Cookieバナーは必要？地域別の同意ルール

新しいプライベートウィンドウでブラウザーの開発者ツールを開き、次の手順を進めましょう。

1. すべてのCookieとストレージ項目を洗い出す： サイトが設定するものと、何もクリックしないうちに発生するすべてのサードパーティへのリクエストを確認します。
2. それぞれを分類する： 厳密に必要、設定（好み）、アクセス解析、広告、埋め込みコンテンツのいずれかに分けます。
3. 訪問者の所在地を確認する： EUや英国の訪問者がいる場合は、例外にあたらない項目に同意ルールが適用されます。米国だけを対象とする場合は、オプトアウトの権利と開示に重点を置きます。
4. 例外を正直に当てはめる： 英国では統計目的と表示の条件を確認します。EU各国ではアクセス解析に関する各国のガイダンスを確認します。
5. 判断する： EUや英国の訪問者向けに例外にあたらない項目が1つでも残るなら、利用者が同意するまでそれをブロックする同意バナーが必要です。
6. プライバシーポリシーを更新する： Cookie、同意の動作、選択の変更方法を記載します。

リストが短いなら、バナーを追加するよりもツールを減らすことを検討しましょう。フォントのセルフホスティング、クリックして読み込む埋め込みコンテンツ、使っていないピクセルの削除によって、必須のCookieだけにできる場合があります。ポリシー自体については、Webサイトのプライバシーポリシーの作り方をご覧ください。

厳密に必要なものの例外は、多くのバナーが主張しているよりも狭いものです。事業者の視点ではなく利用者の視点から、そのCookieがなければ利用者が求めたサービスが機能しなくなるかを考えましょう。

通常は例外にあたるもの：

• ログイン状態を保持したり、ショッピングカートの中身を記憶したりするセッションCookie。
• 不正を防止したりログインフォームを保護したりするセキュリティCookie。
• リクエストを振り分ける負荷分散用のCookie。
• 訪問者の同意の選択を記憶するCookie。
• 一部の規制当局の解釈では、言語など、利用者が現在のサービスのために自ら設定した好み。

通常は例外にあたらないもの：

• 広告、リターゲティング、ソーシャルメディアのピクセル。
• ほとんどのサードパーティのアクセス解析。
• 独自のCookieを設定する埋め込み動画やソーシャル投稿。
• A/Bテストやパーソナライズのツール。

一部の規制当局は、限られた中間領域を認めています。たとえばフランスのCNILは、サイト運営者のためにサイトを測定することに厳密に限定され、匿名の統計を生成し、サイトをまたいで人を追跡しないオーディエンス測定は、Cookieの有効期間とデータの保存期間に関する条件のもとで例外になり得るとしています。こうした例外に依拠する前に、対象とする各国のガイダンスを確認しましょう。

同意が必要な場合、バナーは同意を適切に取得しなければなりません。欧州の規制当局は、よくある不備について明確に示しています。欧州データ保護会議（EDPB）のCookieバナー・タスクフォースの報告書によれば、ほとんどの当局は、同意ボタンと同じ階層に拒否の選択肢がないバナーを違反とみなしており、報告書は欺瞞的なボタンのデザインや、必須と誤って表示されたCookieを批判しています。

実践的なチェックリストです。

• 同意前にブロックする： 訪問者が同意するまで、必須でないCookieやスクリプトを読み込んではなりません。
• 拒否を同意と同じくらい簡単にする： 最初の階層で、同意ボタンと並べて拒否または辞退のボタンを用意します。
• 事前チェックをしない： カテゴリーは最初はオフにしておきます。
• 細かな選択肢： 広告は受け入れずにアクセス解析だけを受け入れられるようにします。
• 明確な情報： 目的と関与する第三者を明記し、プライバシーポリシーにリンクします。
• 簡単な撤回： 「Cookie設定」のような常設のリンクを置き、同意したときと同じくらい簡単に考えを変えられるようにします。
• 記録： 同意に依拠する場合は、同意の証拠を保管します。

欧州のガイダンスはまた、同意しない限りアクセスを遮断するCookieウォールでは、一般に有効な同意は得られないとしています。「このサイトを利用するとCookieに同意したものとみなします」とだけ表示するバナーは、このリストのほぼすべての項目を満たしていません。

EUのルールはGDPRそのものではなく、eプライバシー指令第5条3項に由来します。同項は、利用者の端末に情報を保存すること、またはすでに保存されている情報にアクセスすることは、利用者が明確かつ包括的な情報を受け取ったうえで同意した場合にのみ認められると定めています。EU各国は指令をそれぞれの国内法で実施しているため、細部は国によって多少異なります。

例外は2つあります。

1. ネットワーク上での通信の伝送を行うことのみを目的とする保存またはアクセス。
2. 利用者が明示的に求めたサービスを提供者が提供するために厳密に必要な保存またはアクセス。

多くのサイト運営者が驚く点が3つあります。

• 対象はCookieだけではありません。 ローカルストレージ、ピクセル、SDK、デバイスフィンガープリント技術も、すべてこのルールの対象になり得ます。
• データが個人データかどうかにかかわらず適用されます。 適用のきっかけは端末へのアクセスです。
• 同意はGDPRの基準に従います。 同意は、自由に与えられ、特定され、情報に基づき、曖昧さのないものでなければならず、明確な積極的行為によって示される必要があります。Planet49事件で、EU司法裁判所は、あらかじめチェックが入ったチェックボックスでは有効な同意は成立しないと判断しました。

多くの場合は必要ですが、英国のルールは変わりました。英国でeプライバシーのルールに相当するのは、Privacy and Electronic Communications Regulations（PECR）の規則6です。Data (Use and Access) Act 2025（2025年データ（利用およびアクセス）法）がこれを改正し、関連規定は2026年2月5日に施行されました。

ICOのガイダンスは現在、同意要件に対する5つの例外を示しています。

1. 通信： 通信を伝送することのみを目的とするもの。
2. 厳密に必要： 利用者が求めるサービスの提供に不可欠なもの。
3. 統計目的： サービスの改善を目的として、サービスの利用状況に関する統計情報を収集することのみを目的とするもの。
4. 表示： サービスの外観や機能を利用者の好みに合わせることのみを目的とするもの。
5. 緊急支援： 緊急の支援を提供するために端末の位置を特定することのみを目的とするもの。

統計目的と表示の例外には条件があります。明確かつ包括的な情報と、簡単かつ無料で異議を申し立てる方法を提供しなければなりません。アクセス解析について、ICOは、データは集計されたものでなければならず、人の追跡やプロファイリング、広告に使ってはならず、サードパーティの事業者はお客様に代わってのみ行動でき、データを自らの目的に使ってはならないとしています。オンライン広告は決して対象になりません。そのため、ファーストパーティの集計型アクセス解析だけを使う英国のサイトは同意の確認を省ける場合がありますが、ほとんどの広告の構成では引き続き同意が必要です。

Cookieを設定する前にオプトインの同意を求める一般的な米国法はありません。米国のモデルは通知とオプトアウトに重点を置いているため、欧州型のバナーは法的に必須でないことが多いものの、多くの米国企業は選択の管理のためにバナーを使っています。

米国の法律が求めていることは次のとおりです。

• カリフォルニア州CCPA： 基準を満たし、クロスコンテキスト行動広告のためを含め、個人情報を販売または共有する事業者は、通常「Do Not Sell or Share My Personal Information」リンクによるオプトアウトを提供し、Global Privacy Control（GPC）などのオプトアウト選好シグナルを尊重しなければなりません。
• その他の州のプライバシー法： 多くの州が消費者にターゲティング広告をオプトアウトする権利を与えており、いくつかの州は事業者に汎用的なオプトアウトの仕組みを尊重するよう求めています。機微なデータについてオプトインの同意を求める州もあります。
• CalOPPA： Do Not Trackシグナルにどう対応するか、また第三者が訪問者のオンライン活動に関する情報をサイトをまたいで継続的に収集する場合があるかどうかを、プライバシーポリシーに記載するよう求めています。
• COPPA： 13歳未満の子ども向けのサイトは、一般に、行動ターゲティング広告のために永続的な識別子を収集する前に、検証可能な保護者の同意が必要です。

どの州の法律が適用され、オプトアウトのルールがどう異なるかについては、米国州プライバシー法の概要をご覧ください。

Googleは法律に加えて契約上の要件を課しています。GoogleのEUユーザーの同意ポリシーは、欧州経済領域（EEA）、英国、スイスのエンドユーザーに適用されます。Googleアナリティクス、Google広告、AdSenseなどのGoogle製品を使う場合、法律が求めるCookieその他のローカルストレージの利用と、広告のパーソナライズのための個人データの収集、共有、利用について、法的に有効な同意を取得しなければなりません。また、同意の記録を保管し、同意の撤回方法を明確に案内し、個人データを収集、受領、利用する可能性のある各当事者を明示しなければなりません。

実務上の帰結は2つあります。

• サイト運営者（パブリッシャー）： Googleは、EEAと英国のユーザーに広告を配信する場合、AdSense、アド マネージャー、AdMobを使うパブリッシャーに、Google認定の同意管理プラットフォームの使用を求めています。
• 広告主とアクセス解析の利用者： Googleの同意モードを使うと、バナーがストレージ、広告用のユーザーデータ、広告のパーソナライズに関する同意状態をGoogleタグに渡し、タグがそれに応じて動作を調整します。

実装した内容はすべてプライバシーポリシーに記載しましょう。関連するポリシーの文言については、Googleアナリティクスのプライバシーポリシーガイドとアクセス解析のプライバシー開示で解説しています。

ほとんどの場合、両方必要です。両者は異なる役割を果たすからです。バナーは、訪問者が到着した時点で選択を取得または記録します。プライバシーポリシーは、各ツールが何を、なぜ収集し、誰が受け取り、どのくらい保存され、利用者がどう考えを変えられるかなど、処理の全体を説明します。

両者の内容は一致していなければなりません。ポリシーにアクセス解析は同意後にのみ動作すると書くなら、バナーは実際にそれまでアクセス解析をブロックしなければなりません。選択の前にタグが動作するなら、ポリシーでそうでないと主張すべきではありません。

Legal Policy Generatorが作成するのはポリシーの側であり、バナーではありません。Cookieバナーや同意管理ツールは提供していません。質問票では、使用しているトラッキング技術、必須でないトラッキングが同意後にのみ始まるのか、それとも同意前に始まりオプトアウトできるのか、利用者が設定をどう変更できるのかを尋ね、対象地域に合った条項を選びます。プライバシーポリシー作成ツールから始めて、結果をお好みの同意ツールと組み合わせてください。

別途Cookieに関する文書も用意したい場合は、プライバシーポリシーとCookieポリシーの違いを読んで、自分のサイトにとって価値があるかを判断しましょう。