Cookieの取得合意ポップアップをつけないと罰則があるの？　2022年4月1日に改正個人情報保護法が施行

2022年4月から改正個人情報保護法が施行

日本では、2022年4月1日から、改正個人情報保護法が施行されます。

この法律が施行されたからと言って、必ずしもCookieの合意バナーを表示しないと罰則があるというわけではありません。

ただ、EUなど海外向けのサービスを展開しているサイトの場合は、国内の法律とは別にGDPR（EUの規定。罰則が厳しい）が適用されますので、そちらへの対応も考えるとCookieの同意バナーはつけておい他方が良いと思います。

合意バナーはユーザビリティが下がるので嫌がられる場合も多く、特に日本のサイトではまだ１割も搭載されていないようですが、これから増えていくことでしょう。

Cookieをはじめとした「個人関連情報」の第三者提供の際、提供先で個人データとして取り扱われる可能性がある場合は、本人の同意取得が義務付けられました。

提供先で個人データとして取り扱われると想定される第三者提供時を除き、Cookieバナーを表示しなくても法的な問題はありません。

GDPRへの対策

EUなどでビジネスを展開している場合は、当然GDPRが適用されます。また展開していない場合も、規制が厳しくなっている傾向を考えると今後のためにGDPRへの対策をしておいて損はありません。

GDPRではユーザーの同意を強制する形式のCookieバナーを禁止しています。同意しないとサイトを閲覧できない場合もNG。

Cookieバナーを導入するときの注意

サイトに訪問をした最初のタイミングでCookieを取得することに同意を行うオプトイン形式が良い。

オプトインとは

利用者から、利用や同意の意思が示されない場合は実施しない方式のこと。

例えば、初期設定ではCookieを利用しない設定にしておいて、同意が得られてからオンにする、といった方法。

反対に、初期設定でCookieを利用する設定にしておき、拒否したい人にアクションを求める方法をオプトアウトという。

オプトアウトの場合は、知らない内に利用者が意図せずに個人の行動情報を記録されている可能性があるので、オプトイン方式にするべきだ。

勝手に行動が記録されていることへの拒否感

クッキーと言ってもイメージが湧かないが、例えば店に入ったとする。

誰かがずっと自分の後をつけて、「どの棚で何分くらい何を見ていた」「何を手にとってかごにいれた」「最終的にレジに行っていくら分の買い物をした」などと、全ての行動が記録されているようなイメージだ。

不快なこともあれば、場合によっては嬉しいこともある。

例えばブティックなどで馴染みの店員さんが「この間はこれを購入されていましたよね。あの服にこのカーディガンが合いますよ」などと勧めてくれる場合には、そのサービスの質の高さに満足を感じるかもしれない。

いっぽう、知らない人がずっと後をつけていたらどうだろう。気味が悪い。

知らないうちにそれをされているから気持ちが悪いと感じる。自分の行動が記録されていることを認識できているということが大切なのだ。

それが、サイト訪問時に表示される「クッキー合意のポップアップ」の役割だ。