March 30, 2022

2022 年 3 月 30 日
European Practice GroupNEW RULES FOR COOKIES UNDER
JAPANESE DATA PRIVACY LAW

日本のデータプライバシー法におけるCookie に関する新しい規則

New amendments to Japan’s Act on theProtection of Personal Information (APPI) witheffect from April 2022 will implement stricter
requirements for companies and other website
operators who use cookies to gather
information from their website users.

2022 年 4 月に施行される日本の個人情報保護法（以下「個情法」といいます。）の改正法（以下「改正法」といいます。）により、クッキーを使用してウェブサイトユーザーから情報を収集する
企業及びその他のウェブサイト運営者に対して、より厳しい要件が適用されることになります。

Data protection and privacy laws in Europe, including theGeneral Data Protection Regulation (GDPR) enacted by
the European Union (EU) in 2016 have had wide-ranging
and profound effects on the regulation and laws of othercountries, including Japan, which recently revised its Act
on the Protection of Personal Information (APPI) in 2020,
with such revisions with effect from April 2022.

欧州連合（EU）が 2016 年に制定した一般データ保護規則（GDPR）を含む欧州のデータ保護及びプライバシー法は、個人情報保護法の改正（2020年交付、2022 年 4 月施行）を行った日本を含め、他の国々の法律に広範かつ重大な影響を及ぼしてきました。

While there are numerous new revisions to the APPI, one
area which has recently received a great deal of attention
are the regulations that are expected to apply to cookies,
which are ubiquitous, universally used small text files thatare used by Internet websites. Cookies are processedand stored by web browsers, and their purpose is to track
information regarding website user activity, such clicking
on webpage advertisements, online purchasing habits,
etc.
Current legal issues associated with the use of cookies
are generally related to data privacy and the gathering of
personal information of users who are accessing therelevant websites. The EU's ePrivacy Directive, and thenational laws implementing and supplementing thisDirective, set out laws governing the use of cookies andother similar tracking technologies in the EU. In addition,
where cookies include personal data, that personal data
must also be processed in accordance with the EU GDPR
(in the EU) and the UK GDPR (in the UK) (EU GDPR and
UK GDPR Article 4(1), Recital 30). Many European andnon-European websites now provide detailed privacy
notices on their websites and also ask users to consent
to the use of non-essential cookies, and/or customize thenon-essential cookies they are willing to accept, in orderfor the websites to avoid legal risks or liability under dataprotection and privacy laws.
In the UK, the law was updated in 2019 to clarify that theconsent required for non-essential cookies (whether or
not they process personal data) is required to be obtained
to the same standard as consent under the GDPR. In

改正法の内容は多岐にわたりますが、最近大きな注目を集めている分野の 1 つは、クッキーに適用されることが見込まれている規制です。クッキー
は、インターネットのウェブサイトで至る所に存在し、広く使用されている小さなテキストファイ
ルです。クッキーは、ウェブブラウザによって処
理及び保存され、その目的は、ウェブページ広告のクリック、オンライン購入習慣等、ウェブサイ
トのユーザーアクティビティに関する情報を追跡することです。
クッキーの使用に関する現在の法的問題は、一般的に、関連性のあるウェブサイトにアクセスする
ユーザーのデータプライバシー及び個人情報の収集に関係しています。EU の e プライバシー指令並
びにその指令を実施及び補足する加盟国の国内法
は、EU においてクッキー及びその他類似の追跡技
術の 使用を規制 する法令を 定めていま す。さらに、クッキーに個人データが含まれる場合、その個人データは、EU においては EU GDPR、英国においては英国 GDPR に従って処理される必要があります（EU GDPR 及び英国 GDPR 第 4 条 (1)、前
文第 30 項）。現在、多くの欧州及び欧州以外の
ウェブサイトでは、ウェブサイトがデータ保護及びプライバシー法に基づく法的リスク又は法的責任を回避するために、詳細なプライバシー通知を
ウェ ブサイト上 で提供し、 また、非必 須のクッキーの使用に同意するようユーザーに求めたり、

other words, implied consent, or pre-ticked boxes, are nolonger acceptable. The website must obtain
unambiguous, active consent from the user before nonessential cookies are deployed. The user must also beable to withdraw their consent as easily as it was given,so cookie tools on websites to enable the user to change
their preferences have become more popular.
In order to be more aligned with the treatment of cookies
in the EU, the UK, and other international standards,
Japan’s APPI has been amended, and below is a briefsummary of both the previous APPI as well as theamended APPI with respect to the legal treatment ofcookies.
1. Previous APPIThe regulations prior to the recent amendments regarding
cookies in Japan under the APPI are quite
straightforward. Specifically, cookie-related information,in principle, is not deemed to meet the definition of“personal information” under the APPI because, in
general, identifying a specific individual based solely on
cookie information is not possible. Therefore, to date,companies and other operators of Japanese websites
have not been legally required to take any action underthe APPI with respect to the use of cookies.
Notwithstanding the foregoing, there are certain
exceptional cases where cookie-related information does
meet the definition of “personal information”, for example,
when a specific individual can be identified by cookies
processed in conjunction with such individual’s name.
2. Amended APPI (Effective as of April 1, 2022)
As a result of amendments to the APPI which will takeeffect on April 1, 2022, new regulations that are expected
to apply to cookies will be introduced. Specifically, under
the amended APPI, the new concept of "personal-related
information" has been created for information relating toliving individuals that is not considered personal
information, and such concept is expected to encompass
the use of cookies.
More specifically, the distinction between “personalrelated information” and “personal information” has beencreated because there are some cases in which specificinformation is not considered “personal information”
because a business operator who processes suchinformation (hereinafter “Business Operator A”) cannot
identify a specific individual, and thus such information
would instead be deemed "personal-related information"
under the amended APPI. On the other hand, anotherbusiness operator who is provided that same “personalrelated information” by Business Operator A (hereinafter“Business Operator B”) may be able to identify a specific

受け入れてもよいと思う非必須のクッキーをカス
タマ イズするよ うユーザー に求めたり しています。
英国では、非必須のクッキー（個人データを処理するか否かを問わない）に必要とされる同意は、
GDPR に基づく同意と同じ基準で取得される必要があることを明確にするため、2019 年に法律が改正されました。つまり、黙示の同意や、予めチェックが入れられているチェックボックスは、もはや認められません。ウェブサイトは、非必須のクッキーが配備される前に、ユーザーから明確で積極的な同意を得なければなりません。また、ユーザーは、同意を行うのと同じように簡単にその同意を撤回することができなければならないた
め、ユーザーが自分の選択を変更できるウェブサ
イト上のクッキーツールがより一般的になってきています。
EU、英国及びその他の国際基準におけるクッキーの取扱いに足並みを一層揃えるため、日本の個情法は改正されました。以下は、クッキーの法的取扱いに関するこれまでの個情法及び改正法の両方についての概要です。
1.

これまでの個情法

個情法に基づいた日本におけるクッキーに関連する最近の改正前の規則は、非常に分かりやすいものです。具体的には、クッキー情報のみで特定の個人 を識別する ことは一般 的に不可能 であるため、クッキーに関連する情報は、原則として個情法に基づく「個人情報」の定義に該当しないとみなされます。したがって、これまで、日本の企業やウ ェブサイト を運営する その他の事 業者は、クッキーの使用に関して個情法に基づく措置を取ることを法的に要求されていませんでした。
但し、特定の個人の氏名と共に処理されることによりクッキー、個人を識別することができる場合
等、クッキーに関連する情報が「個人情報」の定義に該当する場合もあります。
2.

改正個情法（2022 年 4 月 1 日施行）

2022 年 4 月 1 日に施行される改正法では、クッキーに適用される新しい規制が導入されます。具
体的には、改正法において、個人情報とはみなされない生存する個人に関する情報について、「個individual using such information if jointly processed withadditional information owned by Business Operator B,
and in such case, such provided information would be
deemed to be “personal information” vis a vis Business
Operator B.
Based upon the foregoing, under the amended APPI, a
new rule will be introduced that the data subject’s consent
is required when a business operator who collected
personal-related information provides the information to athird party and the information is assumed to be collected
as personal information by the third party. Based upon
the example in the preceding paragraph, under theamended APPI, Business Operator B (or Business
Operator A in lieu of Business Operator B) will be required
to obtain the data subject’s consent to obtain the
combined “personal information”, and Business Operator
A will have the obligation to ensure that such consent isobtained.
As a further example, Data Management Platforms("DMPs"), such as Google and other platforms that
centrally manage various data of companies and othersources, may place cookies (known as “third-party
cookies”) on websites provided by other business
operators. In such case, cookie-related information
obtained by the DMP would not constitute "personal
information" because it is usually not possible to identify
a specific individual based solely on such cookies.
Nonetheless, such information obtained using suchcookies would constitute "personal-related information"
under the amended APPI.
Furthermore, if such"personal-related information" obtained by the DMP
comes to constitute “personal information” based onprovision by a third-party (that is, a specific individual canbe identified by the receiver), the consent of the data
subject will be required.
3. Necessary Action Going Forward

To be clear, the above required consents for cookies
under the amended APPI will not be as strict as thestandard of consent that is set out in the EU GDPR or UK
GDPR. This is due to the fact that Japanese regulators
have tried to strike a more business-friendly balance
between the personal data rights of individuals and theuse of personal information by companies and otherwebsite operators for commercial purposes.
Nonetheless, based upon the effect of cookies on data
privacy concerns, it will be vital for parties operating
Japanese websites which use cookies to comply with theamended APPI and improve the transparency of
information provided to data subjects.
Therefore, companies using cookies on their Japanesewebsites or through DMPs should take following actions:

人関連情報」という新たな概念が生まれており、これにはクッキーにより取得される情報も含まれると考えられます。
具体的には、個人情報を取り扱う事業者【事業者A】が特定の個人を識別することができないという理由から、特定の情報が「個人情報」とみなされない場合があるため、改正法においては、「個人関連情報」と「個人情報」が区別されますので、その ような情報 は、「個人 関連情報」 とされます。一方で、この事業者 A にとっての「個人関連情報」を事業者 A から提供してもらう別の事業者【事業者 B】にとっては、事業者 B が有する付加情報と組み合わせて処理することにより、かかる
情報について特定の個人を識別することができる
場合があり、この場合、事業者 A から提供された
情報は、事業者 B にとって「個人情報」となります。
以上を踏まえ、改正法においては、事業者が個人関連情報を第三者に提供する場面において、その相手方が個人情報として取得することが想定される場合は、あらかじめデータ主体の同意が必要である旨の新しい規則が導入されます。前項の例に基づいて説明すると、改正法においては、事業者
B が（又は事業者 B に代わって事業者 A が）、組
み合わせられる「個人情報」を取得するために、
データ主体の同意を得る必要があり、事業者 A はかかる同意の存在を確認する義務を負います。
より具体的な例としては、企業やその他のソースの様々なデータを集中管理する Google 等のデータ
管理プラットフォーム（「DMP」）は、他の事業者が提供するウェブサイトにクッキーを置くことがあり、このようなサービスは「サードパー
ティークッキー」として知られています。このような場合、DMP が取得したクッキーに関連する情報は、かかるクッキーのみに基づいて特定の個人を識別することは通常不可能であるため、「個人情報」にはあたりませんがクッキー、改正法における「個人関連情報」に該当します。また、DMPが取 得する「個 人関連情報 」が、第三 者提供によって「個人情報」となってしまう場合（すなわち、第三者提供の受領者において、特定の個人を識別することができる場合）、データ主体の同意が必要となります。
3.

今後必要となる措置

1) Conduct an investigation to obtain precise
information regarding cookie usage on their own
websites as well as those of their DMPs;
2) Draft, review and modify their Online Privacy Policies
and Cookie Policies/Notices;
3) If needed, establish reliable measures to obtain data
subjects’ consent; and
4) Use this as an opportunity to consider whether their
EU and UK websites need refreshing or updating tocomply with EU and UK data protection and privacy
laws.
The European Practice Group and IT Practice Group of
the Japan-based international law firm of KitahamaPartners have forged links with UK-based law firm ofHoward Kennedy in order to assist our clients with abroad range of international IT and data protection andprivacy issues. Through our collaboration, we canprovide comprehensive legal advice and assistance sothat our clients can understand often complex worldwide
data privacy rules and restrictions and be both confident
and compliant in multiple jurisdictions.

誤解のないよう付言すると、改正法においてクッ
キーに要求される上記の同意は、EU GDPR 又は英国 GDPR に規定されている同意の基準ほど厳しい
もの ではありま せん。これ は、日本の 規制当局
が、自然人の個人情報に関する権利と、企業や他のウェブサイト運営者による商業目的での個人情報の利用との間で、より後者に配慮したバランスを取っていることによります。
しかしながら、クッキーがデータプライバシーに関する懸念に与える影響を考えると、クッキーを使用 して日本の ウェブサイ トを運営す る当事者が、改正法を遵守し、データ主体に提供される情報の透明性を向上させることは極めて重要です。
したがって、日本のウェブサイト上で、又は DMP
を通じてクッキーを使用する企業は、以下の措置を講じる必要があります。
1)

自社のウェブサイト上及び DMP におけるクッキーの使用に関して、正確な情報を入手するために調査を行う。

In case of any queries regarding any of the topics
addressed herein, please do not hesitate to contact thefollowing attorneys of the two respective firms.

2)

オンライン・プライバシー・ポリシー及びクッキーポリシー／通知の起案、検討及び修正を行う。

KITAHAMA PARTNERS

3)

必要に応じて、データ主体の同意を得るための信頼できる方法を確立する。

Jiri Mestecky, Partner - Osaka Office
JMestecky@kitahama.or.jp
TEL: +81-6-6202-9554

4)

この機会に、EU 及び英国のデータ保護及びプライバシー法に準拠するために、EU 及び英国のウェブサイトを更新する必要があるかどうかを検討する。

Miyako Ikuta, Partner – Tokyo Office
MIkuta@kitahama.or.jp
TEL: +81-3-5219-5151
Ryosuke Naka, Partner - Osaka Office
RNaka@kitahama.or.jp
TEL: +81-6-6202-9616
Minami Hosoi, Associate – Tokyo Office
MHosoi@kitahama.or.jp
TEL: +81-3-5219-5151
HOWARD KENNEDY
Colin Sawdy, Partner
Colin.Sawdy@howardkennedy.com
TEL: +44 (0)20 3755 5457

日本を拠点とする国際的な法律事務所である北浜法律事務所のヨーロピアンプラクティスグループ
及び IT プラクティスグループは、英国を拠点とする Howard Kennedy 法律事務所と提携し、幅広い
国際的な IT 及びデータ保護、並びにプライバシーの問題についてクライアントを支援しています。
クライアントが複雑な世界規模のデータプライバ
シーに関する規則及び制限を理解し、複数の法域において自信を持ってコンプライアンスを遵守することができるように、私たちは、この提携を通して包括的な法的助言及び支援を行います。

Robert Lands, Partner
Robert.Lands@howardkennedy.com
TEL: +44 (0)20 3755 5557
Elizabeth Morley, Partner
Elizabeth.Morley@howardkennedy.com
TEL: +44 (0)20 3755 5620

本件に関する事項についてご質問がございました
ら、各事務所の以下の弁護士にご連絡下さい。

北浜法律事務所・外国法共同事業

Emily Clark, Associate
Emily.Clark@howardkennedy.com
TEL: +44 (0)20 3755 5443

弁護士法人北浜法律事務所

Alexandra Johnstone, Associate
Alexandra.Johnstone@howardkennedy.com
TEL: +44 (0)20 3755 5827

JMestecky@kitahama.or.jp

ジェリー・メステッキー（パートナー、大阪事務所）
TEL: 06-6202-9554
生田 美弥子（パートナー、東京事務所）
MIkuta@kitahama.or.jp
TEL: 03-5219-5151
亮介（パートナー、大阪事務所）
RNaka@kitahama.or.jp
TEL: 06-6202-9616
中細井 南見（アソシエイト、東京事務所）
MHosoi@kitahama.or.jp
TEL: 03-5219-5151
Howard Kennedy 法律事務所
Colin Sawdy（パートナー）
Colin.Sawdy@howardkennedy.com
TEL: +44 (0)20 3755 5457
Robert Lands（パートナー）
Robert.Lands@howardkennedy.com
TEL: +44 (0)20 3755 5557
Elizabeth Morley（パートナー）
Elizabeth.Morley@howardkennedy.com
TEL: +44 (0)20 3755 5620
Emily Clark（アソシエイト）
Emily.Clark@howardkennedy.com
TEL: +44 (0)20 3755 5443
Alexandra Johnstone（アソシエイト）
Alexandra.Johnstone@howardkennedy.com
TEL: +44 (0)20 3755 5827