「厳密に必要」なCookieの例外：該当するもの・しないもの
この例外が重要な理由
ePrivacy指令（第5条(3)）の下では、ユーザーの端末に情報を保存したり読み取ったりするには、通常、事前の同意が必要です。例外は2つあり、パブリッシャーが最も頼りにするのは、ユーザーが明示的に要求したサービスの提供に厳密に必要な保存に関する例外です。この例外に当てはまらないものはすべて、同意バナーの背後に置かれます。
多くのサイトは、この例外を解析、A/Bテスト、広告のフリークエンシーキャップ、パーソナライゼーションにまで拡大解釈しています。規制当局はこうした解釈に繰り返し異議を唱えてきたため、線引きがどこにあるのかを正確に理解しておく価値があります。
2段階のテスト
この例外は、あなたにとっての都合で決まるものではありません。次の2つの問いを投げかけます。
- ユーザーはそのサービスを明示的に要求したか。記事を読み込むことは要求です。商品をカートに入れることも要求です。すべてのページに表示したチャットウィジェットを開くことは要求ではありません。
- その保存は、まさにそのサービスを提供するために厳密に必要か。Cookieや識別子がなくても、多少不便な形であってもサービスが機能するなら、その保存はおそらく厳密には必要ではありません。
「自社のビジネスモデルに必要」であることと「ユーザーが求めたサービスに必要」であることは同じではない点に注意してください。広告収益は無料サイトを存続させますが、広告ターゲティング用の識別子は記事を表示するために必要ではありません。
一般的に認められている例
- セッションおよび認証Cookie：ログイン中のユーザーがセッション中にログイン状態を保つためのもの。
- ショッピングカートのCookie：ユーザーが購入手続きを行う間、商品を記憶するもの。
- ロードバランシング用の識別子：リクエストを適切なサーバーに振り分けるもの。
- セキュリティCookie：ログインの繰り返しの失敗を検知したり、偽造リクエストから守ったりするために使うもの。
- 同意記録そのもの：ユーザーの選択を尊重するには、それを記憶しておく必要があるため。
- 言語など、ユーザーが意図的に設定したインターフェース設定：セッション中、またはユーザーが選んだ理由で保存される場合。
誤って分類されやすい例
- アナリティクスCookie。当局によっては、限定的でプライバシーに配慮したオーディエンス測定を厳しい条件の下で認めていますが、標準的なアナリティクスタグには一般に同意が必要です。対象ユーザーに適用される当局のガイダンスを確認してください。
- 広告およびリターゲティング用の識別子。コンテンツ自体の提供には決して必要ありません。
- ページ読み込み時にサードパーティCookieを設定するソーシャル共有ボタンや埋め込みウィジェット。
- ユーザーが求めていないA/Bテストやパーソナライゼーション。
- 広告のフリークエンシーキャップ。ユーザー体験の向上には役立ちますが、ページの提供に不可欠ではありません。
保存期間と範囲も重要
本当に不可欠なCookieであっても、機能に必要な範囲を超えて長く残ったり、多くを収集したりすれば、問題になり得ます。1年間残るセッションCookieや、マーケティングプロファイルまで書き込むセキュリティCookieは、例外による保護を失います。保存期間は短く、内容は最小限に保ってください。
根拠を文書化する
厳密に必要と分類したすべてのCookieやストレージ項目について、次の3点を書き留めてください。それが支えるユーザー要求の機能、それがなければその機能が成り立たない理由、そして保存期間です。Cookieの一覧と併せて管理する簡単な表で十分です。リストを見直す際は各項目を疑ってみてください。「昔からそうしてきたから」というのが唯一の理由なら、同意の背後に移しましょう。
この例外はCookieだけに当てはまるものではありません。ローカルストレージ、セッションストレージ、デバイスフィンガープリンティング、アプリ内のSDK識別子も同じ第5条(3)の考え方の下にあるため、見直しの対象に含めてください。
FlexyConsentの位置づけ
FlexyConsentはGoogle認定のCMP（CMP ID 317）で、IAB EuropeおよびIAB Canadaの認定を受けており、バナーは57言語で利用できます。CMPを使えば、ユーザーが選択するまで必須ではないタグを保留し、本当に不可欠な項目は引き続き読み込むことができます。各Cookieをどのカテゴリーに分類するかは、引き続きあなたの判断ですので、文書化した根拠を最新の状態に保ってください。
重要ポイント
- この例外が対象とするのは、ユーザーが明示的に要求したサービスに厳密に必要な保存であり、収益のために必要な保存ではありません。
- セッション、カート、ロードバランシング、セキュリティ、同意記録のCookieが、該当する典型例です。
- アナリティクス、広告、ソーシャルウィジェット、パーソナライゼーションは、一般に同意が必要です。
- 保存期間と内容が重要です。不可欠なCookieは短期間かつ最小限にとどめてください。
- ローカルストレージ、セッションストレージ、アプリの識別子にも同じテストを適用してください。
- 厳密に必要と分類したすべての項目の根拠を文書化し、定期的に見直してください。