Cookie コンプライアンスとは何か。完全ガイド

はじめに

ウェブサイトを運営した経験があれば、Cookie コンプライアンスと、それに伴うさまざまなプライバシー規制について耳にしたことがあるでしょう。しかし、それは正確には何であり、なぜ気にかける必要があるのでしょうか。端的にいえば、Cookie コンプライアンスとは、自社ウェブサイトにおける Cookie の収集・保存・処理をめぐる適法性と説明できます。おっしゃりたいことは分かります。Cookie は私たちの行動パターンを追跡するために使われ、広告の機能に欠かせないものですが、個人データの収集を伴います。だからこそ Cookie コンプライアンスはプライバシー規制の範疇に入るのです。

GDPR、CCPA、ePrivacy Directive といったプライバシー規制は、Cookie コンプライアンスを義務づける法律であり、従わない場合は多額の制裁金や組織の信用失墜につながるおそれがあります。

Cookie コンプライアンスはなぜ重要か

Cookie コンプライアンスは、ウェブサイトが利用者の信頼を獲得し維持するために用いる不可欠な実践です。事業者が規則や規制に違反すると、顧客が示す信頼の度合いは低下します。一方で、Cookie コンプライアンスへの取り組みをウェブサイトが的確に示せば、訪問者の前向きな姿勢が高まり、同時に法務上・事業上の目標にも寄与します。これらの点を以下で詳しく述べます。

• 多額の制裁金を避ける 当局は Cookie コンプライアンスの指針を守らない企業に対して相当額の制裁金を科すことができ、これを避けることは事業の継続に役立ちます。
• 信頼と安心が高まる 多くの利用者は、信頼できる企業と取引することを選びます。信頼を通じて、訪問者が自らの個人データを進んで提供するよう促すこともできます。
• イメージの向上 強化されたプライバシー規則を実践する企業は、消費者から選ばれやすくなります。
• 安全なウェブサイトの維持 Cookie コンプライアンスの規則と規制を順守することは、組織に対する訴訟を避けるために必要です。
• グローバルな事業展開を支える 国際的な利用者を対象とするウェブサイトは、各地域のデータプライバシー規則を満たすために Cookie コンプライアンスに依拠できます。

この観点から、企業は Cookie コンプライアンスを中核的な手続きとして制度化すべきだと認識することが不可欠でしょう。コンプライアンスの長期的な利点を踏まえれば、組織は法務費用や広報費用を大幅に削減できる立場に立てます。したがって企業は、長期的な経済目標を達成するための重要な基準としてコンプライアンスを位置づけるべきです。

Cookie コンプライアンスの主な規則とは

法律ごとに固有の細部はありますが、Cookie コンプライアンスの規則の多くはいくつかの大きな概念に関わります。顧客がどの国にいるかにかかわらず、これらはあらゆるプライバシー規制の基礎となる可能性が高いため、詳しく学ぶことが不可欠です。

• 同意の必要性 ウェブサイトの運営に厳密に必要な Cookie を除き、情報を保存またはアクセスする前に利用者の同意を得る必要があります。
• Cookie に関する情報の提供 利用者には、目的、保存期間、その他の関連情報を知らせる必要があります。
• 受け入れない権利 技術的には、同意はあらゆる場合において自発的に与えられるべきです。
• 同意の撤回が容易であること 利用者はいつでも考えを変え、同意を撤回できるべきです。
• 同意の証拠の提供 技術的には、利用者の同意の事実と日付を証明するデータを常に保存してください。
• ポリシーを最新に保つこと ウェブサイトで提供する情報が最新かつ適切であることを確認してください。

以上が Cookie コンプライアンス法に関する主要な概念です。これらを理解したうえで、自社のウェブサイトやアプリケーション向けの Cookie コンプライアンス戦略の策定に進むことができます。

Cookie コンプライアンスの種類とは

Cookie コンプライアンスは任意に選べるものではありません。使用する Cookie の種類、ウェブサイト訪問者の所在地、そして順守すべき規則の一覧によって決まります。とりわけ GDPR の管轄下で運営するウェブサイトは、オプトイン型コンプライアンスの採用が必要です。つまり、分析用・広告用その他の必須でない Cookie を、訪問者の同意なしにその端末へ設置することはできません。

一方、CCPA のコンプライアンス指針はオプトアウト型の同意の利用を認めています。これは、必要な Cookie をすべて既定で利用者の端末に設置し、その後に特定の種類の Cookie を無効化できるようにするものです。もう一つの手法はカテゴリー別コンプライアンスで、Cookie をいくつかの種類（必須、機能、分析、マーケティング）に分け、それらのカテゴリー単位でのみ同意を扱います。

最後に、粒度の細かいコンプライアンスは Cookie ごとの個別同意を意味し、地域別の手法は利用者の所在地に基づきます。適切な Cookie コンプライアンスの手法は、ウェブサイト訪問者の所在地と、そのサイトが満たすべき法的要件に基づいて選ぶべきです。

Cookie コンプライアンスの 4 つの主要構成要素とは

Cookie 法への完全な準拠を実現するには、ウェブサイトに次の 4 つの要素が備わっている必要があります。

Cookie 同意バナーが必要です。これは、必須でない Cookie を端末に保存する前に訪問者の許可を求めるものです。企業が犯す最も一般的な誤りの一つが逆の手順です。すなわち、同意を求める前に利用者の端末へ Cookie を読み込んでしまうことです。

サイトには Cookie ポリシーが必要です。これは、サイトが訪問者の端末に保存するすべての Cookie の一覧と、各 Cookie の目的を記したページです。3 つ目の要件は CMP、すなわち同意管理プラットフォームです。CMP があれば、利用者はいつでも簡単に Cookie の設定を管理できます。プライバシー法の中には、ウェブサイトにそうしたプラットフォームを備えることを求めるものさえあります。

見落とされがちな最後の要素が、Cookie スキャンツールです。ウェブサイトには、誰も気づかないうちに新しい Cookie が加わることがよくあります。だからこそ、訪問者の同意なしに Cookie が保存されていないことを確かめるため、定期的なスキャンが必要なのです。

Cookie コンプライアンスを求める法律

世界各地のいくつかのプライバシー法が Cookie コンプライアンスを求めています。下の表は、この分野で最も影響力のある規制をまとめたものです。

企業にとってこれは、事業を展開する国々で Cookie コンプライアンスを満たさなければならないことを意味します。そして多くの企業がさまざまな地域からの訪問者を抱えている以上、Cookie について最も厳格な規制に従うほうが安全です。たとえば GDPR のコンプライアンス基準は欧州の大部分を対象としており、それゆえ広く採用される基準となっています。

Cookie コンプライアンス法は地域ごとに継続的な変更と更新も受けます。企業は常に Cookie コンプライアンスを保たなければならず、そのためには規則を定期的に確認し直す必要があります。言い換えれば、Cookie コンプライアンスは事業のやることリストに常に載せておくべき課題なのです。

Cookie コンプライアンスに関する GDPR の要件とは

GDPR は Cookie に関していくつかの規定を定めています。次のとおりです。

事前の同意 必須でない Cookie は、動作するために訪問者の同意を必要とします。これには分析 Cookie、ターゲティング／リターゲティング Cookie、ソーシャルプラグインの Cookie などが含まれますが、これらに限られません。同意の前に使用できるのは必須の Cookie だけです。

言葉 情報は明確で平易な言葉で提供しなければなりません。専門家でない人が理解できないような技術用語は避けてください。

粒度の細かい同意 組織は、訪問者が特定のカテゴリーの Cookie に同意しやすいようにしなければなりません。GDPR に準拠した Cookie 同意バナーは、一律のオプトイン用チェックボックスではなく選択肢を提示する必要があります。

同意の撤回 同意を撤回する手続きは、最初の同意と同じくらい簡単でなければなりません。「同意を撤回する」と書かれたリンクが隠れていたり見つけにくかったりする場合、GDPR への準拠を満たすには不十分です。

既定設定 同意バナーには、あらかじめチェックされたボックスやその他の既定設定を含めてはなりません。「既定で同意」という印象を与えるバナーは、GDPR の規定では認められません。

記録 ウェブサイトは、GDPR に準拠した Cookie トラッキングに対する訪問者一人ひとりの同意を記録できなければなりません。この記録は、規制当局の審査や監査の際に利用できる必要があります。

必要性 企業は、自社ウェブサイトの機能に必要な Cookie のみを使用できます。正当かつ立証可能な理由なしに、追加の Cookie を設置することはできません。

Cookie コンプライアンスを実現する方法：手順ガイド

ウェブサイトが Cookie を使用している場合、データプライバシー法、とりわけ GDPR と ePrivacy Directive の適用を受ける可能性があります。これらの規制を順守しなければ、多額の金銭的制裁に加え、ブランドの信用にも損害が及びかねません。幸い、Cookie コンプライアンスを確保するために取れる具体的な手順があります。

• ウェブサイトの Cookie を洗い出す 最初の手順は、包括的な監査を行い、ウェブサイトで使われているすべての Cookie を分類することです。Cookie には、厳密に必要なもの、機能に関するもの、パフォーマンス／分析に関するもの、広告／マーケティングに関するものなど、いくつかの種類があります。各種類について、その目的、保存期間、ファーストパーティかサードパーティかを明示すべきです。サードパーティのサービスは知らないうちに追加されることが多いため、この監査は定期的に繰り返す必要があります。
• どのプライバシー法が自社サイトに適用されるかを見極める Cookie は、対象とする利用者の法域に応じてデータプライバシー法の適用を受けます。GDPR と ePrivacy Directive（EU・英国域内で事業を行う企業に適用）は、必須でない Cookie を保存する前に利用者の同意を得ることをウェブサイトに求めます。一方、より新しい CCPA/CPRA（カリフォルニア州の住民に適用）は、個人情報の販売に対する「オプトアウト」の仕組みを求めます。ブラジルの LGPD、カナダの PIPEDA など、他の法域にも独自の Cookie 関連規制があります。判断に迷う場合は、常に最も厳格な基準に合わせて Cookie コンプライアンスの仕組みを設定してください。
• プライバシーセンターに Cookie ポリシーを掲載する Cookie ポリシーは独立したページとして（理想的にはウェブサイトのフッターに）公開し、各種類の Cookie について、その目的、保存期間、自社ドメインに Cookie を設置しうるサードパーティの分析・マーケティングサービスなどの情報を含める必要があります。
• Cookie 同意バナーを表示する このバナーは、必須でない Cookie を既定で無効にしなければなりません あらかじめチェックされたボックスや「閲覧を続けることで同意したものとみなします」という表現を用いる同意バナーは、GDPR に準拠しているとはみなされません。同意ボタンと拒否ボタンは常に同等の近さで表示し、同意を促すための行動誘導や「ダークパターン」の使用は避け、利用者が一部のカテゴリーの Cookie を受け入れつつ他を拒否できるよう、粒度の細かい制御の追加を検討してください。
• CMP（同意管理プラットフォーム）に投資する CMP は、同意が得られるまでスクリプトを自動的に無効化し、タイムスタンプ付きの同意の証跡を保存し、最新の記録と Cookie 一覧の維持を支援することで、Cookie コンプライアンスの確保に役立ちます。
• ウェブサイト訪問者の選択を尊重する 訪問者から同意を得るだけでは十分ではありません その選択が実際に尊重されるようウェブサイトを設定する必要があります。つまり、利用者が Cookie を拒否した場合に Google Analytics や Google タグ マネージャーなどのトラッキングスクリプトが実行されないようにし、利用者が将来いつでも自分の同意を手動で更新できる手段を用意するということです。
• プライバシーポリシーを更新する 一般的なプライバシーポリシーには、ウェブサイトが処理する個人データの説明とその利用方法に加え、利用者の権利や想定されるデータ主体からの請求に関する詳細を記載すべきです。
• 同意の記録を保持する さまざまなデータプライバシー法と規制は、企業に同意の記録の保持を求めています。理想的には、法執行機関が速やかに求められるよう、この情報を常に整理された形で利用できるようにしておくべきです。
• ポリシー違反を避けるためにスタッフを教育する マーケティングチームと開発者は、Cookie コンプライアンス法に違反した場合に生じうる影響を理解し、新しいソフトウェアやサードパーティのサービスがウェブサイトに必須でない Cookie を追加しないよう常に確認すべきです。
• 定期的に Cookie コンプライアンス監査を実施する 四半期ごと、またはウェブサイトに大きな更新を加えるたびに Cookie コンプライアンス監査を実施するのが良い慣行です。加えて、自らの法域に影響しうる規制の変更を常に把握しておいてください。

まとめ

Cookie コンプライアンスは今まさに注目を集めている話題であり、それには十分な理由があります。訪問者の情報を収集するウェブサイトは、Cookie コンプライアンスを満たしていることを確認する必要があります。これは、サイトの利用者を守るうえでも、法的に自らを守るうえでも欠かせません。結局のところ、不遵守は大きな代償を招きかねません。要約すると、Cookie コンプライアンスは次のカテゴリーに整理できます。同意、ポリシー、Cookie の分類、そして監視です。GDPR、CCPA、ePrivacy Directive の各規制はいずれも、ファーストパーティ Cookie とサードパーティ Cookie の重要性を裏づけています。

Cookie コンプライアンスを自力で扱うという考えに、圧倒されているかもしれません。

始めましょう ConsentX

よくある質問

Cookie コンプライアンスの責任は誰にありますか。

Cookie コンプライアンスを確保する責任は、ウェブサイトの所有者・運営者にあります。この責任は、たとえ Cookie がサードパーティのものであっても、ホスティング事業者や開発者、CMS ではなく、ウェブサイトの所有者が負います。

自分のウェブサイトに Cookie バナーは必要ですか。

はい。必須でない Cookie（分析、広告など）を使用していて、EU または英国からの訪問者がいる場合は、順守が必要です。厳密に必要な Cookie（ログイン、カートなど）以外を使用していないのであれば、必要ありません。

GDPR で認められている Cookie はどれですか。

厳密に必要な Cookie は、ウェブサイトが機能するために不可欠であるため、同意を必要としません。それ以外のすべての Cookie（分析、マーケティング、ソーシャルメディア、パーソナライズ）は、訪問者のコンピューターに設置する前に同意を得る必要があります。

Cookie ポリシーを持つことは法的要件ですか。

はい。GDPR は、使用している Cookie に関する情報（何のために使うか、どれくらい保持されるか、サードパーティかどうかなど）の開示を求めています。この開示は通常、Cookie ポリシーという形で行われます。

Cookie ポリシーはどのくらいの頻度で更新すべきですか。

少なくとも年に一度は見直し、Cookie トラッキングの運用を変更したとき、または Cookie トラッキングのサービスを追加・削除したときには必ず更新してください。