プライバシーポリシーとCookie対応の実務｜同意バナーは本当に必要か

最終確認：2026年10月3日

Cookieの同意バナーは、すべての日本のサイトに一律に必要なものではありません。ただし、バナーが不要な場合も、フォームの個人情報や外部サービスへ送る情報の扱いまで不要になるわけではありません。

最初に、どのサービスで、何を取得・送信し、誰が何に使うかを調べます。その結果を基に、個人情報保護法、電気通信事業法の外部送信規律、提供地域やサービスの契約条件を分けて判断します。

先に調べる3つの論点

論点	確認する対象	判断の入口
個人情報の取扱い	フォーム、顧客情報、Cookie等と個人を識別できる情報の結び付け	利用目的、取得、管理、委託・第三者提供、本人への対応
外部送信規律	対象となるサービスから、利用者の端末に情報の送信を指示する仕組み	サービスの該当性、送信内容、送信先、利用目的、適用除外と必要な措置
海外向け提供・契約条件	提供地域、利用者へのサービスや追跡、解析・広告サービスの規約	適用法とサービス条件を確認し、必要な同意・制御を判断

Cookieだから常に個人情報、または常に個人情報ではない、とは決められません。個人情報保護委員会のFAQ Q8-1は、個人情報に該当しない端末識別子でも通常は個人関連情報に当たると説明しています。Q8-3では、提供先が個人データとして取得することが想定される場合の、法第31条の確認を示しています。

外部送信の公表と、個人データの第三者提供に必要な同意は別の判断です。一方の対応で他方も済むとは考えないでください。

タグ・埋め込み・フォームの実態を一覧にする

制作会社や運用担当に、解析・広告タグだけでなく、タグ管理ツール、動画、地図、SNS、チャット、認証、フォームの保存先も確認してもらいます。トップだけでなく、サービス、記事、フォームなど、設定が異なるページを調べます。

次は調査台帳の記入例です。実際の情報や送信先は、利用するサービス、設定、通信と公式資料で確認してから記入します。

記録項目	記入例・確認方法
ページと設置方法	記事ページ／タグ管理ツール／担当A。テーマやプラグイン側との重複も確認
サービスと送信先	サービス名、情報を扱う事業者名。単なる通信先ドメインと区別
送信される情報	識別子、閲覧情報、端末情報など、実際の設定に対応する内容を記録
自社の利用目的	例：ページの利用状況を集計し、案内内容の改善に使う
送信先の利用目的	サービスの公式資料で確認。自社の目的をそのまま転記しない
動作と制御	読み込み時・同意後・操作時のどこで動くか。拒否・変更後も確認
保存・担当・確認日	保存先、権限、保持期間、削除方法、更新担当、根拠URLと確認日

使っていないタグは、担当と依存する機能を確認してから整理します。タグ管理ツールを置いたことだけで、配下の送信先を把握したことにはなりません。フォームの氏名・メールアドレスを解析イベントやURLに入れないことも確認します。

プライバシーポリシーは、取得と運用に合わせて作る

法令に「プライバシーポリシー」という名前のページを置けば完了する仕組みがあるわけではありません。必要な明示・公表等を満たし、利用者が見つけられるよう、実務では専用ページに整理します。

整理する項目	内容を決めるための確認
事業者と窓口	事業者名、連絡先、保有個人データについて必要となる住所・代表者等の事項
取得する情報と利用目的	問い合わせ回答、見積もり、契約対応など。営業案内にも使うならその用途を区別
委託・第三者提供・国外での取扱い	保存・配信・業務の担当とサービスを調べ、委託と第三者提供を区別して判断
安全管理	権限、担当者、保管、削除など実際の措置。公表によって安全を損なう詳細は載せない
本人からの請求	開示・訂正・利用停止等の窓口、確認方法、法令に沿った対応。すべて無条件に削除できるとは書かない
Cookie・外部サービス	調査した送信情報、送信先、用途、選択手段など必要な説明
更新の運用	改定日、変更の確認担当、フォームやタグを追加したときの見直し

通則編ガイドラインと法令・ガイドラインの一覧を確認します。ひな形のサービス名や保存期間を、自社で確認せずそのまま公開しないでください。

フォームから直接取得する場合は、原則として取得前に利用目的を明示します。個人情報保護委員会のQ4-17も、ホームページの入力画面をこの対象として説明しています。例えば「お問い合わせへの回答と、ご依頼内容の確認のために利用します」という案内は、その用途に合っている場合の文例です。広告配信や提携先への提供まで、この案内だけで含めないようにします。

外部送信規律は、企業名ではなく提供するサービスから判断する

電気通信事業法第27条の12と施行規則第22条の2の27以降に基づき、対象となる役務と送信を確認します。通信の媒介、利用者が投稿する情報の提供、検索、不特定の利用者向けの情報提供などが判断の入口です。

サイト・サービスの例	確認する点
自社の会社・商品・採用の案内	自社情報の案内だけなのか、別の情報提供サービスも行っているか
ニュース・比較・情報メディア	情報提供の内容、事業性、利用者、外部送信を確認
SNS・投稿・検索・モール等	役務の区分、提供機能、利用者の情報の送信を確認
同じ企業内の複数サイト	コーポレートサイトとメディアなどを、名前だけで一括して対象外にしない

自社商品を紹介するページと、ニュース・比較等を提供するサービスは役割が違います。「中小企業だから対象外」「GAを入れたから必ず対象」といった判定は避けてください。情報の外部送信はCookie以外でも起きます。また、サービス提供に真に必要な情報などの適用除外も、具体的な送信ごとに検討します。

公表・同意・オプトアウトをどう選ぶか

方法	設計と確認の要点
通知・容易に知り得る状態に置く	対象の情報、送信先、利用目的を分かりやすく示す。公表ページへの到達、文字サイズ、送信するページとの関係を確認
同意を得る	同意の対象を説明し、選択前後で該当する送信がどう動くかを確認。バナーを閉じた状態も調べる
オプトアウト措置	送信と利用のどちらを止めるか、受付方法、利用制限、対象情報・送信先・用途等を示し、申し出後の動作を確認

外部送信の説明では、自社と送信先それぞれの利用目的を確認します。制度の詳しい考え方は、個人情報保護委員会が公開する電気通信分野の解説・第7章も参照できます。

国内の外部送信規律で通知・公表等を選べることと、別の法令やサービス条件で同意が必要かは別です。海外向け販売・提供・利用者の追跡がある場合は、地域と業務に応じた適用を確認します。海外からのアクセスの有無だけで、バナーの要否を自動的に決めません。

同意管理ツールを入れても、タグが同意前に動いていれば想定した制御になりません。「同意」「拒否」「変更」のそれぞれで通信と機能を確認します。解析で測れる範囲が変わったときも、それだけでサイトの閲覧や相談が減ったと判断しないようにします。

公開後の管理と、相談に用意する資料

1. 個人情報と外部送信の台帳を作り、未確認の項目に担当と期限を付けます。
2. 法令の適用、第三者提供・国外での取扱い、必要な措置を運営者と専門家で判断します。
3. 説明ページとフォームの案内を作り、必要な制御・リンクを実装します。
4. 実際の表示と通信、選択後の動作を確認し、判断と確認結果を保管します。
5. タグ・フォーム・保存先・提供地域を変える際に、案内と運用を更新します。

保存期間は「対応完了から一律3年」などと決めつけず、利用目的、契約・記録の必要性、関係法令を踏まえて定めます。メール、フォーム内の保存、顧客管理、バックアップを区別し、削除方法と担当まで決めてください。公布された改正と、現在適用する条文も分けて確認します。改正法の施行に向けた資料を見て、必要な見直しの時期を管理します。

実装の相談には、対象URL、送信先の一覧、法令上の判断、希望する表示・制御、更新担当を用意します。フォームの操作は問い合わせフォーム改善、計測の設定はGA4とSearch Consoleで確認できます。

MOTOKIへのお問い合わせでは、サイトの改修範囲をご相談いただけます。法令の個別の適用判断は専門家と確認し、その判断に沿って表示と機能を整えます。

Webの表記に関する別の論点は、ステマ規制・景品表示法と採用ページの表記ルールも確認してください。

よくある質問：プライバシーポリシーとCookie対応を整えるとき

Cookieの同意バナーは、必ず必要ですか？

記事では、Cookieの同意バナーは、すべての日本のサイトに一律に必要なものではありません。ただし、バナーが不要な場合も、フォームの個人情報や外部サービスへ送る情報の扱いまで不要になるわけではありません。最終確認は2026年10月3日で、最新の内容は公式資料で確認してください。

最初に、何を調べればよいですか？

記事では、どのサービスで、何を取得・送信し、誰が何に使うかを調べ、その結果を基に、個人情報保護法、電気通信事業法の外部送信規律、提供地域やサービスの契約条件を分けて判断します。

Cookieは、個人情報ですか？

記事では、Cookieだから常に個人情報、または常に個人情報ではない、とは決められません。個人情報保護委員会のFAQ Q8-1は、個人情報に該当しない端末識別子でも通常は個人関連情報に当たると説明しているとされています。

外部送信の公表と、第三者提供の同意は、同じ判断ですか？

別の判断です。記事では、外部送信の公表と、個人データの第三者提供に必要な同意は別で、一方の対応で他方も済むとは考えないよう注意しています。

タグや埋め込みは、どう調べますか？

記事では、解析・広告タグだけでなく、タグ管理ツール、動画、地図、SNS、チャット、認証、フォームの保存先も確認してもらいます。トップだけでなく、サービス、記事、フォームなど、設定が異なるページも調べ、調査台帳に記録します。

プライバシーポリシーは、ページを置けば完了ですか？

完了しません。記事では、「プライバシーポリシー」という名前のページを置けば完了する仕組みがあるわけではなく、必要な明示・公表等を満たし、利用者が見つけられるよう、実務では専用ページに整理します。ひな形のサービス名や保存期間を、自社で確認せずそのまま公開しないよう注意しています。

フォームで個人情報を取得するときは、どうしますか？

記事では、フォームから直接取得する場合は、原則として取得前に利用目的を明示します。個人情報保護委員会のQ4-17も、ホームページの入力画面をこの対象として説明しています。「お問い合わせへの回答と、ご依頼内容の確認のために利用します」という案内は、その用途に合っている場合の文例で、広告配信や提携先への提供まで、この案内だけで含めないようにします。

外部送信規律は、どう判断しますか？

記事では、企業名ではなく提供するサービスから判断します。電気通信事業法第27条の12と施行規則第22条の2の27以降に基づき、対象となる役務と送信を確認し、同じ企業内の複数サイト（コーポレートサイトとメディアなど）を、名前だけで一括して対象外にしません。

同意管理ツールを入れれば、安心ですか？

記事では、同意管理ツールを入れても、タグが同意前に動いていれば想定した制御になりません。「同意」「拒否」「変更」のそれぞれで通信と機能を確認します。解析で測れる範囲が変わったときも、それだけでサイトの閲覧や相談が減ったと判断しないようにします。

海外からアクセスがあれば、バナーが必要ですか？

記事では、海外向け販売・提供・利用者の追跡がある場合は、地域と業務に応じた適用を確認します。海外からのアクセスの有無だけで、バナーの要否を自動的に決めません。

保存期間は、一律に決めてよいですか？

記事では、保存期間は「対応完了から一律3年」などと決めつけず、利用目的、契約・記録の必要性、関係法令を踏まえて定めます。メール、フォーム内の保存、顧客管理、バックアップを区別し、削除方法と担当まで決めます。法令の個別の適用判断は専門家と確認するよう案内しています。