複雑な法規制対応は、
ITLINE CMPにおまかせ

Cookieバナーは、国内外のデータ保護・プライバシー法におけるCookieに関する規制を遵守するため、実務上必要又は有効な手段となります。以下においては、EU法、米国カリフォルニア州法及び日本法について紹介します。

形式的にCookieバナーを設置していたとしても、それだけでは必ずしもCookieに関する義務を遵守していることにはなりません。Cookieバナーの設置によって、Cookieに関連して要求されている法令上の義務を遵守できるようにしている必要があります。例えば、EU法との関係では、以下のような場合には、法令の要求事項を満たしていない可能性があります。

• Cookieバナーに同意していないユーザーとの関係でCookieを利用している場合
• ユーザーがCookieバナーへの同意を撤回した後も、当該ユーザーとの関係でCookieが利用され続けている場合
• Cookie利用の同意をみなし同意で取得している場合（例えば、予めチェックの入ったチェックボックスを表示し、ユーザーによってチェックが外されない限り、同意があるものとみなしている場合など）

EU法との関係では、eプライバシー指令により、Cookieを利用するためには原則として事前の同意が必要です。

ただし、通信の伝達を実行することのみを目的とする場合、又は利用者が明示的に要求した情報社会サービスの提供に不可欠な場合には、例外的に同意取得義務を負いません。このような同意取得義務の例外に位置付けられるCookieは、実務上は「厳密に必要なCookie（strictly necessary cookie）」として同意取得が不要な類型として位置付けられます。

ここでいう「同意」は、ユーザーの自由な意思に基づいてなされる必要があるため、デフォルトオンの設定による同意や包括的な同意は認められません。そのため、実務上は、Cookieバナーを利用することによって、ウェブサイト訪問者から自由な意思に基づく同意取得が行われています。

ウェブサイトオーナーの皆様は、当社のサービスを通じて、上記の対応を行っていただくことが可能です。

EU法との関係では、Cookieの利用については、Cookieバナー、Cookieの詳細設定、及びCookieポリシーを用いて同意取得を行うことが実務上は求められます。

まず、ウェブサイトの訪問者に対してCookieバナーでCookieの利用の概要を示し、同意取得をします。この場合、Cookieの種別ごとに同意取得できるようにするため、同意又は不同意だけでなく、Cookieの詳細設定へのボタンを用意して、Cookieの種別ごとの同意の有無を選択できるようにすることが求められます。また、Cookieポリシーへのリンクを掲載して、包括的かつ明確な情報を提供したうえで、Cookieの利用への同意取得ができるようにすることが求められます。

なお、Cookieの種別は、実務上は大きく以下のような種類に分類されます。

• 「厳密に必要なCookie」
• 「パフォーマンスCookie」
• 「機能性Cookie」
• 「ターゲティングCookie」

GDPRでは、Cookie単体であっても個人データにあたるところ、個人データの処理にあたっては、法的根拠が求められています。

Cookieを利用する場合、GDPRで認められている法的根拠のうち、「同意」又は「正当な利益」に依拠することになります。
同意に依拠する場合は、Cookieバナーにおいて適切な同意を取得できることが必要です。
正当な利益に依拠する場合は、その旨及び正当な利益の内容をプライバシーポリシーに記載の上、ユーザーに通知できる仕様となっていることが必要となります。

個人データをユーザーから直接・間接取得する場合、プライバシーポリシーには、以下を含む情報を必要に応じて記載する必要があります。なお、プライバシーポリシーのリンクについては、Cookieバナーに掲載しておくことが適切です。

• 管理者の身元及び連絡先、及び、該当する場合は、管理者の代理人の身元及び連絡先
• データ保護オフィサーの連絡先
• 個人データの処理の目的及びその処理の法的根拠
• 個人データの取得者又は取得者の類型
• 個人データを第三国に移転する場合は関連する情報等
• 個人データが記録保存される期間、又は、それが不可能なときは、その期間を決定するために用いられる基準
• ユーザーの権利
• 同意の撤回権
• 監督機関への不服申立権
• データの提供が法令上・契約上の義務か、又は契約締結に必要かどうか
• データ提供をしない場合にもたらす可能性のある結果
• 個人データの種類
• 個人データの情報源
• 法的な又は同様の重大な影響を及ぼす自動化された処理のみに基づく決定の存在、その論理並びにデータ主体への重要性及び想定される結果に関する有意義な情報

CCPAでは、原則としてCookieの利用に事前の同意は求められていません。

ただし、同意が不要だからといって、何も対応しなくてよいわけではありません。
CCPAでは、Cookie単体であっても個人情報にあたるところ、個人情報の利用に当たっては、主に以下の対応が求められます。

• プライバシーポリシー等を通じて、収集時に十分な情報提供を行うこと
• 個人情報を「販売」又は「共有」している場合に、ユーザーがオプトアウト権を行使できるように体制を整備すること（具体的には、オプトアウト設定シグナルへ対応し、かつ、「Do Not Sell or Share My Personal Information」とのリンクからアクセスできるフォームを提供することが必要です。）

ウェブサイトオーナーの皆様は、当社のサービスを通じて、上記の対応を行っていただくことが可能です。

CCPAでは、プライバシーポリシー又はCookieポリシーに、少なくとも以下のような情報を分かりやすく記載する必要があります。

• 収集している個人情報のカテゴリー
• 個人情報の利用目的
• 個人情報を「販売」又は「共有」しているかどうか
• 個人情報の保存期間（又はその決定基準）
• ユーザーが行使できる権利（オプトアウト請求権など）
• オプトアウト請求権に関する説明と手続方法

CCPAでは、個人情報を収集する場合、Q.3-2記載の事項を通知する必要があります。

当社のサービスを利用することで、Cookieバナー上で、収集時通知へのリンクを表示することが可能です。

また、通知の方法は次の点を満たす必要がある点にも注意が必要です。

• 専門用語や法律用語を避け、平易で分かりやすい表現にする
• スマートフォンなどの小さい画面でも読みやすい形式にする
• 障害のあるユーザーにも配慮したアクセシビリティを意識する

※これらの対応は、ウェブサイトオーナー様において対応いただく必要があります。

個人情報を「販売」又は「共有」している場合、CCPAでは、ユーザーにオプトアウト（拒否）する権利を保障する必要があります。

具体的には、Cookieバナー上で「Do Not Sell or Share My Personal Information」というリンクやボタンを設置し、ユーザーがこれを選択した場合、即時に販売・共有を停止できる仕組みを用意する必要があります。

また、ブラウザ等から送信されるオプトアウト設定シグナル（例：Global Privacy Control）についても、これを受信した場合、追加の操作を求めることなく、販売・共有の停止として自動的に処理する必要があります。

当社のサービスはオプトアウト設定シグナルに対応しており、また、当社サービスを利用することで、Cookieバナー上で、「Do Not Sell or Share My Personal Information」ボタンへのリンクを表示することが可能です。