Cookie同意バナーは日本でも義務?個人情報保護法・外部送信規律から整理

海外のサイトを開くと必ず出てくる「Cookieに同意しますか?」のバナー。最近は日本のサイトでも見かけるようになり、「うちのサイトにも設置しないとまずいのでは?」と不安になって検索された方も多いと思います。

先に結論をお伝えします。日本の法律では、Cookie同意バナーの設置は常に義務というわけではありません。 ただし「何もしなくていい」わけでもありません。多くの事業サイトには情報の外部送信についての公表義務があり、さらに一部のケースでは同意の取得や確認が必要になります。

検索すると「日本では不要」という記事と「設置すべき」という記事が混在していて、余計に混乱した方もいるでしょう。実はどちらも間違いではなく、どの法律の話をしているかが違うだけです。この記事では、その混乱を解きほぐすところから始めます。加えて、WordPressで手間をかけずにCookie同意に対応する方法もご紹介します。

なぜ答えが割れるのか——3つの法律の整理

Cookie同意バナーを巡っては、性質の異なる3つのルールが関わっています。

法律	同意バナーの位置づけ	適用される場面
GDPR(EU一般データ保護規則)	原則として事前同意が必要	EU/EEA圏の利用者に向けたサービス提供
個人情報保護法(日本)	Cookie情報などの「個人関連情報」を第三者提供する際、提供先が個人データとして取得することが想定される場合に、本人同意の確認が必要(第31条)	特定の提供形態に該当する場合
外部送信規律(電気通信事業法第27条の12)	同意は選択肢の一つ。通知・公表でも適法	対象事業者の情報外部送信全般

海外サイトにバナーが多いのはGDPRのためです。GDPRは「同意がなければCookieを使えない」に近い建て付けなので、EU向けサイトはバナーが事実上必須になります。

一方、日本の外部送信規律は構造が違います。求められるのは「利用者に知らせること」であり、その手段として通知・公表/同意取得/オプトアウト提供のいずれかを選べます。つまり、外部送信ポリシーを公表すれば、同意バナーなしでも適法に対応できるのです。

個人情報保護法は、この2つの中間的な位置にあります。Cookieに紐づく閲覧履歴などは、それ単体では特定の個人を識別できないため「個人関連情報」と整理されますが、これを第三者に提供し、提供先がそれを個人データとして(つまり誰かの情報として)取得することが想定される場合には、本人の同意が得られていることの確認が提供元に義務付けられています(第31条)。

「日本では不要」論は外部送信規律だけを、「必須」論はGDPR基準や個情法の特定ケースを見て書かれている——これが答えの割れる正体です。

ケース別判定——あなたのサイトに同意バナーは必要?

自分のサイトがどれに当てはまるか、順に確認してください。

ケース1: EU/EEA圏の利用者に向けてサービスを提供している
→ 同意バナーが必要です(GDPR対応)。「向けて」とは、EU向けの配送・決済対応、EU言語・通貨での提供などが目安で、単にEUからのアクセスが技術的に可能というだけでは通常該当しません。越境ECやインバウンド事業のサイトはここに入る可能性があります。

ケース2: Cookie等の情報を、提供先が個人と紐付けて使うことが想定される形で第三者に提供している
→ 同意の確認が必要になり得ます(個情法31条)。典型例は、サイトの閲覧データを広告主や外部のデータ基盤(CDP等)に渡し、提供先がそれを自社の顧客データと突合するケースです。該当するかどうかは提供スキームの詳細によるため、この形態に心当たりがある場合は個人情報保護委員会のガイドラインの確認と専門家への相談をおすすめします。

ケース3: 上記に該当せず、GA4やAdSense、SNS埋め込みを通常の方法で使っているだけ
→ 同意バナーは義務ではありません。 ただし、外部送信規律の対象事業者であれば公表義務への対応は必要です。具体的には「外部送信ポリシー」ページの作成と設置——手順は「外部送信規律とは?WordPressサイトの対応方法」と「外部送信ポリシーの書き方」で解説しています。

なお、義務がなくても同意バナーを設置する判断には合理性があります。プライバシーを重視する姿勢の表明として、将来の法改正への備えとして、あるいは海外からのアクセスが伸びてきた場合の先回りとして。「義務ではない」と「意味がない」は別の話です。

「とりあえず海外製バナーを入れる」の落とし穴

不安だから、と深く考えずに同意バナーを導入する前に、知っておくべき実害が3つあります。

1つ目: アクセス解析のデータが欠損します。 同意制にすると、同意しなかった訪問者の計測はできなくなります。同意率はサイトやバナーの設計によって大きく変わりますが、拒否された分のデータは確実に消えます。法的に同意が不要なケースで同意制を選ぶことは、自らの意思で計測データを削ることを意味します。 これを理解した上での選択なら問題ありませんが、「なんとなく」で選ぶ判断ではありません。

2つ目: バナーを入れても、公表義務は別途残ります。 ここが最大の見落としポイントです。海外製の同意管理ツールの多くはGDPR向けに設計されており、日本の外部送信規律が求める公表事項——送信される情報の内容・送信先の事業者名・双方の利用目的の3点セット——を日本語で整備する機能は保証されていません。「バナーを入れたから対応完了」と思っていたら、公表義務のほうが未対応だった、というケースは実際に起こり得ます。

3つ目: サイトの表示速度に影響することがあります。 同意管理ツールには、外部サーバーからスクリプトを読み込む方式のものが多くあります。全ページで追加のリクエストが発生するため、速度を重視するサイトでは無視できないコストになります。

結論として、同意バナーは「入れるかどうか」の前に「何のために・どの法律のために入れるのか」を決めるべきツールです。

設置する場合にやってはいけない実装

同意バナーを設置すると決めた場合、避けるべき実装が4つあります。これらは同意の法的有効性を損なうか、利用者の信頼を壊すものです。

みなし同意(スクロール・継続閲覧で同意扱い)。 「このサイトを閲覧し続けることで同意したものとみなします」という方式は、GDPRでは明確に無効とされており、日本の実務でも有効な同意とは評価されにくい設計です。同意は明確な行動(ボタンのクリック)で取得します。

Cookieウォール(同意しないと閲覧できない)。 同意を強制する構造は、同意の「任意性」を損ないます。

「同意する」だけを目立たせるダークパターン。 同意ボタンを大きく色付きに、拒否は小さな灰色のリンクに——という設計は、取得した同意の有効性に疑義を生むうえ、気づいた利用者の信頼を確実に失います。同意と拒否は同等の見え方で提示するのが原則です。

同意前にタグが発火している「なんちゃって同意バナー」。 見た目はバナーがあるのに、実際にはページ読み込み時点でGA4や広告タグが動いている実装ミスです。これでは同意制として機能していません。ブラウザの開発者ツールで、同意前に外部への通信が発生していないか確認できます。

裏返せば、正しく作られた同意バナーの条件は「明確な同意行動・拒否の同等提示・強制なし・同意前のタグ停止」の4点です。

実務の最適解——公表を土台に、同意は必要な範囲で

ここまでの整理を、実装方針に翻訳するとこうなります。

1. まず外部送信ポリシーの公表——対象事業者なら全サイト共通で必要な土台です
2. ケース1・2に該当する場合は同意バナーを追加——該当しないなら、追加は任意の経営判断
3. 設置するなら、日本法の公表要件とGDPRの同意要件の両方を満たす設計で

では、どう対応するのが最適解なのか？

当方が開発した無料のWordPressプラグイン「Consent Collector JP」は、この方針をそのまま実装したものです。外部送信ポリシーページの自動生成(公表対応)と同意バナー(同意対応)の両方を備え、サイトの方針に応じて選べます。みなし同意やCookieウォールは、設定項目としても存在しません——「やってはいけない実装」が最初からできない作りです。もちろん、公表ページを手動で作り、バナーなしで運用する対応でも法的には完結します。

よくある質問

Q. 個人ブログにも同意バナーは必要ですか?
同意バナーが必要になるのは本文のケース1・2に該当する場合で、通常の個人ブログはほぼ該当しません。ただし広告収入のあるブログは外部送信規律の公表義務の対象になり得ます。

Q. GA4を使っているだけで同意が必要ですか?
GA4を標準的な設定で使うだけなら、日本法上、同意バナーは通常必要ありません。公表義務への対応(外部送信ポリシーへの記載)は必要です。

Q. 同意バナーを入れれば、外部送信ポリシーのページは不要になりますか?
なりません。同意を取る場合でも「何に同意するのか」の説明は必要で、実務的には公表ページと併用します。バナーは公表義務の代替にはならない、と覚えてください。

Q. プライバシーポリシーがあれば外部送信ポリシーは不要ですか?
既存のプライバシーポリシーに外部送信の3点セット(情報の内容・事業者名・双方の利用目的)を追記する形でも対応可能です。独立ページにするか統合するかは構成の好みですが、記載内容の要件は同じです。

まとめ

• 日本の法律では、Cookie同意バナーは常に義務ではない
• ただし多くの事業サイトに公表義務があり、外部送信ポリシーの整備は必要
• EU向けサービスや、個人と紐付く形でのデータ第三者提供がある場合は、同意が必要になる

対象事業者かどうかの判定と対応手順は「外部送信規律とは?WordPressサイトの対応方法」を、公表ページの具体的な書き方は「外部送信ポリシーの書き方|記載例とテンプレート」をご覧ください。

自社サイトが対象かどうかをすぐに確認したい方は、「外部送信規律 かんたん該当チェック」(4つの質問に答えるだけの無料診断)もご利用ください。

一次情報: 総務省 外部送信規律 / 個人情報保護委員会

---

免責事項: 本記事は一般的な情報提供を目的としたものであり、法的助言を提供するものではありません。特に個人情報保護法第31条(個人関連情報)の該当性は、データの提供形態により判断が分かれる領域です。個別の事案への適用については、弁護士等の専門家にご相談ください。記事の内容は執筆時点の法令・ガイドラインに基づいています。