同意バナーに入れるべき項目一覧｜計測と法令を両立

自社サイトの下部に表示されている同意バナー。「同意する」ボタンだけが並んだあのバナーは、法令の要求を満たしているでしょうか。日本におけるCookie規制の中心は電気通信事業法の外部送信規律で、2023年6月16日に施行されました。この規律では、利用者の情報を外部へ送信する際に、送信される情報の内容、送信先の事業者名、自社の利用目的、送信先の利用目的という4項目の通知または公表が求められます。そして重要なのは、対応方法が同意取得だけではないこと、そして「同意する」ボタンだけを表示して詳細を省略する実装は適切ではないとされていることです。本記事では、規律の対象範囲、載せるべき項目、4つの対応方法の選び方、CMPの役割、そして同意と計測精度のトレードオフまでを、マーケティング部門が判断できる形で整理します。

同意バナーは「付けるかどうか」の話ではない

同意バナーの検討が後回しになりやすいのは、それが法務の課題として認識されているからです。マーケティング部門から見ると、計測を妨げる要素であり、できれば触りたくない領域に見えます。

しかし実際には、この2つは同じ問題の表と裏です。どう同意を取るかによって、取得できるデータの量と質が変わります。バナーの文言、表示のタイミング、選択肢の設計——これらはすべて計測結果に直結します。法務に任せきりにすると、計測の観点が抜けた設計になります。

逆に、計測を優先して法令上の要件を軽視すると、後から作り直しになります。両方の要件を同時に満たす設計を、最初に作るほうが結果的に速い——これが本記事の前提です。まずは何が求められているのかを正確に把握するところから始めます。

外部送信規律とは何か

日本のCookie規制の中心にあるのが、改正電気通信事業法の外部送信規律です。2023年6月16日に施行されました。欧州のGDPRのように包括的な同意を義務づけるものではなく、利用者の情報を外部へ送信することを利用者に知らせるという透明性の確保に主眼があります。

規制の対象となる情報は、Cookieに限定されません。IPアドレス、デバイスID、ブラウザのフィンガープリント情報、広告識別子、閲覧ページのURLなどが含まれるとされています。「Cookieを使っていないから関係ない」という判断は成り立ちません。

この点は、実務上とても重要です。Cookieを使わない計測手段に切り替えたとしても、外部の事業者へ利用者の情報を送っている限り、規律の対象になります。問われるのは技術的な手段ではなく、情報が外へ出ているかどうかです。

対象はサービス単位で判断される

誰が対象になるのか。ここが誤解されやすい部分です。対象は企業単位ではなく、サービス単位で判断されます。自社が電気通信事業者として届出をしているかどうかとは、別の話になります。

対象例として挙げられているのは、メールサービス、SNS、動画共有サービス、オンラインメディアやニュースサイト、SaaSやオンラインサービス、そして収益目的の個人ブログです。注目すべきは、企業が運営するブログやコラムサイトであっても、他者の情報を発信している場合が対象に含まれるとされている点です。

サービス単位という判断基準が意味するのは、同じ会社でもサイトごとに扱いが変わりうるということです。コーポレートサイト、オウンドメディア、製品のログイン後の画面、採用サイト。それぞれ性格が違い、入っているタグも違います。まとめて1つのポリシーで済ませようとすると、実態と合わない記載が生まれます。

BtoB企業のオウンドメディアは、まさにこの類型に当たります。自社の製品情報だけを載せた会社案内サイトと、業界の情報を発信するメディアサイトでは、扱いが変わりうるということです。自社のサイトがどちらに近いかを、一度整理しておく必要があります。

通知・公表すべき4項目

規律の中心となるのが、通知または公表すべき項目です。示されているのは次の4つです。

項目	内容	書き方の例
送信される情報の内容	何が外部へ送られるか	閲覧したページのURL、参照元、端末情報など
送信先の事業者名	どこへ送られるか	Google LLC、Meta Platforms, Inc. など
自社の利用目的	自社がその情報を何に使うか	サイトの改善、広告効果の測定など
送信先の利用目的	送信先がその情報を何に使うか	アクセス解析サービスの提供、広告配信の最適化など

記載の粒度についても考えておく必要があります。「アクセス解析のため」という一言では、利用目的として具体性を欠きます。一方で、すべてのタグについて詳細を書き連ねると、誰も読まないページになります。実務的な落としどころは、送信先ごとに1〜2行でまとめ、詳細は各社のプライバシーポリシーへのリンクで補う形です。読み手が確認したいときに辿れる状態が確保できていれば十分です。

この4項目を書くには、自社サイトに入っているタグをすべて洗い出す作業が必要になります。アクセス解析、広告のコンバージョン計測、リターゲティング、チャットツール、ヒートマップ、A/Bテストツール、そしてMAツールのトラッキング。何年も運用しているサイトでは、担当者が知らないタグが残っていることが珍しくありません。

洗い出しの実務では、タグマネージャーの管理画面を見るだけでは不十分です。過去にソースコードへ直接埋め込まれたタグは、管理画面には現れません。制作会社が実装したもの、キャンペーン時に一時的に入れたもの、CMSのプラグインが自動で挿入しているもの——これらを拾うには、実際にページを開いて通信先を確認する作業が必要になります。管理画面の一覧と、実際の通信先は一致しないという前提で臨んでください。

4項目の中で書きにくいのが、4つ目の「送信先の利用目的」です。他社が何に使うかを自社で書く必要があるため、各サービスの利用規約やプライバシーポリシーを確認することになります。主要なツールについては、提供元が説明用の文言を用意していることも多いので、まずはそれを探してください。

対応方法は4つある

この規律への対応は、同意を取ることだけではありません。示されている選択肢は4つです。

方法	内容	向いている場面
通知	ポップアップなどで利用者に表示する	訪問時に確実に伝えたい場合
公表	Cookieポリシーのページを常時参照可能にする	バナーによる離脱を避けたい場合
同意取得	利用者が能動的に同意を選択する	海外規制への対応も視野に入れる場合
オプトアウト措置	利用者がいつでも停止できるようにする	同意取得の負荷を避けつつ選択肢を残す場合

多くのサイトが同意バナーを採用していますが、公表という選択肢もある点は知っておく価値があります。バナーを出さずに、Cookieポリシーのページを常時参照できる状態にしておく形です。この方法なら、バナーによる離脱や計測の欠損を避けられます。

4つの方法は排他的ではなく、組み合わせて使えます。実務でよく採られるのは、公表（ポリシーページの常時掲載）を土台にしつつ、初回訪問時に通知のバナーを出すという形です。公表だけでは気づかれず、通知だけでは詳細が伝わらないため、両方を用意する構成に落ち着きます。

ただし、どの方法を選ぶかは自社の状況によります。欧州の利用者がいる場合、海外の広告プラットフォームを使っている場合、あるいは取引先から対応状況を問われる立場にある場合は、同意取得を選んでおくほうが説明が容易です。法務部門と相談のうえ判断してください。

「同意する」だけのバナーは不適切

バナーを設置する場合の要件として、明確に示されているのが導線の存在です。詳細を閲覧できるページへのリンク表示が必須であり、「同意する」ボタンだけを表示して詳細を省略するような実装は適切ではないとされています。

なぜ導線が必須とされているのかを考えると、規律の趣旨が見えてきます。この規律の目的は、利用者が自分の情報の行き先を知れるようにすることです。同意を集めること自体が目的ではなく、知らせることが目的——だからこそ、内容を確認する手段のない同意ボタンには意味がないという整理になります。

この点は、実際に多くのサイトで満たされていません。画面下部に「当サイトはCookieを使用しています」という一文と「同意する」ボタンだけが表示され、詳細への導線がない——この形は、通知としての要件を満たしていない可能性があります。

修正は難しくありません。バナーの中に「詳細はこちら」というリンクを追加し、リンク先に前述の4項目を記載したページを用意する。作業としては1日で終わる範囲です。すでにバナーを設置している企業は、まずこの導線があるかを確認してください。

バナーに載せるべき項目

実務的なチェックリストとして、バナーとその先のページに含めるべき要素を整理します。

• 外部へ情報を送信している旨の明示
• 詳細を確認できるページへのリンク（必須）
• 送信される情報の内容、送信先の事業者名、自社と送信先それぞれの利用目的（リンク先に記載）
• 同意取得を選ぶ場合は、同意しない選択肢も同等に選べる設計
• 設定を後から変更できる導線（フッターなどからの再表示）
• 利用しているツールの一覧と、それぞれの役割の説明

4つ目は見落とされやすい項目です。「同意する」だけが目立ち、拒否の選択肢が小さい文字や分かりにくい位置にある設計は、形式的には選択肢があっても実質的には誘導になっています。海外の規制では明確に問題とされる形であり、国内でも今後の議論の対象になりうる部分です。

5つ目の再表示の導線も、運用上の要請から必要になります。一度同意した利用者が後から設定を変えたいと考えたとき、その手段がなければ対応できません。フッターに「Cookie設定」のリンクを置いておくのが一般的な形です。

CMPを入れるべきか

同意管理を専用のツールで行う選択肢もあります。CMP（Consent Management Platform／同意管理プラットフォーム）と呼ばれるもので、ウェブサイト上でのCookieや外部送信に関する同意管理を一元化するためのツールです。

CMPの機能としては、利用者への通知・公表、同意取得、オプトアウト措置のいずれにも対応できる点が挙げられています。国内向けの製品も登場しており、2026年4月20日には国産のCMPが正式リリースされ、改正電気通信事業法に対応していると紹介されています。

CMPを導入する副次的な効果として、タグの一覧が常に最新に保たれる点があります。多くのCMPはサイトをスキャンして送信先を検出する機能を持つため、手作業の棚卸しに頼らずに実態を把握できます。記載と実態の不一致という、最も起きやすい問題への対策になります。

導入を判断する基準は、タグの数と管理の複雑さです。使っているツールが3〜4個で、変更もめったにないなら、自前のバナーとポリシーページで足ります。10個以上のタグがあり、部門ごとに追加されるような状況なら、CMPで一元管理するほうが安全です。手作業での管理は、タグが増えるほど破綻します。

同意と計測のトレードオフ

マーケティング部門にとっての本題がここです。同意を求める設計にすると、同意しない利用者の行動が計測できなくなります。データの欠損は、そのまま分析の精度に響きます。

計測できなくなるのは訪問者の行動データだけではありません。広告のコンバージョン計測にも影響が及びます。同意しない利用者の成果が広告側に返らなければ、自動入札の学習データが減り、配信の最適化にも影響します。同意設計の話が、最終的に広告の成果まで届くのはこのためです。

この影響は一様ではありません。同意率はサイトの性質、バナーの設計、利用者の属性によって変わります。BtoBのサイトでは業務中の閲覧が多く、細かい選択を避けて「同意する」を押す傾向がある一方、情報に敏感な業界の利用者は拒否率が高くなることもあります。自社の同意率を実測せずに議論しても、答えは出ません。

欠損の影響は、指標によって出方が違います。全体のセッション数は一律に減りますが、コンバージョン率のような比率の指標は、同意した層と拒否した層で行動が変わらなければ大きくは動きません。絶対値は信用できないが、比率と傾向は使える——この整理をしておくと、どの数字で議論すべきかが決まります。

重要なのは、欠損を前提とした分析に切り替えることです。同意率が70%なら、計測できているのは全体の7割です。この前提を共有していないと、「アクセスが減った」という誤った結論に至ります。同意バナーを導入した月の数字は、前月と単純には比較できません。

Consent Modeという考え方

同意の状態に応じて計測の挙動を変える仕組みも存在します。Consent Modeは、利用者がCookieの使用に同意したかどうかに応じて、Googleタグが送信するデータの内容や挙動を調整する仕組みと説明されています。

設定には注意が要ります。Consent Modeは同意管理の仕組みと連動して初めて機能するため、CMPやバナーの実装と組み合わせて設定する必要があります。バナーだけ設置してConsent Modeを設定していない、あるいはその逆という状態では、意図した挙動になりません。実装後は、同意した場合としない場合の両方で実際の通信を確認してください。

この仕組みの意味は、同意の有無を二択ではなく段階として扱える点にあります。同意がない場合でも、個人を識別しない形の限定的な情報は送られ、全体の傾向を推定する材料として使われます。同意しない利用者を完全に見えなくするのではなく、粒度を落として把握するという設計です。

2026年6月15日以降、GA4とGoogle広告を連携している構成では、Googleシグナルが広告側データの制御権を失うため、Consent Modeが単一のコントロールポイントになると指摘されています。同意の設定が計測と広告配信の両方を左右する構造になるため、設定の正確さがこれまで以上に問われます。

同意率を上げるための設計

計測の精度を保つには、同意率を上げる工夫も必要です。ただし、拒否しにくくする方向の工夫は避けるべきです。健全な範囲での改善点を挙げます。

第一に、説明の言葉を平易にすること。法律用語をそのまま並べたバナーは、読まれずに閉じられます。「サイトの改善のために閲覧状況を記録しています」という平易な説明のほうが、内容が伝わります。第二に、表示のタイミングです。ページを開いた瞬間に画面全体を覆う形は、内容を読む前に拒否される確率が上がります。

避けるべき手法も明確にしておきます。拒否ボタンを見つけにくい色にする、拒否を選ぶのに複数回のクリックを要求する、同意しないと閲覧できないようにする。これらは同意率を上げますが、実質的に選択肢を奪う設計であり、海外の規制では明確に問題とされています。国内でも、企業姿勢として評価を下げる要因になります。

第三に、何のために使うのかを具体的に書くことです。「マーケティング目的」という抽象的な表現より、「どの記事が読まれているかを把握し、記事の改善に使います」のほうが納得されやすくなります。同意は説得ではなく、納得によって得られる——この視点で文言を見直すと、改善点が見つかります。

よくある実装の誤り

すでに同意バナーを設置している企業でも、要件を満たしていない実装は少なくありません。確認すべき点を、誤りの形で挙げます。

• 「同意する」ボタンだけを表示し、詳細を確認できるページへのリンクがない
• Cookieポリシーのページはあるが、実際に使っているツールと記載内容が一致していない
• 同意を得る前からタグが発火しており、バナーが形だけになっている
• 同意した後に設定を変更する手段がなく、フッターにも導線がない
• 海外の利用者にも同じバナーを出しているが、拒否の選択肢が実質的に選べない設計になっている
• テンプレートをそのまま使い、送信先の事業者名が自社の実態と違う

3つ目は技術的な問題ですが、影響は大きくなります。バナーで同意を求めておきながら、ページを開いた時点ですでにタグが動いている——これでは同意を取る意味がありません。実装したつもりでも、タグマネージャーの設定次第では起きます。ブラウザの開発者ツールで、同意前の通信を確認してください。

6つ目のテンプレート流用も頻繁に見られます。制作会社が用意した雛形をそのまま使い、実際には契約していないサービス名が記載されている、あるいは使っているサービスが載っていない。記載と実態の不一致は、透明性の確保という規律の趣旨に真っ向から反します。

海外の規制との関係

日本の外部送信規律だけを見ていればよいとは限りません。欧州のGDPR、米国カリフォルニア州のCPRA（CCPA）など、海外にも同種の規制があります。

違いの要点は、日本の規律が透明性の確保に主眼を置くのに対し、GDPRは処理の適法な根拠として同意を求める点にあります。GDPRでは事前の同意なしにトラッキングを行うことが原則として認められず、同意の取り方にも厳格な要件があります。日本の基準で作ったバナーが、そのまま欧州で通用するとは限りません。

もう1つ違うのが、規制の主体です。日本の外部送信規律が電気通信事業に関わるサービスを対象とするのに対し、GDPRは個人データを扱う組織全般に及びます。事業の性質による除外が少ないぶん、該当するかどうかの判断は「欧州の個人にサービスを提供しているか」というシンプルな問いになります。

BtoB企業で確認すべきは、海外からのアクセスの有無です。英語ページを持っている、海外の展示会に出展している、海外企業との取引がある——こうした状況なら、対象になりうるかを一度確認する価値があります。アクセス解析で国別のセッション数を見れば、判断の材料はすぐ得られます。

バナーがサイト体験に与える影響

法令対応の議論からは外れますが、実務では無視できない論点があります。同意バナーがサイトの体験に与える影響です。

画面を覆う大きなバナーは、初回訪問者にとって最初に目に入る要素になります。記事を読みに来た人が、まず法的な文言を読まされるという体験です。直帰率への影響を測っている企業は多くありませんが、モバイルでは画面の大半を占めることもあり、影響は小さくありません。法令を満たしつつ、体験を損なわない形を探す余地はあるということです。

工夫の余地としては、表示の位置（画面下部の帯状にする）、文言の長さ（1〜2行に収める）、そして表示のタイミングがあります。前述のとおり、通知や公表という選択肢を採るなら、そもそもバナーを出さない設計も可能です。「他社がバナーを出しているから」という理由だけで形式を選んでいないかを、一度見直してみてください。

導入と見直しの手順

これから対応する場合、あるいは既存の実装を見直す場合の手順をまとめます。

5つ目の測定を工程に含めているのには理由があります。同意率は、あとから改善できる数字です。文言を変える、表示の位置を変える、説明を具体的にする——これらの施策の効果を測るには、導入直後の水準を記録しておく必要があります。基準がなければ、改善したかどうかも判断できません。

最初のステップが最も時間がかかります。運用歴の長いサイトでは、誰も把握していないタグが必ず見つかります。この機会に、使っていないツールのタグを削除するとページの表示速度も改善します。棚卸しそのものに副次的な価値がある工程です。

社内の分担と運用

最後に、この対応を誰が担うかという問題です。法務、情報システム、マーケティングの3部門にまたがるため、担当が決まらないまま放置されがちです。

• タグの棚卸しと4項目の整理はマーケティング部門が主導する（何を入れたかを知っているため）
• 対応方法の選択と文言の最終確認は法務部門が担う
• 実装とタグ管理の権限は情報システム部門と分担し、追加時の申請ルールを決める
• 新しいツールを導入するときは、同意管理への追加をチェック項目に入れる
• 年に一度、タグの一覧とポリシーページの記載が一致しているかを確認する

4つ目が運用上の要です。新しいツールを入れるたびに送信先が増えるのに、ポリシーページの更新が伴わなければ、記載と実態がずれていきます。ツール導入の稟議書に「同意管理への追加」という項目を1行加えるだけで、この問題は防げます。

担当を決めるとき、法務に丸投げしないことも重要です。法務は法令の解釈はできますが、どのタグが何のために入っているかは知りません。逆にマーケティングは実態を知っていますが、法令の要件は判断できません。片方だけで完結させようとすると、必ず抜けが出ます。タグの一覧を持ち寄って30分の打ち合わせを1回持つだけで、認識の差はかなり埋まります。

5つ目の年次確認も、忘れられがちですが重要です。試したまま残っているタグ、契約を終了したツールのタグ、部門が独自に入れたタグ。実態と記載の不一致は、指摘されて初めて気づく類の問題です。年に一度、30分の確認作業を予定表に入れておいてください。

まとめ

Cookie同意バナーは、法務だけの課題でも計測だけの課題でもありません。日本での中心的な規制は2023年6月16日に施行された電気通信事業法の外部送信規律で、対象は企業単位ではなくサービス単位で判断され、企業が運営するブログやコラムサイトも該当しうるとされています。通知・公表すべきは4項目——送信される情報の内容、送信先の事業者名、自社の利用目的、送信先の利用目的。規制の対象はCookieに限らず、IPアドレス、デバイスID、フィンガープリント情報、広告識別子、閲覧ページのURLなども含まれます。対応方法は通知・公表・同意取得・オプトアウト措置の4つがあり、同意取得だけが選択肢ではありません。ただし、バナーを設置するなら詳細ページへのリンクが必須で、「同意する」ボタンだけを表示して詳細を省略する実装は適切ではないとされています。計測面では同意率に応じたデータ欠損が生じるため、Consent Modeの設定と、欠損を前提とした分析への切り替えが要ります。まずは自社サイトに入っているタグを、1つ残らず洗い出すところから。この棚卸しなしに、正しい記載は作れません。

※本記事にはAIが活用されています。編集者が確認・編集し、可能な限り正確で最新の情報を提供するよう努めておりますが、情報の完全性、正確性、最新性、有用性等について保証するものではありません。本記事の内容に基づいて行動を取る場合は、読者ご自身の責任で行っていただくようお願いいたします。