危機管理広報・クライシスマネジメントのシリーズ6回目は、前回に引き続き、最低限知っておくべき法務知識のキホンです。
今回は、Cookie規制について紹介します。
WEB・アプリ開発・運用が関連する領域なので、実務上では法務・知財部門のほか、WEB・アプリ関連部門、情報システム&セキュリティ部門等との連携を図っておきましょう。
7．Cookie規制について
デジタルマーケティングやデジタルPR領域の話題として欠かせない法的テーマの一つに、Cookie規制があります。これまで製品・サービスマーケティングにおけるターゲティング広告の手法として、ウェブサイト上におけるCookieが広く活用されてきました。
ECサイトなどで過去のログイン履歴の確認や認証手続きの省略など、利便性を活かしたCookieはウェブサイト運営者と閲覧者・利用者の双方でメリットがある仕組みです。
しかし、近年の個人情報保護の重要性が高まる中で、Cookieに関する規制がグローバルに強化されてきています。日本でも、利用者のプライバシーの保護と、より安全なインターネット環境実現を目指すものとして、Cookieの利用において一定のルールを設ける動きとなっています。
2022年4月改正個人情報保護法と2023年6月改正電気通信事業法で、Cookieを想定している規制部分が「Cookie規制」と呼ばれているものです。
■Cookie規制と改正個人情報保護法
具体的に、まず改正個人情報保護法では、Cookie単体では特定の個人を認識できないため個人情報には該当しないとされます。
しかし、顧客データ等の他の情報と容易に照合することができ、それによって特定の個人を識別できる場合には、個人情報として個人情報保護法の規制を受けます。
特定の個人を識別できない場合には、個人情報保護法の個人関連情報としての規制対象となっています。
個人関連情報が規制対象となるケースは、自社サイトのCookieデータを第三者に提供し、第三者が自ら保有する情報と当該個人関連情報とを組み合わせることで特定の個人を識別できる場合に適用されます。
サードパーティCookieと呼ばれるもので、取り扱いに際して規制が課されています。
提供先の第三者は個人ユーザー本人から事前に同意を取得する必要があり、提供元自社サイトは提供先第三者により同意が取得していることを確認しておく義務もあります。
■参考文献：
ビジネス法務2025年10月号 特集１「個人情報保護法の基礎知識と実務対応 総ざらい」中央経済社
■Cookie規制と改正電気通信事業法
次に、改正電気通信事業法にも触れておく必要があります。
改正電気通信事業法におけるCookie規制とは、外部送信規律を指します。
外部送信規律は、電気通信事業者や一定のウェブサイト運営者などの対象サービス事業者が、サードパーティCookie等を通じてユーザーに関する情報を外部の第三者に送信することを指示する場合に適用される規制です。
対象事業者は利用者の端末に外部送信を指示するプログラム等を送信する場合、あらかじめ利用者に対し、通知又は公表（利用者が容易に知り得る状態に置く）、同意取得、オプトアウト措置のいずれかを行う必要があります。
私たちがウェブサイト等を利用する際に、CookieポップアップやCookieポリシーを確認し、同意を求められる場面をよく経験しますが、これが外部送信規律に対する事業者側の対応のひとつです。
■参考サイト：（総務省）
① 総務省｜自分に関する情報が第三者に送信される場合、 自身で確認できるようになります。
② 「外部送信規律について」ウェブサイトやアプリケーションを運営している皆様、御確認ください！
③ 総務省｜電気通信消費者情報コーナー｜電気通信事業における個人情報等の保護に関するガイドライン（令和７年12月更新）
Cookie規制によって、企業のデジタルマーケティングの対応に影響が発生していると言われます。
Cookieに依存しないマーケティング活動への移行を意味する「Cookieレス」時代の到来に、企業における対応傾向が見られますので、参考までに紹介します。
・リターゲティング広告の制限
・ファーストパーティデータの活用
・コンテキスト広告の利用
・CMP（同意管理プラットフォーム）の導入
・プライバシーポリシーを作成してユーザーに周知する、
などです。
さらに、AI活用によるデジタル広告運用の動きも活発になることでしょう。
次回も続きます。
東京都中小企業診断士協会城北支部 広報部
田中尚美