GDPR（General Data Protection Regulation：一般データ保護規則）とは、EU・EEA域内の個人データの保護について定めた規則です。

欧州では、クッキー等の利用はePrivacy指令（各国の国内法）とGDPRによって規制されています。Webサイトでクッキーを利用する際は、ePrivacy指令に基づく各国法により、原則としてユーザーの事前同意が必要です。また、クッキーを通じて取得した情報が個人データに該当する場合は、GDPRの規定も適用されます。ただし、通信に不可欠なクッキーなど、利用目的や機能によっては同意が不要となる場合もあります。

また、クッキー同意を取得する際は、単にクッキーバナーを設置するのみではなく、情報提供や同意・拒否の方法、同意の撤回、実際のクッキー・タグの制御などにも注意が必要です。

本記事では、GDPRにおけるクッキー同意の要件や同意が不要となり得るケース、避けたいクッキーバナーの実装、近年の制裁事例、実装・テスト時のチェックポイントを解説します。

【この記事で分かること】
・GDPR対応で求められるクッキー同意の要件と、同意が不要となり得るケース
・GDPR対応で避けたいクッキーバナーのNG実装と、近年の制裁・是正事例
・GDPRに対応したクッキーバナーの実装・テスト時に確認すべきポイント

【監修】株式会社インターネットイニシアティブ ビジネスリスクコンサルティング本部
個人情報保護法・電気通信事業法・GDPRを専門とする法務コンサルタントが監修。

GDPRではクッキー同意が必要？

欧州では、ePrivacy指令を国内法化した各国法により、Webサイトでクッキー等を利用する際は原則としてユーザーの事前同意が必要です。また、取得した情報が個人データに該当する場合はGDPRの規定も適用されます。ただし、通信に不可欠なクッキーや利用者が明示的に求めたサービスを提供するために厳格に必要なクッキーは、例外的に同意が不要となる場合があります(ePrivacy指令第5条3項)。

本記事では、これらをまとめて「GDPR対応におけるクッキー同意」として解説します。

欧州では、GDPRとePrivacy指令により、以下のようにクッキーの取扱いが規制されています。

GDPRでは、氏名などから個人を直接特定できる情報だけでなく、ブラウザを識別するクッキー等の情報も、ほかの情報と組み合わせるなどして個人を間接的に識別できる場合には、個人データとして保護の対象となります。

一方、ePrivacy指令は電子通信におけるプライバシーなどを保護するためのルールを定めたもので、欧州の各国ではその内容を国内法に取り入れています。そのため、クッキー等による端末への情報の保存・読取りについては各国法、取得した情報が個人データに該当する場合の処理についてはGDPRの規律を踏まえて対応する必要があります。

なお、欧州のクッキー規制は、欧州企業のみが対象となるわけではありません。GDPRには域外適用があり、日本企業が運営するWebサイトであっても、EU域内にいる人への商品・サービスの提供や、EU域内での行動のモニタリングなどを行う場合は、GDPRの適用対象となる可能性があります。

なお、英国はEU離脱後、UK GDPRとPECR（Privacy and Electronic Communications Regulations）によってクッキーを規律しています。統計目的のアクセス解析など、利用者に拒否の手段を提供することを条件に同意が不要となる例外もあり、ルールが一部異なります。本記事では、欧州のルールを中心に解説します。

※LocalStorage、トラッキング・ピクセル、デバイス・フィンガープリンティング等も含め、簡略化のため本書では以後クッキーと記述します。

参考：
Regulation (EU) 2016/679 (General Data Protection Regulation)｜EUR-Lex
Directive 2002/58/EC（ePrivacy Directive）2009年改正反映の統合版｜EUR-Lex
Guidelines 3/2018 on the territorial scope of the GDPR (Article 3)｜European Data Protection Board（EDPB）
What are the exceptions?（Guidance on the use of storage and access technologies）｜ICO

GDPR対応で有効なクッキー同意の7要件

GDPRやePrivacy指令を踏まえると、有効なクッキー同意を取得するための主な要件は、「十分な情報提供」「自由な意思」「目的ごとの同意」「明確な肯定的行為」「事前の同意取得」「同意取得の証明」「容易な撤回」の7つに整理できます。

単にクッキーバナーを表示して同意を求めるだけでは、有効な同意を取得したことにはなりません。それぞれの要件を満たすように、バナーの表示内容や選択方法、クッキー・タグの制御などを設計する必要があります。

たとえば、「Webサイトの閲覧を続けた場合は同意したものとみなす」と表示するだけでは、ユーザーによる明確な肯定的行為とはいえません。また、必須クッキー以外のクッキーをあらかじめONにしたり、「すべて同意」は簡単に選べる一方で「すべて拒否」には複数の操作が必要だったりする設計も、有効な同意を妨げるおそれがあります。

また、バナー上の選択は、実際のクッキーやタグの制御に反映させる必要があります。具体的な確認ポイントは、後述の実装・テストのチェックリストで解説します。

参考：
Regulation (EU) 2016/679 (General Data Protection Regulation)｜EUR-Lex
Guidelines 05/2020 on consent under Regulation 2016/679｜European Data Protection Board（EDPB）
Directive 2002/58/EC（ePrivacy Directive）2009年改正反映の統合版｜EUR-Lex

　GDPR対応のクッキーバナーを実装したい方へ　

IIJのクッキー同意管理ツール「STRIGHT」では、欧州のクッキー規制を踏まえたオプトイン形式のクッキーバナーを実装し、ユーザーの選択に応じてクッキー・タグを制御できます。

GDPR対応で同意が不要となり得る必須クッキー

GDPR対応において、すべてのクッキーに関するユーザー同意の取得が必要なわけではありません。通信を行うために不可欠なクッキーや、利用者が明示的に求めたオンラインサービスを提供するために厳格に必要なクッキー（必須クッキー）は、原則として同意の取得が不要とされています。

フランスCNILなどのガイドラインでは、同意不要となり得るクッキーとして、ログイン認証に必要なもの、認証機能の安全性を確保するために厳格に必要なもの、利用者が求めたサービスの提供に不可欠な表示・レイアウトを実現するものなどが挙げられています。ただし、適用国の法令や実際の利用目的・機能によって判断は異なります。

なお、ボット対策などのセキュリティツールであっても、提供事業者が自社の目的にも情報を利用する場合などは、同意不要の例外に当たらないことがあります。

なお、フランスCNILは、限定的なアクセス解析についても、以下の条件を満たす場合には同意取得の免除対象となり得るとしています。

• アクセス解析の目的を当該サイト・アプリのオーディエンス測定に厳格に限定し、運営者のためだけに利用する

• 複数のサイト・アプリをまたいでユーザーを追跡しない

• 匿名の統計データのみを生成する

• 収集した個人データをほかの処理と突き合わせない

• 収集した個人データを第三者へ提供しない

この説明はフランスにおける取扱いであり、他国でも同じ条件で免除されるとは限りません。また、クッキーの同意が不要な場合でも、個人データを処理する場合のGDPR上の義務（情報提供など）がなくなるわけではありません。

同意の要否はクッキーの名称や「アクセス解析」「必須」といったカテゴリーだけで判断せず、実際の利用目的や機能が同意不要となる条件を満たしているか、個別に確認することが重要です。

参考：
Délibération n° 2020-091 du 17 septembre 2020｜CNIL
Cookies et autres traceurs : FAQ｜CNIL

GDPR対応で法令上問題となり得るクッキーバナーのNG実装

GDPRとePrivacy指令に基づく法規制への対応では、クッキーバナーを設置していても、同意の取得方法や実際のクッキーの動作が適切でなければ、有効な同意とは認められない可能性があります。不適切な実装はユーザーからのクレームにつながるだけでなく、法令違反として当局から制裁を科されるリスクもあり、注意が必要です。

法令上問題となる可能性があり、ダークパターンにも該当するクッキーバナーのNG実装の例は、以下のとおりです。

【NG実装の例】

• 閲覧継続などをクッキー使用の同意とみなす

• 「同意」に比べて「拒否」を難しくする

• 同意ボタンを過度に強調し、拒否や設定を見つけにくくする

• 同意が必要なクッキーを初期状態でONにしておく

• 拒否・撤回後もクッキーを保存・読み取る

NG例①閲覧継続などをクッキー使用の同意とみなす

Webサイトの閲覧を続けるユーザーの行為などを同意とみなす「みなし同意」は、NG実装に該当します。みなし同意とは、「閲覧を続ける場合、クッキーの使用に同意したものとします」などと表示し、Webサイトの閲覧継続やスクロール、スワイプ、バナーを閉じる操作などをユーザー同意として扱うことです。

GDPRにおける有効な同意には、ユーザーによる明確な肯定的行為が必要です。単にWebサイトを閲覧し続けたり、画面をスクロールしたりする行為のみでは、「ユーザーがクッキーの利用に同意する意思を明確に示した」とはいえません。

▲閲覧の継続を同意とみなすバナー例

NG例②「同意」に比べて「拒否」を難しくする

クッキーの同意や設定は第一層から1クリックで選択できる一方、拒否するためには設定画面へ移動して複数回の操作が必要、といった設計も避ける必要があります。クッキーを拒否する操作のみを複雑にすると、ユーザーが本来の意思にかかわらず「同意」を選びやすくなるおそれがあるためです。

フランスの監督機関であるCNILは、「すべて拒否」を「すべて許可」と同じ画面・同程度の分かりやすさで示すか、少なくとも同意する場合と同じ程度に容易な方法で拒否できるようにすることを求めています。

▲第一層に「すべて拒否」がなく、拒否に追加操作を要するバナー例

NG例③同意ボタンを過度に強調し、拒否や設定を見つけにくくする

同意ボタンを過度に強調し、拒否や設定変更の選択肢を見つけにくくするなど、ユーザーを誤解させて同意へ誘導する設計は、有効な同意を妨げるおそれがあります。なお、ボタンの色や大きさに違いがあるだけで一律に違法となるわけではなく、ユーザーを誤認させるかどうかが個別に判断されます。

CNILは、ユーザーに同意が必須であると思わせたり、特定の選択肢をほかの選択肢より視覚的に強調したりするなど、誤解を与えるようなデザイン手法をUIに取り入れないよう示しています。ボタンの大きさや文字、表示方法などによって、同意へ過度に誘導しない設計が必要です。

▲同意ボタンを過度に強調し、設定リンクを見つけにくくしたバナー例

NG例④同意が必要なクッキーを初期状態でONにしておく

広告やアクセス解析など、同意が必要なクッキーのチェックボックスやトグルを初期状態でONにしておくことも、NG実装に該当します。このような構成では、クッキーの利用に同意しない場合、ユーザー自身がチェックを外したり、トグルをOFFに切り替えたりしなければなりません。事前に選択された状態をユーザーが受け入れたとしても、ユーザー自身による明確な肯定的行為とはいえない、とされています。

そのため、同意が必要なクッキーは初期状態をOFFにし、ユーザー自身が選択することで同意できるような構成にする必要があります。

▲必須クッキー以外のクッキーのトグルがあらかじめONになっているバナー例

※STRIGHTの初期設定を示すものではありません。

NG例⑤拒否・撤回後もクッキーを保存・読み取る

「クッキーバナー上で拒否や同意を撤回しても、その選択が実際のタグ制御に反映されず、実際には同意が必要なクッキーの保存・読取りが続く」という状態も避けるべきです。バナー表示のみを整えても、タグマネージャーや埋込みスクリプト、外部サービスなどが正しく連動していなければ、適切な法令対応とはいえません。

実際に、CNILは2025年、「すべて拒否」または「同意撤回」の選択後も新たなクッキーの設定や既存クッキーの読取りが続いていた事案を制裁しています。

参考：
Guidelines 05/2020 on consent under Regulation 2016/679｜European Data Protection Board（EDPB）
Report of the work undertaken by the Cookie Banner Taskforce｜European Data Protection Board（EDPB）
Judgment of 1 October 2019, Case C-673/17（Planet49）｜Court of Justice of the European Union（CJEU）
Dark Patterns in Cookie Banners: CNIL issues formal notice to website publishers｜CNIL

クッキー同意に関する2024〜2025年の主な制裁・是正事例

2024～2025年にも、同意前のクッキー設定や拒否・撤回後の読取り、同意へ誘導するUIなどを理由とした制裁・是正が欧州で相次いでいます。近年は、同意画面のデザインのみではなく、同意前のクッキーの設定や、拒否・撤回後も続くクッキーの保存・読取りなど、画面上の選択と実際のクッキー・タグの動作が一致しているかも問題となっています。

クッキー同意に関連する2024〜2025年の主な制裁・是正事例は、以下のとおりです。

※1 Googleに対する制裁金には、クッキーに関する違反のみではなく、Gmail上の広告表示に関する別の違反も含まれています。

※2 ORANGEに対する制裁金には、クッキーに関する違反のみではなく、メールサービス上の広告表示に関する別の違反も含まれています。

なお、上記のフランスCNILによる事例では、クッキーに関する違反について、いずれもePrivacy指令を国内法化したフランスデータ保護法82条に基づいて執行されています。

これらの事例では、同意の取得方法や情報提供の不備に加え、同意前や拒否・撤回後のクッキーの動作も問題とされています。たとえばSHEINの事例では、同意前の広告クッキー等の設定、第一層・第二層での情報不足、「すべて拒否」や同意撤回後の設定・読取りの継続がまとめて指摘されました。CMPなどの管理画面上の設定だけで判断せず、「同意前」「拒否後」「撤回後」の状態ごとに、実際のブラウザで動作を確認することが重要です（具体的な確認項目は次の章のチェックリストを参照）。

参考：
Cookies placed without consent: the company that publishes the website “vanityfair.fr” fined 750,000 euros by the CNIL｜CNIL
Cookies : la CNIL sanctionne AMERICAN EXPRESS d’une amende de 1,5 million d’euros｜CNIL
Cookies and advertisements inserted between emails: GOOGLE fined 325 million euros by the CNIL｜CNIL
Cookies placed without consent: SHEIN fined 150 million euros by the CNIL｜CNIL
Advertisements inserted among emails: ORANGE fined €50 million｜CNIL
Sanctions et mesures correctrices : la CNIL présente le bilan 2025｜CNIL

【GDPR対応】クッキーバナー実装・テストのチェックリスト

GDPRとePrivacy指令に基づく法規制に対応したクッキーバナーを実装する際は、ユーザーに必要な情報を提供し、適切な方法で同意・拒否・撤回を選択できるようにする必要があります。また、画面上の表示のみではなく、ユーザーの選択が実際のクッキーやタグの動作に正しく反映されているか確認することも重要です。

クッキーバナーの実装・テスト時は、以下のポイントを確認しましょう。

クッキーバナーの実装チェックリスト

クッキーバナーを実装する際は、以下のポイントを確認しましょう。

※3 Webサイトへのアクセス時に最初に表示される層

※4 「クッキー設定」等から表示される層

▲第一層と第二層を用いた目的別選択の例

クッキー・タグ動作テストのチェックリスト

クッキーバナーを実装した後は、バナーが正しく表示されるかだけではなく、実際の通信やブラウザの保存領域を確認し、ユーザーの選択とクッキー・タグの動作が一致しているかどうかもテストしましょう。

検証環境で問題がないことを確認した後は本番環境へ反映し、公開後も再度、クッキーバナーの表示と実際のクッキー・タグ・外部通信の状態を確認しましょう。テスト結果を記録しておくことで、後日の確認や設定変更時の比較にも活用できます。

　クッキーバナーの実装・設定に不安がある方へ　

IIJのクッキー同意管理ツール「STRIGHT」では、オプトイン形式のクッキーバナーや目的別の同意・拒否、アクセス元の地域に応じた表示の出し分け、Googleの同意モードとの連携などを設定できます。また、専門スタッフによる導入サポートやコンプライアンスチェックも実施しており、タグとの連動設定や、同意前・拒否後・撤回後の動作確認についてもご相談いただけます。

自社サイトに必要な対応や実装方法についてお悩みの場合は、お気軽にご相談ください。