店のホームページに、Cookieの同意バナーは要るのか

2023年の「Cookie規制」は、店のホームページには当たらない

「Cookie規制」と呼ばれているのは、2023年6月16日に始まった電気通信事業法の外部送信規律です。サイトを見た人の情報が、本人の知らないうちに外部へ送られる場合に、送る内容や送り先を本人が確かめられるようにする、という決まりです。

施行の前後には、「多くのサイトやアプリが対象になる」という解説が多く出ました。創業手帳の解説も、アクセス解析や広告のための送信が対象になることを説明していますが、店の小さなサイトが対象になるかどうかには触れていません。読むと、すべてのサイトに義務があるように受け取れます。実際は違います。

総務省は、外部送信規律のFAQでこう答えています。

• 小売業者が自社のウェブサイトで商品を販売していても、本来の業務である小売業の手段として通信を使っているにすぎず、「電気通信事業」に当たらないので、外部送信規律は適用されない（問1-12）
• 実店舗を持たず、ウェブサイトだけで販売している場合も同じ（問1-13）
• 店頭での応対の予約ができる「来店予約のページ」も、自己の需要によるもので、外部送信規律は適用されない（問1-19）

対象になるのは、SNS、検索サービス、ネットショッピングのモール、ニュースの配信など、他の人のための場を提供している事業者です（問1-9）。

店のメニューや地図を載せたホームページ、予約フォームは、この規律の外です。 FAQの例は小売業ですが、飲食店や美容室、整体院のホームページも、本来の業務のために通信を使っている点は同じです。

IIJの担当者も2024年の解説で、日本ではCookieを使う場面すべてに同意が要るわけではなく、規制される場面は限られる、と説明しています。

それでも、書いておくことが2つある

同意バナーは要らなくても、何も書かなくてよいわけではありません。利用規約と個人情報保護法に基づき、確認しておくことが2つあります。

1. Googleアナリティクスを入れているなら

ホームページにGoogleアナリティクス（見に来た人の数を数える無料の道具）を入れている店は多いと思います。業者が作ったサイトなら、店主が知らないうちに入っていることもあります。

Googleアナリティクスの利用規約の第7条には、こう書かれています。プライバシーポリシーを公開し、Cookieなどの使用について通知すること。Googleアナリティクスを使っていることと、データが集められて処理される仕組みについても開示すること。

これは法律ではなく、Googleとの約束です。 規模は関係ありません。 守らなければ、Googleアナリティクスを使う条件を満たしていないことになります。

書くことは、プライバシーポリシーに次の程度の段落を1つ足すだけです。

「当店のホームページでは、利用状況を把握するためにGoogleアナリティクスを使っています。Googleアナリティクスは、Cookieを使って閲覧の情報を集めます。当店は、この情報でお客様個人を特定することはありません。集められる情報の扱いは、Googleのプライバシーポリシーをご覧ください。」

これは記載例です。実際の設定に合わせ、Googleによるデータの利用へのリンクやCookie等の通知を整え、適用法令・利用規約で同意が必要な場合は取得します。

2. フォームで名前や電話番号を受け取るなら

予約や問い合わせのフォームで、名前・電話番号・メールアドレスを受け取っているなら、それは個人情報です。フォームで本人から直接入力してもらう場合は、原則として取得前に利用目的を明示します。必要な説明は利用方法によって変わり、1行で必ず足りるわけではありません。

フォームのすぐ上か、プライバシーポリシーに書きます。

「いただいたお名前と連絡先は、ご予約の確認とご連絡にだけ使います。」

フォームの近くに1行あれば、送る人も安心します。

自分のホームページが、何を読み込んでいるか確かめる

何を書くべきかは、ホームページが何を読み込んでいるかで決まります。店主が自分で確かめる方法は、作った人に聞くのが一番早い。次の5つを、ある・ないで答えてもらってください。

作った人と連絡が取れない場合は、パソコンでホームページを開き、右クリックから「ページのソースを表示」を選んで、gtag や googletagmanager という文字があるかを探します。あればGoogleのタグを使っている可能性があります。広告用の場合もあるため、これだけではGoogleアナリティクスの導入は断定できません。

読み込むものが少ないほど、書くことも少なくて済みます。 当社のこのサイトの記事は、SNSの埋め込みや共有ボタンの部品を読み込まない作りにしています。使っていないInstagramの埋め込みが残っているなら、外してしまう方が早い。読み込みが多いとページも重くなります（店のホームページが重いとき、直すのはたいてい1枚の写真）。

同意バナーを付けた方がいい場合

ここまで書いてきたのは、メニューや地図、予約のための店のホームページの話です。次のような場合は、同意の仕組みを検討する価値があります。

• ネットで物を売っていて、広告のタグを入れて買った人を追いかける広告を出している
• 海外、特にヨーロッパのお客様が多い（ヨーロッパの規則は日本より厳しい）
• 会員の登録やログインがあり、集めた情報を他社と共有している

そうでなければ、月額の同意管理ツールにお金を払う必要は、当社は無いと考えます。業者に勧められたら、「総務省のFAQの問1-12と問1-19では対象外とされているが、どの規則のために必要なのか」と聞いてください。根拠が分からないまま契約せず、サイトの機能とデータの扱いを確認して判断してください。

当社の1ページのホームページの月額には、月1回・30分相当の更新が入っています。プライバシーポリシーに段落を1つ足す作業は、この範囲で収まります。

まとめ

今日やることは1つです。ホームページを作った人に、「Googleアナリティクスは入っていますか」と聞いてください。

入っていれば、実際の設定に合った説明をプライバシーポリシーに載せます。アナリティクスの有無にかかわらず、フォームで個人情報を受け取るなら、送信前に利用目的が分かるようにします。