【動画公開】クッキーバナーの日本法上の必要性｜外部送信規律と個人情報保護法（Cookie同意・連絡可能個人関連情報の不適正取得等）を整理

本記事のポイント

• クッキーバナーやクッキー同意は、日本法上必須ではない。グローバル対応として実施されたバナー等が、グローバル対応不要のサイトでも実装されているものと推測。
• 個人情報保護法は従来クッキーを主たる規制対象としていなかったが、2026年法改正でCookieは「連絡可能個人関連情報」に該当することになり、規制が導入された。
• 他社サイトを真似してCookieバナーを導入しても、日本法上必要な対応を満たしているとは限らない。
• まず法的義務を把握し、その上でGDPR対応やカテゴリ別同意の導入を検討すべきである。
• 日本で重要な規制は、電気通信事業法の外部送信規律である。また連絡可能個人関連情報規制に関するガイドラインなどが公表されるまで状況をウォッチする必要がある。

担当者がまず確認すべき事項

• 自社アプリ・サービス・サイト等は、電気通信事業法上の外部送信規律の対象か
• 利用しているクッキーの情報、送信先、利用目的を把握しているか（外部送信規律の対象の場合）
• プライバシーポリシーや外部送信規律公表等事項の内容と実際の運用が一致しているか
• GDPR・ePrivacy Directive等の海外法対応が本当に必要か
• 連絡可能個人関連情報規制に関するガイドラインなどが公表されるまでCookieへの新規制状況をウォッチ

動画解説

本記事に記載しきれていない部分も動画には含まれています。動画の方が、内容が豊富で、かつ熱量や細かなニュアンスまでお伝え可能なため、ぜひ動画でご視聴ください。1.5倍速視聴もおすすめです。

タイムライン

• 00:00 クッキーバナーは本当に必要か
• 00:26 WebサイトでよくあるCookie対応①対応無②プライバシーポリシー記載のみ
• 01:17 ③みなし同意
• 01:45 ④同意（カテゴリ別）
• 05:12 日本法上クッキーバナーや同意は義務ではない
• 05:55 ①GDPR・ePrivacy Directiveとの関係
• 09:33 ②ヨーロッパ当局のクッキーバナー
• 12:04 日本法上の規制① 個人情報保護法
• 17:28 日本法上の規制② 電気通信事業法 外部送信規律
• 20:46 日本法上の規制② 電気通信事業法 外部送信規律が適用になる場合
• 22:21 まとめ

よくあるクッキー対応

クッキーバナーには複数の種類があり、ウェブサイトで採用されている手法は統一されていない。

ウェブサイトを閲覧すると、クッキー利用に関するさまざまな表示を見かける。

実際には、次のような対応例が存在する。

何も表示しない例

クッキーに関するバナーや同意取得を行っていないサイトである。

プライバシーポリシーのみ掲載する例

プライバシーポリシー内で、

• クッキーを利用すること
• クッキーの概要
• クッキー単体では個人を特定できないこと
• Google Analytics等の利用

などを説明する例である。

外務省サイトのように、プライバシーポリシーの中でクッキー利用を説明する構成も見られる。

みなし同意の例

JICAサイトのように、

• バナーを閉じる
• 閲覧を継続する

ことによってクッキー利用に同意したものとみなす方式である。

カテゴリ別同意の例

現在よく見られるのがカテゴリ別同意である。

利用者がクッキーの種類ごとにオン・オフを選択できる。

NEDOサイトの例。

造幣局サイトの例。

---

Tokyo Tokyoブランドの例。

カテゴリ別同意

カテゴリ別同意とは、クッキーを利用目的ごとに分類し、利用者がカテゴリ単位で許可・拒否を選択できる仕組みである。便宜上、水町がそのように呼称したに過ぎない。
結論として、カテゴリ別同意は利用者情報保護の観点では望ましいが、日本法上必須な対応ではない。

なぜカテゴリ別同意が採用されるのか

同意するボタンだけだと同意しない選択ができず、真摯な任意の同意とは言えないとの疑義がある。

そこで、同意する同意しないを利用者の自由意思で選択できるようにすることが考えられる。

しかしながら、クッキーには様々な種類がある。その種類別に選択できるようにしているのがこのカテゴリ別同意である。

必須クッキー

ウェブサイトの基本機能に必要なクッキー essential cookiesである。

これを無効化するとサイト利用自体が困難になる場合がある。

このため、オフにできない。

ARTICLE 29 DATA PROTECTION WORKING PARTY　”Opinion 04/2012 on Cookie Consent Exemption”

https://ec.europa.eu/justice/article-29/documentation/opinion-recommendation/files/2012/wp194_en.pdf
Article 5.3 allows cookies to be exempted from the requirement of informed consent, if they satisfy one of the following criteria: CRITERION A: the cookie is used “for the sole purpose of carrying out the transmission of a communication over an electronic communications network”. CRITERION B: the cookie is “strictly necessary in order for the provider of an information society service explicitly requested by the subscriber or user to provide the service”.

ICO　https://ico.org.uk/for-organisations/direct-marketing-and-privacy-and-electronic-communications/guidance-on-the-use-of-storage-and-access-technologies/what-are-the-exceptions/#consent

Do all storage and access technologies require consent? 

No. You can store or access information in five circumstances without the subscriber’s or user’s consent. These exceptions apply when storage or access is:

• for the sole purpose of the transmission of a communication. This is the ‘communication’ exception;
• strictly necessary to provide the service the subscriber or user requests. This is the ‘strictly necessary’ exception;
• for the sole purpose of collecting statistical information about visitors to your service, with a view to improving it. This is the ‘statistical purposes’ exception (also known as the ‘analytics’ exception);
• for the sole purpose of improving or adapting the appearance or functionality of the service to the subscriber’s or user’s preference. This is the ‘appearance’ exception; or
• for the sole purpose of identifying the location of a subscriber or user who requires emergency assistance. This is the ‘emergency assistance’ exception. 

機能性クッキー

利用者の設定や利便性向上のために利用されるクッキー optional cookiesである。

例えば、

• 文字サイズ設定
• 表示設定
• 利用環境の保存

などで利用される。

無効化すると利便性は下がるが、サイト利用自体は可能な場合が多い。

ICOの上記同意例外解釈では、この機能性クッキーも一部含んでいると思われるが、多くのカテゴリ別同意では明示の同意を得て利用する。

アクセス解析クッキー

サイト改善のために、

• アクセス状況
• 利用状況
• 利用傾向

などを分析するためのクッキーである。

ICOの上記同意例外解釈では、このアクセス解析クッキーanalytics’ exceptionも一部含んでいると思われるが、多くのカテゴリ別同意では明示の同意を得て利用する。

広告・マーケティングクッキー

広告配信やターゲティング等で利用されるクッキーである。明示の同意を得て利用する。

実務上のポイント

• 必須クッキーは通常オフにできない。イギリスデータ保護当局のICOやEuropean Union公式サイトですら、必須クッキーに同意は得ていない。
• 機能性クッキーは利用者が選択できる構成が多い
• アクセス解析クッキーはサイト改善目的で使用され、利用者が選択できる構成が多い
• 広告クッキーは利用者が選択できる構成が多い
• カテゴリ名称はサイトによって異なる

日本法上クッキーバナーは義務か

結論として、日本法はクッキーバナーやカテゴリ別同意を義務付けていない。

動画で紹介したとおり、現在広く見られるクッキー同意画面の多くは、日本法固有の要請ではない。

個人情報保護の観点から望ましい可能性はあるが、

• クッキーバナー
• 同意ボタン
• カテゴリ別同意

が法律上必須というわけではない。

しかしながら、日本法上規制がないわけでは全くなく、

• 電気通信事業法上の外部送信規律
• 個人情報保護法の連絡可能個人関連情報規制

の対応が必要である。

GDPR対応とクッキーバナーの関係

結論として、現在普及しているカテゴリ別同意の背景にはグローバル対応がある。

なぜクッキーバナーは普及したのか。GDPR・ePrivacy Directiveとの関係

個人情報保護法とクッキーの関係

クッキーは従来個人情報保護法の主たる規制対象ではなかったが、2026年個人情報保護法改正で規制対象となった。

2026年改正個人情報保護法でCookie規制はどう変わるか｜連絡可能個人関連情報

日本法上の本丸は電気通信事業法の外部送信規律

日本のクッキー対応で最も重要なのは電気通信事業法の外部送信規律である。

動画の中でも、クッキー規制を巡る長年の議論の結果として、日本では外部送信規律が規定された旨説明した。

定義

外部送信規律とは、利用者端末に記録された利用者に関する情報の送信について、事業者に通知または公表を求める法規制。

総務省「外部送信規律FAQ」https://www.soumu.go.jp/main_sosiki/joho_tsusin/d_syohi/gaibusoushin_kiritsu_00002.html

何を公表するのか

国土交通省サイトの例として、

• 外部送信する情報
• 送信先
• 利用目的

が整理されている。

外部送信規律で必要となる対応

• 送信される情報
• 送信先
• 利用目的
  • アプリ等提供者の利用目的と、送信先の利用目的双方を記載する（ガイドライン解説P258）
  • 但し、送信先が例えばGoogleやMicrosoftだとすると、Googleなどのプラットフォーマー側には原則として義務がかかっていないため、プラットフォーマーの利用目的がアプリ等提供者から見るとわかりづらいという課題がある。プラットフォーマーでは一定事項の公表は確かに行っているが、日本の電気通信事業法に沿った公表事項となっていないため、利用目的や送信情報をアプリ等提供者が推測しなければならない余地も残り、課題であろう。

を通知または公表することが求められる。

ファーストパーティークッキーでも注意

実務上、

• ファーストパーティークッキー
• サードパーティークッキー

という区別で理解されがちである。

しかし外部送信規律では、ファーストパーティークッキーだから必ず対象外になるわけではない。

（ファーストパーティークッキーの識別符号は電気通信事業法２７条の１２第１項２号で例外。その他の情報は同１号で真に必要な情報として例外に当たる場合はある。なお、ファーストパーティークッキーでも第三者送信は例外ではなく対応が必要）

この点はクッキー実務と法規制理解がずれやすいポイントである。

実務上のポイント

• 外部送信規律の対象か確認する。対象の場合は、これは法的義務であり、履行していないと違法状態となる。
• 送信情報・送信先・利用目的を整理する
• ファーストパーティークッキーでも対象になる場合がある

外部送信規律の対象となるサービス

結論として、対象範囲は広く、多くのウェブサービス・アプリ・システムが対象となる可能性がある。

対象となることが多いもの

• アプリ
• ウェブサービス
• オンラインシステム

などである。

対象外となる例

自社の情報発信サイト

企業公式ホームページなど、自己の情報発信のためのホームページの開設。

自社オンラインショップ

自社商品を販売するECサイト。

例えば、

• 洋服メーカーが自社商品を販売するサイト
• パソコンメーカーが自社商品を販売するサイト

などである。

注意点

同じオンラインショップでも、

• ショッピングモール型サービス（≠自社オンラインショップ）
• 自社オンラインショップでも、情報コンテンツ提供型サービス

は対象外ではない。

情報コンテンツ提供型サービスとは、

• ニュース提供
• 映像配信
• デジタルコンテンツ提供

など、自社オンラインショップでも対象となるため注意が必要である。、自社の商品やサービス自体がインター
ネットで提供される場合は、電気通信役務の提供（情報の送信）を前提としているため、電気通信事業に該当する。

実務担当者が行うべき確認事項

外部送信規律対応

• 対象か確認する
• 送信先を整理する
• 送信情報を整理する
• 利用目的を整理する
• 通知公表方法を決定する

個人情報保護法対応

• クッキー利用実態を把握する
• 説明内容と実際の不一致がないか確認する
• 不適正利用・不適正取得のリスクを確認する
• ガイドライン等を継続的にウォッチする

グローバル対応

• GDPR等の適用有無を確認する
• 必要な場合や、必要なくても適切と判断した場合はカテゴリ別同意を導入する
• 日本法対応ではないと理解する

動画解説

本記事に記載しきれていない部分も動画には含まれています。動画の方が、内容が豊富で、かつ熱量や細かなニュアンスまでお伝え可能なため、ぜひ動画でご視聴ください。1.5倍速視聴もおすすめです。

• クッキーバナーの実例
• GDPRとカテゴリ別同意
• 個人情報保護法との関係
• 連絡可能個人関連情報規制
• 電気通信事業法の外部送信規律
• 実務対応の優先順位

Q&A

Q1. 日本ではクッキー同意やクッキーバナーは必須ですか。

日本法上、クッキーバナーやクッキー同意自体は必須ではない。

Q2. カテゴリ別同意は法律上義務ですか。

日本法上の義務ではない。主としてGDPRやePrivacy Directive対応として普及したものである。

Q3. クッキーは個人情報ですか。

クッキー単体では一般的に個人情報ではない。ただし他の情報と照合して誰の情報かわかる場合や、単体で誰の情報かわかる場合は別である。

Q4. 日本法上で最も重要なクッキー関連規制は何ですか。

電気通信事業法の外部送信規律である。

Q5. 外部送信規律では何を公表等しますか。

送信される情報、送信先、利用目的の通知又は公表等が必要となる。

Q6. GDPR、ePrivacy Directive対応だけ行えば十分ですか。

十分ではない。日本法上義務となる外部送信規律に対応しないといけない。

Q7. ファーストパーティークッキーなら外部送信規律は不要ですか。

必ずしも不要ではない。ファーストパーティークッキーであっても外部送信規律対応が必要な場合がある。

まとめ

クッキーバナーやカテゴリ別同意は、日本法上当然に義務付けられているものではない。

現在広く見られるカテゴリ別同意は、主としてGDPRやePrivacy Directive対応として普及したものである。一方で、日本法上の実務では、電気通信事業法の外部送信規律が極めて重要な位置付けを持っている。

また、2026年改正個人情報保護法では連絡可能個人関連情報規制が導入されたが、クッキーバナーそのものを義務付ける内容ではないと現時点では推測される。

重要なのは、他社の見た目を真似することではなく、自社に適用される法的義務を正確に理解することである。まず日本法上の必須事項を整理し、その後にGDPR対応やカテゴリ別同意といった追加的措置の必要性を検討することが望ましい。

関連資料集

水町雅子作成資料

• 連絡可能個人関連情報Part1　規制内容解説記事　動画
• 連絡可能個人関連情報Part2　Cookieは非個人情報かにかかる解説記事　動画
• 提供元基準説と個人関連情報提供規制解説記事　動画
• なぜクッキーバナーは普及したのか。GDPR・ePrivacy Directiveとの関係
• 2026年改正個人情報保護法でCookie規制はどう変わるか｜連絡可能個人関連情報　
• 「外部送信規律対応要否判断フローチャート」https://www.mizu-machi.com/wp-content/uploads/2025/05/230419gaibusoushinkiritsu.pdf
• 「外部送信規律」詳解　https://cyberlawissues.hatenablog.com/entry/2023/01/23/185620
• その他の個人情報保護法2026年改正解説を見る
• 2026年改正に限られない、個人情報保護法実務解説全般

公的資料

• 総務省サイト
  https://www.soumu.go.jp/main_sosiki/joho_tsusin/d_syohi/gaibusoushin_kiritsu.html
  （水町コメント）各種リンクが貼ってあって、良い。とりあえずここを見れば、関連情報にたどり着ける。
• 総務省FAQ
  https://www.soumu.go.jp/main_sosiki/joho_tsusin/d_syohi/gaibusoushin_kiritsu_00002.html
  （水町コメント）詳しいFAQ。
• ガイドライン　https://www.soumu.go.jp/main_sosiki/joho_tsusin/d_syohi/telecom_perinfo_guideline_intro.html

社内情報共有・紹介について

個人情報保護法、プライバシーガバナンスに関する理解の促進を目的として情報発信を行っています。
本記事および動画が参考になりましたら、同様の課題や関心を持つ方へご共有いただけますと幸いです。

YouTube動画、水町雅子ブログおよび水町雅子Webサイトは、著作権法の範囲内での、社内研修・勉強会・研究活動・社内情報共有（社内チャット・社内ポータル）・SNS等での紹介を歓迎しています（出典表示をお願いします）。なお、著作権を放棄するものでも、引用の範囲を超える利用を許諾するものでもありません。