Cookie 同意と Cookie ポリシーの違いとは

この二つの用語はしばしば同じ意味で使われますが、解決している問題は異なります。Cookie ポリシーは文書であり、Cookie 同意は実際の制御です。一方は自分たちが何をしているかを訪問者に伝え、もう一方は訪問者が同意した後にしか実行しないことを担保し、そのとおりにしたという記録を残します。

この区別が重要なのは、Cookie ポリシーがどれほど見事に書かれていてもページ読み込み時にトラッカーが動いていれば準拠違反であり、洗練された同意バナーがあってもポリシーへのリンクがまったくなければ同じく違反だからです。

Cookie ポリシーとは、サイトがどの Cookie や類似技術を設定するのか、誰が設置するのか、何をするのか、どれくらい保持されるのか、訪問者はどう制御できるのかを、平易な言葉で説明する固定のページまたはセクションです。通常はプライバシーポリシーと並ぶ位置かその内部に置かれ、フッターと同意バナー自体からリンクされます。

その役割は透明性です。本当の選択をするために必要な詳細を提供することで、インフォームド・コンセントの「知らされた」部分を満たします。良い Cookie ポリシーは、あいまいな定型文を並べるのではなく、カテゴリ別に Cookie を列挙し、関係するサードパーティの名称を明記します。

Cookie 同意とは、訪問者のブラウザ上で動作する対話型の仕組みです。訪問者が判断するまで必須でない Cookie をブロックし、選択肢を提示し、トラッカーを解放するかブロックし続けるかによって決定を反映し、何がいつ選ばれたかの記録を保存します。

ポリシーがページ上の言葉であるのに対し、同意はリアルタイムの挙動です。訪問者が同意する前にトラッカーが Cookie を設定することを実際に防ぐ部分であり、規制当局に提示することになる証拠を生み出す部分でもあります。

両者は互いを補強するように設計されています。同意バナーは Cookie ポリシーへリンクし、訪問者は選ぶ前に詳細を読めます。ポリシーは、同意バナーで切り替えられるカテゴリを説明します。トラッカーを追加または削除するときは、ポリシーの文面とバナーのカテゴリ対応づけの両方を更新します。

多くのサイトがずれていくのは、この同期の部分です。マーケティングツール経由でトラッカーが追加され、バナーはそれをブロックするよう更新されず、ポリシーにも一切記載されない。こうして三つの層すべてが食い違います。すべての Cookie を検出してバナーとポリシーの双方に反映するディスカバリースキャンが、これらを揃った状態に保ちます。

ほとんどの法域では必要です。GDPR と ePrivacy のルールはインフォームド・コンセントを求めており、これには Cookie ポリシーが提供する開示が必要で、さらに事前の同意も求めるため同意の仕組みが必要です。インドの DPDPA は項目別の通知と検証可能な同意を求めており、これもやはり二つの層です。カリフォルニア州のようなオプトアウト型の制度でさえ、明確なプライバシー開示と機能するオプトアウトの仕組みの両方を求めます。

実務的に言えば、同意のないポリシーはトラッカーを違法に動かしたままにし、ポリシーのない同意は訪問者を知らされないままにします。文書と仕組みの両方を、互いに整合させた状態で備える必要があります。