プライバシーポリシーとCookie対応の実務｜同意バナーは本当に必要か

2026.08.282026.09.22

最終更新：2026年8月

「Cookieの同意バナーを付けないと違法になる」と言われて、対応を検討している企業は多いはずです。

しかし、すべてのサイトに同意バナーが必要なわけではありません。日本の制度は、しばしば紹介されるヨーロッパの規制とは前提が異なります。誤解したまま対応すると、不要なコストをかけたり、逆に本当に必要な対応を見落としたりします。

この記事では、日本のサイト運営者が押さえるべき点を整理します。

※本記事は一般的な解説であり、法的助言ではありません。個別の判断は弁護士等の専門家にご相談ください。制度は改正されるため、最新の情報は所管官庁の公表資料でご確認ください。

2つの制度を分けて考える

混同されやすいので、まず整理します。

個人情報保護法への対応は、フォームを持つほぼすべてのサイトに関係します。一方、外部送信規律は対象が限られます。

問い合わせフォームや資料請求フォームがあるなら、必ず用意してください。

実務上よくある不備が2つあります。

ひな形の流用は出発点としては有効ですが、必ず自社の実態に合わせて修正してください。特に、使用しているアクセス解析ツールや広告タグは実際のものに書き換える必要があります。

2023年6月施行の改正電気通信事業法により、利用者の情報を外部に送信する場合、通知・公表、同意取得、オプトアウトの機会提供のいずれかが求められるようになりました。

ここで重要なのが、対象が「電気通信役務を提供する事業者」に限られるという点です。

対象になりやすい	対象外と整理されることが多い
SNS、メッセージングサービス	自社の商品・サービスを紹介するだけのコーポレートサイト
検索サービス	店舗の営業案内サイト
ニュース配信、各種情報のオンライン提供	採用情報のみのサイト
オンラインショッピングモール
オンライン検索・比較サービス

つまり、一般的な中小企業のコーポレートサイトは、外部送信規律の直接の対象にならないケースが多いと整理されています。

ただし、自社サイト内で情報提供サービスやオンラインショップを運営している場合は対象となり得ます。判断に迷う場合は専門家にご相談ください。

結論から言えば、日本では「訪問時に必ず同意を取る」ことが一律に義務づけられているわけではありません。

外部送信規律で求められるのは、通知・公表、同意取得、オプトアウトのいずれかです。多くのサイトでは、プライバシーポリシーや専用ページで、外部送信している情報とその送信先を公表するという方法で対応できます。

ただし、海外向けに事業を展開している、EU圏の居住者の情報を扱うという場合は、GDPRなど別の規制の検討が必要になります。この場合は同意取得の仕組みが求められることがあります。

「海外の事例で見たから」という理由だけで同意バナーを導入すると、離脱率が上がるという副作用があります。自社の事業実態に照らして判断してください。

ほぼすべてのサイトが該当する論点です。最低限、次の対応をしてください。

広告タグの記載漏れが非常に多い項目です。リスティング広告やSNS広告のコンバージョン計測タグを入れている場合、それも外部への情報送信にあたります。プライバシーポリシーに反映してください。

自社サイトにどんなタグが入っているか分からない場合は、制作会社に一覧を出してもらってください。過去のキャンペーンで入れたまま残っているタグが見つかることがあります。