データ・プライバシー／サイバーセキュリティ

2026年9月25日

Cookie規制（ePrivacy）と企業対応：マーケティングに潜む法的リスク

Webサイトやアプリでは、アクセス解析、広告効果測定、リターゲティング、SNS連携、動画埋込みなどのために、Cookieや類似の識別技術が広く使われています。もっとも、法的には「Cookieだから同意が必要」「日本では同意不要」といった一律の整理はできません。

EUでは、端末への情報の保存・アクセスを対象とするePrivacy指令と、その後に個人データを処理するGDPRを重ねて検討します。日本では、個人情報保護法の「個人情報」「個人関連情報」に関する規律と、電気通信事業法の外部送信規律を分けて確認する必要があります。

本稿では、2026年9月15日時点の法令・公的ガイダンスを前提に、Cookie・ピクセル・広告ID等を用いる企業が、マーケティング施策を止めずに適法な運用へ落とし込むための実務を整理します。

1　最初に結論：Cookie規制は「3層」で考える

企業実務では、次の3層を混同しないことが重要です。EUのePrivacy指令は、個人データかどうかだけでなく、利用者端末に情報を保存し、又は端末に保存された情報へアクセスする行為を規律します。GDPRは、そこで得られた情報が個人データに当たる場合の処理全体を規律します。日本では、Cookie等が個人情報又は個人関連情報に当たるかを個人情報保護法で判断しつつ、対象となる電気通信役務については外部送信規律も別に確認します。

場面主な規律実務上の問い
EU：端末への保存・アクセスePrivacy指令5条3項＋加盟国実装法非必須のCookie・類似技術を、同意前に作動させていないか
EU：取得後の個人データ処理GDPR目的、Article 6の適法化根拠、透明性、委託・共同管理、越境移転を整理したか
日本：Cookie等の取扱い個人情報保護法個人情報か個人関連情報か。第三者提供時に法31条の確認が必要か
日本：端末から第三者等への送信電気通信事業法27条の12等対象役務か。送信情報・送信先・利用目的を通知・公表等しているか

したがって、グローバルサイトで一つのCookieバナーを置くだけでは法務対応は完結しません。どの国・地域の利用者に、どのタグが、どの情報を、どの送信先へ送るかを把握することが出発点です。

2　2026年時点のEU法：ePrivacy規則案は撤回されている

旧稿や古い解説では、「ePrivacy規則がGDPRを補完する新法として施行予定」と説明されることがあります。しかし、2017年に提案されたePrivacy規則案（2017/0003/COD）は、欧州委員会により2025年10月6日に正式に撤回されました。2026年9月現在、Cookie等の端末情報に関するEUレベルの中心的ルールは、引き続きePrivacy指令2002/58/ECと各加盟国の実装法です。

2026年時点での注意 「近くePrivacy規則が施行されることを前提に設計する」という説明は現在の状況と合いません。他方、ePrivacy指令は存続しており、Cookie同意の問題がなくなったわけではありません。加盟国ごとの実装法・監督当局ガイダンスも確認する必要があります。

3　EUでは「Cookieかどうか」より端末への保存・アクセスを見る

ePrivacy指令5条3項は、利用者の端末に情報を保存し、又は端末にすでに保存された情報へアクセスすることを原則として同意の対象とし、通信の伝送だけを目的とする場合や、利用者が明示的に求めた情報社会サービスの提供に厳格に必要な場合を例外としています。

この規律はCookieだけに限定されません。EDPBは2024年に確定したGuidelines 2/2023で、URL・ピクセルトラッキング、端末内処理、IP情報を用いる一定の追跡、IoTの通信、固有識別子など、Cookie以外の技術についても5条3項の技術的適用範囲を検討しています。ブラウザの第三者Cookie制限が進んでも、別の追跡技術へ置き換えれば規制から外れるとは限りません。

（1）「ファーストパーティCookieなら同意不要」とは限らない

ePrivacyの例外は、Cookieの発行主体が第一者か第三者かだけで決まりません。利用者が明示的に求めたサービスに「厳格に必要」かが中心です。広告・行動分析・クロスサイト計測などは、ファーストパーティのドメインで設定されていても、目的次第では同意が必要になります。

（2）典型的な分類

用途EUでの基本的な考え方実装上の注意
ログイン・認証・セキュリティサービス提供に厳格に必要であれば例外となり得る目的を限定し、広告・分析目的と混在させない
カート・決済・明示的な設定保持利用者が求めた機能に必要な範囲で例外となり得る保存期間・用途を必要最小限にする
アクセス解析同意が必要となることが多い加盟国・監督当局に限定的な例外運用がある場合は個別確認
広告効果測定・リターゲティング通常は事前同意を前提に設計同意前にタグを発火させない
SNSプラグイン・動画等の埋込み第三者への通信・追跡が起こる場合に要検討クリック前又は同意前の通信を確認する

4　EUの同意は「表示した」だけでは足りない

ePrivacy指令上の同意は、GDPRの同意概念に沿って判断されます。自由意思に基づき、特定され、十分な情報を受けた上で、曖昧でない積極的行為によって示される必要があります。EDPBのCookie Banner Taskforceは、同意が必要なCookieを同意前に設定しないこと、事前チェック済みの選択肢は有効な同意にならないこと、拒否手段を不当に分かりにくくする設計が問題となることなどを整理しています。

実務で最低限確認したいUI

  • 「同意する」前に、広告・分析等の非必須タグが発火していない
  • 事前にオンになったチェックボックスで同意扱いにしていない
  • 拒否又は必須Cookieのみで継続する選択肢へ容易に到達できる
  • 目的別・ベンダー別の説明が、ユーザーが判断できる粒度になっている
  • 同意の撤回が、同意を与えるのと同程度に容易である
  • 同意取得日時、選択内容、バナーバージョン等を必要な範囲で記録できる

「同意する」だけを目立たせ、拒否を長い設定画面の奥に置く、色や文字サイズで拒否を事実上見えなくする、といった設計は、形式上ボタンが存在しても有効な同意や公正性の観点で問題になり得ます。

（3）判例がなくても押さえるべきEUの行政執行実務

Cookie分野では、裁判例だけでなく、各国監督当局の行政執行が、実際のWeb実装を具体化するうえで重要です。EDPBのCookie Banner Taskforceは、同意が必要なCookieを利用者の選択前に設定しないこと、事前チェック済みの選択肢では有効な同意にならないこと、同意ボタンを置きながら拒否・不同意の選択肢を適切に提供しない設計は大多数の監督当局が有効な同意要件に沿わないと考えていることなどを共通認識として整理しています。

また、フランスのCNILは2025年9月、SHEINに対し、広告目的を含むCookieが利用者の選択前に保存されていたこと、利用者の選択が適切に尊重されていなかったこと、情報提供が不十分であったことなどを理由に1億5,000万ユーロの制裁金を科しました。同時期にはGoogleについても、Gmail上の広告表示とCookieに関する違反を合わせて3億2,500万ユーロの制裁金が科されています。

さらにCNILが2026年2月に公表した2025年の執行実績では、Cookieは従業員監視やデータセキュリティと並ぶ主要な制裁テーマとされています。Cookie対応は一時的な規制キャンペーンではなく、継続的な監督対象と考えるべきです。

執行実務から見える高リスク実装

  • 同意が必要な広告・分析Cookieやピクセルが、利用者の選択前に発火する
  • 「同意する」は1クリックなのに、拒否には複数画面・複数操作を要求する
  • 拒否・撤回の操作後も、実際にはタグや識別子が停止・削除されない
  • バナーやCookieポリシーに表示した目的・送信先と、実際のタグ構成が一致していない
  • CMP導入後に新しいタグやベンダーを追加しても、同意前・拒否後・撤回後の再テストを行っていない

これらの論点は、社内規程やポリシーの文言だけではなく、ブラウザ上で実際にどの通信が発生するかによって評価されます。そのため、CMP設定画面の確認だけで終わらせず、リリース前後にネットワーク通信やタグ発火を検証し、その結果を記録する運用が重要です。

5　ePrivacyで同意を取ればGDPRも終わるわけではない

Cookie等への保存・アクセスについてePrivacy上の条件を満たしても、その後の情報が個人データに当たればGDPRの検討が続きます。処理目的ごとにArticle 6の適法化根拠を特定し、Articles 13・14の透明性、データ最小化、保存期間、安全管理、委託先・共同管理者との役割分担、データ主体の権利対応、国際移転などを確認します。

特に行動ターゲティングでは、ePrivacy上の端末アクセスについて同意が必要である一方、その後のプロファイリング等について「正当な利益」を安易に重ねて利用者の選択を形骸化させる設計は慎重に検討すべきです。EDPBはオンライン追跡型ターゲティングの文脈で、後続処理にもGDPR上の適法化根拠が必要であることを明示しています。

6　日本法ではCookieそのものに一律の同意義務はない

日本の個人情報保護法では、Cookie ID等の端末識別子が直ちにすべて「個人情報」になるわけではありません。他の情報と容易に照合して特定の個人を識別できる場合には個人情報となり得ます。他方、個人情報に該当しないCookie等の端末識別子も、通常は利用者に関する情報として「個人関連情報」に該当し得ます。

重要なのは、個人関連情報であるというだけで常に本人同意が必要になるわけではない点です。個人情報保護法31条1項は、提供先の第三者がその個人関連情報を「個人データとして取得することが想定される」場合に、提供元へ本人同意が得られていること等の確認を求めます。提供先で個人データ化することが想定されない提供一般に、一律の同意確認義務を課す規定ではありません。

広告・分析で確認するポイント

  • Cookie ID、広告ID、閲覧URL、検索語、購買履歴等を誰が取得するか
  • 広告事業者等の提供先が、ログインID・会員情報等と紐付けて個人データとして取得する予定があるか
  • 提供先での利用目的を、自社が契約・仕様書・管理画面等から把握できているか
  • 法31条が適用される場合、本人同意の取得主体・確認方法・記録を設計しているか
  • 外国にある第三者への提供に当たる場合、外国制度等の情報提供を含む追加要件を確認したか

7　日本では電気通信事業法の「外部送信規律」を別に確認する

2023年6月に施行された電気通信事業法の外部送信規律は、対象となる電気通信役務の提供者が、利用者の端末から利用者に関する情報を外部へ送信させる指令通信を行う場合に、利用者へ確認の機会を与えるための制度です。Cookieだけでなく、広告ID、閲覧URL、行動情報等も対象となり得ます。

（1）すべての企業サイトが一律に対象ではない

対象は、電気通信事業者又は第三号事業を営む者のうち、利用者の利益に及ぼす影響が少なくないものとして定められた電気通信役務を提供する者です。総務省FAQでは、SNS、電子掲示板、動画共有、オンラインショッピングモール、検索サービス、各種情報のオンライン提供、オンラインゲーム・オンライン教育等が例示されています。

一方、同一サイト内でも、ニュース配信等のオンライン情報提供ページは対象になり得るのに対し、単なる会社案内のように自己の情報発信のためのページは「電気通信事業」に当たらず対象外となる場合があると総務省FAQは整理しています。したがって、「企業ホームページなら全部対象」「Cookieを使えば全部対象」とは判断しません。

（2）原則は通知・公表等であり、EU型オプトインと同じではない

法27条の12は、原則として、送信される利用者情報の内容、送信先となる設備を用いて情報を取り扱う者の氏名・名称、利用目的等を、あらかじめ利用者に通知し、又は利用者が容易に知り得る状態に置くことを求めています。一定の必要情報、自社が付与した識別符号を自社へ返送する場合、利用者が送信に同意した情報、所定のオプトアウト措置を講じた場合などには例外があります。

そのため、日本の外部送信規律への対応として、必ずEU型の「同意する／拒否する」バナーを出さなければならないわけではありません。対象性と送信実態を確認し、通知・公表、同意、オプトアウト等のどの方法で適合させるかを選びます。

論点EU（ePrivacy中心）日本（外部送信規律中心）
基本構造非必須の端末保存・アクセスは原則同意対象役務では送信情報等の通知・公表等が原則
対象技術Cookieに限らず端末保存・アクセスを広く検討Cookie ID、広告ID、閲覧URL等の外部送信を広く検討
必須Cookie厳格に必要な場合は例外法定の必要情報等は例外になり得る
バナー非必須Cookieの事前同意取得に通常必要法が特定のバナーUI自体を一律要求するものではない
個人データ処理別途GDPRを検討別途個人情報保護法を検討

8　2026年改正個人情報保護法：Cookie IDへの規律はさらに動く

2026年7月17日に公布された改正個人情報保護法は、一部を除き公布日から2年以内で政令が定める日に施行される予定で、2026年9月15日時点では施行準備中です。現行法と未施行の改正法を混同しないことが必要です。

改正法では、住所・電話番号・メールアドレス・Cookie ID等、特定の個人に対する連絡その他の情報伝達に利用できる記述等を含む一定の個人関連情報を「連絡可能個人関連情報」として位置付け、不適正利用・不正取得を禁止する規律が導入されます。Cookie IDを用いた特定端末への働きかけが、詐欺広告等の権利侵害に利用され得ることも背景にあります。

現時点の実務 改正法は公布済みですが、政令・個人情報保護委員会規則・ガイドラインの整備が進行中です。現行法に基づくCookie管理を継続しつつ、広告配信・識別子利用の棚卸しを先に行い、施行準備資料が固まり次第ルールへ反映できる状態にしておくのが現実的です。

9　2026年9月時点：外部送信規律も見直し議論が進行中

総務省は2026年8月20日、「利用者情報ワーキンググループ第2次報告書（案）（利用者情報に係る外部送信規律の遵守に係る方策について）」の意見募集を開始しており、締切は2026年9月18日です。これは現時点では最終報告書ではありません。

企業としては、意見募集案を確定ルールとして先取りするのではなく、現行の法令・ガイドライン・FAQに基づいて対応しつつ、最終報告書や今後のガイドライン改定を継続確認する必要があります。Cookie・広告タグの管理は一度作って終わる規程ではなく、規制・ブラウザ・広告技術の変更を反映できる運用体制が重要です。

10　Cookie棚卸しは「ブラウザで見えるCookie一覧」だけでは足りない

現在のマーケティング技術では、タグマネージャー、SDK、ピクセル、ローカルストレージ、広告ID、サーバーサイド計測、埋込みコンテンツ等が組み合わさっています。法務レビューでは、Cookieファイルの有無だけでなく、実際にどの情報がどこへ送信されるかを追う必要があります。

最低限作成したいデータマップ

項目確認内容
ツール・タグアクセス解析、広告、A/Bテスト、SNS、動画、チャット、CDP等
取得・送信情報Cookie ID、広告ID、IP、URL、イベント、端末情報、会員ID等
送信先自社、クラウド、広告事業者、分析事業者、SNS等
目的認証、セキュリティ、分析、広告測定、パーソナライズ等
発火条件初回表示時、同意後、ログイン後、購入時等
法的整理ePrivacy同意、GDPR適法化根拠、日本法31条、外部送信規律等
保存・移転保存期間、保存国、EU域外移転の仕組み等

11　CMP導入で安心とは限らない

CMP（Consent Management Platform）は、同意バナー、タグ制御、同意履歴、ベンダー管理を効率化する有用なツールですが、CMPを導入したという事実だけでは適法性は確保できません。設定が誤っていれば、同意前にタグが発火したり、拒否後も識別子が残ったりします。

導入後にテストする事項

  • 初回訪問・同意前に非必須タグが発火しない
  • 「すべて拒否」で広告・分析タグが実際に停止する
  • 目的別設定と実際のタグ分類が一致している
  • 新規タグをタグマネージャーへ追加したとき、CMP設定も同時に更新される
  • 同意撤回後の挙動を確認している
  • Cookieポリシー記載のベンダー・目的・期間と実装が一致している
  • リージョン判定を使う場合、判定失敗時のデフォルト挙動が安全側になっている

12　サーバーサイド計測でも規制が消えるわけではない

サーバーサイドタグやコンバージョンAPIへ移行すると、ブラウザから第三者ドメインへの直接通信を減らせる場合があります。しかし、それだけでePrivacy・GDPR・日本法の適用がなくなるわけではありません。端末への識別子保存・アクセスが残るのか、ブラウザから自社サーバーへどの情報が送られるのか、その後に第三者へ個人データ又は個人関連情報を提供するのかを再評価します。

「第三者Cookieを使っていないからCookie規制対象外」「サーバー経由だから第三者提供ではない」と名称だけで判断するのは危険です。技術構成図とデータフローを法務・エンジニア・マーケティングで共有する必要があります。

13　Google Analytics等は「違法／適法」をサービス名だけで判断しない

特定の分析ツールがEU全域で一律に「違法」である、又はCMPを入れれば常に「適法」であるという説明は避けるべきです。評価には、ツールの設定、取得データ、同意の有無、提供先の役割、国際移転、追加的保護措置、契約条件、利用する加盟国の法・監督当局運用などが関係します。

法務担当者はサービス名の白黒リストを作るより、採用するツールごとに、①同意前発火、②取得項目、③提供先、④利用目的、⑤保存・移転、⑥契約・DPA、⑦削除・オプトアウト機能を確認するレビュー票を持つ方が、ツール変更にも対応しやすくなります。

14　広告・分析ベンダーとの契約で見るべき点

Cookieポリシーだけでなく、契約上の役割分担も重要です。特にEU向けでは、相手方がprocessorなのか独立controllerなのか、場合によってはjoint controllerなのかを実態で判断します。単にベンダーのDPAへ同意するだけでなく、実際の目的・再利用・サブプロセッサー・国際移転を確認します。

  • データの処理目的・利用範囲
  • controller / processor / joint controller等の役割
  • 再委託・サブプロセッサーの追加・変更通知
  • セキュリティ措置とインシデント通知
  • 保存期間と削除・返還
  • EU域外移転の根拠（十分性認定、SCC等）
  • 日本法31条の確認に必要な情報提供・協力
  • 外部送信規律の表示事項を維持するための仕様変更通知

15　マーケティング施策の承認フローを作る

Cookie規制で最も起こりやすい事故は、法務レビュー後にマーケティング担当者が新しいタグを追加し、表示・同意管理が追随しないことです。タグマネージャーの権限を広く配布している企業では、規程より運用が先に変わりがちです。

推奨フロー

① 新規ツール・タグの利用目的と取得情報を申請する

② IT・マーケティングがデータフローと発火条件を確認する

③ 法務・プライバシー担当がEU・日本の適用法を判定する

④ 必要な同意、通知、公表、Cookieポリシー、契約を整備する

⑤ 本番前に同意前・拒否後・撤回後の挙動をテストする

⑥ 本番後も定期スキャン・棚卸しを行い、無断追加タグを検知する

16　社内で担当を分ける

担当主な役割
マーケティング利用目的、キャンペーン、広告媒体・分析ツールの申請
IT・開発タグ、SDK、通信先、発火条件、技術的ブロッキングの確認
法務・プライバシー適用法、同意・通知、公表、契約、越境移転の判断
購買・事業部ベンダー契約、サブプロセッサー、仕様変更情報の回収
内部監査・セキュリティ定期棚卸し、ログ、権限、事故時の検証

17　実務チェックリスト

  • Web・アプリごとにCookie、SDK、ピクセル、外部送信先を棚卸ししている
  • EU利用者向けに、非必須の端末保存・アクセスを同意前に止めている
  • 必須Cookieの分類理由を説明できる
  • 拒否・設定変更・撤回が容易にできる
  • 同意画面とCookieポリシーの記載が実装と一致している
  • 取得後の個人データ処理についてGDPRの適法化根拠を整理している
  • 日本法上、Cookie等が個人情報・個人関連情報のどちらに当たるか確認している
  • 個人関連情報の提供先で個人データ化が想定されるか確認している
  • 電気通信事業法の外部送信規律の対象役務かをページ・サービス単位で確認している
  • 外部送信について情報内容・送信先・利用目的を確認できる状態にしている
  • 新しいタグを無審査で本番追加できない運用にしている
  • 2026年改正個人情報保護法と外部送信規律の最新ガイダンスを継続確認している

18　よくある質問

Q1．EUではすべてのCookieに同意が必要ですか。

いいえ。通信の伝送だけを目的とする場合や、利用者が明示的に求めたサービスの提供に厳格に必要な場合には例外があります。ただし「便利」「分析に必要」「広告収益に必要」という理由だけで厳格必要性を満たすとは限りません。

Q2．ファーストパーティCookieなら同意不要ですか。

一律には言えません。ePrivacyでは第一者・第三者というラベルだけでなく、端末への保存・アクセスの目的と必要性を見ます。広告・分析目的ならファーストパーティ実装でも同意が必要となり得ます。

Q3．日本のサイトにもCookieバナーは必須ですか。

日本法はEU型バナーを一律に要求していません。個人情報保護法31条や電気通信事業法の外部送信規律の適用を確認し、通知・公表、同意、オプトアウト等、該当する要件に合わせて設計します。

Q4．Cookieポリシーを掲載すればEUでも足りますか。

非必須Cookieについては足りません。情報提供に加え、同意が必要な端末保存・アクセスを同意前に行わない実装が必要です。

Q5．「同意する」ボタンだけでもよいですか。

EU向けではリスクが高い設計です。EDPBのタスクフォースでは、同意ボタンがあるにもかかわらず拒否・不同意の選択肢を提供しない設計について、大多数の監督当局が有効な同意要件に沿わないとの見解を示しています。

Q6．アクセス解析Cookieは必ず同意が必要ですか。

EUでは一般に同意が必要となることが多い一方、加盟国法や監督当局が限定的な測定について例外的な取扱いを示す場合があります。対象国・設定・目的を個別に確認してください。

Q7．Google Analyticsは違法ですか。

サービス名だけで一律に判断できません。設定、同意、取得情報、国際移転、契約、加盟国の監督実務などを確認する必要があります。

Q8．ピクセルやlocalStorageならCookie規制を避けられますか。

避けられるとは限りません。EDPBはePrivacy指令5条3項の技術的範囲をCookie以外にも広く検討しており、追跡技術の名称を変えるだけでは十分ではありません。

Q9．サーバーサイドタグなら同意不要ですか。

一律には言えません。端末への識別子保存・アクセスがあるか、その後の個人データ処理や第三者提供がどうなっているかをデータフローで確認します。

Q10．電気通信事業法の外部送信規律は会社案内サイトにも適用されますか。

必ずしも適用されません。自己の情報発信にとどまる会社案内ページは電気通信事業に該当しない場合があります。他方、オンラインで情報を提供するサービスページ等は対象になり得るため、サイト全体ではなくサービス・ページの機能を確認します。

Q11．2026年の改正個人情報保護法はもう適用されていますか。

2026年7月17日に公布されましたが、一部を除き公布日から2年以内で政令が定める日に施行される仕組みで、2026年9月15日時点では施行準備が進められています。現行法と改正後の義務を分けて管理してください。

Q12．ePrivacy規則はいつ施行されますか。

2017年に提案されたePrivacy規則案は2025年10月に撤回されました。2026年9月現在、同案の施行予定を前提にすることはできず、ePrivacy指令と加盟国実装法を確認する必要があります。

19　まとめ

Cookie対応で重要なのは、「とりあえずバナーを置く」ことではなく、技術的なデータフローと法的な規律を対応させることです。EUではePrivacy指令に基づく端末保存・アクセスの同意を先に判定し、その後の個人データ処理をGDPRで確認します。日本では、個人情報保護法上の個人情報・個人関連情報の整理と、電気通信事業法上の外部送信規律を別々に判定します。

また、2026年は、日本では改正個人情報保護法の公布後の施行準備と外部送信規律の見直し議論が進行しており、EUではePrivacy規則案の撤回後もePrivacy指令が存続しています。広告・分析環境は変化が早いため、法務・IT・マーケティングが同じタグ台帳を使い、ツール追加時に再評価できる運用を作ることが最も実効的です。

20　主な公的資料