Cookie規制は日本でいつから？なぜ規制されCookieが廃止されるのか

Cookie規制とは、インターネットの利用者の個人データが活用されることで、個人の行動履歴や趣味嗜好のデータなどの個人情報保護の観点で問題があるとされています。2024年後半には、全てのユーザーのサードパーティCookieを段階的に廃止予定です。

今回は、Cookie規制に関する内容を信頼性のある情報を基に解説します。

2023年12月18日のGoogle Japan Blogで公表された内容によると、2024年後半には全てのユーザーのサードパーティCookieを段階的に廃止すると記載されています。下記は全文です。

2024 年後半に全てのユーザーのサードパーティ Cookie を段階的に廃止するというプライバシーサンドボックスの重要なマイルストーンです。
Google Japan Blog｜Chrome ブラウザでのサードパーティ Cookie の段階的廃止に向けた次のステップ 2023年12月18日月曜日

日本国内では、2023年6月16日に施行される改正電気通信事業法でも、Coockieに関する規制が設けられました。これは、Webにおけるユーザーの行動や情報を収集・活用するCookie技術の利用を制限（Cookie規制）するためです。

2023年6月16日に施行される改正電気通信事業法では、利用者が安心して電気通信サービスを使えるよう、透明性を高めるための新ルールとして、外部送信規律（いわゆるクッキー規制）が設けられる。対象事業者がウェブサイトやアプリで、クッキーなどの利用者に関する情報を外部に送信させる場合、一定の情報提供が義務付けられる。なお、対象事業者は「登録・届出を要する電気通信事業者に限られないことに注意」が必要だ。
ZDNET Japan｜6月施行の「改正電気通信事業法」、新たな「クッキー規制」とは–IIJが解説　2023-06-01 07:00

電気通信事業法の一部を改正する法律では、電気事業を取り巻く環境変化を踏まえて、電気通信サービスの円滑な提供や、利用者の利益の保護を図るために、「情報通信インフラの提供確保」と「安心・安全で信頼できる通信サービス・ネットワークの確保」と「電気通信市場をめぐる動向に応じた構成な競争環境の整備」を行っています。

サードパーティデータを利用した広告に対する規制の方向性は、英知法律事務所の弁護士である森亮二さんが作成した資料をご確認下さい。総務省が公表している「外部送信規律FAQ」も併せて確認することで、Cookie規制に関する理解が深まります。

Coockie規制と関連性の高い「改正電気通信事業法」の公布日・施行日

公布日：2022年6月17日　※日本時間　令和4年6月17日
施行日：2023年6月16日　※日本時間　令和5年6月16日

当該法律案の可決成立後、令和4年6月17日（金）に「電気通信事業法の一部を改正する法律」（令和4年法律第70号。以下「改正法」といいます。）が公布されたところです。
総務省｜電気通信事業法施行規則等の一部を改正する省令案等に対する意見募集の実施

衆議院でも「電気通信事業法（昭和五十九年法律第八十六号）」の一部を改正する内容が公表されています。詳しくは、衆議院のWebサイトの「法律第七十号（令四・六・一七）」の「電気通信事業法の一部を改正する法律」を参考にして下さい。

なぜCookieが規制され始めたのか
1. 国外でのCookie規制の裁判事例や罰金
2. 日本でのCookie規制に関する法律改定
Cookie規制が日本のウェブに及ぼす影響
Cookie規制に対する企業に求められる適応策
Cookie規制の動きがユーザーに与える意味
日本におけるCookie規制具体例とその教訓
cookie 規制に関連する質問(Q&A)

なぜCookieが規制され始めたのか

世界的にCookieが規制され始めたのは、EUや米国におけるプライバシー保護が関係しています。過去には裁判になっているケースもあります。

国外でのCookie規制の裁判事例や罰金

米国におけるCookie規制が広まる背景の１つである過去の裁判例として、「IN RE: GOOGLE INC. COOKIE PLACEMENT CONSUMER PRIVACY LITIGATION」は、Google Inc.によるCookieの設置に関連する消費者のプライバシー訴訟についてのものです。訴訟は、GoogleがSafariやInternet Explorerブラウザのユーザーのプライバシー設定を回避してデータを追跡していたと主張しています。

EUにおけるCookie規制が広まる背景としては、パリのフランスデータ規制当局であるCNILがGoogleに対して1億5000万ユーロ、FaceBook（現在のMeta社）に対して6000万ユーロの罰金を求めました。これは初めてではなく、CNILはEUの電子プライバシー規則に基づくCookie違反でAmazonとGoogleに3500万ユーロと1億ユーロの罰金を科しています。この他にも、GDPR（一般データ保護規則）に基づいてGoogleに5000万ユーロの罰金を科しています。
参考：POLITICO｜Google, Facebook face big privacy fines in France

日本でのCookie規制に関する法律改定

日本でのCookie規制に関しては、2022年4月から改正個人情報保護法が施行されています。この改正個人情報保護法において、Cookieは個人情報ではなく、個人関連情報と定義され、第三者に提供して、個人情報の紐づけを行う場合には、本人の同意が必要となっています。
参考：個人情報保護委員会｜改正法に関連するガイドライン等の整備に向けた論点について（個人関連情報）

その後、2023年6月には、電気通信事業者法の改正法も施行されています。そのため、「Cookie規制はいつから？」と疑問に思われる方の質問に対する回答としては、既にCookie規制は始まっています。

外部送信規律の対象者として、「メッセージ媒介サービス」や「SNS」や「検索サービス」などを通じて、利用者の端末に外部送信を指示するプログラム等を送信する場合には、「通知」「公表」「同意取得」「オプトアウト措置」のいずれかを、利用者に対して行う必要があります。

外部送信規律の対象者（つづき）｜総務省 — 出典元：総務省｜外部送信規律の対象者（つづき）

例えば、外部送信規律に従い、「通知」する場合は、下記の点に注意してください。

注意するポイントとして、「通知または公表しなければならない事項」があることと、「通知又は公表（容易に知り得る状態に置く）の方法」が決まっていることです。

通知または公表しなければならない事項

送信されることとなる利用者に関する情報の内容
この情報を取り扱う事となる者の氏名または名称
この情報の利用目的

次に、「通知又は公表（容易に知り得る状態に置く）の方法」をわかりやすく箇条書きで解説します。

通知又は公表（容易に知り得る状態に置く）の方法

日本語で記載すること。
専門用語は使わないこと。
平易な表現を使うこと。
拡大・縮小等の操作を行うことなく、適切な大きさで表示されるようにすること。
「通知または公表しなければならない事項」を用意に確認できるようにすること。
「通知または公表しなければならない事項」を記載した画面の場所に関する情報（例えばリンクなど）をポップアップなどで表示すること。

ただし、例外も存在します。具体的には、次のような情報の外部送信については、通知や公表が不要とされています。

通知や公表が必要ない外部送信（例外編）

通知や公表が必要ない外部送信は次のとおりです。

OS情報、画面設定情報、言語設定情報、ブラウザ情報など、電気通信役務の提供に真に必要な情報
入力した情報の保持に必要な情報
ユーザー認証に必要な情報
セキュリティ対策に必要な情報
ネットワーク管理に必要な情報

さらに、サービス提供にあたって必要な情報に関しては、以下の条件を満たす場合に限り、利用者からのオプトアウト措置の適用を受けていない情報の外部送信が可能です。

利用者が容易に知り得る状態に置かれた情報
オプトアウト措置を講じていること
利用者の同意を得ている情報（ただし、利用者が能動的に同意したとはいえない方法、例えばあらかじめチェックが付されたチェックボックスを使用することは避けるべきです）

また、サービス提供者が利用者に送信した識別符号（First Party Cookieに保存されたIDなど）に関しても、利用者の同意を得た上での外部送信が可能です。

基本的にこの規制は、利用者のプライバシー保護を目的としており、サービス提供者が利用者の情報を外部に送信する際には、利用者の同意を得ること、または利用者がオプトアウトする機会を提供することを義務付けています。さらに、オプトアウト措置の内容、申し込み方法、送信される情報の内容、情報を取り扱う者の氏名または名称、情報の利用目的についても、利用者に対して明確にする必要があります。

ここまで、Cookie規制がなぜ始まったのか、そして日本ではいつから始まったのかに対してわかりやすく解説を行いました。

それでは、Cookie規制に対する知識が深まったところで、次に、Cookie規制に対して、読者の皆さんが興味があるかもしれない内容を順に説明します。

Cookie規制が日本のウェブに及ぼす影響

日本におけるCookie規制は、ウェブの利用形態を大きく変貌させました。法整備が進む中、企業や消費者は新たなデジタル環境に適応する必要に迫られまた。プライバシー保護の強化に伴い、企業は個人データの取り扱いにおいて、これまで以上に慎重な対応が求められています。

プライバシー保護への取り組みと法整備

日本でのCookie規制は、国内外で進むプライバシー保護の流れを受けて始まりました。Googleを含めた大手テック企業も、個人情報を保護する動きにシフトしています。プライバシー保護の強化は、個人情報をより安全に守られることでしょう。

企業のデジタル戦略に必要な方針転換

Cookie規制と企業のデジタル戦略は深く関連しています。企業は個々のユーザーに最適な広告（リターゲティング広告）を表示する従来の方法を見直し、ユーザーのプライバシーを尊重したマーケティング戦略に移行する必要があるでしょう。この転換は簡単ではありませんが、消費者の信頼を得るためには欠かせません。

消費者の選択肢が変わるインターネット利用

Cookie規制（クッキー規制）により、消費者はより多くの選択肢を持つことになる可能性が高いです。インターネット利用時の追跡を許可するかどうかを選べるようになることで、プライバシーに対する意識が高まると考えられます。

リターゲティング広告ができなくなる

iPhoneユーザーであれば誰もが知っているSafariでは、Cookie規制が進んでおり、リターゲティング広告が表示させられない状況になっており、マーケティング戦略の転換が求められる時期が訪れています。

リターゲティング広告は、サードパーティーcookieを利用して収集した情報から、ユーザーが興味を持つであろう情報をサイトドメインを横断して表示させる宣伝手法です。
リタゲができなくなる！？cookie規制の影響と必見対策を解説！

サードパーティCookie（3rd Party Cookie）がある事によって、自分の閲覧履歴の情報をもとに、趣味嗜好とマッチするリターゲティング広告が表示されるため、便利だと感じる人も多いと思いますが、逆に知らないうちに企業のマーケティング活動に利用されていることが不快と感じる人も多数います。

最近Webサイトに訪問した際の画面下部でCookieに関する許可または拒否が表示されるのは、Cookie規制が理由です。前述した通り、AppleのブラウザであるSafariとFirefoxはトラッキング防止機能を実装したり、トラッキングの防止機能を実装しています。Microsoft Edgeでは、プライバシー保護によって、サイトの一部が正しく機能しない可能性があるため、追跡防止を厳密に切り替えたり、サードパーティ製Cookieをすべてブロックしたりすることができます。

Microsoft EdgeのCookie規制｜公式発表 — 出典元：Microsoft｜Microsoft Edge で一時的に Cookie とサイトデータを許可

法規制強化後のデータ分析へのチャレンジ

データ分析は、個人情報の扱いに関する法規制の強化後、新たなチャレンジに直面します。企業はプライバシーを守りながらも、どのように顧客のニーズを理解し、満たしていくかを考える必要があります。具体的には、匿名化されたデータや集合データを活用することが考えられます。

普段Webに関して知識の乏しい友人は、「自分の閲覧履歴を企業のマーケティング活動に利用されるのは怖い」と言っていました。実際にあった身近な声からも、サードパーティCookieの規制に対して、抵抗感を感じる人も多いようです。

前述した内容をもとに、Cookie規制が日本のウェブに及ぼす影響について、再度整理します。

プライバシー保護のためのグローバルな傾向に沿った法整備
企業のデジタル戦略におけるプライバシー保護の取り組み強化
消費者の選択に対する自由度の向上
リターゲティング広告の方法転換
個人情報を保護しながらのデータ分析の工夫

Cookie規制に対する企業に求められる適応策

Cookie規制は、マーケティング戦略を根本から変えるものです。企業は新しいルールを迅速に理解し、適応策を講じなければなりません。

法改正の概要と即戦力となる情報収集

この規制はプライバシーを重視する動きの一環です。企業はプライバシー保護の強化と個人情報の適正な管理を急ぎましょう。そのためにも、法改正の内容を詳しく知り、情報を収集することが最初の一歩です。

個人情報とプライバシーの違いは、プライバシーマークの見解が参考になります。下記をご確認下さい。

これまで学んできた通り、「個人情報」とは、本人の氏名、生年月日、住所などの記述等により特定の個人を識別できる情報のことです。一方、「プライバシー」には「個人や家庭内の私事・私生活。個人の秘密。また、それが他人から干渉・侵害を受けない権利。」（小学館「大辞泉」より)という意味があるほか、最近では、「自己の情報をコントロールできる権利」という意味も含めて用いられることがあります。
プライバシーマーク｜1-3.「個人情報」と「プライバシー」の違い

サードパーティCookieからファーストパーティ対応への移行

サードパーティCookieの制限はマーケティング戦略の見直しが必須です。ファーストパーティのデータ収集に注力し、顧客との直接的な関係を築くことが求められるのです。

ここで、ファーストパーティCookieに対する理解を少し深めてみましょう。閲覧ユーザー側と企業側の視点に立ってメリットを解説します。

ファーストパーティCookieのメリット｜利用者側

利用者側のファーストパーティCookieのメリットとして、具体的に説明すると、ログインIDやPWを記録したり、ECサイトの買い物カゴなどを活用して情報を残す事ができます。

ファーストパーティCookieのメリット｜企業側

企業側のファーストパーティCookieのメリットとして、以前にそのサイトに訪問したことがあるか、訪問したときにはどのような行動をとったのか確認することができ、CVの改善に繋げる事ができます。

ファーストパーティCookie（1st Party Cookie）を活用・分析することで、より消費者の事を考えた提案ができるでしょう。

新規顧客獲得への影響とその対策について

Googleなどのプラットフォームの変化により、リターゲティング手法が変わる（廃止）ことで、新規顧客獲得に影響が生じます。サードパーティCookie（3rd Party Cookie）の廃止にともない、企業側はどのような対策を取るべきでしょうか。

「サードパーティCookie(3rd Party Cookie)」の代わりになるもの、「リターゲティング広告」の代わりになるものを考えている人に向けて、下記のような代替案、マーケティング戦略を考えてみました。

コンテンツマーケティングの強化（SEOを意識したお役立ち記事）
ソーシャルメディアを活用したエンゲージメントの増加（Twitter(X)などは、急にバズることもありますが、継続的に運用することでファンを付けることも大切です。）
イベントやウェビナーなどのセミナー活動（知名度向上に寄与）

結局のところ、消費者と真摯に向き合うことが大切であり、企業自体が有名になったり、消費者のためになるコンテンツや商品を作成し、口コミで広がるような施策を考えることが大切です。

個人識別情報の管理とプライバシー保護

プライバシー保護の観点から、個人識別情報の取扱いには細心の注意が必要です。必要に応じた最新情報の個人情報の取り扱いと照らし合わせ、管理体制を徹底しましょう。

よくニュースで流れてくるような「企業が大量の個人情報を誤って漏洩させてしまい、顧客の信頼を大きく失った」というケースは、上場企業ならば株価の下落にも繋がりますし、上場していない企業であっても、何かしらの罰則を受けたり、企業の信頼性が低くなり、顧客離れや取引先の開拓に難航する可能性が高まります。

一般財団法人日本情報経済社会推進協会が2022年3月に発表した「プライバシーガバナンスに関する調査結果」では、内容を詳しく把握していない人の方が多かったという結果がでています。

日本企業がグローバル基準に追いつくために

グローバル市場で競争するためには、世界の基準に即した規制への対応が不可欠です。国内外の規制動向にアンテナを張り、リターゲティングができなくても、マーケティングに関する知識のアップデートを心がけましょう。

成功している企業のマーケティング活動の事例や、広告手法を真似してみるのも成功の近道です。Google検索で成功した事例を調べるのもいいですが、もし身近にマーケティングで上手くいった事例を保有している知り合いがいれば聞いてみたり、X（Twitter）のスペースで情報収集してみるのも面白いかもしれません。

Cookie規制の動きがユーザーに与える意味

個人関連情報は保護されることで、ユーザーの情報はより安全に管理されるようになります。
※サードパーティCookieでよく勘違いされるケースですが、広告主に対して消費者の個人情報が伝わることはありません。

下記は、3rd Party Cookie（サードパーティクッキー）の仕組みをわかりやすく図解したものです。

3rd Party Cookieとは？仕組みをわかりやすく図解（サードパーティクッキーの仕組み） — **3rd Party Cookie（サードパーティクッキー）の仕組み**

サードパーティクッキーの詳細は、Google AdSenseヘルプでもご覧いただけます。AdSenseが Cookieを使用する仕組みについてGoogleが説明しています。

プライバシーと利便性のジレンマを解消

Cookie（クッキー）の規制により、個人のデジタル足跡を基にしたリターゲティング広告が減少する一方で、ユーザーのプライバシーは厳重に守られるようになります。例えば、以前は見た商品が広告として追いかけてきた経験はありませんか？
プライバシーに配慮した新たな規制が、そのような状況を変えます。

選択肢の拡大と消費者が意識する情報

クッキーの使用が抑制されることで、消費者は情報収集の際の選択肢が増え、「Google」といった大手企業に依存せずとも、多角的に情報を得ることができるようになります。この変化は消費者の意識向上にも繋がります。

個人データ保護の意識の高まりとその反映

個人データ保護への関心が高まり、企業はより良い個人情報管理が必要な時代になっています。国内外問わず、個人情報の漏洩を経験したことのある企業では、セキュリティの堅牢さを第一に考えるようになっており、個人情報保護への意識が高まっています。

規制の進展に伴うユーザーエクスペリエンスへの影響

クッキー規制が進むと、ユーザー体験は必然的に変化します。広告のパーソナライズが難しくなるものの、ユーザーは自分自身でコンテンツを選択する力を養う必要があります。これは「情報リテラシー」の向上を促すことにも繋がります。

最近では、GoogleはGemini（以前はBardと呼ばれていました。）、BingのAI、ChatGPTなど検索エンジンで単語検索せずとも、知りたい内容を会話型AIに聞くことで解決できるようになっています。2024年では、AI需要によってNVIDIAなどの株価も大幅に向上し、2024年3月1日時点の日経平均なども4万円に迫る勢いです。

信頼性の高いサービス提供への期待と業界の努力

業界は規制に適応するために、プライバシーを尊重しつつもユーザーにとって有益なサービスを提供する努力を続けることになります。「プライバシーファースト」の姿勢は、顧客からの信頼獲得に直結し、長期的にはビジネスの成長にも寄与するでしょう。

ここでのポイントは、規制の背景にはプライバシー保護の重要性があり、それをバランス良く達成しようとする業界の努力が大切です。

日本におけるCookie規制具体例とその教訓

プライバシー保護は今や企業にとって避けて通れない課題です。個人情報を取扱うすべての企業が、プライバシーコンプライアンスに注意を払い、Cookieの適切な利用を徹底しなければなりません。

日本では、次第にCookieに関する規制が強化されています。企業は、Googleのリターゲティング広告のような顧客の興味に基づく広告戦略を見直し、規制に対応するビジネスモデルを構築するべきです。この点において、教訓を見出せる多くの事例が存在します。

国内外のCookie規制プレシデントケース

例えば、欧州の一般データ保護規則(GDPR)はプライバシーの厳格な基準を設け、Cookie使用に対するユーザー同意が必要であると明言しています。プライバシーの観点から、日本企業が海外市場へ進出する際、このような国外規制に対応していく必要があるでしょう。また、海外規制への対応は困難である一方で、プライバシー保護の高い基準を満たすことは海外でも信頼を積み上げる手段となると思います。

事例から学ぶプライバシーコンプライアンス

より透明性のあるプライバシーポリシーや、ユーザーに優しい同意取得の施策は非常に有効です。某ECサイトはクッキー設定を見直し、「ユーザーはどの情報を共有するか選択できる」というアプローチを取り、顧客から高い評価を受けました。

規制をチャンスに変えるビジネスモデルの再構築

私が先日SNSで見た話で、マーケティングの担当者はCookie規制をチャンスと捉えています。クッキー依存から脱却し、ファーストパーティデータを活用する戦略へとシフトすることが必要だとのことです。顧客により良いアプローチをし、関係性を築いていきましょう。

長期的な顧客関係構築への新しい道筋

顧客関係は信頼に基づくものであり、クッキー規制をプライバシー対話のきっかけとして捉え直すことがポイントです。リアルタイムの顧客支援やパーソナライズされたコンテンツ提供がその方法です。これらを通じて顧客の心を掴むことができれば、クッキーに頼らない持続可能な関係が築けるでしょう。

日本企業が直面するリアルな規制の対応事例

国内企業もまた、本格的な対応を求められています。例えば、ある企業はプライバシーポリシーの見直しに着手し、「個人情報の取り扱いを明確にし、ユーザーからの信頼を獲得することが成功の鍵です」と再確認しました。

同意管理の自動化
Cookie情報の透明性向上
データ保護責任者の配置

企業はプライバシー保護とビジネスの両立を図り、クッキー規制への対応をプライバシーポリシーの役割強化と位置づけるべきでしょう。

cookie 規制に関連する質問(Q&A)

cookie 規制に関連する質問や、よくある質問をQ&Aでまとめています。詳しくは下記をご覧ください。

日本ではいつからクッキー規制が始まるのでしょうか？

日本におけるクッキー規制の開始時期は、欧州一般データ保護規則（GDPR）やカリフォルニア州消費者プライバシー法（CCPA）のように特定の法規制が独自に施行されるか、または国際的な動向と整合を取りながら進められるかによって異なります。政府からの具体的な法案提出や施行日は、まだ明確には発表されていません。

クッキー規制の主な理由は何ですか？

クッキー規制の理由は、インターネット利用者のプライバシー保護と、個人データの取り扱いに関する透明性の向上です。利用者が意識せずに個人情報が収集・利用されることを防ぎ、信頼性の高いインターネット環境を実現するためです。

クッキーはなぜ廃止されると言われているのですか？

「廃止される」という表現は正確ではありませんが、第三者が設定するクッキー（サードパーティクッキー）については、ユーザーの同意がなく利用されることがプライバシー侵害につながるとの懸念から、規制が強化されています。一部のブラウザではサードパーティクッキーがブロックされつつあり、代替技術の開発も進んでいます。