OS工芸社 Blog

Webサイトを訪れた時に、Cookieの許可について同意を求められることがあります。
「Cookieを許可したらどうなるのだろう」「そもそもCookieって何だろう」と思っている方も少なくないと思います。
今回はWebサイトにおいて重要なCookieについて解説します。

Cookieとは何か

ユーザー・運営者の双方から見たCookieの役割

私たちがWebサイトにアクセスした時、サーバーからホームページの情報が送られてきます。
これによって、私たちはWebサイトを閲覧・利用することができます。そのレスポンスに添付される小さなテキストファイルがCookieです。サーバーはこのCookieをブラウザに保存するように指示を出し、この保存されたデータを用いることで、ユーザーは快適にWebサイトを利用することができます。
例えばCookieを用いることで、以下のようなことができます。

Cookieでできること

Cookieには種類がある

一口にCookieといっても、いくつか種類がありますが、本記事のメインとなる「ファーストパーティCookie」と「サードパーティCookie」について紹介します。

ファーストパーティCookieについて

ファーストパーティCookieとは、ユーザーが訪問したサイトのドメインから発行されるCookieです。
発行元がそのサイトの運営元であるため、ユーザーがCookieの管理者を容易に認識することができます。
また、サイト外のユーザー行動を追跡することはできません。
Google社が提供する無料のアクセス解析ツール「Google Analytics 4（GA4）」はこのファーストパーティCookieに分類されます。

GA4ってなに？

WebサイトにGoogle Analyticsの導入をご検討されている方に向けて、最新バージョンであるGA4の機能や旧バージョンとの違い、プライバシー保護に対する問題点と当社の対応をご紹介しています。

サードパーティCookieについて

サードパーティCookieとは、ユーザーが訪問したサイト以外のドメイン（第三者）から発行されるCookieです。
ユーザーが他にどんなサイトを訪問しているか、どのような広告をクリックしているか等の情報を追跡（トラッキング）することができ、その情報をもとに、ユーザーの興味関心に合わせた広告を表示するなどの目的で利用されます。
サードパーティCookieはユーザーの目に見えないところでサイトを跨いだ行動まで追跡されるため、プライバシー保護の観点から近年問題視されています。

Cookieをとりまく状況

サードパーティCookieはユーザーの行動追跡によりコンテンツ改善ができるなど、企業に利益をもたらす一方で、ユーザーのプライバシーを侵害しているという見方が強く、EUを中心とした海外での規制が強くなっています。日本でもその影響が少なくありません。

ブラウザ別の規制状況

ブラウザによって状況はさまざまですが、規制傾向にあることは間違いないでしょう。
Safari（Apple社）は2023年3月のSafari 16.4リリース時点において、原則サードパーティCookieを完全にブロックしていますし、ファーストパーティCookieであっても保存期間は最大7日間に制限されています。
日本国内トップシェアであるGoogle Chrome（Google社）は2024年半ば頃から、サードパーティCookieを段階的に廃止する声明を出しています。またMozilla Firefox（Mozilla社）やMicrosoft Edge（Microsoft社）は、サードパーティCookieをデフォルトでブロックしています。

Cookie規制の現状と対応

海外では

Cookieの規制に関して、最も大きな影響を与えたといわれているのが、EU（欧州連合）で2018年に施行されたGDPR（一般データ保護規則）です。この中でファーストパーティ、サードパーティに関わらずCookieを利用して個人情報を収集する場合、本人の同意が必要であることが定められました。違反した場合は莫大な制裁金が科されることがあります。

実際に、ユーザーの事前同意なしにCookieを利用したとして、フランスの個人情報保護監督機関CNILがGoogle社、Amazon社、Facebook社（現Meta社）等を訴え、それぞれに多額の罰金が科されています。
この法律は、EU圏からのアクセスがある場合に適用されるため、EU圏域外の事業者であってもCookie利用にユーザーの同意を要する点に注意が必要です。

このような流れを受け、世界各国でプライバシー保護の機運が高まっています。また同時に、Cookieの取り扱いがよりデリケートになっています。例えば、アメリカ（カリフォルニア州）では2020年にCCPA（カリフォルニア州消費者プライバシー法）が施行されました。こちらはCookieの利用の際に、必ずしも同意を求めることは言及されていませんが、必要に応じて情報の破棄を要求できる権利（オプトアウト権）が保証されています。

日本では

世界的な個人情報保護の流れを受けて、日本でも2022年に「改正個人情報保護法」が施行されました。この中でCookie情報は、個人関連情報として取り扱われることが定められています。
個人関連情報とは、氏名や生年月日など情報そのものが個人を直接特定できるものではないものの、個人に関連している情報のことを言います。

そして、2023年6月にはCookie規制を盛り込んだ、「改正電気通信事業法」が施行となりました。規制対象は一般的なWebサイトの運営も含まれる広範囲なものであるため、日本国内においても、より慎重なCookieの取り扱いが必要です。

また、改正電気通信事業法では、Webサイト運営者に対して、次のいずれかの対応を行うことを求めています。

• 外部のサーバーにユーザー情報を送信する旨について、通知・公表すること
• ユーザーの意思によって、情報を外部に送信をしないようにすること
• 情報送信に関してユーザーの同意を得ること

上記の中でいうと、サイト上でCookieの取り扱いについて通知、公表をするのが運営者にとって比較的取り組みやすい対応です。通知、公表の方法は、サイトを訪れた際に表示するポップアップバナーで通知する、個人情報の取り扱いに関するページへのリンクをフッターに配置する等が考えられます。いずれも、サイトを訪れたユーザーが容易に情報にたどり着けることがポイントです。ユーザーがすぐにわからない場所で、表示するのはNGとなっています。

OS工芸社のCookieへの取り組み

Cookieの取り扱いはより慎重さを求められるようになっており、ユーザーから許可を得て使用する必要があります。Cookie利用に同意をもらう方法として、サイト訪問時にポップアップを表示させる方法がよく使われます。このポップアップにボタンを配置し、それをユーザーがクリックすることでCookieの利用が開始される仕組みになっています。拒否ボタンのないポップアップも存在しますが、ユーザーに拒否権がないものは、GDPRに準拠しているとは言えません。

OS工芸社でも、もちろんCookieポップアップの実装が可能です。
Cookieの使用に「同意する」ボタン、「同意しない」ボタンを設置することで、ユーザーの意向がきちんと反映されるようになっています。また、サイト内にCookieの説明ページを設置しCookieについて見識がなかったとしても、ユーザー自身が選択できるようにCookieポリシー（プライバシーポリシー）ページにもワンクリックで飛べるようになっています。