プライバシーポリシーとCookieポリシー、Cookieバナーの違い

次の簡単な手順で判断してください。

1. サイトが読み込む必須ではないツールを数えます。アクセス解析、広告ピクセル、チャットウィジェット、動画の埋め込みコンテンツ、テストツールなどです。
2. 数が少なく、めったに変わらない場合は、プライバシーポリシーの中にCookieのセクションを設けます。
3. 数が多い場合や、マーケティングチームが頻繁にタグを追加する場合は、独立したCookieページを公開し、プライバシーポリシーと同意管理ツールの両方からリンクします。
4. どちらを選んでも、各ツールの名称を統一し、ユーザーが選択を変更できる分かりやすい場所を1か所用意します。

多くの小規模サイトが見落としている選択肢がもう1つあります。トラッキング技術を減らすことです。タグを1つ削除するたびに、管理すべき開示、取得すべき同意、審査すべきベンダーがそれぞれ1つ減ります。プライバシーに配慮したアクセス解析の設定、セルフホストのフォント、クリックして読み込む動画の埋め込みによって、Cookieのリストを大幅に短くできます。

サイトを一から作る場合は、Webサイトのプライバシーポリシーの作り方のガイドで、Cookieの開示をどこに入れるかを含め、全体の流れを解説しています。

プライバシーポリシーは、フォーム、アカウント、購入、メール、サポート、アクセス解析、広告など、個人データを処理するあらゆる方法を対象とします。目的、法的根拠、提供先、国外移転、保存期間、権利について説明します。

Cookieポリシーが扱うのは、より狭い問いです。どの技術が訪問者の端末に情報を保存したり端末上の情報にアクセスしたりするのか、そしてその理由は何か、という点です。これには次のものが含まれます。

• ファーストパーティとサードパーティの両方のHTTP Cookie
• ローカルストレージとセッションストレージ
• トラッキングピクセルとWebビーコン
• 端末識別子を読み取るSDKやスクリプト
• フィンガープリンティングの手法

両者の重なりは大きなものです。アクセス解析や広告のCookieの多くは個人データを処理するため、いずれにしてもプライバシーポリシーに記載すべきものです。Cookieポリシーが加えるのは詳細です。個々のツールやCookieの名称、保存期間、選択を変更する方法などです。

つまり、プライバシーポリシーとCookieポリシーの違いについて率直に答えるなら、Cookieポリシーは通常、プライバシーポリシーを専門的に補足するものであり、独自の文書要件を持つ別の法制度ではありません。本当の法的な問題は、情報が網羅されているかどうか、そして法律が求める場面で同意を得ているかどうかです。

法律上は必要ありません。義務は、人々が簡単に見つけられる明確かつ包括的な情報を提供することです。その情報をどこに置くかは自由に選べます。

プライバシーポリシー内のセクションが適しているのは、次のような場合です。

• 1つのアクセス解析サービスと必須のセッションCookieなど、使っているツールが少数である
• Cookieの情報が短いリストや表に収まる
• 管理する文書を1つにまとめたい

独立したCookieポリシーのページが適しているのは、次のような場合です。

• 多くのタグ、ピクセル、広告ベンダーを読み込んでいる
• ベンダーのリストが頻繁に変わり、プライバシーポリシー全体を公開し直さずに更新したい
• 同意管理ツールから詳細なCookieリストにリンクしている

分ける場合は、2つのページを相互にリンクし、各ツールに同じ名称を使ってください。広告Cookieは使っていないと書かれたプライバシーポリシーの隣に、広告ピクセルが載ったCookieリストがある、というのはまさに規制当局や苦情を申し立てようとする訪問者が気づく矛盾です。

Cookieバナーも必要かどうかは別の問題で、Cookieバナーは必要かで解説しています。

独立したページであれプライバシーポリシー内のセクションであれ、役に立つCookieの開示には次の内容が含まれます。

1. 技術の内容： Cookie、ローカルストレージ、ピクセル、SDKを平易な言葉で説明します。
2. カテゴリーと目的： 厳密に必要なもの、設定、アクセス解析、広告と、それぞれがサイト上で実際に何をしているか。
3. 設定する者： 自社のファーストパーティCookieと、アクセス解析や広告の提供事業者など名称を明示した第三者。
4. 保存期間： セッション中のみか、それぞれがどのくらい残るか。
5. 同意と選択： どのカテゴリーに同意が必要か、どのように受け入れるか拒否するか、後からどのように撤回するか。
6. ブラウザーでの管理： ブラウザーの設定と、実際に対応しているオプトアウトツールの案内。
7. リンク： 権利、法的根拠、国外移転、連絡先についてはプライバシーポリシーへ。
8. 最終更新日。

1項目の簡単な例を挙げます。「アクセス解析。サイトの利用状況を把握するため、当社のアクセス解析事業者が閲覧ページと訪問時間を記録するCookieを設定します。同意がある場合にのみ設定されます。有効期限は12か月です。」これは具体的で、検証でき、誠実な記載です。

ツールごとの文言については、アクセス解析のプライバシー開示とGoogleアナリティクスのプライバシーポリシーガイドをご覧ください。

次の3つはよく混同されます。

• Cookieバナーまたは同意管理ツール： 必須ではない技術が読み込まれる前に同意を求め、後から選択を変更できるようにするインターフェースです。サイト上での動作に関わるものです。
• CookieポリシーまたはCookieに関するセクション： 技術、目的、提供事業者、保存期間を文章で説明するものです。情報に関わるものです。
• プライバシーポリシー： 個人データが関わる場合のCookieを含め、すべての個人データの処理についての完全な通知です。

ポリシーのないバナーは、読んで理解できない事柄への同意をユーザーに求めることになります。同意が必要な場面でバナーのないポリシーは、何をしているかを説明してはいても、それを適法にするものではありません。EUと英国では、アクセス解析や広告のCookieを使うサイトには通常、両方が必要です。機能する仕組みによる同意と、ポリシーによる情報提供です。

ツールについて明確にしておくと、Legal Policy Generatorはプライバシーポリシーの文章を作成し、回答に基づいてCookie、アクセス解析、トラッキングに関する開示を含めます。CookieバナーやCookie同意管理ツールは提供していません。ポリシーはお好みの同意の仕組みと組み合わせ、両者が同じツールを同じように説明していることを確認してください。

EUでは、このルールはeプライバシー指令第5条(3)に由来します。ユーザーの端末に情報を保存すること、またはすでに保存されている情報にアクセスすることは、特に目的について明確かつ包括的な情報を提供されたうえでユーザーが同意した場合にのみ認められます。例外は、通信を行うためだけに必要な保存やアクセス、またはユーザーが明示的に求めたサービスを提供するために厳密に必要な保存やアクセスです。

欧州データ保護会議（EDPB）のガイドライン2/2023は、このルールが従来のCookieにとどまらず、トラッキングピクセル、トラッキングリンク、ローカルストレージ、一部のデバイスフィンガープリンティングなどの技術にも及ぶことを確認しています。

英国では、Privacy and Electronic Communications Regulationsの規則6が同等のルールを定めています。ICOの保存・アクセス技術に関する現行のガイダンスによれば、情報には使用する技術、その目的、関与する第三者、情報の保存期間を含めるべきとされています。英国は同意ルールにいくつかの新しい例外も追加しているため、詳細はICOの最新のガイダンスで確認してください。

Cookieが個人データに関わる場合は、GDPRと英国GDPRの第12条から第14条に定める透明性の義務も適用されます。これらのルールのいずれも、文書の名称までは指定していません。

米国の法律にはeプライバシー指令のような一般的なCookie同意のルールはありませんが、Cookieに関する開示は依然として重要です。

• CalOPPAは、商業Webサイトのプライバシーポリシーに、ブラウザーのDo Not Trackシグナルへの対応方法と、他者がユーザーのオンライン活動について長期間にわたり複数のWebサイトをまたいで個人を特定できる情報を収集する可能性があるかどうかを開示することを求めています。
• CCPAとCPRAは、Cookieを通じて収集される識別子を個人情報として扱います。プライバシーポリシーでは、収集するカテゴリーと、個人情報を販売または共有しているかどうか（多くのクロスコンテキスト広告の設定がこれに該当し得ます）、そしてオプトアウトの方法を説明しなければなりません。
• その他の州のプライバシー法も、ターゲティング広告とそれをオプトアウトする権利について同様の通知を求めています。

いずれも、Cookieポリシーという名称の独立した文書を求めてはいません。開示の面は通常、プライバシーポリシー内のよく構成されたCookieとトラッキングのセクションで対応でき、オプトアウトのリンクやプリファレンスシグナルはサイト上で対応します。

詳しくは、CCPAとCPRAのプライバシーポリシー要件と広告のプライバシー開示をご覧ください。

Cookieの情報は、プライバシーポリシーのほかのどの部分よりも早く古くなりがちです。マーケティングツールはコードレビューを経ずに変更されることが多いためです。簡単な習慣を作りましょう。

• 定期的にスキャンする。 クリーンなブラウザーのプロファイルでサイトを開き、同意を拒否した後に受け入れ、それぞれの状態で何が読み込まれるかを記録します。
• 新しいタグを毎回確認する。 新しいピクセル、埋め込みコンテンツ、スクリプトを導入する際のチェックリストに、開示の見直しを加えます。
• ポリシー、バナー、実態を比較する。 3つすべてが同じツールを挙げているべきです。
• 日付を更新する。 リストが変わるたびに更新します。

Legal Policy Generatorでポリシーを生成する場合は、使っているアクセス解析、広告、トラッキングの技術を回答すると、その回答に基づいてCookieとトラッキングの開示が作成されます。ツールが変わったら、文章を手作業で修正するのではなく、回答を更新して再生成してください。質問票と全文プレビューはアカウント不要で無料で、シンプルなHTMLまたはPDFのダウンロードも無料です。

生成された文章は回答を反映したものであり、法的助言ではありません。同意そのものは、引き続きサイトの同意の仕組みで扱う必要があります。