アプリやWebサービスを公開する前に確認したい7つの法令対応

新しいアプリやWebサービスを出すとき、法務の話はたいてい最後に回されます。商標や利用規約は気にするのに、実際に問題になりやすいのは、もっと地味なところです。申込みボタンの横に何が書いてあるか。ローンチのお知らせメールをどのリストに送ったか。ページの裏でどの外部サービスにデータが飛んでいるか。

どれも、見た目には法律の問題に見えません。いつもの作り方をしただけに見えます。だから見落とされます。

ここでは、公開前に私たちが必ず確認している7つの項目を、根拠になる一次資料と一緒に紹介します。私たちはプロダクトをつくる側で、弁護士ではありません。これは当たり前のことを漏れなく済ませるためのチェックリストです。医療や金融のデータ、子どもの利用が多いサービスであれば、一度は専門家に相談してください。

1. サブスクの最終確認画面に、6つの事項を並べる

2022年6月1日の改正特定商取引法の施行で、通信販売の「最終確認画面」に表示しなければならない事項が決まりました（第12条の6）。自社サイトでサブスクや定期購入の申込みを受けるなら、確定ボタンを押す直前の画面に、次の6つを並べます。

• 分量（定期の場合は、各回の内容と回数、または無期限で続くこと）
• 価格（初回だけでなく、2回目以降の価格と支払総額）
• 支払の時期と方法
• 提供の時期
• 申込みの期間（キャンペーンの期限があれば）
• 解約の方法と条件

消費者庁のガイドラインは、初回価格だけを大きく見せて2回目以降を小さく書くような表示を、はっきり問題として挙げています。誤認させる表示で申し込ませた場合、消費者は申込みを取り消すことができ、罰則の対象にもなります。

デザインの観点から言うと、ここは利用規約へのリンクで済ませる場所ではありません。ボタンのすぐ近く、目線がすでにある場所に置きます。あわせて、解約をどこから、どう行うのかを、申込みと同じくらい簡単にしておきます。申込み時の画面の内容、価格、日時、アカウントを記録として残しておくと、あとで問い合わせが来たときに説明できます。

販売ページ全体には「特定商取引法に基づく表記」（事業者名、住所、電話番号など）も必要です。こちらは多くの会社が対応済みですが、新しいサービスのドメインを分けたときに付け忘れることがあります。

2. 広告メールは、同意の記録と送信者情報をそろえる

日本の特定電子メール法は、原則としてオプトインです。事前に同意をもらった相手にしか広告メールを送れません。ウェイトリストに登録してくれた人へのローンチのお知らせも、広告宣伝メールです。登録フォームで、お知らせを送ることへの同意を取っておきます。

総務省と消費者庁のガイドラインで押さえるポイントは3つです。

• 同意を証明する記録を保存する（最後に送信してから少なくとも1か月）
• 本文に、送信者の氏名または名称、住所、苦情や問い合わせの連絡先を表示する
• 受信拒否の通知先（メールアドレスかURL）と、受信拒否ができる旨をその直前か直後に表示する

見落としやすいのは、メインの配信ツールの外で送るメールです。別のツールで組んだステップメール、ローンチ当日の登録者へのフォローアップ、担当者の個人アドレスから数百件にBCCで送るお知らせ。どれも同じルールの対象です。

Gmail宛てに1日5,000件以上送る場合は、Googleの送信者ガイドラインにより、ワンクリックで登録解除できるヘッダー（List-Unsubscribe）への対応と、2日以内の処理も必要です。多くの配信サービスは自動で付けてくれますが、一度確認してください。

3. 外部送信規律の対象かどうかを確認する

2023年6月16日から、改正電気通信事業法の外部送信規律が施行されています。対象になるサービスが、利用者の端末から外部の事業者に情報を送らせる場合、送信される情報の内容、送信先の名称、利用目的を、利用者がわかる形で通知するか公表しなければなりません。

対象は、SNS、メッセージ機能、検索、ニュースや情報の配信など、総務省のFAQが挙げるサービスです。一方で、自社の商品やサービスを紹介するだけのページは対象外とされています。つまり、会社のコーポレートサイトは多くの場合対象外でも、新しく公開するアプリ本体は対象になることがあります。

対象になるなら、アクセス解析、広告タグ、チャット、フォントの配信まで、外部に通信しているものを洗い出して一覧にします。ここで一覧が長くなるほど、公表の手間も、説明の難しさも増えます。次の項目でフォントを自社配信に切り替えると、その分だけ一覧が短くなります。

4. フォントは自社のドメインから配信する

Google Fontsをfonts.googleapis.comから読み込むと、ページを開いた瞬間に、閲覧者のブラウザがGoogleに接続し、IPアドレスを渡します。同意バナーが出るより前です。ドイツでは2022年1月、ミュンヘン地方裁判所がこれを同意のないGDPR違反と判断し、閲覧者に100ユーロの損害賠償を認めました。その後、ドイツでは同じ理由の警告書が大量に送られています。

日本のユーザーだけを対象にしたサービスでも、欧州からのアクセスはあります。対応は10分ほどです。.woff2ファイルをダウンロードし、自社のドメインに置いて、CSSの@font-faceで読み込むだけです。アプリ本体は対応済みでも、キャンペーンページやLP、ブログのテンプレートが外部から読み込んでいることがよくあります。公開中のページを開発者ツールのネットワークタブで開き、fonts.googleapis.comやuse.typekit.netへの通信が残っていないか確認してください。

5. セッションリプレイは、同意とマスキングが済むまで止めておく

Microsoft Clarity、Hotjar、FullStory、LogRocketのようなセッションリプレイは、ページ上のクリックやスクロール、設定によっては入力内容まで記録します。個人情報保護法の上では、取得する情報と利用目的をプライバシーポリシーで特定し、公表しておく必要があります。米国では、こうしたツールが同意なく会話を傍受しているとして、カリフォルニア州の盗聴規制法（CIPA）に基づく集団訴訟が続いています。

私たちの初期設定はオフです。ファネルの改善にどうしても必要なら、同意を得てから有効にし、入力欄はすべて初期設定でマスクし、パスワード、決済、健康に関する項目は記録から完全に外します。Clarityならdata-clarity-mask、Hotjarならdata-hj-suppressという属性で指定できます。設定したら、自分で申込みをしてその録画を見て、入力した内容が読めないことを確かめます。

チャットウィジェットも同じです。送信ボタンを押す前の入力中の文字を、担当者側に表示できる製品があります。その機能は切っておきます。

6. 年齢をたずねてから、個人情報を集める

いまの個人情報保護法には、子どもの年齢の基準が書かれていません。個人情報保護委員会のQ&Aは、一般的には12歳から15歳までの年齢以下の子どもについて、法定代理人の同意が必要だと考えられる、としています。

これが変わります。2026年7月17日に公布された令和8年改正個人情報保護法は、16歳未満を基準として、同意の取得や通知の相手を法定代理人とし、16歳未満の本人に利用停止を請求しやすくする規律を新設しました。施行は公布から2年以内に政令で定める日です。

いま公開するサービスは、施行の時点でも動いています。登録画面のメールアドレス欄より前に、生年か「16歳以上です」の確認を置きます。対象年齢に満たない場合は登録を止めるか、保護者の同意の流れに進めます。利用規約とプライバシーポリシーには、子ども向けのサービスではないことをはっきり書いておきます。米国のユーザーがいるなら、13歳未満を対象にしたCOPPAも関係します。

7. プライバシーポリシーと利用規約を、アプリの中にも置く

AppleのApp Review Guidelinesは、プライバシーポリシーへのリンクをApp Store Connectとアプリの中の両方に置くことを求めています。Google Playも同じです。ポリシーには、取得する情報、共有する相手（解析や広告のSDKを含む）、データの削除を依頼する方法を書きます。

iOSで、自社のアプリで得たデータを他社のアプリやWebサイトのデータと結びつけて広告に使う場合は、App Tracking Transparencyの許可を事前に取る必要があります。許可しないと機能が使えない、という設計はできません。広告の計測SDKは初期設定で追跡を行うものが多いので、審査に出す前に設定を確認してください。

公開の前の半日

並べてみると、どれも小さな作業です。確認画面の6行、登録フォームの同意欄、メールのフッター、外部通信の一覧、フォントのフォルダ、止めるスクリプト、年齢の質問、2つのリンク。半日から1日で終わります。

利用者がこうした部分に気づくことは、ほとんどありません。気づくのは、問題が起きたあとです。公開前に済ませておけば、その場面自体が来ません。