2021.06.30

日本では今後どのようなCookie規制が行われるのか? その背景と広告や同意などの対策

2020年、米Googleは提供しているブラウザ「Chrome」において、サードパーティCookie(訪問しているWebサイトではないドメインから発行されたCookieデータ)のサポートを2022年までに段階的に打ち切ると発表し、話題になりました。この発表をふまえ、残りの期間でどのような対策をとるべきかは、企業のマーケティング担当者にとって非常に重要です。
今回は、そもそもCookieとは何か、なぜCookieを規制する動きが強められているのか、さらに規制によってどのような影響と対策が考えられるかなどを総合的に解説していきます。

Cookie規制とは

Cookie規制とは「Cookieによって得られたユーザーの購買履歴や趣味嗜好データを利用することが、個人情報保護の観点から問題がある」という考え方によって、Cookieの仕組みに規制をかけて個人情報を守ろうという動きを指します。
Cookieを利用したWEB広告を活用している企業は、Cookieが規制されることで、ユーザーの属性や興味分野などのデータをもとに広告配信することができなくなるため、その対応策を考えなければならなくなります。

そもそもCookieとは

そもそもCookieとは何かをおさらいしましょう。
Cookieとは、WebサーバーやJavaScriptからユーザーのブラウザへ送られて保存される小さなテキストファイルを指します。CookieにはIDが記載されており、そのIDを用いてWebサイトを閲覧したユーザーの識別を行うことで、再訪者であるか否かを判断することができます。

Cookieの仕組み

初めてWebサイトへ訪れるとブラウザへCookieが送信され、ページを閲覧した履歴やログイン情報などを記録します。
ユーザーが再度発行元のWebサイトへ訪れるとブラウザからCookieが送信され、Webサイト上のユーザー情報と照らし合わせてユーザーを識別し、前回使用していた情報を読み取ることができます。さらにWebサイトへ訪問する度にCookieに行動履歴が書き込まれ、データとして蓄積されていきます。
この書き込まれたCookie情報は、SNSやWebサイトでログインの手間を省いたり、一時停止した動画を途中から再生する働きをしたり、ショッピングサイトで以前カートに入れた商品がそのまま残したりといった働きをすることで、ユーザーの利便性の向上に寄与しています。Cookieは私たちが快適にWebサイトを閲覧するために重要で欠かせないものです。

またサイト運営側にとっても、Cookieには活用の大きなメリットがあります。
Cookieによってサイト訪問者のユーザー属性や閲覧履歴、買い物履歴などが把握できるようになり、見込み顧客の分析などマーケティング施策を検討する上での手がかりとなります。
ユーザーとサイト運営者の双方に活用されているCookieですが、なぜそれが規制される動きになっているのでしょうか。それには「サードパーティーCookie」が影響しています。

2種類のCookie

Cookieデータには、ファーストパーティーCookieとサードパーティーCookieと呼ばれる2種類があります。それぞれの違いを解説しましょう。

ファーストパーティーCookie

ファーストパーティーCookieとは、訪問しているWebサイトのドメインから直接発行されたCookieを指します。
ファーストパーティCookieは、訪問ユーザーに対して精度の高いトラッキング(行動の追跡)が可能ですが、他のサイトを横断してトラッキングすることはできません。

サードパーティーCookie

サードパーティーCookieとは、訪問しているWebサイトとは異なるドメインから発行されたCookieを指します。
Webサイトに訪れた際には、訪問したWebサイトからファーストパーティーCookieが発行されますが、Webサイト内に広告バナーが設置されている場合は広告配信サーバーからも同様にCookieが発行されます。この広告配信サーバーがWebサイトと別ドメインで運用されている場合、サードパーティCookieが発行されることになります。
たとえば直前に閲覧していたショッピングサイトの商品が、異なるサイトでバナー広告として表示されることにお気づきのかたも多いでしょう。この仕組みはサードパーティーCookieを活用した広告配信によるものです。

サードパーティーCookieは複数のWebサイトを横断し、ユーザーの行動履歴を収集したうえその関心に合わせた広告を配信するなどの働きをします。
このようにサードパーティーCookieは、ユーザーが意図していないところで行動履歴や趣味嗜好のデータを収集し使用されます。そのため、個人情報の保護の観点から規制をした方が良いのではないか、という声が年々強まっているのです。

サードパーティーCookie規制のきっかけとなった事例

サードパーティーCookieへの規制を求める声が強まった背景として、次のような事例があります。

ケンブリッジ・アナリティカ社問題

イギリスの選挙コンサルティング会社、ケンブリッジ・アナリティカ社は、2016年の米大統領選挙やイギリスのEU連合離脱を巡る選挙のために、ある性格診断をフェイスブック上でユーザーに提示しました。
そしてその性格診断を回答したユーザーと、そのユーザーにつながっているフェイスブック上の友達約8000万人の個人情報を知らぬ間に収集してユーザーの心理的な輪郭を描き出し、誘導したい結果を連想させる素材を配信し続けました。その活動が、選挙に影響をもたらしたのではないかという疑惑が浮上したのです。
個人情報を同意なく利用したこの事案は大きく取り上げられ、個人情報保護の厳格化が世界的で叫ばれるきっかけとなりました。

リクルートキャリア内定辞退率問題

日本でも、個人情報保護の観点から問題視された事例がありました。
リクルートキャリアが運営するサービス、リクナビ上で、就活生のサイト閲覧情報や行動を分析して個人の内定辞退率を算出し、その情報を他の企業へ販売していたことが明らかになりました。この一連のサービスは学生から同意を得ることなく提供していたため、結果的に廃止に追い込まれました。
日本ではこの事案がトリガーとなり、国全体で個人情報保護強化への意識が強まったといわれています。

Cookieに対する日本と海外の規制状況


それでは、法律の視点から海外と日本におけるCookie規制の動きがどのようになっているのか、詳しく説明していきましょう。

アメリカ(カリフォルニア)でのCookie規制状況は

米国カリフォルニア州では、2020年1月に米カリフォルニア州消費者プライバシー法(CCPA)が執行されました。
CCPAでは、カリフォルニアの消費者の権利を以下のように定めています。

  • 消費者が、消費者の個人情報を収集する事業者が、その事業者が収集した個人情報の類型及び特定の部分を自身に対して開示するように求める権利
  • 消費者が、事業者が消費者から収集した当該消費者についてのいかなる個人情報をも削除するように求める権利
  • 消費者が、消費者の個人情報を第三者に販売する事業者に対して、その消費者の個人情報を販売しないように指示する権利

引用:https://www.ppc.go.jp/files/pdf/ccpa-provisions-ja.pdf

ユーザーは個人情報の収集を拒否する権利があり、企業は個人情報を収集する意図をユーザーに通知する義務を課すという内容で、違反時には罰金も課せられます。

EUでのCookie規制状況は

EUでは、どの国よりも先にCookie規制の対策に取り組んでおり、2018年5月に「EU一般データ保護規則(GDPR)」が施行されています。GDPRには下記のような内容が盛り込まれています。

  • 個人データの処理および保管に当たり、適切な安全管理措置を講じなければならない
  • 個人データの収集及び利用目的について、有効な同意が明示的に行われなければならない
  • 個人データをデータ主体から直接取得していない場合、企業は当該情報の入手先を本人に通知しなければならない
  • 個人データの侵害(情報漏えい)が発生した場合、企業はその旨を監督機関に対し72時間以内に通知しなければならない

引用:https://www.ppc.go.jp/files/pdf/gdpr-provisions-ja.pdf

GDPRでは、個人情報は個人がコントロールする権利があるとし、CookieやIPアドレスなども個人情報とみなすとしています。Cookieが個人情報であると定義し、また他の国と比較して違約金がはるかに高額であることから、規制としてはかなり厳しい内容といえるでしょう。

日本ではいつからCookie規制が本格的になるか

日本でもリクルートキャリア内定辞退率問題をきっかけに、2020年6月に個人情報保護法が改正され、2年後には全面施行が予定されています。
今回の改正では、新たに個人関連情報に関する規定が設けられました。

  • 氏名と結びついていないインターネットの閲覧履歴、位置情報、Cookie情報を「個人関連情報」と名付けて、企業が他社に提供する場合に新たな規制を設ける
  • Cookieを提供された企業から見た場合に、誰の個人情報なのかがわかる「個人データ」となることが想定されるときは、本人の同意を得たことを確認できるよう提供元の企業に義務づけ、この記録を保存する。

引用:https://www.ppc.go.jp/files/pdf/200612_houritsu.pdf

今回の改正では、現段階ではCookieは個人情報には値しない「個人関連情報」と定義され、Cookieを活用したデータの収集と利用について同意取得の義務を2022年6月から実施することが決定しました。
そのため、日本ではCookieを利用した広告配信やユーザー情報の取得は現在も利用可能です。しかし、今後ますます規制が広がる可能性があるため、リターゲティング広告などの企業のマーケティング活動にも影響を及ぼすことが予想されます。

日本は遅れている? 各国の企業対応の割合

これまで各国の規制について述べましたが、日本の対策は他国と比較し、遅れている事実があることを念頭においておくべきでしょう。
前述したように、GDPRではCookieを個人情報と定義したため、EU諸国の企業はCookieの活用に細心の注意を払っています。各国における企業の対応状況を比較しても、米では約30%の企業、EUでは約80%の企業がCookie利用に対する同意取得バナーをWebサイトに設置し、対策を進めているのに対し、日本の企業はわずか約5%しか対応ができていないという調査結果があります。
日本では改正法の成立などが始まっているものの、未だ多くの企業がCookie規制への対応に着手できていません。今後、先を見据えて対策に取り組んでいく必要があるといえるでしょう。

各社ブラウザにおけるプライバシー対策状況

Apple

AppleのブラウザであるSafariは、2020年3月にサードパーティCookieを全面的にブロックしています。
Appleはドメインを横断したトラッキングを防止する機能があるITP(Intelligent Tracking Prevention)をSafariに搭載して個人情報のトラッキングを防ぐなど、プライバシー保護に関して強い姿勢を示しています。
ITPはサードパーティCookieだけでなく、ファーストパーティCookieへの制限もかけており、Web解析ツールにも影響が出ています。そのため、ITPの影響を受けないような対策を実装している「広告効果測定ツール」を導入するなどの対応が求められます。

Google

最初に述べた通り、GoogleはChromeにおけるサードパーティCookieのサポートを2年以内に打ち切る計画を発表しました。
Googleでは今後サードパーティーCookieを使用しない個人情報保護を前提とした新しいシステムを開発することを目標に掲げています。この新しいシステムでは、広告主は個人情報を取り出すことなくターゲティングができるようにすることを視野に入れており、現時点ではさまざまなシステムの構築を行っている段階であると公表しています。

Firefox

Firefoxでは、すでに強力なトラッキング規制が行われています。
ブロックリストによって、あらかじめクロスサイトトラッキングやいくつかのトラッカーのリソースが読み込まないようにするブロック機能などが搭載されています。

Cookie規制による影響が大きい広告分野

Cookie規制によって企業への影響が大きいとされる分野が広告活動です。
特にサードパーティーCookieを活用したリターゲティング広告は、効率的に顧客獲得につなげる有効な施策です。
リターゲティング広告では、サードパーティーCookieを使用してブラウザごとに購買履歴や閲覧行動を把握し、広告を出し分けていました。しかし、Cookie規制によって仕組み自体が機能しなくなる可能性も考えられます。
リターゲティング広告によって収益化を図っていた企業は、大幅に効果が下がってしまう可能性があるため、新たな広告配信方法などによって広告戦略を考え直す必要があります。

リターゲティングに替わる広告プラットフォームとは − OTAKAD(オタカド)の例

講談社が運営している広告配信プラットフォームのOTAKAD(オタカド)は、ファーストパーティーCookieを利用した広告配信と情報分析が可能なシステムで、サードパーティーCookie規制の影響なく集客をすることが可能です。
OTAKADでは、講談社が運営しているメディアにおける読者の記事閲覧データをもとに、それぞれの趣味趣向を分析し、独自のターゲティングと最適な掲載面への配信を行うことで効果を高めます。
OTAKADの活用法について詳しい知りたい方は、事例資料をダウンロード、もしくはお気軽にお問い合わせください。


Cookie規制への対応方法

今後Cookie規制の動きはますます厳しくなっていくことが想定されるため、実際に行うべき対策を検討していく必要があります。

Cookie同意管理ツールの導入

まず検討するべきこととして、Cookie同意管理ツールの導入があげられます。ツールにはCookieポリシーの管理やCookie同意取得、同意撤回機能などの機能があります。
クラウド上で提供している無料ツールや有料ツールがあり、短期間で導入することが可能です。自社の顧客の特徴などに応じて、システムを選定することをおすすめします。

自社サイトの強化と充実

自社サイトの構成やコンテンツを強化し、サードパーティーCookieへの依存度を軽減する体制を強化することは、今後どの企業も力を入れるべき取り組みといえるでしょう。
自社サイトを充実させることによってサイトの価値を高め、ファンを増やすことは、同時にデータを蓄積する機会を増やすことにつながります。そして、そのデータを最大活用していくこが、サードパーティーCookieに頼らない独自のマーケティング手法へと育っていくはずです。


世界的なCookie規制強化の背景と、日本では今後どのような規制が行われるのか、さらに規制によってどのような影響と対策が考えられるかなどについて、概要をつかんでいただけましたでしょうか。
今後の流れを注視しつつ、それぞれの分野で早めに対応していくことが重要となりそうです。

講談社が提供する各種プロモーションサービスのご利用に関するお問い合わせ・ご相談はこちら