なぜクッキーバナーは普及したのか。GDPR・ePrivacy Directiveとの関係
本記事のポイント
- クッキーバナーやクッキー同意は、日本法上必須ではない。グローバル対応として実施されたバナー等が、グローバル対応不要のサイトでも実装されているものと推測。
- クッキーバナー、クッキー同意の法的意義の全体像については別ブログ記事参照。
- よくあるクッキーバナー、クッキー同意の例：①対応無②プライバシーポリシー記載のみ③みなし同意④同意（カテゴリ別）
- クッキーバナー、クッキー同意は日本法上必須ではなく、本当に日本法上重要な規制は電気通信事業法の外部送信規律である
- 個人情報保護法は従来クッキーを主たる規制対象としていなかったが、2026年法改正でCookieは「連絡可能個人関連情報」に該当することになり、規制が導入された。
担当者がまず確認すべき事項
- 自社アプリ・サービス・サイト等は、電気通信事業法上の外部送信規律の対象か
- 利用しているクッキーの情報、送信先、利用目的を把握しているか（外部送信規律の対象の場合）
- プライバシーポリシーや外部送信規律公表等事項の内容と実際の運用が一致しているか
- GDPR・ePrivacy Directive等の海外法対応が本当に必要か
- 連絡可能個人関連情報規制に関するガイドラインなどが公表されるまでCookieへの新規制状況をウォッチ
動画解説
本記事に記載しきれていない部分も動画には含まれています。動画の方が、内容が豊富で、かつ熱量や細かなニュアンスまでお伝え可能なため、ぜひ動画でご視聴ください。1.5倍速視聴もおすすめです。
タイムライン
- 00:00 クッキーバナーは本当に必要か
- 00:26 WebサイトでよくあるCookie対応①対応無②プライバシーポリシー記載のみ
- 01:17 ③みなし同意
- 01:45 ④同意（カテゴリ別）
- 05:12 日本法上クッキーバナーや同意は義務ではない
- 05:55 ①GDPR・ePrivacy Directiveとの関係 ←★★★本ブログ記事該当箇所★★★
- 09:33 ②ヨーロッパ当局のクッキーバナー ←★★★本ブログ記事該当箇所★★★
- 12:04 日本法上の規制① 個人情報保護法
- 17:28 日本法上の規制② 電気通信事業法 外部送信規律
- 20:46 日本法上の規制② 電気通信事業法 外部送信規律が適用になる場合
- 22:21 まとめ
GDPR対応とクッキーバナーの関係
よくあるクッキーバナー、クッキー同意の例
①対応無②プライバシーポリシー記載のみ③みなし同意④同意（カテゴリ別）
詳細は別ブログ記事参照。
現在普及しているカテゴリ別同意の背景には、グローバル対応がある。
なぜ普及したのか（推測）
10年以上前は現在のようなカテゴリ別同意を筆者は見かけたことはなかった。
その後、
- GDPR
- ePrivacy Directive
への対応として欧州で同意取得の仕組みが発展した。
欧州法の考え方
欧州では、
- 必須クッキー essential cookies
- 非必須クッキー non-essential cookies
を分け、
非必須クッキーについて利用者が自由にオン・オフできる構成が普及した。
なお、10年ぐらい前は、欧州でも違法状態サイトも多々あったように記憶している。ICOが公式サイトFAQ等で「（現実的ではないとの意見か何かに対して）これは法的義務です」と解説していた記憶がある。
イギリスデータ保護当局ICOサイトの例
カテゴリ別同意に分類できる。必須クッキーessential cookiesのみか、非必須クッキーnon-essential cookiesもオンにするか選択できるようになっている。
欧州連合の例
https://european-union.europa.eu/index_en
カテゴリ別同意に分類できる。必須クッキーessential cookiesのみか、全クッキーall cookiesをオンにするか選択できるようになっている。
日本サイトにも広がった理由（推測）
日本企業でもGDPR適用対象になる場合がある。そのためGDPR、ePrivacy Directive（に基づく各国法）対応として導入されたクッキーバナーが広がった。
さらに、
- 他社を参考にした導入
- グローバル統一サイト構築
などを通じて、日本向けサイトにも普及したと推測する。
実務上のポイント
- カテゴリ別同意は、日本法上の義務ではない
- GDPR対応として導入された例が多いと推測される
- 海外法対応が不要な企業でも導入されている場合がある
- 他社が実施しているからといって法的義務とは限らない
クッキーバナー、クッキー同意の法的意義の全体像解説はこちらから
Q&A
Q1. 日本法でも欧州当局のクッキー同意やクッキーバナーを参考にすればいいですか。
日本法上、クッキーバナーやクッキー同意自体は必須ではない。したがって、欧州当局のクッキー同意やクッキーバナーを参考にしても、日本法上は適法とならない場合も多い。日本法上で重要なクッキー規制は電気通信事業法の外部送信規律である。
Q2. なぜ日本語Webサイトでもクッキーバナーが普及したのですか？
主な理由は、欧州のGDPRおよびePrivacy Directiveへの対応と推測されます。
グローバル企業やGDPRおよびePrivacy Directive等対応が必要な日本企業が導入し、そこからそれ以外の日本語Webサイトにも広がったものと推測されます。
Q3. 必須Cookie（essential cookies）とは何ですか？
必須Cookieとは、ウェブサイトの基本機能に必要なCookieなどのことです。
そのため、利用者がオフにできない設定になっています。
Q4. 広告クッキーとは何ですか？
広告Cookieとは、広告配信やマーケティング目的で利用されるCookieです。
利用者の興味関心に応じた広告表示や広告効果測定などに利用されることがあります。
多くのクッキーバナーでは、広告Cookieについて明示的な選択を求めています。
Q5. 日本法でもクッキーバナーは必須ですか？
いいえ。日本法上、クッキーバナーやCookie同意は義務ではありません。
ただし、電気通信事業法の外部送信規律や個人情報保護法など、別の法規制を検討する必要があります。
Q6. GDPR対応が不要な企業でもクッキーバナーを導入すべきですか？
法的義務の有無と導入の是非は別問題です。
GDPR適用がなく、日本法上もバナーが義務でなくても、
- 透明性向上
- 利用者の安心感
- グローバル標準への対応
などを理由に導入する企業もあります。
もっとも、「他社が導入しているから」という理由だけで導入するのではなく、自社に適用される法規制を確認することが最優先事項です。
社内情報共有・紹介について
個人情報保護法、プライバシーガバナンスに関する理解の促進を目的として情報発信を行っています。
本記事および動画が参考になりましたら、同様の課題や関心を持つ方へご共有いただけますと幸いです。
YouTube動画、水町雅子ブログおよび水町雅子Webサイトは、著作権法の範囲内での、社内研修・勉強会・研究活動・社内情報共有（社内チャット・社内ポータル）・SNS等での紹介を歓迎しています（出典表示をお願いします）。なお、著作権を放棄するものでも、引用の範囲を超える利用を許諾するものでもありません。
執筆者プロフィール
弁護士 水町雅子（第二東京弁護士会、宮内・水町IT法律事務所所属）
現在、法人様向けのご相談のみお受けしております。
個人の方からのご相談には対応しておりませんので、ご了承ください。
SE（ITシステム開発）、コンサルティング等をシンクタンクにて行った後、弁護士登録。内閣官房・特定個人情報保護委員会にてマイナンバーの制度設計、ガイドライン作成、PIA制度化等を行う。
個人情報・ITに関して、首相官邸パーソナルデータに関する検討会参考人、内閣府「マイナンバーの利活用拡大のための検討タスクフォース」委員、こども家庭庁「こどもデータ連携の取組に関する検討会」委員、厚生労働省ITシステム等技術審査委員、東京都東京デジタルサービス会議構成員、東京都足立区情報公開・個人情報保護審議会委員、つくば市プライバシー影響評価制度検討懇話会委員、総務省・経産省・AMED実証事業等の支援等、実績豊富。
マイナンバー、個人情報、AI、医療情報、IT法務、企業法務、行政法務等に対応。書籍・論文執筆・講演のほか、日本経済新聞、朝日新聞、読売新聞、雑誌、TV等メディアコメント多数。
詳細な略歴はこちら。
