Mauticのセキュリティと個人情報の扱い

01なぜ条文から調べたか

Mauticの導入を検討すると、必ず「個人情報の扱いは大丈夫か」「Cookie規制に引っかからないか」という話が出ます。ところが日本語の情報は「対応が必要です」とだけ書いて、何条の何が求めているのかを示していないものが多く見つかりました。これでは、自社が対象なのかどうかすら判断できません。

そこで、二次情報を経由せずに e-Gov法令検索APIで条文そのものを取得し、総務省令まで降り、総務省の公式FAQの原文まで当たるという方法を取りました。ソフトウェア側も同じで、Mauticの挙動は現行の公式ドキュメント、脆弱性の件数はGitHubの公式アドバイザリAPIの実データで確認しています。

02入口は「電気通信事業を営んでいるか」

いわゆる「Cookie規制」の正体は電気通信事業法 第27条の12（情報送信指令通信に係る通知等）です。条文はまず名宛人をこう限定します。

電気通信事業者又は第三号事業を営む者（内容、利用者の範囲及び利用状況を勘案して利用者の利益に及ぼす影響が少なくないものとして総務省令で定める電気通信役務を提供する者に限る。）は、（…）情報送信指令通信（…）を行おうとするときは、（…）あらかじめ、（…）当該利用者に通知し、又は当該利用者が容易に知り得る状態に置かなければならない。

電気通信事業法 第二十七条の十二（e-Gov法令検索API・2026年7月24日取得）

「第三号事業」は同法第164条第1項第3号に掲げる電気通信事業の略称として条文中で定義され、同条3項により登録・届出が不要な第三号事業者にも27条の12は適用されます。ここまでは「届出が要らないから関係ない」とは言えない、という話です。

ところが、その手前にもっと大きな入口があります。総務省FAQが明示しています。

電気通信事業者又は第三号事業を営む者（いずれも電気通信事業を営む者）で、「利用者の利益に及ぼす影響が少なくない電気通信役務」を提供している電気通信事業者です。
なお、「電気通信事業（電気通信事業法（以下「法」という。）第2条第4号）」を営んでいない場合は、法の適用を受けないので、仮に情報の外部送信が行われていたとしても、外部送信規律の対象にはなりません。

総務省 外部送信規律FAQ 問1-8（2026年7月24日取得）

そして同じFAQは、具体例まで名指しで答えています。

03対象になる4類型の役務

電気通信事業を営んでいるとして、次の絞りが電気通信事業法施行規則 第22条の2の27です。条文は「ブラウザその他のソフトウェア（利用者が使用するパーソナルコンピュータ、携帯電話端末又はこれらに類する端末機器においてオペレーティングシステムを通じて実行されるものに限る。）により提供されるもの」に限ったうえで、4類型を挙げています。

なお、FAQ問1-7は「当社のウェブサイトではCookieを利用していません。適用は受けないと考えてよいでしょうか」に対し、「Cookieを利用していなかったとしても規律対象となります」と答えています。規律の対象は「情報を外部に送信するよう指令するプログラム等を端末に送信する行為全般」であって、Cookieという技術ではありません。

04自社サーバー向けでも「外部送信」に当たる

ここは私たちが最初に取り違えた点なので、はっきり書きます。「送信先が自社のサーバーだから外部送信ではない」は成り立ちません。

（当該利用者以外の者の電気通信設備とは）利用者が電気通信役務を利用する際に通信の相手方となっている者の電気通信設備のことをいいます。利用者がウェブサイトの閲覧やアプリケーションの利用を行う際に（利用者が認識しているかを問わず）通信の相手方となっている第三者のサーバだけでなく、当該電気通信役務を提供する電気通信事業者（ウェブサイトの運営者やアプリケーションの提供者）のサーバも含まれます。
※「外部送信規律について」の絵では、便宜上「第三者のサーバ」としていますが、規律の対象としては、当該電気通信役務の提供者のサーバに外部送信される場合も含まれます。

総務省 外部送信規律FAQ 問1-16（2026年7月24日取得）

Mauticをセルフホストしていても、マネージドで使っていても、ブラウザから見れば「利用者以外の者の設備」への送信です。したがって論点は「外部送信に当たらない」ではなく、「除外規定に乗るか」だけになります。

05通知・公表すべき3つの事項と書き方

対象になる場合、何を書くかは施行規則 第22条の2の29が「情報送信指令通信ごとに」3つ定めています。

書き方は規則 第22条の2の28が定めます。日本語を用い、専門用語を避け、及び平易な表現を用いること／操作を行うことなく文字が適切な大きさで表示されること／各事項を容易に確認できること。通知なら該当事項または掲載画面の所在を即時に表示、公表なら当該ウェブページかそこから容易に到達できるウェブページに表示、とされています。

064つの除外と、その効き方の限界

27条の12にはただし書があり、4つの除外が並びます。ここが実務上いちばん重要で、同時にいちばん誤解されている部分です。

ここで決定的なのが、二号は「識別符号そのもの」しか除外しないことです。

問6-3：First Party Cookieに保存されたIDと一緒に当該電気通信事業者（当該電気通信役務の提供者）に送信される利用者に関する情報も同様に除外されますか。
答：除外されません。ただし、6-2にあるとおり、当該電気通信事業者に送信される情報は、原則として「真に必要な情報」に該当すると考えられますので、この原則の範囲内では除外されます。

総務省 外部送信規律FAQ 問6-3（2026年7月24日取得）

つまり、識別子と一緒に送られる閲覧URL・ページタイトル・流入元は、二号では落ちません。受け皿は一号（規則22条の2の30第1号の「その他当該電気通信役務の提供のために真に必要な情報」）になりますが、そこにも限定が付いています。

※2：当該電気通信役務を提供する電気通信事業者に送信される情報であっても、利用者が当該電気通信役務を利用する際に必ずしも必要がなく、一般の利用者から見て送信されることが通常想定できない情報や、通常想定できない利用目的で利用される情報については、該当しません。

総務省 外部送信規律FAQ 問6-2 ※2（2026年7月24日取得）

07Mauticが実際に使っている追跡子

では、Mauticは実際に何で追跡しているのか。現行の公式ドキュメント（mautic/user-documentation、ブランチ7.1）はこう書いています。

When using the tracking script, Mautic tracks Contacts with third party cookies on the Mautic instance's domain and/or the browser's local storage. Although the script writes first party cookies to the tracked domain which expires with the session, they're not used for tracking.

Mautic 公式ドキュメント user-documentation 7.1「How are Contacts tracked with the tracking script?」

公式のCookie一覧表も明確です。

08個人情報保護法で発生する義務

外部送信規律とは別に、Mauticが保持するコンタクト情報（氏名・メールアドレス・行動履歴）は個人データに当たり得ます。e-Govで確認した条文のうち、運用に直結するのは次の4つです。

09海外に置くと何が増えるか

Mauticはセルフホストできるので、コストだけを見て海外の安価なVPSに置く選択がしばしば取られます。このとき増えるのが28条の検討です。

10脆弱性を公式APIで54件数えた

ここからはセキュリティです。「Mauticは安全か」に感想で答えても意味がないので、GitHubの公式セキュリティアドバイザリを実数で集計しました。対象は mautic/mautic、取得日は2026年7月24日です。

critical 6件の内訳

再現方法

# 総数（2026-07-24時点で54件＝1ページに収まる。100件を超えたらページングが要る）
gh api "repos/mautic/mautic/security-advisories?per_page=100" --jq 'length'

# 公開日・深刻度・CVE・概要の一覧
gh api "repos/mautic/mautic/security-advisories?per_page=100" \
  --jq '.[] | [.published_at[0:10], .severity, .cve_id, .summary] | @tsv' | sort -r

# 修正版タグが実在するかの確認
gh api "repos/mautic/mautic/git/ref/tags/4.4.20"   # → 404

# 法令の条文はe-Gov法令検索APIで取得
curl -s "https://laws.e-gov.go.jp/api/1/lawdata/359AC0000000086"  # 電気通信事業法
curl -s "https://laws.e-gov.go.jp/api/1/lawdata/360M50001000025"  # 同 施行規則
curl -s "https://laws.e-gov.go.jp/api/1/lawdata/415AC0000000057"  # 個人情報保護法

11この記事で間違えていたこと

この記事は公開前に検証を1本通しています。その結果、私たち自身の理解の誤りが5件見つかりました。公開前に直せたものですが、同じ誤解は広く出回っているので、そのまま載せます。

12この数字で分からないこと

自分の指標の限界を先に書きます。ここを書かない数字は信用しないでください（この記事のものも含めて）。

13実務チェックリスト

以下は条文とFAQの内容を作業項目に置き換えた確認の手がかりで、貴社が対象事業者に当たるかどうかの判断を含みません。

• Mauticのバージョンが修正版以降か。critical が出ている以上ここが最優先。現行の最新安定版は7.1.3（2026年7月7日リリース）です。
• 管理画面がインターネットに素で開いていないか。アドバイザリには認証後に成立するものが多く含まれます。到達範囲を絞ると影響が変わります。
• 自社サイトのどのページが何をしているかを棚卸しする。会社案内やサービス案内と、ニュース配信・オウンドメディアとで、FAQ上の扱いが分かれます（問1-18・問2-12）。
• 入っているタグを全部並べる。Mauticだけでなく広告・解析の第三者タグが同居していないか。第三者送信のほうが先に問題になり得ます。
• 通知・公表を出すなら、規則22条の2の29の3項目が揃っているか。とくに二号「情報を取り扱うこととなる者の氏名または名称」。
• 書き方が22条の2の28に沿っているか。日本語・専門用語を避ける・操作なしで読める文字サイズ・容易に到達できる場所。利用目的はプライバシーポリシーへのリンクでも可ですが、概略の併記が望ましく、リンク先が日本語以外ならリンクのみは認められません（問4-5・4-6）。
• 個人データの保管場所が国内か国外か。国外なら28条の検討が問題になり得ます。
• 委託しているなら、監督の材料を持っているか。25条の監督義務は委託しても残ります。
• 漏えい時の連絡経路が決まっているか。26条は、委託先が委託元に通知することを前提に組み立てられています。

よくある質問