オフィスの机でパソコンを開き、自社サイトに表示されたバナーらしき帯を見ながら「これ、うちにも必要かな」と少し迷った表情で考えている企業のWEB担当者
サイト運用・更新約10分

Cookie同意バナーの基本｜自社サイトに必要か一緒に整理

「サイトを見に行くと、下や真ん中に『Cookieの使用に同意しますか』って出てくるやつ、うちのサイトにも付けなきゃいけないのかな」——最近、そんな相談を社内でされたり、他社のサイトを見ていてふと不安になったり。正直、「そもそも何のための表示なのか」からよく分からないまま、後回しになっていませんか。一人でサイトを預かっていると、こういう「法律がからみそうな話」はとくに手が止まりますよね。

先にお伝えすると、これは「知らなかったあなたが悪い」という類いの話ではありません。ニュースやSNSでは「Cookie同意は必須」という言い方も見かけますが、日本のいまのルールでは、すべてのサイトに同意バナーが一律で義務づけられているわけではないからです。混乱しやすいのは当然。今日は、まず日本で何が求められているのかを落ち着いて整理し、そのうえで「うちはどうするか」を一緒に決めていきましょう。

結論：あわてて同意バナーを付ける前に、順番はこうです。①自社サイトが外部にどんな情報を送っているか（GA4・広告タグなど）を洗い出す → ②それをプライバシーポリシーなどで「公表」して利用者が確認できるようにする → ③同意バナー（同意管理）を入れるかどうかを、対象読者や広告の状況で判断する。
全部を今日やらなくて大丈夫。まずは「①うちのサイトに、外部サービスのタグがいくつ入っているかを見てみる」だけでも、判断の土台ができます。

何が起きているのか

まず、よく混ざってしまう「2つの話」を分けます。ここが整理できると、ぐっと見通しがよくなります。

ひとつは、日本の「外部送信規律」です。2023年6月に施行された改正電気通信事業法で加わったルールで、ざっくり言うと「あなたのサイトが、利用者の情報を外部の会社に送っているなら、そのことを利用者が確認できるようにしましょう」というもの。たとえばアクセス解析（GA4）や広告のタグ、SNSのボタンなどは、訪問者の閲覧情報を外部に送っています。それを「何を・どこに・何のために送っているか」を、利用者が分かる形にしておく——これが求められている中心です。

ここで大事なのは、このルールの基本は「同意を取ること」ではなく「知らせること（公表・通知など）」だという点です。プライバシーポリシーなどに分かりやすくまとめて載せておく、という対応が現実的な出発点になります（対応方法にはいくつか選択肢があり、詳しくは後述の一次情報で確認してください）。

もうひとつは、EU向けのGDPR（欧州の個人データ保護ルール）です。よく見かける「同意しますか？」のバナーは、こちらの影響が大きい。EUの利用者に向けてサービスを提供している場合は、Cookieなどの利用に事前の同意を求める考え方が基本になります。日本国内のお客さんだけが相手のサイトと、海外にも売っているサイトとで、必要な対応が変わってくる——ここが混同されやすいところなんですね。

だから「他社が付けているからうちも」と急ぐ前に、うちのサイトは誰に向けたもので、外部に何を送っているのかを先に見る。それだけで、必要な対応の輪郭が見えてきます。ここまで気にして調べているだけで、もう一歩前に進んでいます。

手順を小さく分ける

「外部送信の棚卸し → プライバシーポリシーで公表 → 同意バナーを入れるか判断」の3ステップで進める流れの図
順番は「調べる → 伝える → 決める」。いきなりバナーではなく、まず自社の状況を知ることから

一度に完璧を目指さず、上流から順に。最初のひとつを終えるだけでも、判断の土台ができます。

  1. 外部に情報を送っている仕組みを洗い出す：まず「うちのサイトに、どんな外部サービスのタグが入っているか」を書き出します。よくあるのは、アクセス解析（GA4）・広告（リスティングやリターゲティング）・SNSのシェアボタンや埋め込み・地図・チャット・Webフォント・動画埋め込みなど。制作会社に作ってもらったサイトなら、自分でも把握しきれていないタグが入っていることは珍しくありません。管理画面（タグマネージャーを使っていればその一覧）や、制作会社への確認、ブラウザの拡張機能などで棚卸しします。ここは「正確に全部」でなくて大丈夫。まず主要なものをリスト化するのが目的です。
  2. プライバシーポリシー（またはCookieの説明）で「公表」する：洗い出した外部サービスについて、「どんな情報を・どこに・何のために送っているか」「利用を止めたい人はどうすればいいか（オプトアウトの案内）」を、利用者が見つけやすい場所にまとめます。多くの会社は、既存のプライバシーポリシーに追記するか、別途「Cookie（クッキー）ポリシー」のページを用意しています。専門用語をそのまま並べるより、利用者が読んで分かる言葉で書くほうが親切です。文面に迷う場合は、後述の公式ガイドラインや、必要に応じて専門家に相談してください。
  3. 同意バナー（同意管理）を入れるかどうかを判断する：ここでようやくバナーの検討です。判断の目安は、(a) EUなど海外の利用者にも向けているか、(b) 広告のリターゲティングなどCookie前提の施策を重視しているか、(c) 自社や取引先の方針で同意取得を求められているか。当てはまるなら、同意を管理する仕組み（同意管理＝CMPと呼ばれるツール）の導入を検討します。国内向けの情報提供が中心で、上のどれにも当てはまらないなら、まずは②の公表をしっかり整えるだけでも十分な出発点になることが多いです。
  4. 入れるなら「拒否も同じくらい簡単に」を意識する：同意バナーを付ける場合、「同意する」ボタンだけが目立ち、拒否や設定変更がしづらい作りは、利用者にとって不親切です。同意・拒否を対等に選べるようにしておくと、後々のトラブルや不信感を減らせます。デザインや文言に迷ったら、制作会社やツールの初期設定を土台に、少しずつ整えていけば大丈夫です。

まずは「1. 外部サービスのタグを洗い出す」を今日の一手にできれば十分です。自社が何を送っているかが分かれば、②も③も判断しやすくなります。

補足：Cookieやタグの追加・削除は、まれにアクセス解析の計測が止まったり、表示が変わったりすることがあります。設定をいじる前にサイト更新・公開前チェックリストで「戻せる状態か・計測が生きているか」を確認しておくと、落ち着いて進められます。

もし「対応が必要かも」と迷ったら

ここは、判断に自信が持てないときのための整理です。次のどれかに当てはまるなら、少し丁寧に見ておくと安心です。

こうしたときは、一人で「これで合っているはず」と抱え込まず、総務省など公式のガイドラインで最新の考え方を確認するか、必要に応じて制作会社や、個人情報・法務にくわしい専門家に相談するのが安全です。法律の細かい要件やあてはまり方は、事業の内容によって変わります。この記事はあくまで全体像を整理して、相談すべきかを判断するための地図として使ってください。「どこから手をつければいいか分かった」だけでも、十分な前進です。

明日やること

今日いきなり全部を決めなくて大丈夫です。まずは現状を知るだけなら短時間で終わります。

  1. 外部タグを洗い出す：GA4・広告・SNS・地図・チャットなど、思いつく外部サービスをメモに書き出す。タグマネージャーを使っていれば、その一覧を眺めるだけでも把握が進みます。
  2. 今のプライバシーポリシーを読み返す：外部送信のことが「何を・どこに・何のために」まで書かれているか確認する。足りなければ、追記のタスクとしてメモ。
  3. 自社サイトの対象読者を確認する：国内のお客さんが中心か、海外（EU）にも向けているかを、はっきりさせておく。バナーが要るかの大きな分かれ道になります。
  4. 迷いどころを箇条書きにしておく：判断に不安が残る点を書き出し、公式ガイドラインで調べる・相談する、の準備をする。

チェックリスト

まずはこの3つを確認できれば、対応の方向性が見えてきます。最低ラインはここに絞ります。

残りは「状況しだいで」の任意項目です。当てはまらなければ、空欄のままで問題ありません。

外部タグの棚卸しと方針の整理を終えて、ほっと肩の力を抜き、穏やかな表情でパソコンに向かって前を向いている企業のWEB担当者

Cookieや同意バナーと聞くと、法律の難しい話に思えて、つい身構えてしまいますよね。 でも、今日やったのは「うちは外部に何を送っているかを知る」「それを利用者に伝える準備をする」という、地味だけど確かな一歩です。バナーを付けるかどうかは、そのあとでゆっくり決めれば大丈夫。全部を一度に完璧にする必要はありません。今日、外部タグをひとつ書き出せたなら、あなたのサイトの見通しは、昨日より確実に良くなっています。

よければ、こちらも

タグを触る前に「戻せる状態か・計測が生きているか」を確かめたいなら、サイト更新・公開前チェックリスト。そもそもGA4が外部に何を送って何を見ているのかを知りたいときは、GA4で最初に見るべき4つの画面や流入経路（自然検索・SNS・広告）を分けて見る方法。タグを増やしすぎてサイトが重くなっていないか気になるなら、表示速度をPageSpeed Insightsで測って直す基本も合わせてどうぞ。「うちの場合はどう対応すれば？」と迷ったら、お問い合わせからいつでも声をかけてくださいね。

関連用語