Cookie同意について、そもそもCookieとは何か、EU・日本の法律の背景、Google AdSenseの場合、同意するとどうなるか、などについてまとめました。
Cookieとは？
Cookieとは、小さめのデータをブラウザに保存できる機能のことです。
- WEBサイトはCookieを発行し（命令を出し）、アクセス情報などをブラウザに記憶させることができる
- 後日、同じブラウザで同じWEBサイトへアクセスすると、WEBサイトはCookieで記憶した情報を呼び出して利用できる
- Cookieでは、ログイン情報の保持、言語設定の引き継ぎ、買い物カゴの中身を記録などができる
Cookieは2種類ある
- ファーストパーティCookie
今見ているWEBサイト自身が発行するCookieのこと - サードパーティCookie
今見ているWEBサイト「以外」の別のサービスが発行するCookieのこと（例：Google AdSense、Google Analyticsなど）
「メッセージや情報が中に入っている小さな塊」である「フォーチュン・クッキー」が語源になってる説があるそうです。
EUではCookieの事前同意が必須
EUでは、以下2つの法律が関連しています。
1. GDPRという法律
- GDPRは、2018年5月25日にEUで施行された「一般データ保護規則」という法律
- EU域内のCookieなどを含む個人データの厳格な管理や、不当な処理に対する制裁金、情報漏洩時の報告対応などが義務付けられている
2. ePrivacy指令
- ePrivacy指令は、2002年にEUで施行された「電気通信事業におけるプライバシー保護のための法律（指令）」のこと
- WEBサイトの動作に必須でないCookieを使用する場合は、利用者から事前同意を得ることが義務付けられている
- 日本でもEU域内で閲覧される可能性のある対象WEBサイトは、事前同意が必要
つまりEUでは、WEBサイトで動作に必須でないCookieを利用する場合はユーザーの「事前同意」が必要ということです。
日本では一定の条件を満たす場合にCookie事前同意が必要
日本では、以下2つの法律が関連しています。
1. 外部送信規律（電気通信事業法）
- 外部送信規律（電気通信事業法）は、2023年6月16日に日本で施行された「情報通信のルール」のこと
- 端末から外部の広告や解析サーバーへCookieなどでデータを送信する場合は、対象となる事業者がその目的や送信先を「通知」または「公表」することが義務付けられている
2. 個人関連情報
- 個人関連情報は、2022年4月1日に日本の「改正個人情報保護法」に新設された「情報の区分」のこと
- 単体では特定の個人を識別できない情報でも、提供先（広告配信会社など）で他のデータと照合すると「個人データ」にあたる場合は、提供元（WEBサイト運営者）は、事前同意を得ていることを確認することが義務付けられている
日本では、Cookieを利用する場合は原則としてWEBサイト上の公表や通知でOKです。ただし、最終的に個人データとして照合可能になる場合は「事前同意」が必要になるということです。
Cookieの事前同意には「Cookie同意ブロック」を使う
WEBサイトで表示されるCookie同意ブロックは、「今見ているWEBサイトがCookieを使って、情報を記録したり外部へ送信してよいか」を確認するための代表的な手段の一つです。
- 一般的に「同意（許可）」「拒否」などのボタンが表示され、Cookieの使用を選択できる
- この仕組み自体は、CMP（Consent Management Platform／同意管理プラットフォーム）と呼ばれる
- EUと日本でそれぞれ法律ができたため、対象のWEBサイトで表示されるようになった（後述）
同意するとどうなる？
「同意（許可）」を押すと、すべてのCookieが有効になります。これにより。閲覧した行動が計測されたり、広告表示のセグメントに使われます。
後から設定を変更することもでき、WEBサイトで用意された機能を使うか、ブラウザの設定からCookie削除やサードパーティCookieをまとめてブロックしたりできます。
Chromeの場合は、メニュー「設定」＞「Cookie」検索で、「サードパーティCookie」の状態を確認することができます。
アフィリエイトする場合はCookie同意ブロックが必要？
アフィリエイトの仕組みによって必要かどうか決まります。
1. Amazonや楽天アフィリエイトでは必要ない
Amazonアソシエイトや楽天アフィリエイトは、WEBサイト運用者が記事に専用リンクを設置し、ユーザーがそれをクリックしてAmazonや楽天に遷移しているだけです。
WEBサイトからCookieを送信していないので、Cookie同意ブロックを表示する必要はありません。
2. Cookieを外部送信している場合は必要
広告ネットワーク、リターゲティング広告、DMP連携など、WEBサイトからCookieを外部送信しているアフィリエイトの場合は、その送信情報が「個人関連情報」の対象になる場合があります。
その場合は、WEBサイト内にCookie同意ブロックの表示が必要です。
自分が使っているアフィリエイトの仕組みによって決まるので、わからない場合は広告主に確認すると良いです。
Google AdSenseには自動表示機能がある
Google AdSenseをWEBサイトに導入している場合、EUユーザー向けのCookie同意ブロックは、Google側の機能で表示することができます。
- AdSense管理画面の「プライバシーとメッセージ」で設定
- 設定すると、EEA（欧州経済領域）・英国・スイスのユーザーには、GoogleのCMPが「GDPR同意メッセージ」を自動で表示する
- 日本などEEA外のユーザーには表示されない
- AdSense限定の機能で、他の広告の同意は含まない
Google Adsense広告を導入している場合は、AdSense管理画面の「プライバシーとメッセージ」で設定内容を確認できます。
よくある質問（FAQ）
Q. Cookieの同意を拒否すると、サイトは見られなくなりますか？
多くのサイトは、拒否しても閲覧できます。拒否で無効になるCookieは分析用・広告用で、ログインやカートなど動作に必要な必須Cookieは残るためです。ただし一部のサイトは、同意を閲覧の条件にしていることもあります。
Q. 日本のサイトでも、Cookieの同意は法律で義務ですか？
一律の義務ではありません。日本では電気通信事業法の外部送信規律により、Cookieなどを外部へ送る際の通知または公表が必要ですが、同意取得はその対応の選択肢の一つです。一方、EU域内の利用者に向けては、GDPRとePrivacy指令により事前の同意が必要になります。
Q. 一度Cookieに同意したら取り消せませんか？
取り消せます。多くのサイトはフッターなどに「Cookie設定」を用意していて、あとから変更できます。ブラウザの設定からCookieを削除したり、サードパーティCookieをブロックしたりする方法もあります。