WEBサイト制作や運営に携わったことのある担当者の方なら「Cookie」という用語を耳にしたことがあるでしょう。しかし、その具体的な仕組みやメリットについてはよく分かっていないという方も多いのではないでしょうか。
Cookieは、WEBサイトのログイン情報やショッピングカートの内容の保存など、WEBサイトの利便性を高めるために必要な技術です。また、マーケティングの分野でも、リターゲティング広告に利用されるなど、欠かせない存在となっています。
しかし、EUでGDPR（一般データ保護規則）が施行されたことをきっかけに、Cookieが個人情報保護の観点から注目を集めるようになってきました。
タイでは個人情報保護法（Personal Data Protection Act、PDPA）が2022年6月1日に全面施行されましたが、PDPAはGDPRをベースにしており、PDPAもGDPRと同様にCookieに関する規制を含んでいます。
そのためタイ企業のWEBサイト運営者においても、Cookieに関する基本知識と適切な管理方法をより深く理解しておくことが重要となりました。
今回は、そんなCookieの基本知識や利用方法、取り扱いの注意点などについて整理し解説していきます。
Cookieとは？
Cookieとは、特定のWEBサイトを訪問した際に、その履歴やログイン情報を記録する仕組みを言います。この仕組みを利用することで、同じサイトを再度訪問した際に同じユーザーとして認識され、利便性が向上します。
Cookieには固有のIDが割り当てられており、このIDを基にして特定のブラウザが再度訪問したことを認識します。
例えば、あるWEBサイトにアクセスすると、まずWebサーバーからブラウザにCookieが送信され保存されます。次回同じサイトにアクセスした際に、ブラウザに保存されたCookieがサーバーに送信され、ユーザー情報と照合されます。これにより、ユーザーは再度訪問した際にログイン状態を維持したり、買い物を続けることが可能です。
また、マーケティング面では、リターゲティング広告に利用され、以前に訪問したユーザーに対して広告を表示することができます。
Cookieは文字情報としてテキストファイルの形式で保存されます。Cookieは非常に小さなテキストファイルであり、通常、ユーザーのデバイスの空き容量を大きく圧迫することはありません。
Cookieとキャッシュの違いとは？
Cookieと似た概念に「キャッシュ（cache）」というものがあります。
キャッシュは、Webページのデータ（画像やアイコンなど）をブラウザに一時的に保存し、次回以降の表示を高速化する技術です。
Cookieとキャッシュの違いとしては、まず目的が異なります。
Cookieは個別のユーザー体験を提供するために使用され、キャッシュはウェブページの読み込み速度を向上させるために使用されます。また、保存内容もCookieはユーザーの訪問履歴やログイン情報などの個人情報を保存するのに対し、キャッシュは画像やCSSファイルなどの静的リソースを保存します。Cookieは個人情報を含むことがあるため、適切な管理が必要ですが、キャッシュは一般的に個人情報を含まないため、プライバシーリスクは低いです。
Cookieとキャッシュはどちらもブラウザに保存されますが、保存場所と期間も異なり、Cookieは、指定された有効期限まで保持されます。キャッシュはブラウザに一時的に保存され、ブラウザの設定やキャッシュクリアの操作によって削除されるといった違いがあります。
Cookieによるメリット
Cookieはユーザーとマーケターの双方に多くのメリットをもたらします。
ユーザー目線から見ると、まずログイン状態の保持が挙げられます。一度ログイン情報を入力すると、次回アクセス時に自動的にログイン状態が維持されるため、再度ログイン情報を入力する手間が省けます。
また、ショッピングカートの内容を保存する機能も便利です。ECサイトで買い物の途中にページを離れても、再度アクセスした際にカートの中身がそのまま保存されており、買い物をスムーズに続けられます。
さらに、Google検索では、Cookieを利用して過去の訪問履歴を基に検索結果がパーソナライズされるため、より関連性の高い結果が表示されます。
一方、マーケターにとってもCookieは重要なツールです。
まず、アクセス解析が可能になります。Cookieを利用することで、ユーザーのページ遷移やセッション数などの詳細なデータを収集し、分析することができます。
また、リターゲティング広告にも利用されます。リターゲティング広告とは、一度WEBサイトを訪れたことがあるユーザーに対して再度広告を配信する手法ですが、Cookieを利用することで訪問履歴を基にした広告の配信が可能となり、効果的なマーケティングが実現できます。
さらに、ターゲティング広告では、ユーザーの属性や嗜好に合わせた広告を表示することで、高い訴求効果を得ることができます。
コンテンツのパーソナライズも可能です。訪問履歴を基に、初回訪問とリピーターに対して異なるメッセージを表示するなど、個別のコンテンツを提供することができます。
Cookieの種類
Cookieには「ファーストパーティクッキー（1st party Cookie）」と「サードパーティクッキー（3rd party cookie）」の2種類があります。
ファーストパーティクッキーは、ユーザーが直接アクセスしているWEBサイトのドメインから発行されるCookieです。このCookieは主にユーザー認証や設定の保存、サイト内の個別のカスタマイズを行うために使用されます。
例えば、ショッピングサイトでのログイン状態を保持したり、ユーザーの言語設定を保存したりする場合に使われます。このように、ファーストパーティクッキーは、ユーザーの利便性を高めるためにWEBサイトの機能をサポートします。
一方、サードパーティクッキーは、ユーザーが訪問しているWEBサイト以外のドメインから発行されるCookieです。これは主に広告配信やユーザーのオンライン行動のトラッキングに使用されます。
例えば、あるニュースサイトを閲覧しているときに表示される広告が、過去に訪れた他のサイトでの行動に基づいてカスタマイズされていることがあります。これはサードパーティクッキーがユーザーのブラウジング履歴を追跡し、関連する広告を表示するためです。
このように、ファーストパーティクッキーはユーザーが直接アクセスしているサイトによって発行され、ユーザーの体験を向上させるために使用されるのに対し、サードパーティクッキーは他のドメインから発行され、主にマーケティングや広告の目的で使用されます。
Cookieの活用における注意点
前述のとおりCookieにはWEBサイトの利用者に多くの利便性をもたらしていますが、一方で注意すべき問題点もいくつかあります。とくにWEBサイト運営にあたっては個人情報としてのCookieの特性をしっかりと理解し押さえておく必要があります。
まずユーザー側からの視点で見ていきます。
Cookie内にはログインに便利な情報が保存されています。例えばオフィスやカフェなどでPCを開いたまま離席した場合、たとえログアウトしていたとして、ブラウザはログイン情報を記憶しているので、他人が無断で買い物をしたり、ソーシャルネットワークでなりすましをしたりすることが可能となってしまいます。
一台のパソコンを共有している場合も、Cookieを利用していると、他人に個人情報を利用される可能性が出てきます。
Cookieを利用しているPCやスマホには、必ずロックをかけておく。ブラウザのCookie情報はこまめに消すといったことで対策をします。
プライバシー保護の観点から見るCookie規制の動き
WEBサイトの運営側からの視点からでは、プライバシー保護の観点が求められており、特に、サードパーティクッキーが問題視されています。
サードパーティクッキーはWEBサイトを横断してCookieを発行できることから、個人を特定して行動をトラッキングすることができます。この技術のおかげでリターゲティング広告や行動ターゲティング広告を利用できるわけですが、これがプライバシーの侵害ではないかという懸念の声があがってきました。
個人情報を保護する動きが世界的に高まる潮流の中で、2018年にEUで施行されたGDPR（EU一般データ保護規則）によって、サードパーティクッキーの取り扱いが一気に注目を集めました。
GDPR（一般データ保護規則）は、EU内で収集された個人データのEU域外への移転を原則として禁止する規則です。この規則は、データ保護のレベルが十分でないと判断される第三国への個人データの移転を制限しています。
GDPRでは、前述のとおり、Cookieも保護対象の個人情報と見なし、Cookieに関する取り扱いが厳格化されています。
特に注目を集めたのがGDPR違反に対する制裁金の高額さで、違反が確認された場合には、企業に対して年間売上高の最大4%または2000万ユーロ（約26億円）のどちらか高い方が科される可能性があることから、多くの企業がGDPRへの対応を検討し、実施しています 。
ちなみにGDPRは欧州圏外の会社であっても、EU圏内のデータ主体の個人データを扱うすべての組織、EU圏内の消費者に対するサービス提供に適用されます。
ブラウザのCookie自主規制の動き
GDPRが施行されて以来、データ保護とプライバシーに関する意識が急速に高まる中、ブラウザベンダー各社もCookieの取り扱いについて自主的な規制を強化する動きを見せています。
Apple Safari
Appleは2017年からIntelligent Tracking Prevention (ITP)を導入しており、サードパーティCookieの使用を大幅に制限しています。これにより、クロスサイトトラッキングが防止され、ユーザーのプライバシーが保護されています。2020年3月のアップデートでサードパーティCookieを全面ブロックしています。Apple社はユーザーのプライバシー保護に対して非常に前向きな姿勢を示しています。
Google Chrome
GoogleもサードパーティCooke規制の動きを見せていますが、2024年7月現在では「サードパーティCookie廃止の代わりに、Chromeに新しいエクスペリエンスを導入する」と発表しています。様々な利害関係の調整により、現時点ではサードパーティCookeを完全に廃止するかは不明ですが、何かしら規制の動きを見せることは間違いないと見られています。
Mozilla Firefox
MozillaはサードパーティCookieの取り扱いを強化しており、既に多くのトラッキングCookieをブロックしています。Enhanced Tracking Protection (ETP)という機能を導入しており、デフォルトで有効になっています。
Microsoft Edge
Microsoft Edgeもプライバシー保護のためにサードパーティCookieの制限を強化しています。Tracking Preventionという機能があり、ユーザーがトラッキングのレベルを設定できるようになっています。
タイのPDPAに対応したWEBサイトのCookie対策とは
タイの個人情報保護法（PDPA）が2022年6月1日に全面施行されたことにより、WEBサイト運営者はCookieに対する取り扱いの規制に対処する必要があります。
PDPAは、企業やWEBサイトがユーザーデータを収集および処理する方法を規定しており、特にCookieの利用に関する透明性とユーザーの同意が重要視されています。
具体的には、まず、WEBサイトはCookieの利用についてユーザーに明示的に知らせることが求められます。これは、WEBサイトがどのようなデータを収集し、そのデータをどのように使用するかをユーザーに理解してもらうためです。この情報は通常、プライバシーポリシーやCookieポリシーに記載されます。ユーザーがWEBサイトを訪れた際に、ポップアップやバナーを表示してCookieの利用に関する詳細情報を提供し、同意を求めることが一般的です。
さらに、ユーザーの同意を得るための仕組みも重要です。PDPAに準拠するためには、ユーザーがCookieの利用に同意する前に、必要な情報を提供しなければなりません。同意は明示的でなければならず、ユーザーが明確に「同意する」ボタンをクリックするなどのアクションを取る必要があります。また、同意の撤回も容易に行えるようにすることが求められます。これにより、ユーザーは自分のデータがどのように使用されるかをコントロールできるようになります。
Cookie利用の同意が必要なサービスには、各種広告タグやGoogle Analyticsといった計測タグ以外にも様々なサービスで利用されています。
たとえばFacebookやXなどSNSのLIKEボタンやシェアボタンといったプラグイン、YoutubeやVimeoといった動画の埋め込み、Google Mapsなどの地図の埋め込み、またWordPressなどCMSにもプラグインやテーマによってはユーザーの行動を追跡するためにCookieを使用するものがあります。
これらのサービスは、ユーザーエクスペリエンスの向上や効果的なマーケティングのためにCookieを利用していますが、PDPAなどのデータ保護規制に準拠するために、ユーザーからの同意を得ることが必要となります。
WEBサイト運営者は、Cookieの利用状況を定期的に監視し、更新する必要があります。Cookieポリシーを定期的に見直し、法規制の変更や新しい技術に対応することが重要です。また、Cookieに関するユーザーの同意状況を記録し、必要に応じて証拠として提出できるようにすることも求められます。
タイのPDPAに対応するためのこれらの対策を実施することで、WEBサイト運営者はユーザーのプライバシーを保護し、法規制を遵守することができます。これにより、信頼性の高いWEBサイトを運営し、ユーザーからの信頼を得ることにつながります。
まとめ
Cookieは、WEBサイトの利便性を向上させるために重要な役割を果たしますが、その取り扱いには注意が必要です。特に、タイのPDPAに準拠するためには、Cookieの使用について明確な同意を得ることや、適切な管理方法を導入することが求められます。これらの対策を講じることで、利用者の信頼を得るとともに、法的なリスクを最小限に抑えることができます。WEBサイト運営者として、個人情報の保護を最優先に考え、PDPAに適合した運営を心掛けましょう。
