クッキーポリシーとは？意味と例文3種｜自社サイトに必要かの判断と書き方、同意バナーの要否【2026年版】
クッキーポリシーとは、ホームページが Cookie（クッキー）を何のために使い、どの会社に情報を送り、どうすれば止められるかを説明するページです。「Cookie ポリシーに同意しますか」という画面を見て意味を調べている方も、自社のホームページに載せるべきか迷っている方もいると思います。
先に結論を書くと、この記事で確認した電気通信事業法と個人情報保護法には、「クッキーポリシー」という名前のページを載せるよう定めた条文はありません。多くの中小企業のホームページなら、独立したページを作らず、プライバシーポリシーの1つの節として書けば足ります。ただし、何も書かなくてよいわけではありません。Googleアナリティクスを使っていれば、その利用規約が Cookie の使用と Googleアナリティクスの利用の開示を求めています。
この記事では、Cookie の基本、関連する文書との違い、同意の画面で「拒否」を押すとどうなるか、自社に必要かの判断、書く項目、そのまま使える例文3種、同意バナーの要否までをまとめました。
法令と公的機関、Google の案内は2026年11月4日に確認しています。例文は一般的なたたき台で、これを使えば法的に問題がないことを保証するものではありません。広告で個人の情報を結び付ける場合や海外向けのサイトは、公開前に弁護士に確認してください。
この記事の要点
- クッキーポリシーは、Cookie の種類、目的、送信先の会社、送信される情報、保存期間、止め方、問い合わせ先をまとめた説明。名前は「Cookie について」「外部送信について」でもよい
- 会社案内のホームページや自社商品のネットショップは、総務省の案内で外部送信規律の対象外。ただし対象外でも、Googleアナリティクスの利用規約は Cookie の使用と利用の開示を求めている
- ニュースや情報の配信、まとめサイトなど対象のサービスでは、送信される情報の内容、送信先の名称、利用目的を通知または公表する
- Cookie は通常、個人情報保護法の「個人関連情報」に当たる。ただし他の情報と容易に照合して個人を識別できれば個人情報になる
- 日本の国内向けサイトで、公表で対応するなら同意バナーは必須ではない。EU 向けに解析や広告の Cookie を使うなら、原則としてページを開いた時点では保存せず、同意の後に保存する
- 同意バナーを置くだけでは Cookie は止まらない。拒否されたときにタグの動きを変える設定まで必要
状況別の読み分け早見表
| 当てはまる状況 | 次に読むところ |
|---|---|
| 画面に出てきた「同意」を押してよいか知りたい | 「同意の画面で拒否するとどうなるか」 |
| 自社のホームページに必要なのか分からない | 「自社のホームページに必要か」の判断表 |
| とにかく文章が欲しい | 「そのまま使える例文3種」 |
| 自分のサイトでどの Cookie が動いているか分からない | 「書く前に、動いている Cookie とタグを調べる」 |
| 同意バナーを入れるか迷っている | 「同意バナーは要るか」 |
クッキーポリシーとは
クッキーポリシーとは、サイトで使う Cookie と、それによって行われる情報の送信を、閲覧者に説明する文書です。「クッキーポリシー」は日本の法律の用語ではなく、サイトごとに名前も書き方も違います。
Cookie はサイトがブラウザに保存させる小さなデータ
Cookie は、見ているサイトがブラウザに保存させる小さなデータです。Chrome のヘルプは、ログイン状態の維持や利用設定の記憶などに使うものと説明しています（出典：Chrome ヘルプ「Chrome で Cookie を削除、許可、管理する」）。総務省も、サーバー側で利用者を識別するためにブラウザに送られ、蓄積される情報と説明しています（出典：総務省 プライバシーポリシー）。
Cookie そのものが悪いわけではありません。ログインしたままページを移動できるのも、カートの中身が消えないのも、Cookie のおかげです。説明が必要になる中心は、閲覧者の知らないところで、見ているサイトとは別の会社へ情報が送られる部分です。この送信の多くは、ページに埋め込まれた「タグ」（外部の会社のサービスを動かす短いプログラム）によって行われます。
図の左側がサイトと閲覧者の間のやり取り、右側が外部の会社への送信です。総務省は、この右側の送信について、利用者が認識しないまま情報が送られ、広告の配信などに影響している場合があると説明しています（出典：総務省「外部送信規律」）。
Cookie の4つの種類
Cookie は、作った主体で2種類に分けられます。アドレスバーに表示されているサイトが作るのがファーストパーティ Cookie、他のサイトが作るのがサードパーティ Cookie です（前述の Chrome ヘルプ）。ポリシーを書くときは、これよりも目的で4つに分けると、閲覧者に伝わります。
| 種類 | 何に使うか | 例 | EU での同意 |
|---|---|---|---|
| 必須 | サイトの基本機能を動かす | ログイン状態の維持、カートの中身、フォームの入力内容の保持 | 利用者が求めたサービスに厳密に必要なら不要 |
| 機能 | 使いやすくする | 言語や地域の設定の記憶 | そのサービスに厳密に必要かで判断 |
| 解析 | 利用状況を調べる | Googleアナリティクス | 必要 |
| 広告 | 広告の配信と効果の測定 | Google広告のタグ、Metaピクセル | 必要 |
EU での同意の欄は、欧州委員会の事業者向け案内によります（出典：Your Europe "Online privacy: How to use cookies on your website"）。日本の扱いは後の節で説明します。
「ファーストパーティだから説明しなくてよい」は誤りです。 Google のヘルプによると、Googleアナリティクス 4 はファーストパーティ Cookie を使っています（出典：アナリティクス ヘルプ「[GA4] ウェブサイトでの Cookie の使用」）。しかし、Cookie を含むユーザー識別子や閲覧ページのデータは、Google に送られる情報として案内されています（出典：Google「電気通信事業法27条の12に基づく通知・公表のための参考情報」）。Cookie を作ったのが誰かと、情報が送られる先は別の話です。
プライバシーポリシー・外部送信ポリシーとの違い
クッキーポリシーと似た文書に、プライバシーポリシーと外部送信ポリシーがあります。役割の違いは次のとおりです。
| 文書 | 中心の内容 | 根拠になるもの | 独立したページが必要か |
|---|---|---|---|
| プライバシーポリシー | 氏名やメールアドレスなど個人情報の利用目的、問い合わせ窓口 | 個人情報保護法 | ページの名前は自由。公表する事項は法律で決まっている |
| クッキーポリシー | Cookie の種類、目的、送信先、止め方 | 法律の用語ではない。EU のルールやツールの規約への対応で作られることが多い | 不要。プライバシーポリシーの節でもよい |
| 外部送信ポリシー | タグで外部に送る情報の内容、送信先の名称、利用目的 | 電気通信事業法27条の12 | 不要。名前は決まっておらず、対象のサービスだけ公表が必要 |
図のとおり、解析・広告の Cookie と送信先は3つの文書に重なります。同じ内容を3か所に書くと、ツールを入れ替えたときに直し忘れが起きます。小さなホームページなら、プライバシーポリシーの1つの節にまとめるのが管理しやすい形です。分けるのは、Cookie の種類が多い場合や、広告のツールをよく入れ替える場合で十分です。その場合は全ページのフッターにリンクを置きます。
プライバシーポリシー全体の書き方はプライバシーポリシーの雛形と書き方で解説しています。第8条が Cookie の節に当たります。著作権やリンクの方針もまとめたページを作るなら、サイトポリシーの書き方も参考にしてください。
同意の画面で拒否するとどうなるか
拒否してもサイトを見られることは多いですが、Cookie を必要とする機能は動かないことがあります。ここは、ホームページを見ている側の方に向けた説明です。
同意の画面には、大きく分けて次の2種類があります。
| 画面の種類 | 表示の例 | 押すと起きること |
|---|---|---|
| 案内だけの画面 | 「当サイトは Cookie を使用しています」と「OK」だけ | 押しても動きは変わらないことがある。画面を閉じるだけの場合もある |
| 選べる画面 | 「すべて同意」「拒否」「設定」 | 選んだ内容に応じて、解析や広告の Cookie を保存するかどうかが変わる |
選べる画面で拒否したときに起きることは、サイトの作りによって違います。Apple のサポートは、Safari で Cookie をすべてブロックした場合の例として、正しいパスワードでもサインインできない、Cookie が必要だというメッセージが出る、一部の機能が働かないことを挙げています（出典：Apple サポート「iPhone で Safari の閲覧履歴、キャッシュ、Cookie を消去する」）。
ただし、画面で拒否することと、ブラウザの設定で Cookie をすべてブロックすることは別です。画面の「拒否」は、解析や広告の Cookie を止める選択として作られていることが多く、ログインなど必須の Cookie は対象外にしているサイトもあります。拒否を選んだあとに買い物やログインで困ったら、選び直せば済みます。
押す前に迷ったら、次の順で確かめてください。
- 画面の「詳細」「Cookie ポリシー」のリンクを開き、送信先の会社と目的を見る
- 広告のために送られるのが気になるなら、「拒否」か「必須のみ」を選ぶ
- 選び直したいときは、サイトの「Cookie 設定」を開くか、ブラウザから Cookie を削除する
Cookie の削除とブロックの方法は、ブラウザの公式の案内にあります。Chrome、iPhone の Safari、Mac の Safari、Microsoft Edge を確認してください。削除すると、サイトからログアウトされたり、保存した設定が消えたりすることがあります。
なお、拒否しても通信がまったく無くなるとは限りません。Google の同意モードを「高度な実装」で使っているサイトでは、同意が得られないと Cookie は保存されませんが、Cookie を使わない最小限の信号は Google に送られます。「基本の実装」なら、同意が得られるまでタグ自体が動きません（出典：アナリティクス ヘルプ「ウェブサイトとモバイルアプリの同意モード」）。
自社のホームページに必要か
自社に必要な対応は、サイトで行っているサービスと、入れているツールで決まります。次の表で、自分に近い行を探してください。
| 自社のサイト | 法律やツールの規約で求められること | おすすめの形 |
|---|---|---|
| 会社案内・お店の紹介で、解析や広告のタグが無い | 外部送信規律は対象外 | プライバシーポリシーで個人情報の扱いを説明。Cookie の節は実際に使う場合だけ |
| 会社案内・お店の紹介で、Googleアナリティクスを使う | 外部送信規律は対象外。Googleアナリティクスの規約で開示が必要 | プライバシーポリシーの節に、例文1を入れる |
| 上の2つに広告のタグを足している | 外部送信規律は対象外。Google広告やMetaの規約で説明が必要 | プライバシーポリシーの節か独立したページに、例文2を入れる |
| 自社商品のネットショップ | 外部送信規律は対象外。使うツールの規約は確認する | 例文3を入れる |
| ニュースや情報の配信、まとめサイト、投稿の場、複数店舗のモールなど | 外部送信規律の対象になり得る | 3項目を公表する。外部送信規律の判定を確認する |
| 会員のデータと Cookie を結び付ける広告を使う | 個人情報保護法の確認が要ることがある | 広告サービスの案内を読み、弁護士に確認する |
| EU に住む人に向けて販売や配信をしている | EU のルールの確認が要る | 同意を取る仕組みを入れ、弁護士に確認する |
この判断の根拠は4つあります。
電気通信事業法の外部送信規律
総務省の案内では、企業等のホームページの運営、個人ブログ、自社商品等のオンライン販売は電気通信事業に当たらず、対象になりません。一方で、メッセージの媒介、SNS、検索、ニュースサイトやまとめサイトなど各種情報のオンライン提供は対象になります。対象なら、送信される情報の内容、取り扱う者の氏名または名称、利用目的の3つを通知または公表するか、同意の取得やオプトアウト（利用者の求めで送信を止める方法）で対応します（出典：総務省「外部送信規律」、電気通信事業法27条の12）。
対象かどうかの細かな判定は、外部送信規律とは？4つの問いで判定にまとめています。迷う場合はこちらを先に読んでください。
個人情報保護法の個人関連情報
個人情報保護委員会は、Cookie 等の端末識別子は、個人情報に当たらない場合、通常は個人関連情報に当たるとしています。他の情報と容易に照合して特定の個人を識別できる場合は、全体として個人情報になります（出典：個人情報保護委員会 Q&A 8-1）。たとえば、会員登録のあるサイトで、会員番号と閲覧履歴を結び付けて管理していれば、閲覧履歴も個人情報として扱うことになります。
個人関連情報を第三者に提供する場合、提供先がそれを個人データとして取得することが想定されるときは、本人の同意が得られていることを確認しなければなりません（個人情報保護法31条1項）。ただし、この確認が要るのはその場合に限られます（Q&A 8-3）。提供先の取り扱いを確認する義務が一般にあるわけではありませんが、提供先が個人データとして使うことがうかがわれる事情があれば、確認したうえで判断する必要があります（Q&A 8-5）。
2026年7月に公布された改正個人情報保護法の条文にも、Cookie の事前同意を一律に義務づける規定は見当たりません。一方で、Cookie ID など特定の個人に連絡できる情報を含む個人関連情報について、不適正な利用と不正な取得を禁じる規定が入りました（出典：個人情報保護委員会「個人情報保護法等の一部を改正する法律について」）。改正の内容はプライバシーポリシーの記事で整理しています。政令や規則の整備が続いているので、個人情報保護委員会の公表情報も確認してください。
Googleアナリティクスと広告サービスの規約
法律の対象外でも、ツールとの契約で開示が必要になることがあります。Google アナリティクス利用規約の第7条は、プライバシーポリシーを公開し、データの収集に使う Cookie などの使用を通知すること、Googleアナリティクスの使用とデータの収集・処理の仕組みを開示することを求めています。Google のページへのリンクを目立つように表示する方法でも開示できるとしています。
つまり、会社案内のホームページでも、Googleアナリティクスを入れているなら説明は必要です。この記事の例文1は、そのための最小の形です。
広告のタグにも同じような決まりがあります。Google広告で、サイトを訪れた人に広告を出す機能（データセグメント）を使うなら、Google のヘルプは、Google などの配信事業者が Cookie を使って閲覧履歴に基づき広告を配信することと、その止め方をプライバシーポリシーに書くよう求めています（出典：Google 広告ヘルプ「データセグメントに関してプライバシー ポリシーに記載する必要がある情報」）。
Metaピクセルはもう少し厳しく、Meta ビジネスツール規約の第3条が、ピクセルを使う各ページに明確で目立つ通知を置き、情報を集めて効果の測定と広告の配信に使うこと、拒否する方法と拒否できる場所を説明するページへリンクするよう求めています。フッターのリンクだけで足りるかは、広告を出す前に規約を読んで判断してください。法律で事前の同意が必要な地域では、同意も必要です。
EU のルール
欧州委員会の案内によると、行動ターゲティング広告、解析、市場調査のような追跡の Cookie には同意が必要で、同意を得るまで Cookie を保存できません（前述の Your Europe）。日本の会社でも、EU に住む人に向けて販売や配信をしていれば、EU の法律が適用されることがあります。適用の条件はプライバシーポリシーの記事の GDPR の節を確認してください。海外向けの販売や広告を始めるときは、弁護士に相談してください。
なお EU では、利用状況の測定など一部の目的を同意の対象から外す見直しが審議されています。EU 理事会は2026年10月21日に自らの立場を決めましたが、欧州議会との協議はこれからで、成立はしていません（出典：EU 理事会の発表）。この記事の EU の記述は、確認日時点のルールです。
クッキーポリシーに書く7項目
クッキーポリシーには、閲覧者が「何が、誰に、なぜ送られ、どう止めるか」を判断できる7項目を書きます。外部送信規律の対象なら、2〜4番の内容は義務の3項目に当たります。
| 項目 | 書く内容 | 書くときの注意 |
|---|---|---|
| 1. Cookie の説明 | Cookie とは何かを短く | 専門用語を避ける |
| 2. 利用目的 | 必須、解析、広告など目的ごと | 「サービス向上のため」だけで済ませない。ツールごとに書く |
| 3. 送信先 | 会社の名前 | サービス名だけでは足りない。Google アナリティクスなら Google LLC 及びその関係会社 |
| 4. 送信される情報 | 閲覧したページ、端末の情報、Cookie の ID など | ツールの提供元の案内に合わせる |
| 5. 保存期間 | Cookie が残る期間の目安 | 法律の3項目には入らないが、書くと親切 |
| 6. 止め方 | ブラウザの設定、各社の停止の窓口 | 止めると使えなくなる機能も書く |
| 7. 問い合わせ先と更新日 | 窓口の連絡先、制定日と改定日 | ツールを変えたら更新日も直す |
Googleアナリティクス 4 の Cookie は、_ga と _ga_ で始まるものの2種類で、既定の有効期限はどちらも2年間です（前述のアナリティクス ヘルプ）。ただし、ブラウザの側にも上限があり、同じヘルプは Chrome で最大400日間、Safari で最大7日間としています。そのため、例文では「最長2年」とし、ブラウザの設定で短くなることを添えています。Googleアナリティクスの設定で期間を変えている場合は、その期間に直してください。
送信先の名称は、サービス名だけでなく会社名が必要です。総務省の FAQ の扱いは外部送信規律の記事で紹介しています。また総務省は、公表する文章について、日本語で、専門用語を使わず、平易に書き、拡大しなくても読める文字の大きさにするよう求めています。外部送信規律の対象でなくても、この基準で書いておくと読む人に伝わります。
書く前に、動いている Cookie とタグを調べる
書く前に、実際に動いている Cookie とタグを調べます。ここを飛ばすと、他社の文章を写しただけで実態と違うポリシーになります。パソコンの Chrome で、次の順に確かめてください（出典：Chrome DevTools「Cookie を表示、追加、編集、削除する」）。
- 通常のウィンドウで自社のサイトを開く。シークレットモードではサードパーティ Cookie が既定でブロックされるので、調べるには向きません
- Windows は F12 キー、Mac は Command＋Option＋I キーを押して、開発者向けの画面（DevTools）を開く
- 「アプリケーション」（英語の表示なら Application）→「ストレージ」→「Cookie」と進み、表示されたサイトの名前を順に選ぶ
- 表の「名前」「ドメイン」「Expires / Max-Age」を書き写す。ドメイン（サイトの住所に当たる部分）が自社と違うものは、外部の会社が関わる Cookie の手がかりになる
名前が _ga なら Googleアナリティクスです。分からない名前は、ドメインの会社の案内で調べます。
Cookie の一覧だけでは足りない場合もあります。Cookie を使わないタグもあるからです。次のものも一緒に確かめてください。
- Googleタグマネージャーの管理画面に登録されているタグ
- 制作会社やサービスの提供元が入れているタグ（問い合わせて一覧をもらう）
- 予約システム、チャット、地図や動画の埋め込み、SNS のボタン
そのまま使える例文3種
例文は、解析のみ、広告あり、ネットショップの3種類です。【】を自社の内容に置き換え、使っていないツールの項目は必ず消してください。使っていないツールが書いてあると、実態と違う説明になります。
Googleアナリティクスの送信先と送信される情報は、Google の参考情報に沿っています。この参考情報に「Google 広告」の項目は無いので、Google広告は広告サービスの項目と、シタミのプライバシーポリシー作成ツールの文面をもとにした例です。Metaピクセルは Meta の開発者向け案内をもとにしています。提供元の案内は変わることがあるので、公開前に最新の内容と照らし合わせてください。
例文1：解析のみ（Googleアナリティクスだけを使う会社案内・お店の紹介）
プライバシーポリシーの1つの節として貼れる、いちばん短い形です。
Cookie とアクセス解析について
当社は、本サイトの利用状況を把握して改善するため、Google アナリティクスを利用しています。
Cookie とは、サイトがブラウザに保存させる小さなデータです。
■ Google アナリティクス
・送信先：Google LLC 及びその関係会社
・送信される情報：閲覧したページに関するデータ、サイト上での行動に関するデータ、
端末・ブラウザ・通信に関する情報、位置情報、Cookie 等の識別子
・利用目的：当社では本サイトの利用状況の分析と改善のため。
送信先では、閲覧の傾向や履歴の分析のため。
・保存期間：Cookie は最長2年（ブラウザの設定により短くなる場合があります）
・Google による情報の使い方：https://policies.google.com/technologies/partner-sites?hl=ja
■ 止める方法
・Google アナリティクス オプトアウト アドオン：https://tools.google.com/dlpage/gaoptout?hl=ja
・ブラウザの設定で Cookie を無効にできます。無効にすると、本サイトの一部の機能が
使えなくなる場合があります。
お問い合わせ先：【事業者名】【メールアドレス】
制定日：【YYYY年MM月DD日】
例文2：広告あり（Google広告・Metaピクセルも使うサイト）
広告のタグを入れている場合の、独立したページとして使える形です。広告の項目は、実際に使っているものだけを残します。
クッキーポリシー
【事業者名】（以下「当社」）は、本サイトで Cookie と、外部の会社に情報を送るタグを使用しています。
Cookie とは、サイトがブラウザに保存させる小さなデータです。
1. 使用する目的
・サイトの基本機能：お問い合わせ内容の保持など、サイトを正しく動かすため
・アクセス解析：本サイトの利用状況を把握して改善するため
・広告：広告の配信と、広告の効果を測定するため
2. 情報の送信先
■ Google アナリティクス（アクセス解析）
・送信先：Google LLC 及びその関係会社
・送信される情報：閲覧したページに関するデータ、サイト上での行動に関するデータ、
端末・ブラウザ・通信に関する情報、位置情報、Cookie 等の識別子
・利用目的：当社では利用状況の分析と改善のため。送信先では、閲覧の傾向や履歴の分析のため。
■ Google 広告（広告の配信・効果測定）
・送信先：Google LLC 及びその関係会社
・送信される情報：閲覧したページの URL、広告のクリックやお問い合わせ・購入などの行動、
Cookie 等の識別子、端末・ブラウザ・通信に関する情報
・利用目的：広告の配信および広告効果の測定
・Google などの配信事業者は Cookie を使い、本サイトや他のサイトの閲覧履歴に基づいて
さまざまなサイトに広告を配信することがあります。
■ Meta ピクセル（Facebook・Instagram 広告の配信・効果測定）
・送信先：Meta Platforms, Inc.
・送信される情報：閲覧したページの URL、ボタンのクリックやお問い合わせ・購入などの行動、
フォームの項目名、購入金額など追加で設定した値、
IP アドレス、Cookie 等の識別子、端末・ブラウザの情報。
詳細マッチング（Advanced Matching）を設定している場合は、フォームに入力されたメールアドレス等の情報
・利用目的：広告の配信および広告効果の測定
・Meta を含む第三者は、Cookie やピクセルなどを使って本サイトや他のサイトから情報を集め、
広告の効果の測定と配信に使うことがあります。
3. 止める方法
・Google アナリティクス オプトアウト アドオン：https://tools.google.com/dlpage/gaoptout?hl=ja
・Google 広告：マイ アド センター（https://myadcenter.google.com/）
・Network Advertising Initiative の参加事業者の Cookie：同団体の英語のページ（https://optout.networkadvertising.org/）
・Meta：プライバシーポリシー（https://www.facebook.com/privacy/policy/）に記載の広告設定、
または Digital Advertising Alliance の英語のページ（https://www.aboutads.info/choices/）
・ブラウザの設定で Cookie を無効にできます。無効にすると、本サイトの一部の機能が
使えなくなる場合があります。
4. お問い合わせ先
【事業者名】【担当部署】【メールアドレス】
5. 変更について
使用するツールを変更したときは、このページを更新します。
制定日：【YYYY年MM月DD日】
改定日：【YYYY年MM月DD日】
例文3：ネットショップ（カートとログインのある自社販売）
ネットショップは、例文2の「1. 使用する目的」を次のように差し替え、種類ごとの表を添えます。カートやログインの Cookie は、止めると買い物ができなくなる場合があると書いておくのが要点です。
1. 使用する Cookie の種類
■ 必須の Cookie
・目的：カートの中身の保持、ログイン状態の維持、購入手続きの進行、不正な利用の防止
・止めた場合：商品の購入やログインができなくなる場合があります
■ 機能の Cookie
・目的：閲覧した商品や表示の設定の記憶
・止めた場合：次回の訪問時に設定をやり直していただく場合があります
■ 解析の Cookie
・目的：よく見られる商品やページを把握し、本サイトを改善するため
・止めた場合：買い物に影響はありません
■ 広告の Cookie
・目的：本サイトや他のサイトでの広告の配信と、広告の効果を測定するため
・止めた場合：関心に合わせた広告が表示されにくくなる場合があります
会員登録をされたお客様については、Cookie で取得した閲覧や購入の情報を、
登録情報と結び付けて管理する場合があります。この場合の情報の扱いは、
プライバシーポリシーをご確認ください。
最後の段落は、実際に会員の情報と結び付けているときだけ残します。この場合、その閲覧や購入の情報は個人情報として扱うことになるので、プライバシーポリシーの利用目的にも同じ内容を書いてください。また、決済や配送の外部サービスが動いている場合は、そのタグも「2. 情報の送信先」に足します。
同意バナーは要るか
日本の国内向けのサイトで、3項目の公表かプライバシーポリシーでの説明で足りるなら、同意バナーは必須ではありません。総務省の案内でも、外部送信規律への対応は、通知または公表、同意の取得、オプトアウトのいずれかです。バナーが必要になるのは、EU 向けのルールやツールの規約で同意を取る必要がある場合です。
Google の EU ユーザーの同意ポリシーは、EEA、英国、スイスの利用者について、法律で必要な場合の Cookie の使用と、広告のパーソナライズのための個人データの利用に、有効な同意を得るよう求めています。また、同意の記録を残すことと、取り消す方法を明確に示すことも求めています。
バナーを入れるなら、次の4点を確かめてください。
| 確かめること | 具体的には | 根拠 |
|---|---|---|
| 同意の前に Cookie を保存しない | ページを開いた時点では、解析や広告のタグを動かさない | Your Europe（EU 向け） |
| 目的ごとに選べる | 解析と広告を別々に選べるようにする | Your Europe（EU 向け） |
| 取り消しも簡単にする | 同意と同じくらい簡単に取り消せる「Cookie 設定」のリンクを置く | Your Europe（EU 向け） |
| 最初からチェックを入れない | 同意の欄にチェックを付けた状態で表示しない | 総務省「外部送信規律」 |
いちばん多い誤解は、バナーを置けば Cookie が止まるというものです。バナーは閲覧者の選択を受け取るだけで、タグの側がその選択に従うように設定されていなければ、拒否を押しても送信は続きます。Google の同意モードについても、ヘルプは「同意バナーもウィジェットも提供されません」と説明し、同意管理のツールか独自の仕組みと連携して、タグの動きを調整するものとしています（前述のアナリティクス ヘルプ）。バナーを入れたら、いったん Cookie を削除してからサイトを開き直し、拒否を押したあとに、先ほどの Cookie の一覧で解析や広告の Cookie が増えていないかを確かめてください。
国内向けのサイトで、「閲覧を続けると同意したものとみなします」とだけ書いた案内を置いても、同意を取ったことにはなりにくいと考えておくのが安全です。総務省は、チェックをあらかじめ付けておくなど、利用者が能動的に同意したとはいえない方法をとらないよう求めています。説明のためのお知らせであれば、「同意」という言葉を使わず、説明のページへのリンクを置く方が実態に合います。
よくある失敗と直し方
クッキーポリシーの失敗の多くは、書いてあることと実際の動きが食い違うことです。次の5つを確かめてください。
| よくある書き方 | 何が問題か | 直し方 |
|---|---|---|
| 他社のページの一覧をそのまま写す | 使っていないツールが載り、使っているツールが漏れる | 自分のサイトで調べた一覧から書く |
| 「Cookie には個人情報は含まれません」と言い切る | 会員情報などと照合できれば個人情報になる | 「Cookie 単体では氏名などは分かりません。会員情報と結び付ける場合は〜」のように、実際の使い方に合わせて書く |
| 「Google に送ります」だけ | 利用者が送信先の会社と目的を確認できない | 会社名、送信される情報、利用目的を分けて書く |
| 「サービス向上のため」だけ | 広告に使っているのに目的が分からない | 解析と広告を分けて書く |
| 公開したまま何年も直さない | 広告のタグを足したのに記載が無い状態になる | タグを追加・削除する人が、ポリシーも直す担当になる |
載せる前のチェックリスト
- 自社のサイトで動く Cookie とタグの一覧を作った
- 使っていないツールの項目を消した
- ツールごとに、送信先の会社名、送信される情報、利用目的を書いた
- 止める方法と、止めると使えなくなる機能を書いた
- 問い合わせ先と制定日を書いた
- スマートフォンで、拡大しなくても読めるか確かめた
- 全ページのフッターから、ポリシーかプライバシーポリシーのページへ移動できる
- 外部送信規律の対象になるサービスが無いかを確かめた
- 同意バナーを入れた場合、拒否を押すと解析や広告の Cookie が増えないことを確かめた
- タグを変えたときに記載を直す担当者を決めた
ホームページの公開前に確認したいほかの項目は、ホームページの品質チェックリストにまとめています。
シタミで作るホームページの場合
シタミで作るホームページには、フッターからリンクしたプライバシーポリシーのページが入ります。Googleアナリティクスやタグマネージャーを使うときは、管理画面の「設定」にある「アナリティクス」に、測定ID（G-から始まる番号）かコンテナ ID（GTM-から始まる番号）を入れて保存します。
クッキーポリシーに当たる文面は、次の順で用意できます。
- 無料のプライバシーポリシー作成ツールで「3. Cookie・解析ツール」を開き、使うツールを選ぶ。Google Analytics、Google広告のタグ、Metaピクセルから選べて、ツールごとに送信される情報、送信先、利用目的の記載が入る
- 「全文をコピー」を押して内容を確認する。入力内容はブラウザの中だけで処理され、送信・保存されません
- 公開中のプライバシーポリシーと見比べる。足りない項目があれば、この記事の例文から足す
このツールが作るのはプライバシーポリシー全体のひな形で、クッキーポリシーだけを作るものではありません。また、シタミのサイトに同意バナーの機能はありません。EU 向けに同意を取る必要があるサイトには向いていないので、そのような場合は同意の仕組みを組み込める別の方法を検討してください。
シタミのサイトのプライバシーポリシーのページは、サイトの種類によってはビジュアルエディタで編集できません（サービスLPでは編集の対象外です）。ご自身で書き換えられない場合は、シタミのお問い合わせ窓口（メール）に、文面の差し替えを相談してください。
プライバシーポリシーのページも入ったホームページを、先に下見する
シタミなら、業種と好みを選ぶだけでホームページを作り、完成したサイトを無料プレビューで確かめてから購入を決められます。Googleアナリティクスを使うときは、この記事の例文で記載を確認できます。
よくある質問（FAQ）
クッキーポリシーとは何ですか？
クッキーポリシーに同意しないとサイトを見られませんか？
クッキーポリシーの掲載は法律上の義務ですか？
プライバシーポリシーとクッキーポリシーは分ける必要がありますか？
Cookie は個人情報ですか？
日本のサイトに同意バナーは必要ですか？
Googleアナリティクスだけなら何を書けばよいですか？
まとめ：調べてから、実際の動きどおりに書く
クッキーポリシーは、次の順に進めると迷いません。
- 自社のサイトで動いている Cookie とタグを調べる
- 判断表で、自社に求められることを確かめる。外部送信規律の対象か迷うなら判定の記事を読む
- 例文を選び、使っていないツールを消して、自社の内容に置き換える
- フッターからリンクし、タグを変えるたびに直す担当者を決める
独立したページにするかどうかよりも、書いてあることと実際の動きが一致していることが大切です。文面を一から用意するなら、プライバシーポリシー作成ツールから始めると、選んだツールの送信先と目的まで入った状態で確認できます。