Cookieレスアナリティクス：それでも同意は必要か
「バナー不要」という約束
プライバシー重視のアナリティクスツールは、しばしばCookieレスをうたい、中にはさらに進んで、もう同意バナーは不要だとほのめかすものもあります。スタックを簡素にしたいパブリッシャーにとっては魅力的な話です。しかし現実はもっと微妙です。同意が必要かどうかは、そのツールが実際にデバイス上で何をするか、どのデータを処理するか、ユーザーがどこにいるか、そしてページ上で他に何が動いているかによって決まります。
この記事では、同意設定からアナリティクスを外す前に問うべき質問を説明します。一般的なガイダンスであり、法的助言ではありません。
Cookieだけが引き金ではない
EUでは、デバイスに関する同意のルールはePrivacy指令第5条(3)に由来します。これはCookieだけでなく、ユーザーのデバイスに情報を保存すること、またはデバイスから情報にアクセスすることを対象としています。ローカルストレージ、セッションストレージ、情報の読み取りを引き起こすピクセル、デバイスの特性から識別子を導き出す手法も、いずれも対象に含まれ得ます。欧州データ保護会議は、第5条(3)の技術的範囲に関するガイドライン2/2023で、この広い解釈を示しました。
したがって、「Cookieは設定していません」は分析の終わりではなく始まりです。そのツールがデバイス上で何かを保存したり読み取ったりしているかどうかを把握する必要があります。
あらゆるアナリティクスツールについて確認すべき4つの質問
1. デバイス上で何かを保存または読み取っているか
ページを読み込んだ後、ブラウザのストレージパネル（Cookie、ローカルストレージ、セッションストレージ、IndexedDB）を確認します。スクリプトに、識別子を作るためにデバイスの特性を収集するコードがないかも確認します。アナリティクスの目的で何かが保存または読み取られているなら、例外が適用されない限り、ePrivacyのルールが関わってきます。
2. 個人データを処理しているか
デバイスへの保存がなくても、アナリティクスは通常、IPアドレス、ユーザーエージェント、ページURLを処理します。GDPRの下では、これらは個人データになり得ます。そのためには法的根拠が必要です（同意ではなく正当な利益でもかまいません）。加えて、プライバシー通知での透明性、データの最小化、適切な保持期間が求められます。「バナー不要」は決して「義務なし」を意味しません。
3. ユーザーのいる国で例外が適用されるか
一部の規制当局は、厳格な条件を満たす場合に限定的なオーディエンス測定は同意の対象外になり得ると認めています。フランスのCNILは、オーディエンス測定トラッカーを適用除外とするための条件を公表しており、それを満たすよう設定できるツールを特定するプログラムを運営しています。条件には通常、厳密なファーストパーティでの利用、集計された統計のみ、サイト間トラッキングなし、限定的な保持期間が含まれます。英国の2025年データ（利用およびアクセス）法は、一定の統計目的を含め、PECRの同意要件に対する新たな例外を導入しました。ただし、明確な情報提供と異議を述べる手段といった条件があります。すべての国が同じ見解を取っているわけではないため、提供している各市場での立場と、どの規定が施行されているかを確認してください。
4. データは他の誰かと共有されているか
ツールが、ベンダーが自らの目的で使用するデータや、顧客をまたいで組み合わせるデータを送信している場合、例外は一般に成り立たなくなります。マーケティングページだけでなく、処理条件を読んでください。
通常、なお同意が必要なもの
- 広告タグ。広告収益型のパブリッシャーは、アナリティクスツールがどう動作するかにかかわらず、パーソナライズ広告と広告ベンダーによるデバイスへの保存について同意が必要です。
- セッションをまたぐ識別子を持つツール。ファーストパーティであっても、永続的な訪問者IDがあると、ツールはたいていの例外から外れます。
- セッションリプレイとヒートマップ。これらは詳細な行動を記録するため、例外となる測定として扱われることはまれです。
- 埋め込みコンテンツとソーシャルウィジェット。これらは独自のCookieと識別子を設定します。
- コンバージョンピクセルとリマーケティングピクセル。これらは行動を広告に結びつけるために存在します。
広告収益型のほとんどのサイトでは、広告スタックのために、いずれにせよバナーが必要です。本当の問いは、アナリティクスを同意の制御対象カテゴリのひとつにすべきか、それとも限定的な例外の下で独立して動作させられるかです。
判断のための実践的な方法
- すべてのアナリティクススクリプトと、それが何を保存し、読み取り、送信するかを一覧にします。
- ユーザーの大半がいる国を特定します。
- 各ツールについて、その設定がそれらの国で認められた例外を満たすかを確認します。
- 必要な最も厳格なバージョンにツールを設定します。IPの切り詰め、永続IDなし、短い保持期間、データ共有なし。
- 根拠を文書化し、どちらの場合でも、アナリティクスツールをCookieポリシーとプライバシー通知に記載しておきます。
- ベンダーが製品を変更したとき、または対象市場が変わったときに再確認します。
例外対象のアナリティクスをCMPと併用する
ツールが要件を満たすと判断した場合は、CMPで厳密に必要なもの、または例外対象として記載し、開示はされるが制御はされないようにして、その設定が例外の範囲内にとどまるようにします。多くのパブリッシャーは、より豊富な測定のために同意に依存するアナリティクス設定も併用し、Google Consent Mode v2や同様のシグナルを使って、ユーザーの選択に基づいてそれを調整しています。FlexyConsentは、IAB TCF 2.4およびIAB GPP v1.1とともに、Google Consent Mode v2をサポートしています。
重要なポイント
- 「Cookieレス」は自動的に「同意不要」を意味しません。第5条(3)はデバイスへのあらゆる保存やアクセスを対象としています。
- デバイスへの保存がないアナリティクスでも個人データを処理することがあり、法的根拠と透明性が必要です。
- オーディエンス測定の例外は一部の国に存在しますが、厳格な条件が伴います。
- 広告、セッションリプレイ、リマーケティングのタグには、なお同意が必要です。
- ツールが例外として扱われる理由を文書化し、定期的に再確認します。