はじめに
Cookie を使用しているウェブサイトは、Cookie の種類とそれぞれの役割を把握しておく必要があります。必須 Cookie はウェブサイトの動作を支える一方で、それ以外の Cookie は訪問者を追跡し、個人情報を収集します。必須 Cookie と非必須 Cookie の違いは、多くのウェブサイト運営者が考えている以上に複雑な場合があります。
Cookie 同意においては、必須 Cookie と非必須 Cookie を区別する必要があります。GDPR の適用を受ける国々、カリフォルニア州、DPDPA を定めるインドなど、多くの国や地域が Cookie 同意を求めているため、この情報は重要であるだけでなく、法律上も必要とされています。
ほとんどの企業は Cookie バナーを用意しただけで対応完了とみなしていますが、本来は必須 Cookie と非必須 Cookie を分けて管理すべきです。Cookie バナーが表示されていても、規制当局がより重視するのは非必須のトラッキング Cookie の分離です。理由は単純で、規制当局は Cookie バナーが閉じられた後も非必須のトラッキング Cookie が動作し続けているかどうかを確認できるからです。
適切な Cookie バナーとはどのようなものですか？
Cookie バナーは、ドメインを訪れるユーザーとの最初の接点です。ひと目で把握でき、読みやすく、理解しやすいものにする必要があります。問題は、多くの企業が Cookie バナーのデザインパターンを悪用し、ダークパターンを使ってユーザーをだましたり、すべての Cookie を許可するよう強いたりしていることです。こうした手法は現在、規制当局の厳しい監視下にあり、そのようなバナーは疑わしいものと見なされます。
最適な解決策は、ユーザーに選択肢を提示し、隠されたメッセージや思い込みを一切排して、できるだけ分かりやすくすることです。よくある間違いとしては、「すべての Cookie を許可」ボタンを「非必須 Cookie を拒否」の選択肢よりも目立たせることや、分かりにくい言葉を使うことが挙げられます。
Cookie バナーは次のようにあるべきです。
- バナーの主な役割は、訪問者が非必須 Cookie を拒否できるようにすることです。そのため、すべての Cookie を拒否するボタンと許可するボタンを、見やすく大きく配置しなければなりません。「すべての Cookie を許可」をバナー下部に小さな文字で置くべきではありません。
- バナーはシンプルで分かりやすい言葉で書かれていなければなりません。ウェブサイトで Cookie が何に使われるのかを法律用語のような表現で説明するのは避けましょう。代わりに、平易な文章でデータの目的と収集について説明してください。
- 「非必須」カテゴリの横にあるチェックボックスに、既定でチェックを入れてはいけません。既定の設定は常に、訪問者の選択ではなくウェブサイト運営者の意向を反映していることを覚えておいてください。これもバナーで使われるダークパターンの一例です。
- Cookie バナーは、ユーザーが素早く判断できるようにしつつ、Cookie をきめ細かく管理できるようにする必要があります。そのため、バナーには、ウェブサイトでの Cookie とその利用に関する情報を掲載したページへの追加リンクが必要です。そうすることで、ユーザーはいつでも自分の設定を確認し、カスタマイズできます。
Cookie バナーは、ウェブサイトに表示するだけでは不十分です。バナーは、ユーザーが操作するまでスクリプトが一切実行されないようにする必要があります。細かな点に思えるかもしれませんが、実際には Cookie バナーで最もよくある間違いの 1 つです。バナーはユーザーに情報を提供するだけだということを覚えておいてください。実際に Cookie を管理するには、ユーザーが操作して承諾するまで既定ですべてのスクリプトをブロックする ConsentX などの別のツールを使う必要があります。
詳しくはこちら：Cookie 同意バナーとは?仕組みと、なぜ重要なのか
Cookie の主な 3 つの種類とは何ですか？
必須 Cookie と非必須 Cookie の議論に進む前に、ほとんどのウェブサイトで一般的に利用されている主なカテゴリを定義しておくことが重要です。一般に、大多数のサイトで使われている Cookie には主に 3 つの種類があります。
| Cookie の種類 | 目的 | 例 |
|---|---|---|
| 必須 Cookie | サイトの機能を維持する | ログインセッション、ショッピングカート、セキュリティトークン |
| 機能性 Cookie | ユーザー体験を向上させる | 言語設定、保存された設定 |
| パフォーマンス・広告 Cookie | 分析やマーケティングのために行動を追跡する | Google Analytics、広告のリターゲティングピクセル |
1 つ目のカテゴリは必須 Cookie で、ウェブサイトが正しく機能するために常に必要です。機能性 Cookie とパフォーマンス Cookie は非必須 Cookie に分類されますが、この分類は個々のウェブサイトとその要件によって異なる場合があります。したがって、必須 Cookie と非必須 Cookie の位置づけを判断する際は、ケースごとに個別に検討する必要があります。
一部の企業では、分析 Cookie は安全なものであり、ユーザーから追加の同意を得る必要はないと考えられていることがよくあります。しかし、この認識は誤りです。大半のプライバシー法によれば、こうした Cookie も、ウェブサイトの機能に必要なものとして位置づけられていない限り、同意に基づく規制の対象となるからです。
必須 Cookie とはどのような Cookie ですか？
必須 Cookie とは、ウェブサイトがその中核となる機能を実行するために必要な Cookie です。訪問者が求めたサイトの基本的な動作を可能にするものであるため、ユーザーの同意を必要としません。
よくある例としては、セッション、カート、負荷分散、セキュリティ、同意記憶の各 Cookie があります。以下の表は、それぞれの説明と目的を示しています。
| Cookie の例 | 役割 | 必須である理由 |
|---|---|---|
| セッション Cookie | 閲覧中にユーザーのログイン状態を維持する | これがないとサイトはログイン状態を維持できない |
| ショッピングカート Cookie | チェックアウト中に追加された商品を記憶する | これがないとチェックアウトが失敗またはリセットされる |
| 負荷分散 Cookie | トラフィックを適切なサーバーに振り分ける | トラフィックが多いときでもサイトを安定させる |
| セキュリティ・不正防止 Cookie | ボットを検出し、不審な活動をブロックする | サイトとユーザーを攻撃から守る |
| 同意記憶 Cookie | 訪問者の Cookie の選択を記憶する | 訪問のたびにバナーが再表示されるのを防ぐ |
これらの説明から、同意バナーが使用する Cookie でさえ必須 Cookie であることは明らかです。それらを削除するとバナーが役に立たなくなり、ユーザーは同意を与えることも撤回することもできなくなるからです。
ある Cookie が必須 Cookie かどうかを判断する基準は、その Cookie が存在しない場合にウェブサイトの中核機能が動作しなくなるかどうかです。その機能が Cookie が存在するときにしか動作しないのであれば、必須 Cookie に該当します。そうでなければ、非必須と見なされます。
必須 Cookie と非必須 Cookie：違いは何ですか？
では、ここまでの内容をまとめましょう。必須 Cookie と非必須 Cookie の比較は、目的、同意の要件、利用できるかどうかの違いに見て取ることができます。
| 項目 | 必須 Cookie | 非必須 Cookie |
|---|---|---|
| 目的 | ウェブサイトの機能を維持する | 追跡、パーソナライズ、広告 |
| 同意は必要か？ | いいえ | はい |
| ブロックできるか？ | いいえ（サイトを壊さずには不可） | はい（同意が得られるまで） |
| 例 | ログイン、カート、セキュリティ | 分析、広告トラッキング、ソーシャルメディアプラグイン |
| 取り扱いを誤った場合の法的リスク | 低い | 高い |
必須 Cookie はあらゆるウェブサイトの基本的な動作を担うため自動的に適用されますが、非必須 Cookie は有効化するためにユーザーの同意が必要です。
必須 Cookie と非必須 Cookie の違いは、厳格なデータ保護法の適用を受けるウェブサイトにとって特に重要です。非必須 Cookie を使用する企業が、ユーザーのデバイスに設定する前にその使用についてユーザーの許可を得なければ、罰則を科される可能性があります。これは、サイトが後から非必須 Cookie の設定について同意を求めて許可を得た場合でも同じです。必須 Cookie と非必須 Cookie はそれぞれ異なる形でビジネスに影響を及ぼしうるため、企業は両方を把握しておく必要があります。煩わしい Cookie バナーによって見込み客を遠ざけてしまうこともあれば、プライバシー法違反で規制当局の標的になることもあります。
ユーザーが同意するまで Cookie をブロックする方法
Cookie バナーを表示するだけでは、法令順守を保証するのに十分ではありません。ユーザーが同意する前にページビューで既定でスクリプトが読み込まれているなら、Cookie 関連法を順守できていないことになります。Cookie バナーは単なるポップアップにすぎません。
法令順守を確実にする正しい方法は「事前スクリプトブロック」です。つまり、同意が得られる前に非必須 Cookie やトラッカーを一切読み込ませないことです。これは、トラッキング Cookie を既定でブロックし、ユーザーの同意後にのみ読み込みを許可する手法です。これは間違いなく、Cookie コンプライアンスの中で最も語られることの少ない要素の 1 つです。
多くの企業は、Cookie 関連法を順守しようとする際に次のような間違いを犯しています。
- まず特定する必要があります。存在を知らないものはブロックできません。サイトの Cookie とトラッカーのスキャンを行えば、ウェブサイト上で読み込まれるすべてのものを特定できます。
- カテゴリ別に整理する必要があります。各 Cookie やトラッカーを、必須、機能性、または広告・分析関連のいずれかに分類しなければなりません。
- 同意管理の技術（または別のブロック層）を使って、非必須スクリプトが既定でブロックされるようにすること。これは通常、同意前にスクリプトが実行されないようにする JavaScript によって行われます。
- すべてのトラッカーが既定でブロックされていることを確認するため、サイトを継続的にテストする必要があります。新しいプラグインやトラッカーがサイトに追加されることがあるため、完全な法令順守を確保するには定期的なスキャンが欠かせません。
- 一部のブラウザーに組み込まれている Global Privacy Control（GPC）を、Cookie 同意ソリューションが尊重していることを確認すべきです。
ConsentX のようなソリューションは、まさにこうして Cookie コンプライアンスを確保します。単に Cookie バナーを使うのではなく、同意が与えられた後にのみ Cookie が読み込まれるようにしなければなりません。
非必須 Cookie を管理する方法
非必須 Cookie の管理は、一度きりの設定ではなく継続的なプロセスです。企業がそれを管理下に置くための方法は次のとおりです。
明確な分類から始める。 非必須 Cookie を分析、広告、ソーシャルメディアといったカテゴリにまとめ、訪問者がすべてかゼロかの二択ではなく、どれを許可するかを選べるようにします。
Cookie ポリシーを最新の状態に保つ。 新しいツール、プラグイン、広告ネットワークを追加するたびに、Cookie の一覧は変わります。プライバシー通知は、年に一度ではなくリアルタイムでそれを反映すべきです。
地域ごとの違いを尊重する。 EU の訪問者には GDPR のもとでより厳格なオプトインの体験が必要になる場合がある一方、カリフォルニア州の訪問者は CCPA のもとでオプトアウト方式を想定しているかもしれません。地域を判別するルールエンジンを使えば、地域ごとにバナーを作り直さなくても、訪問者の所在地に応じて適切な同意体験を自動的に適用できます。
すべての同意の判断を記録する。 訪問者が同意したことを証明するよう規制当局から求められた場合、バナーに以前何と書かれていたかという記憶ではなく、タイムスタンプ付きで改ざんを検知できる記録が必要です。ポリシーのバージョン、タイムスタンプ、訪問者の判断を記録する同意レシートがあれば、監査の際の対応がはるかに容易になります。
必要に応じて同意を取り直す。 Cookie ポリシーが大きく変わった場合や、十分な期間が経過した場合は、訪問者にあらためて同意を求めましょう。以前の同意が新しいトラッキングの動作を必ずしもカバーするとは限りません。
オプトアウトを適切に処理する。 訪問者が同意を撤回した場合、すでに設定された非必須 Cookie はそれ以降データの収集を停止すべきです。これは手動ではなく、自動的に実行される必要があります。
必須 Cookie と非必須 Cookie をうまく管理するということは、法的なチェック項目を埋めることではありません。ウェブサイト、対象地域、そして規制の変化に合わせて拡張できる同意プロセスを構築することです。
まとめ
必須 Cookie と非必須 Cookie に関する現在のガイドラインは、ウェブサイト運営者にとってもはや任意のものではありません。これらはユーザーのプライバシー設定、ウェブサイト運営者の法的責任、そして訪問者からの信頼の度合いに直接影響します。必須 Cookie はウェブサイトを正しく機能させ、非必須 Cookie はデバイスに登録される前に訪問者の同意を必要とします。
したがって、この推奨事項に沿って行動することはウェブサイトにとって極めて重要です。それにより、許可なくサードパーティ Cookie を使用しないこと、現地の法令や規制を順守すること、そして訪問者からの同意の証拠を示すことも確実にできます。こうした対応はいずれも複雑で時間がかかり、複数の法域にまたがる場合はなおさらです。
ConsentX で準拠した Cookie 同意を実現しましょう。許可を管理し、非必須 Cookie をブロックし、明確な同意記録を維持できます。
よくある質問
必須 Cookie と非必須 Cookie の違いは何ですか？
必須 Cookie は、ログインセッション、ショッピングカート、セキュリティトークンなど、ウェブサイトが機能するために必要な Cookie であり、ユーザーの同意を必要としません。非必須 Cookie は、トラッキング、カスタマイズ、マーケティングに利用され、訪問者のデバイスに設定するにはその訪問者の同意が必要です。
GDPR や CCPA のもとで、必須 Cookie にユーザーの同意は必要ですか？
いいえ。必須 Cookie は同意の対象ではありません。それがなければウェブサイトが機能しなくなるからです。これに対して非必須 Cookie は、ウェブサイト上で実行を許可する前に、明示的な（または推定による）同意（あるいはその欠如）を必要とします。
ウェブサイトが同意を得る前に非必須 Cookie を読み込むとどうなりますか？
これはよくある規制上の要件です。当局は、ユーザーが Cookie 同意バナーを操作する前にユーザーのデバイスにトラッキング Cookie を設定した組織に罰則を科すことがあり、たとえ「同意する」のクリックなどで後から同意が得られたとしても、組織は法的リスクにさらされます。組織は、ユーザーからスクリプト実行への同意を受け取るまで非必須スクリプトが実行されないようにする「事前スクリプトブロック」の手法を採用すべきです。
Cookie が必須かどうかはどうすれば分かりますか？
基準は、その Cookie が存在しない場合にウェブサイトの中核機能が動作しなくなるかどうかです。動作しなくなるなら、その Cookie は必須です。そうでなければ、非必須です。
Google Analytics のような分析 Cookie は必須と見なされますか？
いいえ、これはよくある誤解です。ほとんどの規制の枠組みでは、分析 Cookie は非必須に分類され、ウェブサイト訪問者のデバイスに設定する前にユーザーの同意を得ることが求められます。多くの組織は、同意は不要だと誤って考えています。