Cookie同意バナーは必要？改正法の対応範囲

01はじめに｜この記事でわかること

要点： Cookie同意バナーが必要かどうかは、サイトの種類とCookieの使い方で決まります。この記事では、規律の対象になるサイトの見分け方、同意以外の3つの選択肢、そして公表ページに何を書くかまでを、制作の現場から整理します。

「うちもCookieのバナー、出したほうがいいですよね」。ここ数年、いちばん多いご相談がこれです。ところが点検してみると、バナーより先にやることが見つかります。そもそも規律の対象外だった、というケースも珍しくありません。

2000年創業のWeb制作会社ZenWeb Japanでは、コーポレートサイトの制作とあわせて、この判断のお手伝いをしています。

この記事はCookie同意バナーの要否を、条文の順番ではなく判断の順番で扱います。法律の全体像は個人情報保護法のWebサイト対応をご覧ください。最終的な法的判断は、弁護士など専門家にご確認ください。

まずは前提となる「個人関連情報」の考え方を動画で押さえておくと、この先が読みやすくなります。

02Cookie同意バナーは必要？結論から

要点： 一般的な企業サイトでは、Cookie同意バナーは必須ではありません。電気通信事業法の外部送信規律が求めているのは、通知・公表・同意取得・オプトアウト措置のいずれか1つだからです。同意はその中の選択肢にすぎません。

総務省の外部送信規律FAQでは、確認の機会を与える方法として、通知、利用者が容易に知り得る状態に置くこと（いわゆる公表）、同意取得、オプトアウト措置のいずれかを行えばよいと示されています。バナーを出すのは、このうち同意取得を選んだ場合の実装です。

判断はおおまかに3段階で進みます。

1. そもそも規律の対象か。 会社案内とサービス紹介だけのサイトなら、対象外がほとんどです。
2. 対象なら、どの方法を選ぶか。 公表で足りることが多く、いきなり同意取得を選ぶ理由はありません。
3. 広告用のIDを外部に渡していないか。 ここは個人情報保護法の側で確認します。

3段階目だけは性質が違います。詳しくは第8章で扱いますが、同意が本当に必要になるのはここだと考えてください。

03日本のCookie規制は2つある｜法律の違い

要点： 日本のCookieまわりの規律は、電気通信事業法の外部送信規律と、個人情報保護法の個人関連情報の2本立てです。求めているものが違うので、片方だけ見ていると対応がずれます。まず2つを分けて考えてください。

混乱の原因は、この2つがどちらも「Cookie規制」と呼ばれていることです。実際には、対象も義務の内容も別物です。

出典：総務省「外部送信規律FAQ」および個人情報保護委員会「個人情報保護法についてのガイドラインに関するＱ＆Ａ」の記載を整理。

もうひとつ押さえたいのが、欧州との違いです。総務省のFAQでは、外部送信規律は欧州のePrivacy指令によるCookie規制と同じものではないと明記されています。海外の解説記事をそのまま当てはめると、対応が過剰になります。

この整理は、プライバシーポリシーの書き方を見直すときにも役立ちます。書く場所は同じでも、根拠になる法律が違うからです。

04外部送信規律の対象になるサイト・ならないサイト

要点： 自社の需要のために運営しているサイトは、電気通信事業に当たらないため対象外です。会社案内、サービス紹介、来店予約、自社商品の販売ページはここに入ります。逆にニュース配信や求人情報の提供は対象になります。

総務省のFAQでは、対象となる役務が4つの類型で示されています。

1. 利用者間のメッセージ媒介。 メールやダイレクトメッセージの機能です。
2. SNS・電子掲示板・動画共有・オンラインショッピングモール。 複数の出品者の商品を買える「場」を提供するサービスです。
3. オンライン検索サービス。 ウェブページ全体を対象に検索できるものを指します。
4. 各種情報のオンライン提供。 ニュース配信、気象情報、地図などが挙げられています。

実務で効いてくるのは4番目です。自社サイトでニュースやお役立ち記事を継続して配信していると、ここに入る可能性が出てきます。

一方で、対象外とはっきり整理されているものもあります。

• 会社案内・サービスの案内ページ。 自己の需要によるものとされ、電気通信事業に当たりません。
• 自社商品だけを売るオンライン販売。 本来業務である小売の手段にすぎない、という整理です。自社ECなら特定商取引法の表記とあわせて確認すると、表示まわりを一度で整理できます。
• 来店予約のページ。 これも自己の需要によるものとされています。
• 社内向けの業務システム。 対象となる役務の類型に含まれません。

注意したいのは、ページ単位で判断が変わる点です。ニュース配信のページは対応が必要でも、同じサイトの会社案内ページには要らない、という結論もあり得ます。ワイヤーフレームの段階でページの役割を整理しておくと、この切り分けが後から楽になります。

対象かどうかは「サイト全体」ではなく、「そのページが何をしているか」で決まります。

05サイト種別ごと｜規律の対象になった割合

要点： 点検した企業サイトを類型ごとに分けると、8割近くが規律の対象外でした。対象になったのは、記事を継続配信しているサイトと求人情報を扱うサイトです。会社案内が中心のサイトは、ほぼ対象外に振り分けられました。

出典：総務省「外部送信規律FAQ」の類型区分に沿って、ZenWeb Japanが制作・改修を担当した企業サイトを分類した集計（日本国内、2023〜2026年）。

この表を見せると、多くの担当者が同じ反応をされます。「うちは対象外だったんですね」。ただ、ここで終わりにはできません。対象外でも、個人情報保護法の側は別に確認が必要だからです。構成比も年々動いていて、記事を出す企業が増えたぶん対象に入るサイトも増えています（第12章の推移をご覧ください）。

06対応方法は4つ｜同意バナーは選択肢の1つ

要点： 対象になった場合の選択肢は、通知、公表、同意取得、オプトアウト措置の4つです。どれか1つを満たせば足ります。中小企業のサイトでは、公表を選ぶのがいちばん現実的です。

4つの中身を、実装の重さの順に並べます。

• 公表（容易に知り得る状態に置く）。 送信先と情報の内容を一覧にしたページを用意し、そこへ到達できるようにします。もっとも軽い対応です。
• 通知。 初回表示時のポップアップなどで、その場で知らせます。全文を出しきれないときは、続きのページへ移動できるようにします。
• オプトアウト措置。 求めに応じて送信や利用を止める仕組みです。停止ボタンやフォームでの受付が例に挙げられています。
• 同意取得。 同意した人にだけ送信する仕組みです。いわゆる同意バナーがこれにあたります。

公表を選ぶ企業が多いのは、計測が欠けないからです。同意取得にすると、同意しなかった人の行動が計測から抜けます。広告の効果測定にも影響しますので、必要がないのに選ぶ理由はありません。

どの方法でも共通して求められるのは、日本語で、平易な表現で、拡大や縮小をしなくても読める大きさで表示することです。公開後の運用チェックに入れておくと安心です。

07点検で見つかった外部送信タグ｜設置率

要点： 点検でいちばん多く見つかったのはアクセス解析タグですが、担当者が気づいていなかったのは動画の埋め込みとWebフォントでした。広告タグより、こちらのほうが見落とされています。

出典：ZenWeb Japanが制作・改修を担当した企業サイトのタグ点検の集計（日本国内、2024〜2026年）。「気づいていなかった割合」は設置サイトのうち担当者が把握していなかった比率。

動画の埋め込みとWebフォントが上位に来るのは、マーケティング目的で入れたものではないからです。デザインの都合で入り、そのまま忘れられます。制作会社が入れて、社内に共有されていないこともあります。

棚卸しはリニューアル前のサイト診断と同時にやると安く済みます。ページを一枚ずつ開いて通信を見れば、半日ほどで一覧になります。

08個人情報保護法でCookie同意が必要になる場面

要点： Cookieなどの端末識別子は、多くの場合「個人関連情報」にあたります。これを第三者に渡し、渡した先が個人データとして受け取ると想定されるときは、本人の同意が得られていることを確認する義務があります。

個人情報保護委員会のFAQでは、Cookie等の端末識別子は、個人情報に当たらない場合は通常個人関連情報に該当すると整理されています。他の情報と容易に照合して個人を識別できるときは、全体として個人情報になります。

そのうえで個人情報保護法第31条第1項では、個人関連情報を第三者に提供する場合で、提供先が個人データとして取得することが想定されるときは、原則として本人の同意が得られていることを確認しなければならないとされています。

実務でこれに当たりやすいのは、次のような場面です。

• 広告配信先にIDを渡している。 提供先で会員情報と結び付くことが想定される場合です。
• 外部のデータ連携で顧客リストを突き合わせている。 メールアドレスのハッシュ値などを渡す仕組みです。
• グループ会社と閲覧履歴を共有している。 別法人であれば第三者にあたります。

逆に、自社の中でアクセス解析に使うだけなら、この確認は出てきません。「外に渡すか」「渡した先で個人と結び付くか」の2点が分かれ目です。迷う場合は、フォームで取得している情報とあわせて個人情報保護法のWebサイト対応を確認してください。

09対応方法別｜費用と運用の手間を比べる

要点： 公表だけなら数万円で終わりますが、同意取得を選ぶと実装も運用も一段重くなります。計測が欠ける分の影響も含めて比べると、必要がないのに同意取得を選ぶ理由は見つかりません。

出典：ZenWeb Japanが2024〜2026年に対応した案件の集計（日本国内、税別）。費用は既存サイトへの追加を前提とした目安で、実際の金額はお見積りによります。

同意取得だけ運用の欄が重いのには理由があります。バナーを入れると、同意ボタンを押す前にタグが動いていないかを定期的に見る必要が出てきます。プラグインの更新やタグの追加で、この順番はかんたんに崩れます。

WordPressならプラグインの構成ごと見ておくと安全です。保守費用の内訳に、この確認を含めておくのもおすすめです。

10バナーを付けても解決しないこと

要点： バナーを設置しても、送信先と情報の内容を書いていなければ足りません。また同意前にタグが動いていれば、同意を取った意味がなくなります。バナーは見た目の対応であって、中身の対応ではありません。

点検でよく見つかるのは、次の3つです。

• 記載事項が足りていない。 「Cookieを使います」とだけ書いてあり、どこへ何が送られるかが書かれていません。
• 同意前にタグが動いている。 バナーを閉じる前に通信が発生しています。実装の順番の問題です。
• 過剰な対応になっている。 表示に必要なIDまで止めてしまい、ログインや買い物かごが動かなくなる例もあります。
• 海外テンプレートのまま入っている。 詳細ページだけ英語、送信先の名称が出ない、必須Cookieの扱いが欧州向け。欧州のルールに合わせて作られたツールは、設定を日本の要件に合わせて詰め直さないと足りません。

3つ目については、総務省のFAQに整理があります。画面表示のために必要な情報や、事業者が利用者を識別するために自ら送信する識別符号（いわゆるファーストパーティCookieに保存されたID）は、確認の機会を与える必要がないとされています。止めなくてよいものまで止めるのは、機会損失にしかなりません。

バナーが出ているかどうかは、対応できているかどうかとは別の話です。

制作時にどこまで含めるかは、契約の範囲にも関わります。納品後にもめないよう、制作会社と発注者の権利の切り分けとあわせて確認しておくと安心です。

11公表ページの作り方｜どこに何を書くか

要点： 書くのは3つです。送信される情報の内容、送信先の氏名または名称、送信先での利用目的。プライバシーポリシーへのリンクで示す方法も認められていますが、リンクを貼るだけでは足りません。

実際のページは、次の順で組み立てると迷いません。

1. 導入文を1〜2行。 どんな目的でどこへ情報を送っているかを、まず一言で書きます。
2. 送信先ごとの表。 送信先の名称、送られる情報の内容、利用目的の3列にします。
3. 停止方法があれば添える。 オプトアウトを用意しているなら、その導線をここに置きます。
4. 更新日を入れる。 タグを追加したときに書き換える起点になります。

利用目的は、送信先が公表しているページのURLを示す方法も認められています。ただし総務省のFAQでは、リンクを貼るだけでなくリンク先の内容の概要を併せて示すことが望ましいとされています。リンク先が英語などの場合、リンクの表示だけでは認められません。

置き場所は、外部送信を行うページ、またはそこから容易に到達できるページです。フッターに常設リンクを置くのが一般的で、プライバシーポリシーの直後に並べると探しやすくなります。ページを増やす際はURL構成の整理も一緒にしておくと、あとの移行が楽です。

12年別｜相談の内訳はどう変わったか

要点： Cookie関連のご相談のうち、規律の対象外だった割合は年々下がっています。オウンドメディアを持つ企業が増えたためです。ただし同意取得まで必要だったのは、今も2割に届きません。

出典：ZenWeb JapanにCookie対応のご相談をいただいた案件の集計（日本国内、2023年〜2026年6月）。構成比のため各年の合計は100%。

対象外の割合が下がっているのは、規律が厳しくなったからではありません。企業サイトの作り方が変わったからです。記事を継続して出すサイトが増えれば、そのぶん対象に入るサイトも増えます。サイトを作り替えるときは、この判断もあわせて見直してください。

個人情報保護法も令和8年に改正法が公布され、施行に向けた準備が進んでいます。詳しくは個人情報保護委員会の令和8年改正個人情報保護法のページをご確認ください。ただ、いま手を付けるべきなのはすでに義務になっている部分です。

13制作会社に依頼するときの確認事項

要点： 依頼するときは「バナーを付けてください」ではなく、「対象かどうかの判断から見てほしい」と伝えてください。判断を飛ばした実装は、不足と過剰の両方を生みます。

見積りの段階で確認しておきたい項目です。

• タグの棚卸しが含まれるか。 どの機能が外部送信しているかの一覧が出発点になります。
• 対象判断の根拠を示してくれるか。 どのページがどの類型に当たるのか、理由まで説明できるかを見ます。
• 公表ページの原稿はどちらが書くか。 利用目的の文言は、社内で決めないと書けません。
• タグを追加したときの更新は含まれるか。 メンテナンスの範囲に入っているかを確認してください。

ZenWeb Japanでは、ホームページ制作と改修のなかで、この棚卸しと判断からお手伝いしています。料金はサイトの規模と構成で変わるため、お見積りでご案内します。

14まとめ｜対応の5ステップ

要点： タグの棚卸しから始めて、サイトの類型を確認し、対応方法を選び、公表ページを作り、年1回見直す。この5つで一巡します。Cookie同意バナーの検討は、3番目に出てくる話です。

順番どおりに進めてください。

1. タグを棚卸しする。 ページを開いて外部への通信を確認し、機能ごとに一覧にします。
2. サイトの類型を確認する。 ニュース配信や求人情報の提供があるかを、ページ単位で見ます。
3. 対応方法を選ぶ。 通知・公表・同意取得・オプトアウトから1つ。多くは公表で足ります。
4. 公表ページを作る。 送信される情報、送信先の名称、利用目的の3項目を表にします。
5. 年1回見直す。 タグの追加や差し替えがあれば、そのつど書き換えます。

費用も期間も、いちばんかかるのは1番目です。ここさえ終われば、残りは事務作業に近くなります。公開後にやることに組み込んでおくと、担当者が変わっても引き継げます。

15よくある質問

要点： 同意バナーの要否について、ご相談でよくいただく質問をまとめました。判断に迷ったときの目安としてお使いください。個別の事情によって結論が変わる点は、あらかじめご了承ください。

1. 会社案内だけのサイトにもCookie同意バナーは必要ですか

会社案内とサービス紹介だけのサイトなら、外部送信規律を理由に出す必要はないケースが大半です。総務省のFAQでも、サービスの案内ページは自己の需要によるものとされています。広告用のIDを外部に渡している場合だけ、個人情報保護法の側で別に確認してください。

2. アクセス解析を入れているだけでも対象になりますか

解析タグの有無では決まりません。判断はサイトが提供している役務の類型で行います。会社案内が中心のサイトなら、解析タグがあっても対象外になることが多いです。逆に記事を継続配信していれば、対象になる可能性が出てきます。

3. Cookieを使っていなければ対応は不要ですか

Cookieの有無でも決まりません。総務省のFAQでは、利用者の端末から外部へ情報を送信するよう指令するプログラムを送っていれば、Cookieを使っていなくても規律の対象になり得るとされています。動画の埋め込みやWebフォントも確認の対象です。

4. 対応にはどのくらい費用と期間がかかりますか

公表ページの追加だけなら3〜8万円、同意取得の仕組みまで入れると15〜40万円が目安です（税別）。期間はタグの棚卸しに2〜5営業日、原稿の確定と反映に1〜2週間ほど。利用目的の文言を社内で決める時間が、いちばん読みにくい部分です。

5. 海外からのアクセスがある場合はどうなりますか

欧州の利用者を主な対象にしているサイトでは、現地のルールを別に確認する必要があります。日本の外部送信規律は、欧州のePrivacy指令によるCookie規制と同じものではありません。対象地域と利用者層を整理したうえで、専門家にご相談ください。