Cookie同意バナーは本当に必要？プライバシーと計測の両立

サイトを開いた瞬間、画面の下からせり上がってくるあの帯。読む前に閉じたこと、ありませんか。

作る側も、実はよく分かっていないまま置いていることがあります。他社のサイトに付いているから、制作会社に言われたから、なんとなく不安だから。

この記事では、同意バナーが何のために存在するのか、置くと何を失うのか、そしてどうすれば減らせるのかを実務目線で整理します。

最終的な法的判断は専門家と行うものですが、その前に自分で確かめられることは、思っているよりたくさんあります。

その同意バナーは、何に対する同意なのでしょうか

まず整理したいのは、Cookieという技術そのものが悪いから帯が出ているわけではない、という点です。

論点になるのは、使い道のほうです。

Cookieそのものは悪者ではありません

Cookieは、ブラウザに小さなメモを保存しておく仕組みです。ログイン状態の保持、カートの中身、言語設定。

これがないと成立しない機能は、思っているよりたくさんあります。

こうしたサイトの動作に不可欠なCookieは、一般に同意なしでも置けると整理されることが多いものです。

問題になるのは、訪問者を識別して行動を記録し、それを外部の事業者に渡したり、他サイトでの広告配信に使ったりする用途です。

つまり同じCookieでも、何のために置くかで扱いが変わります。ここを分けずに議論すると、話がややこしくなるだけです。

法律が求めているのは、隠さないことと選べること

日本では、Cookieの値そのものは必ずしも個人情報とは限らない、という整理が出発点になります。ただしそれは、何をしてもいいという意味ではありません。

2023年に施行された電気通信事業法の外部送信規律では、利用者の端末から情報を外部へ送信する場合に、送信先や送る情報の内容を通知するか公表することが求められます。

ここで求められているのは、いきなり同意ボタンを押させることではなく、まずわかるようにしておくことです。プライバシーポリシーに一覧を書いて公表する形でも要件を満たせる場合があります。

また、個人情報保護法には個人関連情報という考え方があり、提供先で個人データとして扱われる場合には本人の同意の確認が必要になります。広告の連携タグは、まさにここに引っかかりやすい領域です。

EU圏の利用者を相手にするなら話は変わります。GDPRとePrivacy指令の考え方では、必要不可欠でないCookieの読み書きは事前の同意が原則です。

だからこそ、日本向けのサイトなのに海外向けのテンプレートをそのまま入れて、必要以上に重いバナーになっている例をよく見かけます。

一番多いのは、自分で入れた覚えのないタグ

うちは広告なんてやっていない、と思っている方も多いはずです。ところが調べてみると、けっこう出てきます。

埋め込み動画、SNSのシェアボタン、チャットツール、ヒートマップ、フォームのASP。これらは自前のドメイン外にリクエストを飛ばし、そこでCookieを置くことがあります。

心当たり、ありませんか。バナーの要否を考える前に、まず自分のサイトが何を積んでいるかを知る必要があります。

バナーを置いた瞬間に、何を払っているのか

バナーは無料ではありません。同意しなかった人を計測しない設定にすれば、そのぶん数字が消えます。

失うのはデータだけではなく、判断のスピードです。

母数が減ると、結論が出るまでの日数が伸びます

数字で見てみましょう。月間3万UU、コンバージョン600件、CVR2.0%のサイトを想定します。

このサイトでA/Bテストを行い、CVRを2.0%から2.6%へ改善できたかを判定したいとします。ざっくりした計算で、必要なサンプルは両案あわせて2万UU前後です。

1日あたり1,000UUが来るとして、同意率によって所要日数はこう変わります。

同意率が3割のサイトでは、同じ結論を得るのに2か月以上かかります。その間に季節要因も広告の出稿状況も変わってしまう。

同じ条件で比べたつもりが、いつのまにか別の時期の話になっている。これはかなり痛い話です。

テストの設計そのものについてはA/Bテストの始め方｜ノーコードで検証する手順と注意点で詳しく書いています。

最初の1ページが消えると、流入元が壊れます

もうひとつ、見落とされやすい副作用があります。

同意を得るまで計測タグを動かさない設計にすると、訪問者が最初に見たページと、そこへ来る直前にいたページの情報が欠けます。

2ページ目でようやく同意して計測が始まると、直前のページは自分のサイトの中になります。結果として、検索や広告から来た人が直接アクセス扱いに化けてしまうのです。

広告費を判断する材料が静かに壊れる、という意味で、これは数字が減るより厄介かもしれません。流入元の分類そのものについては流入元の正しい見方｜検索・広告・メール・SNSを分けて計測するを参照してください。

バナー自体が、最初の離脱をつくります

そして、いちばん直接的なコストがこれです。読む前に帯が出てくれば、当然ながら一部の人は帰ります。

影響の大きさはサイトによって違うので、他社の事例を持ってきても意味がありません。自分のサイトで、バナーを出す前と後の初回訪問の離脱を比べてください。

特にスマホは影響が出やすい環境です。画面が小さいぶん、同じ高さの帯でも占める割合が大きくなります。

ここで注意したいのは、離脱の測り方そのものです。バナーで帰った人はページをほとんど見ないまま消えるので、単純な直帰率では原因が読み取れません。

滞在の実数まで見る計測にしておけば、帯を閉じずに去った人と、読んだうえで去った人を分けられます。この考え方は直帰率とは？「計測できない」ケースと、正しい下げ方でも整理しています。

必要かどうかは、棚卸しをすれば見えてきます

ここからは手を動かす話です。要るか要らないかを机上で議論するより、実際に何が置かれているかを一覧にするほうが早いです。

まず、いま見ているページが持っているCookieの名前を並べてみましょう。ブラウザの開発者ツールを開き、コンソールに次を貼るだけです。

// 開発者ツールのコンソールに貼ると、このページのCookie名が並びます
document.cookie.split('; ').filter(Boolean).forEach(function (c) {
  console.log(c.split('=')[0]);
});

これで見えるのは、JavaScriptから読める自分のドメインのCookieだけです。ログイン用などのHttpOnly属性が付いたものや、外部ドメインが置いたものは表示されません。

そこはアプリケーションタブのCookie欄と、ネットワークタブで外部ドメインへのリクエストを眺めて補います。ついでにローカルストレージの中身も見ておくと、全体像がつかめます。

一覧ができたら、用途ごとに仕分けます。判断の目安はこの4分類です。

ここで多くのサイトが気づきます。バナーを出す原因になっているのは、たいてい3番目と4番目だけだと。

使っていないタグを外すだけで、論点が半分になることは珍しくありません。 数年前のキャンペーンで入れた広告タグが、誰にも管理されないまま残っているケースは本当によくあります。

判断に迷うのは、たいてい埋め込みです

仕分けをしていて手が止まるのは、自分で書いたコードではない部分です。動画の埋め込み、地図、SNSのタイムライン、チャットの窓。

これらは1行のタグを貼っただけでも、裏では外部のドメインへ通信し、そこで識別子を置くことがあります。しかも中身は提供元の都合で変わるため、こちらでは制御できません。

対処はそれほど難しくありません。動画なら追跡を抑えた埋め込みモードを選ぶ、SNSは公式ボタンをやめて自前のリンクに置き換える、地図は静止画とリンクにする。

読み込み自体を訪問者のクリック後まで遅らせる方法もあります。

その埋め込みが本当に必要かを一度だけ問い直す。 これが、いちばん確実で、しかも表示速度まで一緒に改善する手です。

一覧は、そのまま公表用のページになります

棚卸しの結果は、頭の中ではなく表に残してください。これが後で効いてきます。

各タグについて、次の4項目が書ければ十分です。

• 送信先：どの事業者のどのドメインへ飛ぶのか
• 送る情報：閲覧したURL、参照元、端末の種類など
• 目的：サイト改善のためか、広告のためか
• 保存期間：いつまで残るのか

この表が埋まっていれば、外部送信規律で求められる公表の材料はほぼ揃います。プライバシーポリシーの一節として、そのまま載せられる粒度です。

逆に言えば、埋められない行が残っているタグは、外すか担当者を決めるかのどちらかです。 説明できないものを動かし続けるのが、いちばん危ない状態だと思います。

出すと決めたなら、摩擦を最小にする

棚卸しをしても広告タグが必要なら、同意を取る設計をきちんと作りましょう。中途半端なバナーは、ユーザー体験も法的な体裁も両方損なうだけです。

文面のビフォーとアフター

ありがちな文面と、改善後を並べます。

[ビフォー]
当サイトは、お客様の利便性向上のためCookieを使用しています。
サイトの利用を続けた場合、これに同意したものとみなします。
                                        [ すべて同意する ]

[アフター]
このサイトでは、ページの見られ方を知るための計測と、
広告の効果測定を行っています。送信先は一覧で公開しています。
              [ 同意しない ]            [ 同意する ]

違いは3つあります。使い続けたら同意とみなす、という書き方をやめたこと。

何のためかを一文で言い切ったこと。そして拒否を同じ手間で選べるようにしたことです。

同意するボタンだけが目立ち、断るには設定画面をたどらせる。そういう作りは、ユーザーを誘導するダークパターンとして問題視されます。

見せ方ひとつで、その後の数字が変わります

表示の作り方にもコツがあります。細かい話ですが、効きます。

画面の高さの3割を覆うような帯は、スマホのファーストビューを丸ごと潰します。上下に固定するなら、高さは抑えたい。

さらに、後から要素が押し下げられるとレイアウトのずれが起き、押すつもりのないボタンを押させてしまいます。表示領域は最初から確保しておきましょう。

そして、自分のサイトの同意率は必ず測ってください。バナーの表示回数と同意ボタンのクリック数を数えるだけです。

他社の平均値ではなく、自社の数字で判断する。 ここは譲らないほうがいい部分です。

同意は、取ったら終わりではありません

意外と抜けるのが、その後の運用です。同意も拒否も、記録として残す必要があります。

拒否した人に毎回同じ帯を出せば、体験は最悪になります。少なくとも数か月は選択を覚えておき、あとから撤回できる導線をプライバシーポリシーなどに置いておきましょう。

同意管理のツールを入れるかどうかは、棚卸しの結果で決めれば十分です。広告タグが1つも残らなかったサイトに、月額のツールを追加する理由はありません。

順番を間違えないでください。ツールを選ぶ前に、減らす。

残ったものだけを、きちんと管理する。 これだけで運用の負担はかなり軽くなります。

バナーを減らすための、計測側の選択

ここまで読んで、そもそも重い計測をしなければいいのでは、と思われたかもしれません。その通りです。

同意が求められる主な理由は、訪問者の端末に情報を保存して読み出すことと、個人に結びつく情報を外部へ送ることの2つに集約されます。

だとすれば、この2つを最初からやらない計測を選べば、論点そのものが小さくなります。

Strideはその設計を採っています。Cookieを一切使わず、氏名やメールアドレスなどの個人情報も集めません。

IPアドレスは国を判定するときに一時的に使うだけで、保存しません。訪問者の情報を広告目的で外部の事業者に渡すこともしません。

それでも、ファネルの各ステップの到達と離脱、ページ別や流入元別のPVとUU、A/Bテスト、アンケートは通常どおり測れます。操作を動画のように振り返るセッションリプレイも、記録の時点で全テキストを伏せ字にし、入力値と画像は一切残さない完全マスクで動きます。

失うものもあります。スマホで下調べしてPCで申し込んだ人は別々の2人として記録されますし、他サイトへのリターゲティングは原理的に行いません。

自サイトの導線を良くするのが目的なら、この割り切りで困る場面はほとんどありません。むしろバナーによる欠損が消えるぶん、数字は素直になります。

Cookieを外すと具体的に何が測れなくなり、何は変わらず測れるのか。その比較はCookieレスでウェブ解析はどこまでできる？同意バナーが要らない理由にまとめています。

念のため書き添えると、Cookieレスなら常にバナーが不要になる、と言い切ることはできません。判断は、端末に何を残し、外部に何を送るかという中身で決まります。

解析タグを軽くしても、広告タグやチャットを別に入れていれば、そちらの論点は残ります。

全部を一度に判断しようとせず、減らせるものから減らして、残った分だけを専門家と詰める。この順番が現実的です。

まとめ

同意バナーは、Cookieという技術への罰則ではありません。訪問者の情報をどこへ、何のために送っているかという設計の結果として現れるものです。

だから最初にやるべきは、バナーの文面を考えることではなく、自分のサイトが何を積んでいるかを一覧にすることです。

棚卸しをして、使っていないタグを外す。残ったものは説明できる形で公表する。

それでも同意が必要な処理があるなら、断りやすいバナーをきちんと作る。順番はこれだけです。

そして計測そのものを軽くできるなら、バナーに悩む時間ごと減らせます。プライバシーを守ることと数字を見ることは、対立しません。

参考記事

制度の一次情報にあたりたいときは、次の3つの公的機関のサイトが出発点になります。

• 個人情報保護委員会
• 総務省
• European Data Protection Board