バナーは同意ではない
バナーは画面にすぎません。同意とはその背後にある記録であり、自由に与えられ、目的が特定され、説明を受けたうえで、いつでも撤回できるものです。見た目の整ったクッキーバナーを設置していても有効な同意を保持していない場合はあり、だからこそ「cookieバナーを入れました」は「適法ですか」への答えになりません。
その記録は四つのことを示せなければなりません。誰が同意したか、何に同意したか、いつ同意したか、そしてクッキー一覧のどのバージョンに対して同意したかです。特定の訪問者についてこれらを示せないなら、あるのはバナーだけで、その背後には何もありません。
チェックリスト
五項目です。いずれもコードを読まずに、外側から五分ほどで確認できます。
非必須のものが先に読み込まれない。 解析、広告、第三者の埋め込みは、選択が行われるまで読み込んではいけません。多くのサイトが落ちるのはこの項目です。バナーより先にタグを入れてしまっているからです。
拒否が承諾とまったく同じ手軽さである。 同じ画面、同じクリック数、同程度の視覚的な重み。目立つ「すべて同意」の隣に控えめな「設定を管理」を置く構成が、典型的な失敗です。
カテゴリが細分化され、初期選択がない。 解析、機能、マーケティングはそれぞれ別の判断であり、非必須のトグルはすべてオフから始まります。
撤回が付与と同じくらい簡単である。 選択を開き直せる常設の導線を用意します。メールアドレスでもサポートフォームでもありません。
選択が保存され、バージョン管理されている。 クッキー一覧が実質的に変わったとき、旧一覧に対して取得した同意は新しい目的をカバーしません。
取得した同意を無効にするダークパターン
規制当局の指摘は短い一覧に収束しており、そのいずれもが、取得した「はい」を同意なしに変えてしまいます。
コントラストの低い、あるいは埋もれた拒否ボタン。既定でオンのチェックボックス（既定で有効な「正当な利益」のトグルを含む）。同等の代替手段がないまま、拒否すれば利用できなくなるクッキーウォール。訪問者が折れるまでページ遷移のたびに再表示する挙動。そして利用規約への同意に抱き合わせる方式、つまり製品を使うことに同意すれば追跡にも同意したことになる設計です。
これは理屈だけの話ではありません。フランスのデータ保護機関CNILは2022年1月、拒否が承諾ほど簡単ではなかったことを理由に、Googleに計1億5,000万ユーロ、Facebookに6,000万ユーロの制裁金を科しました。どちらも「すべて同意」は1クリックで済むのに、拒否には複数のクリックが必要だった点が問われています。2023年1月には欧州データ保護会議（EDPB）のクッキーバナー・タスクフォースが報告書を公表し、第一階層に拒否ボタンがない、拒否を文中のリンクに見せかける、ボタンの色やコントラストで承諾へ誘導する、必須でないクッキーを「必須」に分類する、撤回の導線がない、といった手法を問題として挙げました。
これらすべての根にある判定基準は一文で言えます。インターフェースが「いいえ」を「はい」より高くつくようにしているなら、その「はい」は自由に与えられたものではありません。
拒否されたとき、解析データはどうなるか
ここでは異なる二つのことが同じ名前で呼ばれています。同意シグナルの送信は、タグをページに残したまま同意が拒否されたことを伝える方式で、クッキーを使わないpingが送られ、欠落分はベンダー側で推計されます。そもそも収集しないとは、リクエスト自体が発生しないことです。
どちらにも理はありますが、同じものではなく、その違いは数字に表れます。推計されたトラフィックは、測定値の顔をした推定値です。同意が拒否されたセッションでは、ごくわずかな手がかりから組み立てられた推定になります。見た目の揃った数字より、判断に使える数字が欲しいのであれば、そもそも同意を必要としない測定 — 集計値のみ、クッキーなし、サイト横断の識別子なし — を選び、拒否されたセッションは正直に欠けたままにしておくほうが健全です。
GDPRとCCPAは同じ要求ではない
GDPRはオプトインです。同意前に非必須のクッキーを置くことはできず、沈黙は拒否として扱われます。CCPAおよびCPRAはオプトアウトに近く、収集を始めること自体は認められますが、訪問者に通知し、データの販売や共有を停止できるようにしなければなりません。これは実務上、広告関連の連携のほとんどに及びます。
カリフォルニアだけを想定したバナーは欧州で通用しません。GDPRに合わせて作ったバナーは通常どちらも満たすため、複数地域からトラフィックを受けるサイトにとっては、そこを基準にするのが妥当です。
日本のサイトにもGDPR対応のクッキーバナーは必要か
GDPRは、EU域内に拠点がない事業者にも適用されることがあります。EU域内の人に商品やサービスを提供している場合と、EU域内の人の行動をモニタリングしている場合です。欧州向けに英語ページや決済手段を用意している、あるいは解析タグや広告タグで欧州からの訪問者の行動を分析しているなら、対象になりうると考えておくのが安全です。一方、欧州から閲覧できるというだけでは、通常それだけで対象にはなりません。
なお、クッキーを置く前に同意を求める直接の根拠はGDPRそのものではなく、EUのeプライバシー指令です。GDPRは、その同意がどうあるべきか（自由に与えられ、目的が特定され、説明を受け、明確な行為によるもの）という基準を定めています。「GDPR対応のクッキーバナー」と呼ばれているものは、実際にはこの二つの組み合わせです。
日本の規制：外部送信規律と個人関連情報
日本には、EUのように「非必須のクッキーを置く前に一律で同意が必要」というルールはありません。それでも、クッキーやタグに関わる規制は二つあります。
電気通信事業法の外部送信規律（2023年6月施行）。 利用者の端末から第三者へ情報を送信させるタグやSDKを使う場合、送信される情報の内容、送信先、利用目的を、利用者に通知するか、容易に知り得る状態に置く（公表する）ことが求められます。対象には、一定の要件を満たすウェブサイトやアプリの運営者も含まれます。同意の取得やオプトアウトの提供で代えることもできますが、まず求められているのは透明性です。
個人情報保護法の個人関連情報（2022年4月施行）。 クッキーIDや閲覧履歴は、それだけでは個人情報に当たらないことが多い情報です。ただし、提供先がほかの情報と結び付けて個人データとして取得することが想定される場合、提供元は、提供先が本人の同意を得ていることを確認しなければなりません。広告やデータ連携の多くはここに関わります。
実務上、どちらの規制も出発点は同じで、自社サイトがどのタグを読み込み、どこへ何を送っているかの一覧です。クッキーバナーのために作る一覧と、外部送信規律で公表する事項は大部分が重なります。欧州からのトラフィックもあるなら、GDPRの水準でバナーを作り、同じ一覧から公表ページを作るのが、二重管理を避ける近道です。
この記事は一般的な情報の提供を目的としたもので、法的助言ではありません。自社がどの規制の対象になるかは、専門家に確認してください。
五分でできる自社バナーの確認
プライベートウィンドウでサイトを開き、開発者ツールのネットワークタブを表示します。ストレージを消去してページを読み込み、そのまま何もしません。クリックする前に現れた第三者へのリクエストは、いずれも正当化できないものです。次に拒否を選び、再読み込みして、一覧が空のままであること、そして選択が再読み込み後も保持されていることを確認します。
最初から要件を満たした状態で始めたい場合は、無料のクッキー同意バナー生成ツールが、拒否の導線、細分化されたカテゴリ、バージョン管理された記録をあらかじめ備えたバナーを出力します。