いを専門家に確認する)。
よくある質問
Cookieの同意バナーを出さないといけませんか?日本の外部送信規律は、通知、公表、同意取得、オプトアウトのいずれかで足りるとしており、同意の取得を必ず求めるものではありません。対象外のサイトなら、この規律による義務はありません。
Instagramの投稿の写真を載せることは問題になりませんか?それは個人情報や外部送信とは別に、著作権・肖像権の問題です。Instagramの写真を自社サイトに載せるときの著作権・肖像権にまとめています。
ウィジェットをすぐ止めたいときは?管理画面でウィジェットを「非公開」にすると、埋め込みタグは投稿を表示せず、Instagram からの画像の読み込みも表示数の計測も行いません(タグのプログラム自体は読み込まれます)。
まとめ
Instagramの投稿一覧を埋め込むと、訪問者のブラウザは grip space のサーバーと Instagram の配信サーバーに通信します。Social Feed は Cookie を使わず、表示数は訪問者を識別しない回数として集計し、画像は Instagram から直接読み込みます。会社のホームページや自社のネットショップは外部送信規律の対象外とされていますが、情報サイトや求人サイトなどでは、送信先・情報・目的の公表が必要になり得ます。設置の流れはInstagramの投稿を自社サイトに埋め込む方法、製品の紹介はSocial Feed by grip space、登録はこちらからどうぞ。
参考にした資料
e-Gov法令検索「個人情報の保護に関する法律(平成15年法律第57号)」 https://laws.e-gov.go.jp/law/415AC0000000057
e-Gov法令検索「電気通信事業法(昭和59年法律第86号)」 https://laws.e-gov.go.jp/law/359AC0000000086
個人情報保護委員会「「個人情報の保護に関する法律についてのガイドライン」に関するQ&A」 https://www.ppc.go.jp/personalinfo/faq/APPI_QA/
総務省「外部送信規律」 https://www.soumu.go.jp/main_sosiki/joho_tsusin/d_syohi/gaibusoushin_kiritsu.html
総務省「外部送信規律 法令・ガイドライン・パンフレット」 https://www.soumu.go.jp/main_sosiki/joho_tsusin/d_syohi/gaibusoushin_kiritsu_00001.html
総務省「外部送信規律FAQ」 https://www.soumu.go.jp/main_sosiki/joho_tsusin/d_syohi/gaibusoushin_kiritsu_00002.html
ibis studio株式会社「プライバシーポリシー」 https://marketing-labo.jp/privacypolicy
Meta「プライバシーポリシー」 https://privacycenter.instagram.com/policy
