サードパーティクッキーとは？規制の理由や影響、代替技術などわかりやすく解説！

日本は、2022年4月にcookieを規制する法律が施行されました。

Cookieとは一体なんなのか、規制・廃止される理由やその影響など、cookieに関して分かっていることを解説していこうと思います。

cookieとは

Cookie(クッキー)とは、webサイトを訪れた際に作成されるテキストファイルです。

ファイルの中には、訪問者が訪れたサイトやログインID、訪問回数、利用環境などの情報が入っています。

Cookieがあることで、一度登録した情報をいつでも保存しておくことができるため、ユーザーは何度も同じ情報を入力しなくてよくなるのです。

cookieの種類

Cookieには「ファーストパーティークッキー」と「サードパーティクッキー」の2種類があります。

大きな違いはcookieの発行元がどこかという点です。

ファーストパーティークッキー

ユーザーが訪問しているwebサイトから直接発行されるcookieのことです。

直接発行なのでそのサイトでしか使えませんが、ユーザーにブロックされにくくより精度の高いトラッキング(ユーザー追跡・データ収集)が可能です。

ただし、そのサイト独自のcookieになるので、サイトを横断してのトラッキングができません。

また、同じユーザーであっても別のデバイスで訪問すると別ユーザーとして認識されてしまうという弱点もあります。

サードパーティクッキー

ユーザーが訪問したwebサイトとは異なる第三者のドメインから発行されるcookieのことです。

例えば、訪れたサイトに広告が表示されることがありますが、あれは広告配信先ドメインからサードパーティクッキーが発行されているということなのです。

サードパーティクッキーはサイトドメインとは関係がないので、サイトを横断してcookieを発行することができます。

ユーザーの興味・関心にあった広告を表示することができるため、リターゲティング広告を行う際に必要不可欠なものなのです。

しかし、最近はサードパーティクッキーを拒否するユーザーが増えており、個人情報保護の観点からもサードパーティクッキーの取得が制限されてしまっています。

cookieの役割

ユーザーの情報を取得して保存するcookieにはどんな役割があるのでしょうか。

ユーザー側と企業側の両方からみていきましょう。

ユーザー側の役割

Cookieは、ユーザーが入力した情報を保存しておいてくれるので、ユーザーのサイト閲覧の利便性を上げる役割があります。

情報を保存してくれることで、IDや住所などを何度も入力する手間が省けますし、ECサイトの買い物かごなどの情報もそのまま保っておいてくれます。

また、ユーザーの情報や興味・関心に合わせた広告や商品を表示してくれるので、サイト閲覧や買い物がしやすくなります。

企業側の役割

Cookieはユーザーの情報を保存してくれるので、根拠のあるデータを集めてニーズの把握や最適な広告配信が可能になります。

ユーザーに合った広告を配信できることで、購買意欲の高い見込み顧客にアプローチをかけることができ売上に繋げやすくなります。

このように、cookieの発行はユーザー側にも企業側にもそれぞれのメリットがあるのです。それなのに、なぜ規制や廃止が決まってしまったのでしょうか。

次の項目でその理由を知っていきましょう。

cookie規制はなぜ？規制の理由と廃止への流れ

Cookieが規制される理由は、サードパーティクッキーがプライバシー保護の点で問題視されているからです。

ファーストパーティークッキーは、まだそれぞれのサイト内だけなのでそこまで問題はありませんが、サードパーティクッキーはサイトを横断して情報を取得するので、ユーザーの行動履歴が企業側に筒抜けになってしまうのです。

これによるユーザーの不安を解消し個人情報を守るため、サードパーティクッキーについての法律ができたり、ブラウザ上で規制が始まったのです。

【日本の法規制】

改正個人情報保護法

改正個人情報保護法により、2022年4月からサードパーティクッキーは「個人関連情報」に定義されました。

提供された個人情報に、保有している個人情報を組み合わせることで個人を特定できる情報に変化する可能性があるため、情報提供元に本人同意が得られているかを確認することが義務付けられました。

改正電気通信事業法

2023年6月より施行された規制で、ユーザーの行動履歴などの情報を外部に送信する際にユーザーにその情報や目的を公開するというものです。

対象の事業者は、

ユーザー情報の外部送信について事前に通知、あるいはすぐに知れるように公表すること
ユーザーに事前同意を得ること
ユーザーが後からでも情報の送信・利用を拒否できる仕組みを作ること

これらが義務付けられています。

その際、どのケースにおいても「送信される情報はどんなものなのか」「その情報はどこの誰に利用されるのか」「どのような目的で利用されるのか」の情報提供をしなければなりません。

【海外の場合】

EUのGDPR

GDPRとは、General Data Protection Regulationの略で「EU一般データ保護規則」という意味です。

EU内では、2018年5月からcookieの取得にはユーザーの事前同意が必要になりました。

GDPRでは、EU域内に在住する個人データを取り扱う場合はどの企業も対象になるので、日本企業も対応する必要があります。

カルフォルニア州のCCPA

CCPAとは、California Consumer Privacyの略で「カルフォルニア州消費者プライバシー法」という意味です。

2020年1月から施行されました。

事業者は、

どんな情報をどんな目的で収集するかを通知すること
ユーザーが利用停止できる仕組みを作ること
ユーザーからの情報開示や消去請求に対応すること
ユーザー情報を適切に管理すること

など、ユーザー情報に対して多くの義務があります。

CCPAの対象はカルフォルニア州に在住する個人なので、こちらも日本企業に関係のある法律になります。

【ブラウザの規制】

safari(サファリ)

Apple社がsafariに新しく搭載したITP機能により、2020年3月からドメインを横断したトラッキングを前面的にブロックしています。

ファーストパーティークッキーについても、有効期限を24時間以内に制限しています。

chrome(クローム)

Google提供するchromeでは、2024年後半からサードパーティクッキーのサポートを段階的に廃止することを発表しました。

ファーストパーティークッキーについては規制する予定がないようです。

Googleアナリティクスでは、すでにサードパーティクッキーは使用されておらず、ファーストパーティークッキーのみが利用されているそうです。

MicrosoftEdge(マイクロソフトエッジ)

完全ブロック機能はありませんが、自分で設定することでクッキーをブロックすることができます。

Firefox(ファイアーフォックス)

Safariのように全面的にブロックされているわけではありませんが、初期設定でトラッカーのcookieをブロックするようになっています。

また、トラッカー以外のcookieはサイトごとに隔離される設定になっています。

cookie規制による影響とは

Cookie規制による影響は、基本的に企業側が大きな打撃を受けることとなります。

企業にどのような影響があるのか見ていきましょう。

リターゲティング広告ができなくなる

リターゲティング広告とは、1回以上サイトを訪れたことのあるユーザーに対し、サイト離脱後も広告を表示する広告手法です。

ユーザーの行動履歴を収集し、興味・関心のある広告を別サイトでも表示させることができます。

より見込みのあるユーザーに絞って広告表示できるのがメリットですが、サードパーティクッキーの規制によりサイトを横断しての広告表示ができなくなってしまいます。

これにより、見込み顧客に絞って広告を配信することが難しくなります。

コンバージョンを正しく計測できない

サードパーティクッキーを使用すると、サイトを横断してユーザーの行動を追跡できるので、どこでコンバージョンが起きたか正しく計測できます。

しかし、サードパーティクッキーが使用できないと別ドメインで発行されたcookieは無効化されてしまいます。

それにより、別サイトで起きたコンバージョンを計測することが難しくなってしまうのです。

アトリビューションの計測が難しくなる

アトリビューションとは、コンバージョンがあった場合に、どのような経路でコンバージョンまで行き着いたのか、何がどんな影響を及ぼしたのかを把握できるものです。

コンバージョンに至るまで、間接的に影響を与えた広告などの貢献度を測ることができるので、各広告への予算やリソース配分を最適化することができます。

しかし、cookieが規制されることで正確な計測ができなくなってしまいます。

このように、cookieの規制でマーケティングがしにくくなるため、コンバージョン率が低下したり、見込み度の高いユーザーへの広告表示が難しくなったりしてしまうのです。

いつから規制？罰則はあるの？

日本のcookie規制は、2022年4月に施行された「改正個人情報保護法」、2023年6月に施行された「改正電子通信業法」にて既に規制されています。

罰則について

【改正個人情報保護法の場合】

罰則が与えられるのは、措置命令違反・報告義務違反・個人情報の不正利用などがあった場合です。

・措置命令違反では、1年以下の懲役または100万円以下の罰金
・報告義務違反では、50万円以下の罰金・個人に対しては、データベースなどの不正利用で1年以下の懲役　　　または50万円以下の罰金
・法人に対しては、措置命令違反とデータベースなどの不正利用で1億円以下の罰金
・報告義務違反で50万円以下の罰金

【改正電子通信業法の場合】

改正電子通信業法の場合、特に罰則はないようです。

総務大臣による業務改善措置命令や違反者の氏名・名称などの公表にとどまります。

しかし、公表されることでユーザーの信頼度低下に繋がる可能性も十分あるので要注意です。