Cookieの法的取り扱い
令和4年8月10日
弁護士

橿渕 陽

E-mail/kashibuchi_y@clo.gr.jp
第１

はじめに
個人情報保護法は、令和4年4月1日より、いわゆる令和2年改正法及び令和3年改正法の一部が同時に施行されています。改正個人情報保護法の施行前後、特にご相談が多かったのがCookieの取り扱いです。これは、令和2年改正法案の閣議決定直後は、Cookie規制等といった報道が一部でみられたことに起因していると思われます。
具体的には、「Webサイトに接続した際、「Cookieを受け入れることに同意するか否か」という趣旨のポップアップが表示されることがある。令和2年改正法を受け、当社も同様の対応をすべきか」という趣旨のご相談です。
結論から述べれば、事案ごとの検討が必要ではあるものの、多くの事業者において、個人情報保護法との関係では、上記の対応は不要と整理できるものと考えられます。本稿では、Cookieと個人情報保護法（以下「法」）の関係を主として、個人関連情報 1に関する規制について概説いたします。
第２１

Cookieとは 2
インターネットの仕組みCookieを理解する前提として、インターネットの仕組みや用語をある程度知る必要があります。以下で本稿に必要な限度で簡潔に説明いたします。
【図1】をご覧ください。例えば、皆様が「健康器具が欲しい」と思い、ご自分のPCから、Amazonで買い物をする例を考えてみましょう。このとき、Microsoft EdgeやChromeを使用してAmazonのWebサイトに接続することになりますが、

1「個人関連情報」とは、「生存する個人に関する情報であって、個人情報、仮名加工情報及び匿名加工情報のいずれにも該当しないものをいう」とされます（法 2 条 7 項）
。具体的には、氏名と結びついていないインターネットの閲覧履歴、位置情報、cookie 等が想定されています（『一問一答令和 2 年改正個人情報保護法』Q51）。
2
本稿における説明は、小林恭平＝坂本陽著・佐々木拓郎監修『イラスト図解式 この一冊で全部わかる
Web 技術の基本』（SB クリエイティブ、2017 年）（以下「基本」）及びブライアン・カーニハン『教養としてのコンピューターサイエンス講義 第 2 版』
（日経 BP マーケティング、2020 年）（以下「講義」）を参照しております。

1© 2022 CHUO SOGO LAW OFFICE,P.C.

皆様の使用しているMicrosoft EdgeやChromeといったプログラムがWebブラウザといわれ、Webブラウザとやり取りして、AmazonのWebサイトを表示するためのコンテンツをWebブラウザに送信する役割を担うのがWebサーバー 3といわれます。
【図1】

WebブラウザとWebサーバーのやり取りは1回ごとで完結し、前のやり取りの結果に影響を受けないのが原則です。
Amazonでの買い物の例でいえば、まず、皆様がAmazonのWebサイトで健康器具を物色し、①いいなと思った商品Xをカートに入れたとします。皆様は、ざっとほかの商品も見てみましたがやはり商品Xが欲しいと思い、②「カート」をクリックして、購入手続きに進みます。
①と②は、WebブラウザとWebサーバーの別のやり取りになります。上記の原則を貫くと、②は、①の影響を受けませんので、いざカートを見ても商品Xが入っていないことになります。
これでは買い物ができません。Webサーバーに①の状態を記憶させるという方法も考えられますが、Webサーバーには無数のWebブラウザが接続することになりますので、Webブラウザとのやり取りを全て記憶することにも、限界があります。
そこで開発されたのがCookieという仕組みです。

3

ネットワーク上で情報やサービスを提供する役割を持つコンピューターを総称して「サーバー」といいます。
「サーバー」には様々な役割があり、その中でも Web サイトを提供するサーバーが「Web サーバー」と呼ばれます。
（基本・34 頁）

2© 2022 CHUO SOGO LAW OFFICE,P.C.

２

Cookieの役割の一例【図2】をご覧ください。WebブラウザがWebサーバーに対して、❶「商品Xをカートに入れて」と要求すると、WebサーバーがWebブラウザに対して、❷この求めに応じたコンテンツを送信します。同時に、❷-2 Webサーバーが、求められたコンテンツに加えて、追加の文字列を送信し、Webブラウザに保存させます。この追加送信される文字列がCookieです 4。
多くの場合Webサーバーは、Webブラウザを識別できるIDをCookie内に入れます。そして、Webサーバー側では、IDに関連づけられた情報として、ログインステータス、カートの内容、ユーザー設定などの情報を管理します 5。
【図2】

その後Webブラウザが、同じWebサーバーに対して❸「さっきのカートの中身を見せて」と後続の要求を行うと、❸-2 Webブラウザに保存されたCookieが、Webサーバーに対して同時に送信されます。
上記のとおり、Webサーバー側では、Cookieに入れたIDに関連づけられた情報として、ログインステータス、カートの内容、ユーザー設定などの情報を管理しておりますので、❸-2 で送信されたCookieを利用して、そこまでにやり取りしていた情報や設定を復元させます。
このように、Cookieは保存され、返送されるだけの単なる文字列で、Cookie

4

実際には、Amazon のトップページに接続した時点など、より前の時点で Web ブラウザに Cookie が保存されることになりますが、本稿ではわかりやすい説明のためあえてこのような時系列にしております。
5

講義・356 頁

3© 2022 CHUO SOGO LAW OFFICE,P.C.

は、送り出されたもとのサーバーにのみ返送されます 6。そして、上記の例でいえば、WebブラウザとWebサーバーでCookieを送受信することで❸の際に、❶を前提としたやり取りをすることが可能になります 7。
３First-Party CookieとThird-Party Cookie
上記のAmazonでの買い物の例では、AmazonのWebサーバー（amazon.co.jp 8）に接続した際に、AmazonのWebサーバー（amazon.co.jp）から、WebブラウザにCookieを保存されています。このように、利用しているコンテンツの提供主体から保存されるCookieをFirst-Party Cookieといいます。上記の例のとおり、First-Party Cookieは、当該コンテンツを利用する上で必須となる場合があります。
一方で、AmazonのWebサーバー（amazon.co.jp）に接続した際に、Amazonではない第三者Y社のサーバー（Y.com）から、WebブラウザにCookieを保存される場．．
合があります。このように、利用しているコンテンツの提供主体以外から保存されるCookieをThird-Party Cookieといいます。
Third-Party Cookieは主にターゲティング広告に使用されます。
【図3】をご覧ください。
【図3】は、私のChromeで、Cookieを全て削除した後に、Amazonのトップページに接続し、その直後に確認できた、Chromeに保存されたCookieの一部になります。AmazonのWebサーバー（amazon.co.jp）以外から保存されているCookieがThird-Party Cookieです。

6

講義・356 頁
Cookie には有効期限が設定されたものと、されていないものがあります。有効期限が設定されたものは、当該期限に、設定されていないものは Web ブラウザを閉じた時点で、Web ブラウザから削除されます。
（基本・74 頁）
8
インターネット上に存在するサーバーを特定し、接続するための文字列として「xxxx.com」「xxxx.co.jp」といった文字列が使用されており、これらを「ドメイン」といいます。
（基本・42 頁）
7

4© 2022 CHUO SOGO LAW OFFICE,P.C.

【図3】なぜ、Third-Party Cookieが保存されるのでしょうか。
Webサイトには、他のWebサイトへのリンクが含まれています。これは目に見えるものも目に見えないものもあります。目に見えないリンクは、当該Webサイトを読み込む際に一緒に読み込まれます。つまり、私のChromeが、Amazonのトップページを読み込むのと同時に、【図3】にあるようなAmazonではない第三者Y社のサーバー（Y.com）に接続していることになります。この時、Y社のサーバー（Y.com）
では、私のChromeが、Amazonのトップページから接続していることを把握できて、私のChromeにY社のサーバー（Y.com）のThird-Party Cookieを送信することができます。
私が同じChromeで、Z社のWebサイトを読み込み、Z社のWebサイトにY社のサーバー（Y.com）に接続する目に見えないリンクが含まれていれば、私のChromeは再度Y社のサーバー（Y.com）に接続することになります。同時に、私のChromeは、以前にY社のサーバー（Y.com）から受信し保存したCookieを送信します。そうする5© 2022 CHUO SOGO LAW OFFICE,P.C.

と、Y社のサーバー（Y.com）では、私のChromeが、過去にAmazonのトップページに接続していて、今はZ社のWebサイトから接続していることを把握できます 9。
上記のような流れをイメージにしたものが【図4】です。
【図4】

上記のような流れが繰り返されていけば、いつしか、Y社のサーバー（Y.com）
では私のChromeがどのような好みを持ったWebブラウザなのか、把握できるようになります。このようにして把握した情報を使って、好みに応じた広告を表示するのがターゲティング広告です。
Y社のように広くデータを管理する事業者をDMP事業者（Date Management Platform）といいます。
第３個人情報保護法との関係
法では、「第三者が個人関連情報（略）を個人データとして取得することが想定されるとき」に規制の対象とされます（法31条1項）。脚注1のとおり、個人関連情報にCookieが含まれますので、Cookieを第三者に提供する場面では、法31条1項の規制対象になるのか検討が必要です。

9

講義・407 頁ないし 412 頁

6© 2022 CHUO SOGO LAW OFFICE,P.C.

しかし、第2で詳述したとおり、CookieはサーバーからWebブラウザに送信され、Webブラウザに保存され、送り出されたもとのサーバーに返送されるだけの単なる文字列に過ぎません。Cookieが通常通り送受信されているだけであれば、上記のようなThird-Party Cookieであっても、Cookieを第三者に提供する場面とはいえないと考えられます 10。
したがって、Cookieが通常通り送受信されているだけであれば法31条1項の規制対象ではなく、DMP事業者が、収集した情報をターゲティング広告のために広告主に提供する場合などに、規制対象か検討が必要になるものと考えられます。
第４Cookieの同意を求めるポップアップについて
近年、様々なWebサイトにおいて、以下のようなポップアップをよく見かけます。

（出所：https://about.twitter.com/ja）

第3で述べたとおり、個人情報保護法との関係では上記のようなポップアップは不要と考えられます。しかし、詳述のとおりThird-Party Cookieを用いれば様々な情報収集ができ、分析をすれば個人の特定も可能で、問題視されているのは事実です。EUの「一般データ保護規制」（GDPR（General Protection Regulation））では端的にCookieも含めて規制対象としており国際的にCookieへの規制は強まっているところです。また、AppleのSafariはThird-Party Cookieの挙動を防ぐ仕組みを導入済みで、Google ChromeもThird-Party Cookieを段階的に廃止することを公表しており 11、Cookieに変わる新たな仕組みの構築も進んでいます。
日本においても、インターネット広告ビジネスにかかわる企業（媒体社、広告会社など）289社（令和4年7月29日時点）が会員となり、インターネット広告の健全な発展と社会的信頼の向上に取り組んでいる一般社団法人 日本インタラクティブ広告協会（JIAA）が策定する「プライバシーポリシーガイドライン 12」では、法では個人関連情報と整理される情報も含めて、法の個人情報に対する
10

個人情報保護委員会『「個人情報の保護に関する法律についてのガイドライン」に関する Q&A』
（令和 4年 5 月 26 日更新）Q8-10 参照
11https://blog.google/products/chrome/update-testing-privacy-sandbox-web/ なお、当初は 2022 年までに段階的廃止の予定であったが、同年 7 月 27 日に廃止時期が 2024 年後半に先延ばしとなっている。
12
https://www.jiaa.org/wp-content/uploads/2019/11/JIAA_PPguideline.pdf

7© 2022 CHUO SOGO LAW OFFICE,P.C.

規制と同等の規制を定めた上、「行動ターゲティング広告ガイドライン 13」で詳細な規定を定め、ユーザーへデータの取り扱いについてのわかりやすい説明と、オプトアウトの機会の確保を求めています。
上記のようなポップアップは、このような業界の動きを踏まえて、各社の判断で使用しているものと整理されると考えます。
以上

当事務所では、主として名刺交換をさせていただいた方を対象とし、有用な法律情報等をお知らせすべく定期的にメールマガジンを発行させていただいております。また、バックナンバーはこちらに掲載しておりますので、あわせてご覧ください。
本稿は一般的な情報を提供するもので、リーガルアドバイスを目的とするものではございません。本稿
記載の見解は執筆担当者の個人的見解であり、当事務所の見解ではありません。個別の案件については当該案件の個別の状況に応じ、弁護士の適切なアドバイスを求めていただく必要がございます。お問い
合わせ等ございましたら、執筆担当者までご遠慮なくご連絡くださいますよう、お願いいたします。

【配信停止・お問い合わせについて】
今後、本メールマガジンの配信又は配信停止をご希望の方、メールアドレスの変更その他お問い合わせがございましたら、大変お手数ではございますが、下記メールアドレスまでご連絡ください。
（clo_mlstop@clo.gr.jp）

13

https://www.jiaa.org/wp-content/uploads/2019/11/JIAA_BTAguideline.pdf

8© 2022 CHUO SOGO LAW OFFICE,P.C.