CCPAのクッキー（Cookie）対応とは？GPC・オプトアウトと2026年規則の実装ポイント

CCPA（California Consumer Privacy Act：カリフォルニア州消費者プライバシー法）は、米国カリフォルニア州の消費者の個人情報を保護するプライバシー法です。適用要件を満たす場合、日本企業も対象となる可能性があります。

CCPAでは、クッキーバナーの設置が一律に義務付けられているわけではありません。一方で、適用対象となる事業者には、個人情報の収集時または収集前の通知や、個人情報の売却・共有に対するオプトアウト機会の提供などが求められます。

また、個人情報を売却・共有する場合は、GPC（Global Privacy Control）などのOpt-Out Preference Signal（OOPS）への対応が必要です。加えて、ユーザーのオプトアウトの選択を実際のタグや通信の制御に反映させることも重要です。

本記事では、CCPAにおけるクッキー対応の基本から、Notice at Collection、売却・共有のオプトアウト、GPCへの対応、2026年施行のCCPA規則を踏まえた実装・テストのポイントまで解説します。

【この記事で分かること】
・CCPAにおけるクッキー対応とクッキーバナーの考え方
・個人情報の売却・共有に対するオプトアウトの対応方法
・GPCや2026年施行のCCPA規則を踏まえた実装・テストのポイント

【監修】株式会社インターネットイニシアティブ ビジネスリスクコンサルティング本部
個人情報保護法・電気通信事業法・GDPR・CCPAなど国内外のプライバシー法規制を専門とする法務コンサルタントが監修。

CCPAではクッキーバナー設置が一律の義務ではない

CCPAでは、クッキーバナー（Cookieバナー）※の設置は一律の義務ではありません。CCPAのクッキー対応で主に求められるのは、「プライバシーノーティス（※Notice at Collection）」と、個人情報を「売却」または「共有」する場合の「オプトアウト機会の提供（GPC等への対応を含む）」です。

CCPAは2018年6月に成立し、2020年1月に施行された、米国で初めての包括的な州の消費者プライバシー法とされています。2023年1月には、CPRA（California Privacy Rights Act：カリフォルニア州プライバシー権法）による改正が施行され、規制内容が強化されました（法律の名称は引き続きCCPAです）。さらに、2026年1月1日に施行された改正CCPA規則では、GPC等のOOPSを含むオプトアウト要求について、要求が処理されたことを消費者が確認できる手段の提供が明確に求められるようになりました。

プライバシーノーティス（Notice at Collection）では、収集する個人情報のカテゴリーや利用目的、売却・共有の有無、保持期間などを、個人情報の収集時またはそれ以前に通知します。通知の方法はクッキーバナーに限られず、プライバシーポリシーの該当箇所へのリンクなどで示すことも可能です。

また、個人情報を第三者へ「売却」または「共有」する場合は、消費者がこれを停止できるオプトアウトの機会を提供する必要があります。クッキー等を通じて取得した個人情報が売却・共有の対象となる場合も、適切なオプトアウト導線を設け、消費者の選択を実際のクッキーやタグの制御に反映させることが重要です。

CCPAとEU・EEAのGDPR（General Data Protection Regulation：一般データ保護規則）・ePrivacy指令等に基づくクッキー規制（英国ではUK GDPR・PECR）では、クッキー対応の基本的な考え方が異なります。

CCPA対応では、GDPR等への対応と同じクッキーバナーをそのまま適用するのではなく、収集時の情報提供や売却・共有の有無など、自社のデータ処理に応じて必要な表示やオプトアウト導線を設計する必要があります。

※LocalStorage、トラッキング・ピクセル、デバイス・フィンガープリンティング等も含め、簡略化のため本書では以後クッキーと記述します。

※CCPA規則では「Notice at Collection」と呼ばれますが、本書では、以降「プライバシーノーティス」と記述します。

参考：
California Consumer Privacy Act of 2018（Cal. Civ. Code §1798.100以下）｜California Legislative Information
CCPA Regulations｜California Privacy Protection Agency（CPPA）
GDPR｜EUR-Lex

CCPAの適用対象｜クッキーも個人情報になり得る

CCPAは、カリフォルニア州の消費者に関する個人情報を取り扱うすべての企業に一律に適用されるわけではなく、一定の要件を満たす事業者が対象となります。また、CCPA上の個人情報には、氏名やメールアドレスなどのみではなく、条件によってクッキーIDやIPアドレス、閲覧履歴なども含まれます。

CCPAの適用対象

CCPAの適用対象となるのは、消費者の個人情報を収集し、その処理の目的や手段を決定する事業者などのうち、以下のいずれかの基準を満たす場合です（2026年10月時点）。

※2025年1月1日以降の金額。奇数年に消費者物価指数（CPI）を反映して見直されるため、最新の金額はCPPAの公表ページで確認してください

いずれかの基準を満たせば直ちに適用されるという意味ではなく、営利企業であることやカリフォルニア州で事業を行っていることなど、CCPAが定める前提条件や例外も含めて判断する必要があります。

参考：
Frequently Asked Questions（FAQs）｜California Privacy Protection Agency（CPPA）
Updated Monetary Thresholds in CCPA｜California Privacy Protection Agency（CPPA）

クッキーIDやIPアドレス等も個人情報に該当する場合あり

CCPAにおける「個人情報」は、特定の消費者または世帯を識別できる情報のみではありません。特定の消費者または世帯に合理的に関連付けることができる情報なども広く含まれます。

そのため、Webサイトで取得される以下のような情報も、特定の消費者または世帯と合理的に関連付けられる場合には、CCPA上の個人情報に該当します。

• クッキーID等のオンライン識別子

• IPアドレス

• 閲覧履歴

• 検索履歴

• Webサイトや広告との相互作用に関する情報

CCPAへの対応を検討する際は、氏名やメールアドレスなどの情報のみではなく、「Webサイトで利用しているクッキーやタグを通じてどのような情報を取得しているか」も確認することが重要です。

プライバシーノーティスでは個人情報の収集時または収集前に必要な情報を通知する

CCPAの適用対象となる事業者が消費者から個人情報を収集する場合は、個人情報の収集時またはそれ以前に、収集する情報の内容や利用目的などを通知する必要があります。この通知は、CCPA規則で「Notice at Collection（収集時通知、プライバシーノーティス）」と呼ばれます。

プライバシーノーティスで示す6つの項目

プライバシーノーティスでは、主に以下の6項目を示します。

プライバシーノーティスは、消費者が読みやすく、理解しやすい内容にする必要があります。オンラインで個人情報を収集する場合は、小さな画面でも読みやすい形式やアクセシビリティにも配慮しましょう。

参考：
California Consumer Privacy Act Regulations §7012｜California Privacy Protection Agency（CPPA）

プライバシーノーティスとプライバシーポリシーの違い

プライバシーノーティスとは別に、事業者の個人情報取扱いを網羅的に説明する「プライバシーポリシー」をオンライン上に掲載する必要があります。

「プライバシーノーティス」が個人情報を収集する場面で必要な情報を通知するものであることに対し、「プライバシーポリシー」は事業者の個人情報の取り扱いを網羅的に説明するものです。

なお、オンラインで個人情報を収集する場合、プライバシーポリシーの冒頭へ単にリンクするのではなく、プライバシーノーティスとして必要な情報が記載された特定の箇所へ直接遷移させる方法も認められています。

クッキーバナーを利用する場合は、第一層で概要を示し、第二層やプライバシーポリシーの該当箇所で詳細を示す方法があります。いずれの方法でも、個人情報の収集時またはそれ以前に、消費者が必要な情報へ容易に到達できるようにすることが重要です。

参考：
California Consumer Privacy Act Regulations §§7011、7012｜California Privacy Protection Agency（CPPA）

個人情報を売却・共有する場合はオプトアウト機会の提供が必要

CCPAでは、個人情報を第三者へ「売却」または「共有」する事業者は、消費者がその売却・共有を停止できるよう、オプトアウトの機会を提供する必要があります。

ここでいう「売却」「共有」は、単に個人情報そのものを金銭で販売する場合のみを指すわけではありません。クッキーやタグを通じて第三者へ個人情報を送信する場合も、その目的や契約関係、データの利用実態によっては「売却」または「共有」に該当する可能性があります。

CCPAにおける「売却」と「共有」

CCPAにおける「売却（Sale）」とは、金銭その他の価値ある対価と引き換えに、消費者の個人情報を第三者へ開示、提供または利用可能にすること等を指します。「共有（Sharing）」とは、金銭その他の価値ある対価の有無にかかわらず、クロスコンテキスト行動広告のために、消費者の個人情報を第三者へ開示、提供または利用可能にすること等を指します。

たとえば、アクセス解析などの外部ツールを利用している場合でも、それのみで「売却」または「共有」に該当するとは限りません。ツール提供事業者との契約内容や設定、送信されたデータの利用目的、実際のデータフローなどを確認して判断する必要があります。

なお、消費者が16歳未満であることを事業者が実際に認識している場合（年齢を故意に無視した場合を含む）は、オプトインの同意を得ない限り、その消費者の個人情報を売却・共有することはできません。同意は、13歳以上16歳未満の場合は消費者本人から、13歳未満の場合は親または保護者から得る必要があります。

参考：
California Consumer Privacy Act Regulations §§7070、7071｜California Privacy Protection Agency（CPPA）

「Do Not Sell or Share My Personal Information」の導線を設ける

個人情報を売却または共有するWebサイトでは、原則として、ホームページのヘッダーまたはフッターに「Do Not Sell or Share My Personal Information」という明確で目立つリンクを設置する必要があります。

リンクをクリックした場合は、そのままオプトアウトを直ちに完了できるようにするか、「Notice of Right to Opt-out of Sale / Sharing」へ遷移させ、オプトアウト権の説明と実際に権利を行使するための手段を提供します。

また、法定のリンクの代わりに、「Your Privacy Choices」または「Your California Privacy Choices」と表示し、CCPA規則で定められたオプトアウトアイコンを付した「Alternative Opt-out Link」を使用することも可能です（CCPA規則§7015）。GPCなどのOpt-Out Preference Signalを規則の要件に従って「摩擦のない方法（frictionless manner）」で処理する場合は、一定の条件のもとで「Do Not Sell or Share My Personal Information」リンクの掲載を省略できる場合があります。ただし、その場合もプライバシーポリシーにはオプトアウト権および手続に関する説明を掲載する必要があります。

クッキーバナーのみでは売却・共有のオプトアウト対応にならない

CCPA規則では、クッキーバナーやクッキー設定画面は、それのみでは売却・共有に対するオプトアウト手段として認められないとしています（§7026(a)(4)）。クッキーに関する通知や設定は個人情報の「収集」に関するものであり、「売却」「共有」そのものを停止する手段にはならないためです。

消費者が個人情報の「売却」および「共有」を停止するための権利を行使できることを明確にしたうえで、オプトアウトの選択を、対象となるデータ処理やタグの停止に実際に反映させる仕組みが必要です。

参考：
California Consumer Privacy Act Regulations §7026｜California Privacy Protection Agency（CPPA）

GPC等のOOPSはオプトアウト要求として処理し、処理状態を表示する

個人情報を売却・共有する事業者は、Webサイト上の「Do Not Sell or Share My Personal Information」などから行われるオプトアウト要求に加えて、GPC（Global Privacy Control）などのOpt-Out Preference Signal（OOPS：オプトアウト優先信号）にも対応する必要があります。

また、2026年1月1日に施行されたCCPA規則では、GPC等のOOPSを有効なオプトアウト要求として処理したかどうかを、消費者がWebサイト上で確認できるようにすることが求められています。

参考：
California Consumer Privacy Act Regulations §§7025、7026｜California Privacy Protection Agency（CPPA）

GPCはWebサイトごとの操作なしでオプトアウトの意思を伝える仕組み

Opt-Out Preference Signal（OOPS）とは、消費者がWebサイトごとに個別の操作を行わなくても、個人情報の売却・共有をオプトアウトする意思を事業者へ伝えるための信号です。代表的なものに、GPCがあります。

GPCに対応したブラウザや拡張機能などで設定を有効にすると、対応するWebサイトへオプトアウトの意思を自動的に伝えられます。個人情報を売却・共有する事業者は、要件を満たすOOPSを検知し、オプトアウト要求として適切に処理する必要があります。

参考：
Frequently Asked Questions（FAQs）｜California Privacy Protection Agency（CPPA）

2026年規則ではオプトアウトの処理状態を確認できる表示が必要

2026年1月1日施行のCCPA規則では、GPC等のOpt-Out Preference Signal（OOPS）による要求を含め、事業者は売却・共有のオプトアウト要求が処理されたことを消費者が確認できる手段を提供する必要があります（CCPA規則§7025(c)(6)、§7026(g)）。

表示方法として、規則では「Opt-Out Request Honored」といったメッセージや、設定画面のトグル・ラジオボタンなどが例示されています。特定の文言の使用自体が義務付けられているわけではなく、消費者が現在のオプトアウト処理状況を確認できることが重要です。

通常のオプトアウトとGPCを実際のタグ制御に反映する

GPC等のOOPSを検知したり、画面上で「オプトアウト済み」と表示したりする対応のみでは、十分とはいえません。通常のオプトアウト操作とGPC等のOOPSを適切に処理し、その状態を売却・共有の対象となるタグや第三者への通信の制御に反映させることが重要です。

たとえば、画面上ではオプトアウト済みと表示されていても、売却・共有に利用するタグが発火し続けていれば、表示と実際の処理が一致していません。そのため、オプトアウトの状態表示と実際のタグ・通信の制御を一致させる必要があります。

なお、2025年10月に成立した「California Opt Me Out Act（AB 566）」により、2027年1月1日以降、Webブラウザを開発・提供する事業者には、消費者がOOPSを送信できる設定をブラウザに備えることが求められます。こうした仕組みの普及により、GPC等のOOPSが送信される機会は今後さらに増えることが見込まれます。そのため、Webサイト側でもOOPSを適切に検知・処理し、処理状況を利用者が確認できる仕組みを整備することが重要です。

参考：
AB-566 California Consumer Privacy Act of 2018: opt-out preference signal｜California Legislative Information

CCPA対応ではダークパターンを避けたUI設計が必要

CCPAに対応したクッキーバナーやオプトアウト画面では、消費者の選択を妨げる「ダークパターン」を避け、分かりやすく対称的な選択肢を提示する必要があります。

CCPA規則§7004では、消費者がプライバシーに関する選択を行うための画面や手続きについて、主に以下のような原則を示しています。

• 消費者が理解しやすい言葉を使用する

• プライバシー保護の度合いが高い選択肢への手順を、反対の選択肢より長く、難しく、時間がかかるものにしない

• 消費者を混乱させる表現や選択肢を使用しない

• 消費者の選択を損なったり、妨げたりするようなUIを使用しない

2026年1月1日施行の改正規則では、消費者に対して対称的な選択肢（symmetry in choice）を提供することが求められています。また、CCPAではダークパターンを用いて取得した同意は有効な同意とは認められません（Cal. Civ. Code §1798.140(h)）。そのため、同意する選択肢だけを目立たせる表示や、ポップアップを閉じることなどを同意とみなす実装には注意が必要です。

たとえば、「個人情報の売却・共有を許可する場合は1回の操作で完了する一方、オプトアウトする場合は複数の画面を移動する必要がある」など、プライバシー保護の度合いが高い選択肢のみを選びにくくする設計には注意が必要です。CPPAによる執行事例でも、選択肢の提示方法やオプトアウト要求の処理方法が問題となっています。

※制裁金は、上記の指摘のみを理由とするものではなく、その他のCCPA違反も含む事案全体に対するものです。

クッキーバナーや設定画面を設計する際は、オプトアウトの導線を設置するのみではなく、消費者が選択肢を理解し、自らの意思で選択できるUIになっているかも確認しましょう。

　クッキーバナーのダークパターンを避けたい方へ　

IIJのCMPツール「STRIGHT」では、CCPAやGDPRなど国内外のプライバシー規制を踏まえ、ダークパターンに配慮したクッキーバナーを設定・運用できます。

参考：
California Consumer Privacy Act Regulations §7004｜California Privacy Protection Agency（CPPA）
Honda Enforcement Action｜California Privacy Protection Agency（CPPA）
Tractor Supply Enforcement Action｜California Privacy Protection Agency（CPPA）

CCPA対応の実装・テスト時のチェックリスト

CCPAに対応したクッキーバナーやオプトアウト導線を実装・テストする際は、以下のチェックリストを活用しましょう。

テストでは画面上の表示のみを確認するのではなく、ブラウザの保存領域やネットワーク通信も確認し、実際のデータ処理が設定どおりに制御されているかを検証します。また、テスト結果は、後から確認できるよう記録しておくとよいでしょう。

【クッキーバナーの実装例（カリフォルニア州）】

米国カリフォルニア州（CCPA）では、売却・共有についてオプトアウト方式がとられています。プライバシーノーティスに加え、「Do Not Sell or Share My Personal Information」リンク（またはAlternative Opt-out Link）から売却・共有を停止できる導線を用意します。

このオプトアウト導線は、原則としてWebサイトのヘッダーまたはフッターに常設します。これにより、バナーを閉じた後でも、ユーザーはそこから売却・共有を最小限の手順で一括してオプトアウトできます。あわせて、ブラウザから送られるGPC等のOOPSを有効なオプトアウト要求として処理し、その処理状態を表示する必要があります。

　CCPAのオプトアウト導線・GPC対応をまとめて管理したい方へ　

IIJのCMPツール「STRIGHT」では、Webサイト上の外部送信ツールの自動スキャンに加え、GPC等の信号に応じたオプトアウト処理と、処理状態を確認できる表示を実装できます。アクセス元の地域に応じたバナーの出し分けにより、CCPA・GDPR・改正個人情報保護法・電気通信事業法など複数法令への対応を効率的に進められます。

CCPAのクッキー対応に関するよくある質問

CCPAのクッキー対応に関するよくある質問に回答します。

日本企業にもCCPAは適用されますか？

日本企業であっても、CCPAの適用対象となる可能性があります。

CCPAの適用対象となるかどうかは、企業の所在地のみで決まるわけではありません。カリフォルニア州で事業を行っていることなどの前提条件に加え、年間総収入や個人情報の取扱件数、個人情報の売却・共有による収益割合などの要件をもとに判断します。

具体的には、「前暦年の年間総収入が2,662万5,000ドルを超える」「年間10万人以上のカリフォルニア州の消費者または世帯の個人情報を購入・売却・共有している」「年間収益の50％以上をカリフォルニア州の消費者の個人情報の売却・共有から得ている」のいずれかに該当する事業者が対象です（2026年10月時点）。

Google Analytics等を利用する場合、必ず「売却」「共有」に該当しますか？

Google Analyticsなどの外部ツールを利用しているという理由のみで、CCPA上の「売却」または「共有」に該当すると一律に判断することはできません。

外部ツールの利用については、ツール提供事業者との契約内容や設定、送信されたデータの利用目的、実際のデータフローなどを確認して判断する必要があります。

クッキーバナーを設置すればCCPA対応は完了しますか？

クッキーバナーを設置するのみで、CCPAへの対応が完了するわけではありません。CCPA規則でも、クッキーバナーやクッキー設定画面は、それのみでは売却・共有のオプトアウト手段として認められないとされています。

CCPAでは、個人情報の収集時または収集前の通知、売却・共有に対するオプトアウト機会の提供、GPC等のOOPSへの対応、オプトアウトの処理状態の表示などが必要となる場合があります。

また、画面上でオプトアウトを受け付けるのみではなく、対象となるデータ処理やタグを実際に停止させる仕組みも必要です。

GDPRとCCPAを同じCMPで管理できますか？

アクセス元の地域に応じてクッキーバナーや設定画面を出し分けられるCMPであれば、GDPRとCCPAへの対応を一つの仕組みで管理できます。

ただし、EU・EEAではePrivacy指令を国内法化した各国法により原則として事前のオプトイン同意が必要なのに対し、CCPAは売却・共有に対するオプトアウトが基本であり、考え方が異なります。そのため、地域ごとに表示内容や初期設定、GPC等の扱いを分けて設定することが重要です。

まとめ

CCPAのクッキー対応では、クッキーバナーを設置するのみではなく、個人情報の収集時または収集前の通知や、売却・共有に対するオプトアウト機会の提供など、必要な対応を整理することが重要です。

また、個人情報を売却・共有する場合は、通常のオプトアウトとGPC等のOOPSを有効なオプトアウト要求として処理し、その処理状態を消費者が確認できるようにする必要があります。画面上の表示と実際のタグ・第三者通信の制御を一致させ、実装後も正しく動作しているかテストしましょう。

CCPAをはじめ、GDPRや日本の個人情報保護法など、地域によってクッキーに関する規制や必要な対応は異なります。各地域の法規制を確認したうえで、自社サイトに適したクッキー管理の仕組みを整備することが大切です。

IIJでは、「欧州・米国・日本のクッキー規制に対応したクッキーバナー実装と運用ルール策定時の重要ポイント」をより詳しく解説した資料をご用意しています。ぜひ、ご活用ください。