Cookie同意バナーは必要？会社ホームページで確認する外部送信規律とGA4

他社のホームページを開くと、画面の下に「当サイトは Cookie を使用しています」「同意する」といった表示が出ることがあります。自社のサイトにもこの Cookie 同意バナーが必要なのかを社内で聞かれ、調べ始めた総務・広報の担当者も多いと思います。

結論を先に書きます。2026年11月時点で総務省と個人情報保護委員会の公式情報を確認した範囲では、Cookie を使うすべての会社のホームページに、同意バナーの設置を一律に求める規定は見当たりませんでした。まず必要なのは、サイトにどんなタグが入っていて、情報がどこに送られ、何に使われるかを把握し、法令や利用しているサービスの規約が求める形で利用者に知らせることです。そのうえで、海外の利用者がいる場合や広告のタグが多い場合などに、同意バナーを置くかどうかを検討します。

この記事では、電気通信事業法の「外部送信規律」と個人情報保護法で求められることを整理し、会社案内のサイトの扱い、GA4 などの計測タグの公表の書き方、同意バナーを置く場合の注意をまとめます。法律の解釈を示すものではありません。自社が対象になるか、どの方法が適切かの最終的な判断は、弁護士や所管の窓口に確認してください。

Cookie同意バナーとは：通知・公表・同意の違い

Cookie は、サイトがブラウザに保存する小さなデータで、ログイン状態の保持やアクセス解析での利用者の区別などに使われます。ただし法令の話で問題になるのは、Cookie そのものより、ページに埋め込んだタグ（計測や広告、動画・地図の埋め込みなどのプログラム）によって、利用者の端末から外部に情報が送られることです。

「同意バナー」と呼ばれる表示にも、中身にはいくつかの種類があります。外部送信規律では、利用者に確認の機会を与える方法として、通知、利用者が容易に知り得る状態に置くこと（いわゆる公表）、同意の取得、オプトアウト措置のいずれかを行うことが示されています（総務省：外部送信規律FAQ 問1-1）。それぞれの違いは次のとおりです。

よく見かける「Cookie を使用しています［OK］」というバナーは、ボタンを押してもタグの動きが変わらないなら、選択を受け付けているのではなく、知らせるための表示です。自社が何をしたいのか（知らせるのか、選んでもらうのか）を先に決めないと、バナーを置いても目的と中身が合わなくなります。

電気通信事業法の外部送信規律で求められること

外部送信規律は、2022年6月の電気通信事業法の改正で設けられ、2023年6月16日に施行されたルールです。総務省は、ウェブサイトやアプリを利用する際に、利用者が認識しないまま端末から第三者に情報が送られ、その情報で広告配信のカスタマイズなどの影響を受けることがあるため、利用者が確認できるようにする規律だと説明しています（総務省：外部送信規律）。

対象は、電気通信事業を営む者のうち、「利用者の利益に及ぼす影響が少なくない電気通信役務」をブラウザやアプリで提供する事業者です。外部送信規律FAQ（問1-9）では、次の4つが挙げられています。

• 利用者間のメッセージの媒介など（メール、ダイレクトメッセージなど）
• SNS、電子掲示板、動画共有サービス、オンラインショッピングモールなど
• オンライン検索サービス
• ニュース配信、気象情報配信、動画配信、地図などの各種情報のオンライン提供

対象の事業者は、外部送信を指示するプログラムを利用者の端末に送る際に、あらかじめ次の3つを通知するか、利用者が容易に知り得る状態に置く必要があります。

1. 送信される利用者に関する情報の内容
2. その情報を取り扱うこととなる者の氏名または名称
3. その情報の利用目的

示し方にも決まりがあります。日本語で、専門用語を避け、平易な表現を使い、拡大・縮小などの操作をしなくても文字が適切な大きさで表示されるようにします。公表の場合は、タグを送るページか、そのページから容易に到達できるページに表示します。通知の場合は、ポップアップなどで即時に表示する方法が示されています（FAQ 問3-1、問3-2）。

一方で、ページの表示に必要な情報（OS やブラウザの情報、入力内容の保持やセキュリティ対策に必要な情報など）や、サービスの提供者が利用者を識別するために自分に送らせる First Party Cookie の ID などは、通知や公表が不要とされています。ただし、同じ ID を使って第三者に情報が送られる場合は除外されないなど、細かい条件があります（FAQ 問6-1〜6-4）。また総務省は、同意を得る場合に、チェックボックスにあらかじめチェックを付けておくなど、利用者が能動的に同意したとはいえない方法をとらないよう求めています。

会社案内のサイトは対象になるか：総務省FAQで確認できた範囲

外部送信規律は「電気通信事業」を営む者に適用されます。総務省のページでは、企業などのホームページの運営や、自社商品などのオンライン販売は電気通信事業に該当しないため、対象にならないと説明しています。外部送信規律FAQには、会社のサイトに関係する問いがいくつかあります。確認できた内容を表にまとめます。

会社概要や事業紹介、製品紹介のページには、問2-12 の「会社案内のページ」と同じ考え方が当てはまると考えられます。ただし問2-12 のように、同じサイトの中でもページの機能ごとに判断されます。

判断に迷いやすいのは、業界のニュースを継続して配信するページ、会員登録をして使う情報サービス、利用者どうしがやり取りできる機能などです。自社の「お知らせ」欄やコラムの記事が FAQ のいう「ニュース配信」に当たるかどうかは、FAQ では直接触れられていません。新しい機能を加えるときや判断に迷うときは、総務省の窓口や弁護士に確認してください。

また、外部送信規律の対象外であっても、個人情報保護法や GA4 の利用規約は別に関わります。「対象外だから何も書かなくてよい」とはならない点に注意してください。

個人情報保護法でのCookieの扱い

個人情報保護法では、Cookie がどの種類の情報に当たるかで扱いが変わります。個人情報保護委員会の「ガイドラインに関するQ&A」（Q8-1）では、Cookie などの端末識別子は、個人情報に当たらない場合には通常「個人関連情報」に当たり、他の情報と容易に照合して特定の個人を識別できる場合には、その情報とあわせて全体として個人情報に当たるとしています（個人情報保護委員会：「個人情報の保護に関する法律についてのガイドライン」に関するQ&A）。

個人関連情報の第三者提供のルール（法第31条）は、提供先が個人関連情報を「個人データとして取得することが想定される」場合に限って適用され、その場合は提供元が、本人の同意が得られていることなどを確認する必要があります（Q8-3）。自社サイトに他社のタグを置く場合について、Q&A（Q8-10）は、自社がそのタグで収集される閲覧履歴を取り扱っていないのであれば、自社が他社に閲覧履歴を「提供」したことにはならず、他社が利用者から直接取得したことになると考えられる、としています。どちらも個別の事案ごとに判断するとされています。

会社のサイトで気をつけたいのは、アクセス解析のデータと、問い合わせフォームで受け取った氏名などを結び付けて管理する場合です。Cookie の ID と氏名などを容易に照合できる状態になると、個人情報として扱う必要が出てくる可能性があります。営業支援や MA のツールで、サイトの閲覧履歴と顧客情報をつなぐ場合は、利用目的の書き方も含めて専門家に確認してください。フォームで集める項目を必要なものに絞る考え方は、問い合わせフォームの項目の決め方で解説しています。

さらに、2026年7月17日に公布された改正個人情報保護法では、個人情報ではないものの、メールアドレスや Cookie ID などを含み、特定の個人に連絡などの働きかけができる個人関連情報について、不適正な利用と不正な取得を禁止する規律（第31条の2）が設けられました。施行は原則として公布の日から2年を超えない範囲内とされ、2026年11月時点では政令・規則・ガイドラインの整備に向けた検討が進められています（個人情報保護委員会：令和8年 改正個人情報保護法について）。施行日と実務への影響は、今後の発表で確認してください。

プライバシーポリシーに書く項目の全体は、プライバシーポリシーの書き方で解説しています。

GA4など計測タグの公表の書き方

同意バナーを置くかどうかにかかわらず、最初に作るのは、サイトに入っているタグと送信先の一覧です。GA4 のほか、広告のタグ、YouTube 動画や地図の埋め込み、フォームのスパム対策、チャット、SNS のボタンなど、制作時や運用中に追加されたものが残っていることがあります。制作会社や保守の委託先に一覧を出してもらうか、タグマネージャーの管理画面で確認します。タグマネージャーの仕組みはGoogleタグマネージャー（GTM）とはで説明しています。

GA4 の利用規約で求められていること

Google アナリティクス利用規約（日本向け、最終更新は2023年5月15日）の第7条「プライバシー」は、サイトの運営者に次のことを求めています（Google アナリティクス利用規約）。

• プライバシーポリシーを公開し、データの収集に使う Cookie などの使用について、そのプライバシーポリシーで通知する
• Google アナリティクスを使用していることと、Google アナリティクスでデータが収集・処理される仕組みを開示する。方法として、Google のページ「Google のサービスを使用するサイトやアプリから収集した情報の Google による使用」へのリンクを目立つように表示することが示されている
• Cookie などの保存とアクセスについて、情報の提供と同意が法律で義務付けられている場合は、明確で包括的な情報を提供し、同意を得るための商業上合理的な努力をする

Google のヘルプによると、GA4 のタグはファーストパーティの Cookie「_ga」（ユーザーの区別に使用）と「_ga_<container-id>」（セッションの状態の保持に使用）を使い、既定の有効期限はどちらも2年です（アナリティクス ヘルプ：ウェブサイトでの Cookie の使用）。

送信先・情報・目的の書き方

外部送信規律の対象になる場合は、先に挙げた3つの事項を書きます。対象外の場合でも同じ形で整理しておくと、利用者に分かりやすく、プライバシーポリシーの記載とも食い違いにくくなります。外部送信規律FAQでは、書き方について次のように示されています。

• 情報を取り扱う者は、サービス名だけでなく、氏名または名称を書く。サービス名の方が知られている場合は併記が望ましい（問4-2）
• 送信される情報は、利用者が適切に認識できるように書く。例として「閲覧したWebサイトのURL、当該サイトを閲覧した日時等」が挙げられている（問4-7）
• 利用目的は、原則として送信先と自社の双方の目的を書く（問4-3）
• 利用目的は、送信先が公表しているページやプライバシーポリシーへのリンクで示すこともできるが、リンク先の内容の概略もあわせて示すことが望ましい。送信先のページが日本語以外の場合、リンクの表示だけの対応は認められない（問4-5、問4-6）

送信先の利用目的の記載例として、FAQ（問4-8）は Google のページを紹介しています。そのページ（2023年6月16日時点の情報に基づくとされています）では、Google アナリティクスについて次のように整理されています（Google：電気通信事業法27条の12に基づく通知・公表のための参考情報）。これを参考に、自社の公表ページの表を作ります。

Google のページには、利用者の設定によっては表に載っていない情報が送られる場合があるとも書かれています。GA4 の広告向け機能や Google 広告とのリンクを使っている場合は、自社の設定を確かめてから書いてください。公表のページは、全ページのフッターから「外部送信について」などの分かりやすい名前でリンクするか、プライバシーポリシーの中に項目を設けます。

同意バナーを置く場合の注意

同意バナーを検討する主な場面は、次のようなときです。

• 欧州経済領域・英国・スイスの利用者がサイトを使う（海外向けのページがある、現地に取引先が多いなど）
• 広告のタグやリマーケティングを多く使っている
• 会員向けのサービスなど、外部送信規律の対象になる機能がある
• 法令上の義務とは別に、利用者に選択肢を示す方針をとる

Google の「EU ユーザーの同意ポリシー」は、このポリシーが組み込まれた Google のサービスを使う場合に、欧州経済領域・英国・スイスのエンドユーザーから、法律で義務付けられている場合の Cookie などの使用と、広告のパーソナライズを目的とした個人データの収集・共有・利用について、法的に有効な同意を得るよう求めています。同意を求める場合は、同意の記録を保持し、取り消しの手順を明確に示すことも求めています（Google：EU ユーザーの同意ポリシー）。海外の法令そのものの内容は、この記事では扱いません。

バナーを置く場合に確認したいことを表にまとめます。

計測の数字への影響

同意を得るまでタグを止める設定にすると、拒否した人のデータは通常の形では集まりません。Google の「同意モード」は、同意管理のツールや独自の実装と連携して、利用者の選択を Google のタグに伝える仕組みです。ヘルプでは、同意が得られない場合は Cookie を保存せず、代わりに Cookie を使わない通信（ping）を送り、GA4 ではコンバージョン モデリングと行動モデリングでデータのギャップを補完すると説明しています。同意モード自体はバナーを提供しないため、バナーは別に用意します（アナリティクス ヘルプ：ウェブサイトとモバイルアプリの同意モード）。

バナーを入れた時期を境に、ユーザー数や問い合わせ完了のキーイベントの数が変わって見えることがあります。社内のレポートには導入日を記録し、前後の比較に注意書きを付けておきます。キーイベントの設定はGA4のキーイベント設定方法を参照してください。バナーの表示の確認は、ホームページ公開前チェックリストの項目に加えておくと漏れにくくなります。

自社で判断する手順と相談先

自社で進める場合の順番です。

1. サイトに入っているタグと埋め込みを一覧にする（サービス名、事業者の名称、送られる情報、目的、入っているページ）
2. サイトのページを機能ごとに分け、外部送信規律FAQに照らして対象になりうるページがあるかを確認する
3. 海外の利用者がいるか、同意を求めるポリシーがある外部サービスを使っているかを確認する
4. アクセス解析のデータを、氏名などの情報と結び付けていないかを確認する
5. タグの一覧に合わせて、プライバシーポリシーと外部送信の公表ページを書く
6. 同意バナーを置くかどうかを決め、置く場合は前の章の表で設定と表示を確認する
7. 文面と判断を弁護士に確認してもらい、タグを追加・削除したときに見直す

相談先は内容によって分かれます。外部送信規律の対象になるかは総務省（外部送信規律のページには、総合通信基盤局 電気通信事業部 利用環境課が連絡先として掲載されています）、個人情報保護法の解釈は個人情報保護委員会の相談窓口、自社の文面と判断は顧問弁護士が中心です。サードパーティ Cookie をめぐるブラウザの動きは、サードパーティークッキーとは？規制の現状と企業サイトの対応で解説しています。

タグの棚卸しや GA4・タグマネージャーの設定の確認は、制作会社や保守の委託先に頼める作業です。フェニックスデザインのWEBサイト運用保守・集客改善でも、GA4・Search Console の整備を行っています。公表の文面やバナーの要否の法的な確認は、弁護士に依頼してください。

よくあるご質問

Cookie を使っていなければ、何もしなくてよいですか？

外部送信規律FAQ（問1-7）では、Cookie を使っていなくても、端末から外部に情報を送るよう指示するプログラムを送っていれば、規律の対象になりうるとしています。Google のヘルプでも、GA4 のタグは Cookie を設定しなくてもデータを送信できると説明しています。Cookie の有無ではなく、どのタグが何を送っているかで確認します。

同意バナーを置けば、プライバシーポリシーは不要ですか？

不要にはなりません。個人情報保護法では、問い合わせフォームなどで個人情報を取得する場合の利用目的の明示や、保有個人データに関する事項の公表などが求められます。GA4 の利用規約もプライバシーポリシーの公開を求めています。バナーは、プライバシーポリシーや公表のページへの入口として位置付けます。

海外からのアクセスもある場合はどうすればよいですか？

Google の EU ユーザーの同意ポリシーは、欧州経済領域・英国・スイスのエンドユーザーについて、一定の場合に同意を得ることを求めています。現地の法令が関わることもあるため、海外向けのページを持つ場合や現地の利用者が多い場合は、海外の法令に詳しい専門家に確認してください。

まとめ

• 2026年11月時点で確認した範囲では、Cookie を使うすべての会社のサイトに同意バナーを一律に求める国内の規定は見当たらない。最初にタグと送信先を一覧にする
• 外部送信規律は電気通信事業を営む者が対象。総務省のFAQでは、会社案内のページは対象外、ニュース配信のページは対象とされ、ページの機能ごとに判断する
• Cookie は通常「個人関連情報」に当たり、氏名などと容易に照合できると個人情報になる。2026年7月に公布された改正法の施行にも注意する
• GA4 を使うなら、利用規約に沿って、プライバシーポリシーで Cookie の使用と Google アナリティクスの仕組みを開示する
• バナーを置くなら、同意前にタグを止める設定、初期チェックなし、拒否のしやすさ、記録、計測への影響を確認し、最終判断は弁護士に相談する