そのCookieバナー、ちょっと待った！Web担当者が陥りがちな4つのNGパターン

Webサイトを訪れると表示される「Cookieバナー」。最近は設置する企業が増えていますが、表示するだけで対応が完了するわけではありません。また、説明や設定が実際の動作と食い違っている場合もあります。

ここでは、企業のWeb担当者が陥りがちな4つのNG例を紹介します。NG例を通じて、自社サイトで確認したいポイントや対応の考え方を見ていきましょう。

NG例① Cookieバナーを表示しているから問題ないですよね？

「Cookieバナーを設置したので、プライバシー対策は万全」。そう考える前に確認したいのが、バナーの説明と実際の動作です。利用者が「拒否する」を選んでも、停止するはずの情報収集が続いていれば、適切に対応できているとは言えません。

Cookieとは、Webサイトを訪れた際にWebブラウザに保存される小さなデータです。ログイン状態の維持やアクセス解析、広告配信などに使われます。Cookie自体が問題なのではなく、その用途に応じた説明や取り扱いが求められます。

たとえば、アクセス解析や広告配信には「タグ」と呼ばれる小さなプログラムが使われます。バナーを設置しても、利用者の選択に応じてタグが動く仕組みになっていなければ、拒否した後も情報が送信されるおそれがあります。また、Webサイトで使っている外部サービスが、バナーやリンク先の説明で網羅されていないケースもあります。

まずは、自社サイトで使っているCookieや外部サービスを洗い出しましょう。同意が必要な解析・広告タグは、利用者が同意するまで動かさないよう設定します。そのうえで、同意する前や拒否した後の動作を制作会社などに確認してもらいます。利用者の同意／不同意の設定が再訪問時にも有効になっているかどうかや、利用者が設定を変更したあとに正しく反映されるかどうかといった確認も欠かせません。

EUでは、ePrivacy指令^※1に基づく各国の法律により、広告などに使うCookieの保存・読み取りには原則として事前同意が必要です。この同意は、GDPR^※2が定める基準（自由な意思に基づき、利用者自身の明確な操作で示されることなど）を満たす必要があります。また、Cookieで取得した情報が個人データにあたる場合は、GDPRのほかのルールも適用されます。一方、日本ではすべてのCookieに事前同意が必要なわけではありません。自社サイトに適用されるルールを確認し、説明と利用者の選択が実際の動作に反映される状態を整えることが大切です。

NG例② 同意率を上げたいので、同意ボタンだけ大きくしました！

Cookieバナーを設置すると、アクセス解析や広告のために、多くの利用者から同意を得たいと考えるかもしれません。しかし、そのためのデザインが、利用者の自由な選択を妨げ、意図しない同意へ誘導する「ダークパターン（欺瞞的デザイン）」になっている場合があります。

たとえば、「すべて同意する」と「すべて拒否する」のボタンが同じ画面に並び、どちらもワンクリックで選べるのに、「すべて同意する」だけを大きく目立つ色にし、「すべて拒否する」は小さな文字や目立たない色にする設計です。操作の手間は同じでも、見た目の差で同意へ誘導しているため、ダークパターンにあたります。

もう1つ注意したいのが、操作回数の非対称性です。たとえば、最初の画面には「すべて同意する」と「設定」のボタンしかなく、「すべて拒否する」ボタンは「設定」を開いて初めて表示される設計です。同意は1回のクリックで済むのに、拒否には2回以上の操作が必要になります。EUのePrivacy指令^※1に基づく各国の法律やGDPR^※2をめぐる当局の判断、米国カリフォルニア州のCCPA^※3の規則では、同意と拒否で操作の手間に差をつけることは問題とされており、NGと考えるべきパターンです。

このほか、最初から同意のチェックが入っていたり、画面を閉じただけで同意した扱いになったりする仕組みにも問題があります。利用者が内容を理解し、自分の意思で選んだとは言えないためです。

GDPRでは、同意は自由な意思に基づき、利用者自身の明確な操作で示される必要があります。バナーを見直す際は、ボタンの大きさや色だけでなく、文言や配置、拒否するまでの操作回数まで確認しましょう。

改善の基本は、同意と拒否を同じくらい簡単に選べるようにすることです。たとえば、「すべて同意する」と「すべて拒否する」は同じ大きさ・同程度に目立つ色で示し、どちらも最初の画面からワンクリックで選べるようにします。そのうえで、「設定」から目的別に選べるようにします。情報の利用目的を簡潔に説明し、詳しい内容を確認するためのリンクも設けましょう。一度選んだ設定を後から変更できる導線も必要です。

同意率の数字だけでは、適切なバナーかどうかは判断できません。実際に画面を操作し、同意と拒否の選択肢が同じように目に入り、同じ操作回数で選べるかを確かめましょう。

NG例③ アクセス解析ツールを使っているだけなので問題ないですよね？

Google Analyticsなどのアクセス解析ツールは、Webサイトの改善に役立ちます。しかし、解析のためであっても、利用者の情報を外部に送信していることに変わりはありません。

Google Analyticsでは、閲覧したWebページや端末、Webブラウザに関する情報などがGoogleに送られるため、どのような設定で使っているかの確認が欠かせません。たとえば、Googleシグナルや広告サービスとの連携など広告向けの機能を使っているか、会員IDなどと結び付けているか、データの共有先や保存期間をどう設定しているかによって、送られる情報の範囲や使われ方、利用者への説明内容、個人情報としての扱いが変わる場合があります。自社の設定を確認したうえで、適用法令に応じてプライバシーポリシーやCookieバナーを見直しましょう。EUのePrivacy指令^※1に基づく各国の法律が適用される場合は、設定を調整しても、原則として解析用Cookieを使う前に利用者の同意が求められます。

一方、日本では、アクセス解析用のCookieに一律で事前同意が必要なわけではありません。ただし、電気通信事業法の外部送信規律^※4の対象となるサービスでは、送信する情報の内容や送信先、利用目的などを利用者が確認できるようにする必要があります。対応方法には、通知または公表、事前同意の取得、オプトアウトの機会の提供があります。

たとえば、Webサイトのフッターに「利用者情報の外部送信について」というリンクを設け、サービスごとに必要な情報を一覧で示す方法があります。ただし、すべての企業サイトが対象になるわけではありません。会社概要や自社の商品・サービスを紹介するだけのWebサイトは、一般に対象外とされています。一方、ニュースやコラムなどの情報を配信するWebサイトは対象になる場合があるため、自社の事業や提供サービスに照らして確認しましょう。

また、外部への情報送信はアクセス解析に限りません。SNSのボタンやYouTube動画、Googleマップの埋め込みなどでも発生する場合があります。Webサイトに機能を追加した結果、担当者が把握していない送信先が増えていることも考えられます。

まずは制作会社などと、自社サイトで利用している外部サービスを洗い出しましょう。「どの情報が、どの事業者に、何の目的で送られるか」を整理することが出発点です。サービスを追加・変更した際には、説明や設定も見直す運用にしておくと、実態との食い違いを防ぎやすくなります。

NG例④ うちは国内向けサイトだから関係ないですよね？

海外のCookie規制への対応が不要でも、情報の取り扱いに無関心ではいられません。国内向けのWebサイトでも、電気通信事業法（外部送信規律）や個人情報保護法が関係する場合があるからです。

たとえば、Cookieで取得した閲覧履歴を、自社の会員情報と結びつけて使うケースです。Cookieの識別子だけでは誰かわからなくても、ほかの情報と容易に照合して個人を識別できる場合は、閲覧履歴も含めて個人情報として扱われます。この場合、利用目的の特定や通知・公表など、個人情報保護法のルールに沿った取り扱いが必要です。

また、自社では個人を識別できない情報（個人関連情報）でも、提供先がほかの情報と結び付けて個人データとして取得することが想定される場合があります。この場合、提供元は、提供先が本人の同意を得ていることを確認する必要があります。

制度の見直しにも目を向ける必要があります。2026年に公布された改正個人情報保護法には、Cookieの識別子なども含み得る「連絡可能個人関連情報」^※5について、偽りその他不正な手段で取得すること（不正取得）や、違法・不当な行為を助長・誘発するおそれのある方法で利用すること（不適正利用）を禁止する規律が盛り込まれました。改正法は、原則として公布から2年以内に施行される予定です。施行に向けて、自社で扱う情報や利用方法を点検し、必要な対応を法務部門などと確認しましょう。

Web担当者が法律をすべて理解し、1人で判断する必要はありません。担当者に求められるのは、判断の前提となる情報をそろえることです。

まずは自社サイトで集める情報と利用目的、外部への提供状況を整理し、法務部門などと共有して対応方針を決めます。その方針に沿って、制作会社やWeb担当者が設定と動作確認を行います。誰が方針を判断し、誰が実装・検証を担うかを明確にしておきましょう。

Cookieバナーの設置だけではない。STRIGHTとは？

ここまで、4つのNG例を通じて、Cookieバナーの扱いのポイントを確認してきました。Webサイトを運用する側は、Cookie利用の実態に合わせて、説明や設定を慎重に確認する必要があります。

こうした作業を支援するのが、IIJのプライバシーテックスイート「STRIGHT（ストライト）」です。訪問者への説明や同意の記録、その選択に応じた動作の管理を支える仕組みで、CMP（同意管理プラットフォーム）の機能を提供しています。

STRIGHTはWebサイトを調査し、Cookieや外部サービスの利用状況を可視化します。その結果をもとに、利用者への情報提供や同意管理、タグの制御を進められます。外部送信規律に対応するための情報提供ページを自動生成する機能もあります。

もちろん、担当者が個別に調査・管理する負担を減らせる一方、導入だけですべての法令対応が完了するわけではありません。情報の利用目的や法令の適用については、企業側の確認と判断が必要です。

国内向けサイトなら「出さないバナー」も選べる。STRIGHTならではのメリット

STRIGHTの特徴の1つが「出さないバナー」です。Webサイト訪問時に大きなバナーを表示せず、フッターのリンクや画面上の小さなボタンから、訪問者が説明や設定画面を開けるようにします。

国内向けサイトなど、事前同意が必要とされない場合には、必ずしも訪問時に大きなCookieバナーを表示する必要はなく、こうした方法も選択肢になります。訪問者が情報を確認し、設定を選べる導線を設けながら、Webサイトのデザインや閲覧体験への影響を抑えられます。一方、事前同意が必要な地域からのアクセスには、バナーを表示するよう設定できます。

国内外どちらのサイトでも役立つのが、訪問者の選択を実際の動作に反映するための独自機能「Tag Auto Control」です。バナー上で拒否を選べても、停止するはずのCookieの利用や情報送信が続いていれば対応は不十分です。通常、訪問者の選択に応じてタグを動かしたり止めたりするには、タグマネージャーでタグごとに動作条件を設定したり、Webサイトのソースコードに制御用の記述を手作業で加えたりする必要があります。STRIGHT独自のTag Auto Controlなら、こうした作業を大幅に減らし、訪問者の選択に応じたタグの制御を簡単に実現できます。タグの数が多い複雑な構成のWebサイトでも導入しやすくなります。また、ダークパターンに配慮したバナーテンプレートも用意しています。

さらに、Google同意モード v2にも対応しています。これは、訪問者の同意状況をGoogleのタグに伝え、その動作を調整する仕組みです。アクセス解析や広告効果の測定でも、同意状況に応じた運用を支援します。

STRIGHTには、日本語のマニュアルや解説動画が用意されており、自社で導入・運用を進める際に役立ちます。専門的な支援が必要な場合は、有償オプションの導入支援やコンプライアンスチェックも使えます。また、法規制への対応方針や社内の運用ルールから整えたい企業に向けて、コンサルティングも提供しています。

公開後も続くプライバシー対応。どんなWebサイトにおすすめ？

プライバシー対応は、公開時の確認だけでは終わりません。広告サービスの追加やWebサイトの改修によって、送信される情報が変わる場合があります。追加・変更後の動作確認に加え、定期的にサイトを調べ、説明や設定に漏れがないかを点検しましょう。法令や外部サービスの仕様変更も、説明や設定を見直すきっかけになります。STRIGHTは、こうした継続的な管理を支援するサービスです。

STRIGHTを提供するIIJは、世界的にも稀有なデータ保護の専門家集団を擁する企業です。GDPRの適用開始（2018年）に先立ち、2016年から自社のGDPR対応を進め、EUのデータ保護当局の承認を受けたBCR（拘束的企業準則）と、国際的な枠組みに基づくグローバルCBPR認証の双方を取得しています。社内には弁護士やデータ保護の専門家、エンジニアが在籍し、DPO（データ保護責任者）やEU代理人の支援、国内外のプライバシー保護規制への対応コンサルティングで多くの実績を重ねてきました。世界のプライバシー保護規制の動向を伝える情報サイト「BizRis」も運営しています。

STRIGHTは、こうした専門家の知見をもとに、各国の法規制の要件や当局の考え方を踏まえて設計されています。IIJは今も各国の法規制や法改正の動向を継続的に調査し、その結果をSTRIGHTの機能改善や支援に反映しています。法改正や規制動向の変化にも、機能と支援の両面で対応できることが、安心して使い続けられる理由です。

なかでも、「出さないバナー」でデザインへの影響を抑えたいブランドサイトや、アクセス元の地域に応じてバナーの表示を切り替えたい海外向けサイトに適しています。

複数のWebサイトを運営する企業や、解析・広告サービスの変更が多い企業にとっても、利用状況の可視化や継続的な管理に役立ちます。制作会社にとっては、サイトの納品時に導入を提案し、保守の中で定期的な点検を支援する使い方も考えられます。

料金は、1日あたりの平均訪問者数が50万人までの場合、年額11万7,600円（税抜、月額換算9,800円）からです。必要なライセンス数は、ドメインやバナースクリプトの適用方法によって異なります。

また、STRIGHTの設定・導入を実際に体験できる「ハンズオンセミナー」を毎月開催しており、Web制作会社の方にもご参加いただけます。

Cookieバナーは、設置して終わりではありません。利用者への説明と実際の動作を一致させ続けることが大切です。その運用負担を減らす仕組みとして、STRIGHTの活用を検討してみてはいかがでしょうか。

文：小平淳一　イラスト：シライカズアキ　企画協力：株式会社インターネットイニシアティブ
※本記事は株式会社インターネットイニシアティブとのタイアップ企画です。