クッキー／ポストクッキー規制の現在―欧州と日本を中心に―

2022/9/15
日弁連法務研究財団・第一東京弁護士会総合法律研究所IT法研究部会 共催シンポジウム

弁護士

上原拓也

Email: t-uehara@ohebashi.com

Copyright © Oh-Ebashi LPC & Partners

目次

I.

クッキー規制をめぐる現在までの動向（法規制とプラットフォームによる利用制限）

II. 欧州におけるクッキー規制
III. 日本におけるクッキー規制
IV. ポストクッキー技術に対する規制の可能性

Copyright © Oh-Ebashi LPC & Partners

2

I.

クッキー規制をめぐる現在までの動向（法規制とプラットフォームによる利用制限）

クッキー規制をめぐる動向
ePrivacy Directive
成立・施行

ePrivacy Directive
改正

個人情報保護法
施行

2002年

2005年

ITP 1.0 発表（サイト内遷移がない場合の3PCを24時間後に無効化）

改正個人情報保護法施行（個人関連情報規制）

GDPR 施行

2009年

改正電気通信事業法
施行

2017年 2018年 2019年 2020年

ITP 2.0 発表（サイト内遷移がない場合の3PCを即時削除）

ePrivacy Regulation
施行？

2022年 2023年～

Chromeでの2年以内の3PC廃止を発表（後に延期）

Copyright © Oh-Ebashi LPC & Partners4

II. 欧州におけるクッキー規制
1. ePrivacy Directive
2. ePrivacy Regulation
3. GDPR欧州におけるクッキー規制の出発点▶ EU基本権憲章（2000年公布）
第 7 条（私的及び家庭生活の尊重）

何人も、自己の私的及び家庭生活、住居並びに通信（communications）の尊重に対する権利を有する。
第 8 条（個人データの保護）
1. 何人も、自己に関する個人データの保護（protection of personal data）に対する権利を有する。
2. 個人データは、本人の同意（consent）に基づき、又は法律によって定められたその他の正当な根拠に基づき、特定された目的のために公正に取り扱われなければならない。（…）

Copyright © Oh-Ebashi LPC & Partners

6欧州におけるクッキー規制の中心：ePrivacy Directive▶ ePrivacy Directive（Directive 2002/58/EC）：➢

電子通信分野における個人データの処理とプライバシー保護を規律➢Directive（指令）なので、企業・個人には直接適用なし。加盟国政府に国内立法等が義務付けられるのみ ⇔ Regulation（規則）cf. 主な国内法の例：
イギリス

Privacy and Electronic Communications Regulations (PECR)

フランス

Act No. 78-17 of 6 January 1978 on Information Technology, Data Filesand Civil Liberties

ドイツ

Telecommunications and Telemedia Data Protection Act (TTDSG)

スペイン

Law No. 34/2002, of 11 July 2002, on Information Society Services andElectronic Commerce
Copyright © Oh-Ebashi LPC & Partners

7欧州におけるクッキー規制の中心：ePrivacy Directive第 5 条（通信の秘密）
3. 加盟国は、契約者又は利用者の端末に情報を保存し、又は既に保存された情報へのアクセスを得ること（the storing of information, or the gaining of access to
information already stored, in the terminal equipment）は、当該契約者又は利用者が、指令95/46/ECに従って明確かつ包括的な情報（clear and comprehensiveinformation）、特に取扱いの目的に関する情報を提供された上で同意（consent）を与えた場合に限り許されることを確実にしなければならない。このことは、電子通信ネットワークを通じた通信の伝達を実行することのみを目的とした、又は当該契約者若しくは利用者によって明示的に求められた情報社会サービスの提供者が当該サービスを提供するために厳格に必要な（strictlynecessary）技術的な保存又はアクセスを妨げてはならない。

⇒ Webサーバの管理主体がサーバからブラウザへクッキーを発行したり、ブラウザからサーバへクッキーを送信させたりする行
為はいずれも規制対象
Copyright © Oh-Ebashi LPC & Partners

8「明確かつ包括的な情報」 とは？

▶ Guidance on the use of cookies and similar technologies（英ICO）が求める情報提供の内容：➢

使用するクッキーの名称➢

クッキーを使用する目的➢

第三者が同時にクッキーを処理する場合はその名称（サードパーティクッキーの発行者等）➢

クッキーの有効期限

出典：ICOウェブサイト（https://ico.org.uk/global/cookies/）
Copyright © Oh-Ebashi LPC & Partners

9

「同意」 の取得方法は？

▶ GDPRの定義が妥当
第 4 条（定義）(11) データ主体の「同意」とは、自由に与えられ（freely given）、特定され（specific）、事前に説明を受けた上での（informed）、不明瞭でない（unambiguous）データ主体の意思の表示を意味し、それによって、データ主体が、その陳述又は明確な積極的行為により、自己に関する個人データの取扱いに対する同意を表明するものを意味する。

╳ ウェブサイトの利用継続によるみなし同意╳ デフォルトで「同意」にチェックが入っているチェックボックス╳ 「利用規約」や「プライバシーポリシー」全体への同意╳ クッキーウォール（同意をサービス提供の条件とすること）※

正当な理由があれば許される場合もある╳ 「拒否」に比して「同意」を強調したボタン
出典：ICO “Guidance on the use of cookies and similar technologies”
Copyright © Oh-Ebashi LPC & Partners

10例外としての 「厳格に必要な」保存・アクセスとは？

▶ 例えば・・・➢

ECサイトの「買い物かご」を機能させるクッキー➢

認証目的（ログインID・パスワードの入力補助など）のクッキー➢

オンラインバンキングなどにおけるセキュリティ確保（複数回のログイン失敗の検知など）のためのクッキー➢

サーバへの負荷分散のためのクッキー➢

ユーザーごとに言語、サイト表示等を最適化するためのクッキー▶ オンライン広告のためのクッキーは該当しない！

Copyright © Oh-Ebashi LPC & Partners

11欧州における将来のクッキー規制：ePrivacy Regulation▶ Regulation（規則）として域内の企業・個人に直接かつ統一的に適用▶ GDPRの特別法という位置付け▶ 端末情報の利用が可能な場合の明確化：（strictly necessaryでない）広告目的のクッキー利用は引き続き本人の同意が必要？
▶ 同意要件の明確化▶ 域外適用の明文化▶ 罰則の強化（GDPRと同等）▶ 2021年2月にEU理事会で合意成立、欧州議会・欧州委員会を含めた協議開始
Copyright © Oh-Ebashi LPC & Partners

12

GDPRの位置付け▶ クッキーが個人データ（personal data）に当たる場合はGDPRも適用⇒ 適法性の根拠（第 6 条）がある場合に限って取扱い可能：
広告目的でのクッキー利用は同意が基本
第 4 条（定義）(1) 「個人データ」とは、識別され、又は識別可能な（identified or identifiable）
自然人（「データ主体」）に関する情報を意味する。識別可能な自然人とは、特に、氏名、識別番号、位置データ、オンライン識別子（online identifier）のような識別子を参照することによって、又は当該自然人の身体的、生理的、遺伝的、精神的、経済的、文化的若しくは社会的な同一性を示す一つ若しくは複数の要素を参照することによって、直接的又は間接的に識別され得る者をいう。

Copyright © Oh-Ebashi LPC & Partners

13III. 日本におけるクッキー規制
1. 個人情報保護法
2. 改正電気通信事業法

日本におけるクッキー規制の中心：個人情報保護法▶ クッキーが個人情報（個人データ）に該当する場合第17条（利用目的の特定）
1. 個人情報取扱事業者は、個人情報を取り扱うに当たっては、その利用の目的（以下「利用目的」という。）をできる限り特定しなければならない。

第18条（利用目的による制限）
1. 個人情報取扱事業者は、あらかじめ本人の同意を得ないで、前条の規定により特定された利用目的の達成に必要な範囲を超えて、個人情報を取り扱ってはならない。

第27条（第三者提供の制限）
1. 個人情報取扱事業者は、次に掲げる場合を除くほか、あらかじめ本人の同意を得ないで、個人データを第三者に提供してはならない。（…）
Copyright © Oh-Ebashi LPC & Partners

15日本におけるクッキー規制の中心：個人情報保護法▶ クッキーが個人情報（個人データ）に該当しない場合（個人関連情報に該当する場合）
第31条（個人関連情報の第三者提供の制限）
1. 個人関連情報取扱事業者は、第三者が個人関連情報（個人関連情報データベース等を構成するものに限る。以下この章及び第6章において同じ。）を個人データとして取得することが想定されるときは、第27条第1項各号に掲げる場合を除く
ほか、次に掲げる事項について、あらかじめ個人情報保護委員会規則で定めるところにより確認することをしないで、当該個人関連情報を当該第三者に提供してはならない。
一．当該第三者が個人関連情報取扱事業者から個人関連情報の提供を受けて本人が識別される個人データとして取得することを認める旨の当該本人の同意が得られていること。（…）

Copyright © Oh-Ebashi LPC & Partners

16

Case 1：シンプルなリターゲティング広告①訪問⑤訪問広告主サイト

メディアサイト②タグが発火⑥タグが発火ユーザー（ブラウザ）

広告主がクッキーを取り扱っていないといえる場
合、広告主からアドサー
バ側へのクッキーの「提供」行為は観念できない（個人情報保護法ガイド
ラインQ＆A8-10）

③
タグに基づ
きア
クセス

④
クッキーを発行⑦＋ タ
ク グ
ッ にキ 基ー づを き
送 ア
信 クセス

⑧広告を配信

アドサーバ
Copyright © Oh-Ebashi LPC & Partners

17

Case 2：DMPによる名寄せは匿「名個化
人さデれーてタい」てにも該通
当常①訪問＋会員登録⑤訪問

広告主サイト（ ⑩ク 分ッ 析
キ 結ー 果Ａ を＋ 提Ｂ 供の行
動履
歴を含む）

⑨＋ 会
ク 員
ッ デキ ーー タＡ のを 一提 部
供メディアサイト②タグが発火＋クッキーＡを発行⑥タグが発火ユーザー（ブラウザ）

会員データとクッキーＡ＋Ｂの行動履歴を突合・分析

③＋ タ
ク グ
ッ に
キ 基ー づＡ きを ア送 ク
信 セス④クッキーＢを発
行

⑦＋ タ
ク グ
ッ に
キ 基ー づＢ きを ア送 ク
信 セス⑧広告を配信

⑨クッキーＡ＋Ｂの行動履歴を提供
DMP

アドサーバ
Copyright © Oh-Ebashi LPC & Partners

18

Case 2：DMPによる名寄せ▶ 広告主からDMPへのクッキーAの提供（⑨）⇒ 個人データの第三者提供？
※ DMPにおいてクッキーBとの突合・情報付加が予定されている以上、本人の同意が不要な個人データの取扱いの委託（法27条5項1号）には当たらない？
cf. 個人情報保護法ガイドラインQ&A 7-41・42▶ DMPから広告主へのクッキーBの提供（⑩）⇒ 個人関連情報を個人データとして取得することが想定される第三者への提供？

Copyright © Oh-Ebashi LPC & Partners

19日本における将来のクッキー規制：改正電気通信事業法第27条の12（情報送信指令通信に係る通知等）
電気通信事業者又は第三号事業を営む者（内容、利用者の範囲及び利用状況を勘案して利用者の利益に及ぼす影響が少なくないものとして総務省令で定める電気通信役務を提供する者に限る。）は、その利用者に対し電気通信役務を提供する際に、当該利用者の電気通信設備を送信先とする情報送信指令通信（利用者の電気通信設備が有する情報送信機能（利用者の電気通信設備に記録された当該利用者に関する情報を当該利用者以外の者の電気通信設備に送信する機能をいう。以下この条において同じ。）を起動する指令を与える電気通信の送信をいう。以下この条において同じ。）を行おうとするときは、総務省令で定めるところにより、あらかじめ、当該情報送信指令通信が起動させる情報送信機能により送信されることとなる当該利用者に関する情報の内容、当該情報の送信先となる電気通信設備その他の総務省令で定める事項を当該利用者に通知し、又は当該利用者が容易に知り得る状態に置かなければならない。

※ 第三号事業：電気通信設備を用いて他人の通信を媒介する電気通信役務以外の電気通信役務を電気通信回線設備を設置することなく提供する電気通信事業
Copyright © Oh-Ebashi LPC & Partners20

日本における将来のクッキー規制：改正電気通信事業法第27条の12（情報送信指令通信に係る通知等）（承前）
ただし、当該情報が次に掲げるものである場合は、この限りでない。
一．当該電気通信役務において送信する符号、音響又は影像を当該利用者の電気通信設備の映像面に適正に表示するために必要な情報その他の利用者が電気通信役務を利用する際に送信することが必要なものとして総務省令で定める情報

二．当該電気通信事業者又は第三号事業を営む者が当該利用者に対し当該電気通信役務を提供した際に当該利用者の電気通信設備に送信した識別符号（…）であって、当該情報送信指令通信が起動させる情報送信機能により当該電気通信事業者又は第三号事業を営む者の電気通信設備を送信先として送信されることとなるもの三．当該情報送信指令通信が起動させる情報送信機能により送信先の電気通信設備に送信されることについて当該利用者が同意している情報
四．（…）※ 2022年6月17日公布、2023年6月までに施行予定
Copyright © Oh-Ebashi LPC & Partners

21

IV. ポストクッキー技術に対する規制の可能性
1. 共通ID（Unified ID 2.0）
2. データクリーンルーム

3. プライバシーサンドボックス（Topics）

共通ID（Unified ID 2.0）
▶ ID Operatorに登録されたメールアドレスを暗号化・ハッシュ化して識別子として利用⇒

ユーザー端末（ブラウザ）に保存された情報を利用するわけではないとすると、
ePD／ePRの適用はない？

⇒

一方で、GDPR／個人情報保護法上の個人データ規制の適用はあり、IDOperatorと広告主間におけるIDのやり取りはいずれにしても本人の同意が必要？

∴規制の適用を回避する手段というより、メールアドレス登録時点で確実に本人の同意を得る（規制の適用を前提に、その遵守を確実にする）ための手段？
出典：㈱野村総合研究所「利用者情報に関する技術動向及び業界団体による自主ルール等の状況」（2022年4月27日）46頁
Copyright © Oh-Ebashi LPC & Partners

23データクリーンルーム▶ クライアントの立場から見て、データ（個人データ含む）をプラットフォーマーに提供しているのか、プラットフォーマーから提供を受けているのか？
⇒

いずれにしても、最終的に個人データとそれ以外の情報の突合が予定されているのであれば、GDPR／個人情報保護法上の規制が及ぶ？

⇒

一方で、個人識別性のない情報のみのやり取りであれば、少なくとも個人情報保護法上の規制は及ばない？

出典：㈱野村総合研究所「利用者情報に関する技術動向及び業界団体による自主ルール等の状況」（2022年4月27日）53頁
Copyright © Oh-Ebashi LPC & Partners

24プライバシーサンドボックス（Topics）

出典：Google Developers（https://developer.chrome.com/docs/privacy-sandbox/topics/）▶ ユーザーのウェブサイト訪問履歴を反映した「トピック」をブラウザに保存・利用
ePD／ePR・電気通信事業法の適用あり？ただし、例外規定の適用可能性？

⇒※⇒

改正電気通信事業法の下では大規模な検索サービス提供事業者も「電気通信事業者」に該当予定「トピック」は個人データに該当するか？該当しない場合、個人情報保護法上の規制は及ばない？（個人関連情報が個人データとして取得されるわけでもない？）
Copyright © Oh-Ebashi LPC & Partners

25Appendix
ePrivacy Regulation EU理事会案の条文（関係箇所抜粋）

Article 8 (Protection of end-users’ terminal equipment information)
1. The use of processing and storage capabilities of terminal equipment and thecollection of information from end-users’ terminal equipment, including about its
software and hardware, other than by the end-user concerned shall be prohibited,
except on the following grounds:
a. it is necessary for the sole purpose of providing an electronic communication
service; orb. the end-user has given consent; orc. it is strictly necessary for providing a service specifically requested by the enduser; ord. it is necessary for the sole purpose of audience measuring, provided that suchmeasurement is carried out by the provider of the service requested by the enduser, or by a third party, or by third parties jointly on behalf of or jointly with
provider of the service requested provided that, where applicable, the conditions
laid down in Articles 26 or 28 of Regulation (EU) 2016/679 are met; orda. It is necessary to maintain or restore the security of information society services
or terminal equipment of the end-user, prevent fraud or prevent or detect
technical faults for the duration necessary for that purpose; or(…)
Copyright © Oh-Ebashi LPC & Partners

27

Article 4a (Consent)
1. The provisions for consent provided for under Regulation (EU) 2016/679/EU shallapply to natural persons and, mutatis mutandis, to legal persons.
(…)
2. Without prejudice to paragraph 1, where technically possible and feasible, for thepurposes of point (b) of Article 8(1), consent may be expressed by using theappropriate technical settings of a software placed on the market permitting
electronic communications, including the retrieval and presentation of informationon the internet.
2aa. Consent directly expressed by an end-user in accordance with Paragraph (2) shallprevail over software settings. Any consent requested and given by an end-user toa service shall be directly implemented, without any further delay, by theapplications of the end user’s terminal, including where the storage of informationor the access of information already stored in the end-user’s terminal equipment
is permitted.

Copyright © Oh-Ebashi LPC & Partners

28

Article 4a (Consent)
2a. As far as the provider is not able to identify a data subject, the technical protocol
showing that consent was given from the terminal equipment shall be sufficient todemonstrate the consent of the end-user according Article 8(1)(b).
3. End-users who have consented to the processing of electronic communications
data in accordance with this Regulation shall be reminded of the possibility towithdraw their consent at periodic intervals of [no longer than 12 months], as longas the processing continues, unless the end-user requests not to receive suchreminders.

Copyright © Oh-Ebashi LPC & Partners

29