マンガで分かるシリーズ第1話クッキーバナーは本当に必要？ | Web担当者は見た!!我が社のクッキーバナー導入奮闘記

Web担当者は見た!!

我が社のクッキーバナー導入奮闘記

第1話　クッキーバナーは本当に必要？

クッキー（Cookie）とはWebサイトがブラウザに与える番号札！ユーザーが閲覧したWebサイトを記録できるもの

このクッキーバナーが今日本でも注目されている。日本だとまだ導入していない企業は多いけど、すでに各国ではクッキーを規制する法律ができている

■欧米におけるクッキー規制強化の経緯

2002年
・EUにおいて、ePrivacy指令が制定。クッキーをはじめとする端末への読み書き技術の利用について、拒否権を与えることが義務づけられた
2009年
・ePrivacy指令が改正されクッキーに関する同意取得義務が課せられた
・同意要件についてはGDPRの前身であるデータ保護指令に基づくとされていたが、当指令の元では厳密なルールは存在しなかった
2018年5月
・EUでGDPR(一般データ保護規則)が施行され個人データの取扱いに関する同意要件が明確になった→同意要件の厳格化、制裁金も高額に
2019年夏
・英・仏・独各国の監督機関がクッキー規制に関する取締り強化を表明、次々と制裁や警告の事例が出始める
2020年
・7月1日米国カリフォルニア州においてサードパーティクッキーの利用をはじめ商業的な利益を目的とする個人データの開示を規制対象とするCCPAの執行が開始される

世界各国で個人情報の利活用に関する法規制が増えてきているから、万が一制裁金や集団訴訟なんてことになったら怖い

■欧州での制裁・警告などの事例

-2019年2月ドイツ：バイエルン州内大企業40社へ警告、情報提供や同意取得の要件を満たしていなかった
-2019年12月スペイン：IKEAへ制裁、同意取得前にすでにクッキーがセットされており、有効な同意を取得していなかった
-2020年6月スペイン：Twitterへ制裁、情報提供や同意取得の要件を満たしていなかった
-2020年10月スペイン：イベリア航空へ制裁、ユーザーにクッキーを拒否するオプションを提供せず、ユーザーが閲覧を継続したい場合はクッキーを受け入れるように求めていた
-2020年12月フランス：Googleへ制裁、事前の同意なく広告目的のクッキーが端末に自動的に設定されていた
-2021年5月フランス：大手IT20社にクッキー・ガイドライン違反是正指示

法令遵守というコンプライアンスの観点だけじゃなく、より広義なCSR（社会的責任）のためにクッキー規制対策をしておいたほうがいい

日本でも2022年4月1日に改正個人情報保護法が施行されて、個人の権利が広がる形で規制が強化される

■個人関連情報の第三者提供制限規制とは？

個人関連情報取扱事業者が、個人関連情報データベースなどを構成する個人関連情報を第三者に提供し、当該第三者が当該個人関連情報を個人データとして取得することが想定されるときは、原則として、このような提供及び取得について本人の同意が得られていることを確認する義務を負う

個人関連情報の例※

・Cookieなどの端末識別子を通じて収集された、ある個人のウェブサイトの閲覧履歴
・メールアドレスに結び付いた、ある個人の年齢・性別・家族構成など
・ある個人の商品購買履歴・サービス利用履歴
・ある個人の位置情報
・ある個人の興味・関心を示す情報
※令和2年改正個人情報保護　ガイドラインより

ユーザーも利用するなら個人情報の扱いに不安が残る企業よりもしっかりプライバシー保護に取り組んでいる企業を選ぶのではないか

■プライバシーは法的義務から企業の社会的責任へ

例え法的に問題がなかったとしてもユーザーが「気持ち悪い」と思う時点で企業の信用とブランドを棄損することになる。そのため、法律に従い義務として最低限の情報を開示するだけという消極的な姿勢ではなく、積極的な情報開示の姿勢が信用獲得の第一歩になる。きちんと情報開示をしていて、好感が持てる企業は、ユーザーからの評判が高まり、結果としてブランド価値が高まる。このような姿勢は法的義務への対応を行う狭義のコンプライアンスではなく、企業の社会的責任として積極的に情報開示を行っていく広義のコンプライアンスに相当する。プライバシー保護への対応は、最低限の法的義務対応のための「コスト」から、企業の社会的責任として、また自社の信用、ブランド価値を高めるための未来への「投資」へとシフトしていく。