Cookie同意バナーは必要？ECの判断基準とGA4の同意モード
日本向けの自社ECに関係する法律、同意バナーを出したときにGA4の数字がどう変わるか、同意モードの基本と高度の違い、Shopifyでの設定まで。
サイトを開くと出てくる「Cookieの使用に同意しますか」というバナー。自社のECにも付けるべきかどうか、迷っている方は多いと思います。
調べてみると、「日本でも対応が必要になった」と書く記事と、「日本では義務ではない」と書く記事があり、結論が割れています。中には「外部への送信には本人の同意が必要になった」と説明している記事もありますが、これは正確ではありません。
もうひとつ、あまり語られていない点があります。同意バナーを出すと、アクセス解析や広告の数字が欠けるということです。法律上は不要なのに念のためバナーを入れた結果、GA4のセッション数が大きく減った、ということが起こりえます。
この記事では、ECサイトに同意バナーが必要かどうかの判断基準と、出した場合に計測がどう変わるか、GA4の同意モードとShopifyでの設定をまとめます。法律と各ツールの情報は2026年10月時点のものです。ULTROは法律の専門家ではないので、実際の対応は顧問の弁護士などに確認してください。
結論：どこに販売しているかで決まる
先に結論を図にします。
表にすると、次のとおりです。
| 販売先 | 同意バナー | やっておくこと |
|---|---|---|
| 日本国内のみ。自社の商品だけを販売 | 法律上の義務はない | プライバシーポリシーに、使っているツールと送っている情報を書く |
| 日本国内のみ。モールの運営や、商品と独立した情報メディアも運営 | 同意までは求められないが、通知または公表が必要になりうる | 送信している情報・送信先・目的を公表する |
| EU・英国のお客様にも販売 | その地域の訪問者には必要 | 対象の地域にバナーを出し、同意モードを設定する |
以下、順に説明します。
日本の法律では、何が求められている？
関係する法律は2つあります。
電気通信事業法の「外部送信規律」
2023年6月に施行された規律です。サイトを見ている人の情報を、広告やアクセス解析のために外部へ送る場合に、そのことを利用者に分かるようにするよう求めています。
知っておく点は2つあります。
求められているのは「同意」とは限らない 総務省の説明では、事業者が取るべき対応は、通知、公表（利用者が容易に知りえる状態に置くこと）、同意の取得、オプトアウトの提供のいずれかです。同意の取得は選択肢のひとつで、プライバシーポリシーなどに必要な事項を載せる「公表」でも足ります。伝えるべき内容は、送信される情報の内容、送信先の名称、利用目的の3つです。
自社商品のオンライン販売は対象外 この規律の対象は、メッセージサービス、SNS、検索サービス、ニュースや動画の配信といった、利用者への影響が大きいサービスを提供する事業者です。総務省のFAQは、自社の商品をウェブサイトで販売する小売業者について、実店舗がある場合も、ネット販売だけの場合も、規律は適用されないと答えています（問1-12、問1-13）。小売業の手段としてウェブサイトを使っているにすぎない、というのが理由です。
一方、複数の店舗が出店するオンラインモールの運営は対象になります（問1-14）。
オウンドメディアを併設している場合
判断が分かれるのが、ECサイトにコラムや読み物を載せている場合です。
総務省のFAQには、同じサイトの中でもページごとに判断するという考え方が示されています。ニュースを配信するページは対象になり、会社案内のページは対象にならない、という例です。また、総務省の資料は、もっぱら自社の情報を発信するためのウェブサイトは対象外としています。
これを踏まえると、自社の商品を紹介するための記事は対象外と読める一方、商品とは独立した情報メディアとして運営している場合は対象になりえます。この線引きを直接示したFAQは見つかりませんでした。迷う場合は、対象になる前提で「公表」をしておくのが安全です。やることは、プライバシーポリシーに送信先と目的を書くことなので、負担は大きくありません。
個人情報保護法
Cookieなどの識別子は、それだけでは特定の個人を識別できないので、通常は個人情報に当たりません。ただし「個人関連情報」として扱われます。また、会員情報などと照合して個人を特定できる形で管理しているなら、全体として個人情報になります。
自社のサイトでCookieを使うこと自体に、本人の同意は求められていません。同意の確認が必要になるのは、個人関連情報を第三者に提供し、提供先がそれを個人データとして取得することが想定される場合です。
2026年の改正：同意の義務化ではない
個人情報保護法は、2026年7月に改正法が成立し、同月に公布されました。Cookieに関係する部分では、Cookie ID、メールアドレス、電話番号など、特定の個人に連絡ができる情報を含む個人関連情報について、不適正な利用と不正な取得を禁止する規律が入ります。
Cookieの利用に同意を義務付ける改正ではありません。 施行は原則として公布から2年以内とされていて、何が「不適正な利用」に当たるかなどの細かい基準は、これから政令やガイドラインで定められます。
日本向けのECが、やっておくこと
法律上の義務がなくても、やっておいたほうがよいことはあります。
- プライバシーポリシーに、使っているツールを書く。GA4、広告のタグ、ヒートマップなど、外部に情報を送っているツールの名称、送っている情報、目的を載せます
- 無効にする方法を案内する。各ツールが用意しているオプトアウトのページへのリンクを置きます
- ポリシーへのリンクを、どのページからもたどれる場所に置く。フッターが一般的です
- タグやアプリを足したら、一覧を更新する。Shopifyのアプリには、入れただけで外部に情報を送るものがあります
- 止めたときに、本当に止まるかを確かめる。バナーで拒否を選んだ状態でページを開き、ブラウザの開発者ツールで、広告や計測のタグが送信されていないかを見ます
これは、外部送信規律でいう「公表」の形にもなっています。将来、対象の範囲が広がったり、自社の事業が対象に入ったりしても、慌てずに済みます。
同意バナーを出すかどうかは、ここまでやったうえでの判断です。出せば誠実に見えるという面はありますが、次に説明するとおり、計測に影響します。
同意バナーを出すと、数字はどう変わる？
同意モードとは
同意バナーで訪問者が選んだ結果を、Googleのタグ（GA4やGoogle 広告）に伝える仕組みが「同意モード」です。バナーを表示する機能ではなく、バナーの結果を受けてタグの動きを切り替える機能です。
伝える同意の種類は4つあります。
| 同意の種類 | 意味 |
|---|---|
analytics_storage | アクセス解析のためのCookieなどの保存 |
ad_storage | 広告のためのCookieなどの保存 |
ad_user_data | 広告のために利用者のデータをGoogleに送ること |
ad_personalization | 広告のパーソナライズ（リマーケティングなど） |
下の2つは、同意モードのバージョン2で追加されたものです。古い解説記事には上の2つしか載っていません。
基本と高度で、欠け方が違う
同意モードには2つの方式があります。
表にすると、次のとおりです。
| 基本の同意モード | 高度な同意モード | |
|---|---|---|
| タグの読み込み | 同意があるまで読み込まない | ページを開いた時点で読み込む |
| 同意がない間に送るもの | 何も送らない | Cookieを使わない信号（ping）だけを送る |
| 同意しなかった人の訪問 | GA4に一切残らない | 個人を識別しない形で件数が伝わる |
| GA4の行動モデリング | 使えない | 条件を満たせば使える |
基本の同意モードでは、同意しなかった人は「来なかった」のと同じ扱いになります。同意率が60％なら、GA4に出るセッションはおよそ6割です。広告のコンバージョンについては、基本の同意モードでも大まかな推計は行われます。
高度な同意モードでは、同意しなかった人についても、Cookieを使わない最小限の信号が送られます。GA4はこれをもとに、同意した人の行動から同意しなかった人の行動を推計して補います。これが行動モデリングです。
行動モデリングには、アクセス数の条件がある
ただし、行動モデリングはどのサイトでも使えるわけではありません。Googleのヘルプに書かれている条件は次のとおりです。
- 同意の有無にかかわらず、Googleのタグが読み込まれる実装になっていること（高度な同意モード）
analytics_storageが拒否されたイベントが、1日1,000件以上ある日が7日以上あること- 同意したユーザーが1日1,000人以上いる日が、過去28日のうち7日以上あること
同意したユーザーが1日1,000人、かつ拒否されたイベントが1日1,000件というのは、バナーを出している地域からのアクセスが1日数千に満たないサイトでは届きません。EU向けの売上が一部にとどまるECでは、高度な同意モードにしても推計での補完は効かないことが多く、同意しなかった人の分はそのまま欠けると考えておきます。
条件を満たした場合も、GA4の管理画面でレポート用識別子を「混合型」にしていないと、推計の数字はレポートに出ません。
日本の訪問者まで「拒否」にしない
同意モードでは、訪問者がバナーを操作する前の既定の状態を設定します。ここで、全世界の訪問者に対して既定を「拒否」にすると、同意バナーを出していない地域や、バナーを無視した人のデータがすべて欠けます。
Googleは、既定を拒否にする必要がある場合は、対象の地域の訪問者だけに適用することを勧めています。それ以外の地域で正確な測定ができなくなるのを避けるためです。同意モードには、地域ごとに既定の状態を変える設定があります。
EUへの販売を始めるときに同意管理のツールを入れ、初期設定のまま全地域を「拒否」にしてしまう、というのは起きやすい事故です。導入の前後で、日本からのセッション数が急に減っていないかを確認します。
EU・英国に販売している場合
欧州経済領域（EEA）、英国、スイスのお客様のデータを扱う場合は、話が変わります。
Googleは「EUユーザーの同意ポリシー」で、これらの地域の利用者について、Cookieの利用と、広告のパーソナライズのためのデータ利用に、有効な同意を得ることを求めています。2024年3月以降は、同意の信号が送られていないと、その地域の利用者をGoogle 広告のリマーケティングなどの対象に含められなくなっています。
越境ECでEUや英国に販売しているなら、次の3つが必要です。
- 対象の地域の訪問者に、同意バナーを表示する
- 同意モードで、4種類の同意の状態をGoogleに送る
- 既定の状態は、対象の地域だけ「拒否」にする
設定できているかは、GA4の管理画面で確認できます。［管理］＞［データの収集と修正］＞［同意設定］に、広告と行動分析のそれぞれについて、同意の信号が届いているかが表示されます。
Shopifyでの設定
Cookieバナー
Shopifyには、標準でCookieバナーの機能があります。場所は［設定］＞［お客様のプライバシー］です。
Shopifyのヘルプによると、動きは次のとおりです。
- 自動プライバシー設定が有効なストア（新しいストアは既定で有効）では、英国とEEAに向けたマーケットを有効にすると、その地域の訪問者にバナーが自動で設定される
- それ以外の地域では、既定でバナーは無効。手動で追加はできる
- バナーを表示する地域、文言、デザインを編集できる
- バナーを有効にした地域では、同意が得られたあとにだけ、必須でないデータが収集される
スイス向けは自動の対象に書かれていないので、販売しているなら手動でバナーの地域に追加します。
つまり、日本向けだけに販売しているストアは、何もしなければバナーは出ず、計測もこれまでどおりです。越境で英国やEEAのマーケットを追加すると、その地域にだけバナーが出ます。地域ごとに切り替わるので、日本の計測には影響しません。
バナーが効く範囲に注意
Shopifyのバナーが管理しているのは、Shopifyを通して動いているピクセル（公式アプリが設置するものや、［顧客イベント］に登録したカスタムピクセル）です。
注意が要るのは次の2つです。
- カスタムピクセルにGTMやGoogleのタグを自分で入れている場合。Shopifyのヘルプは、カスタムピクセルでは同意モードのコードを手動で入れる必要があると説明しています。入れていないと、同意の状態がGoogleに伝わりません
- テーマのコードに直接タグを貼っている場合。Shopifyのバナーの管理の外にあるので、同意の有無にかかわらず動きます。EUや英国に販売しているなら、同意管理のツールを別に用意するか、タグを［顧客イベント］に移す必要があります
Googleの広告やGA4を「Google & YouTube」アプリで接続しているなら、まずは［お客様のプライバシー］の設定を整えることが先です。
細かく作り込みたい場合は、同意管理のアプリを使う
標準のバナーで足りない場合は、同意管理のアプリを使う方法があります。Shopify App Storeには、Cookieの同意を管理するアプリが複数公開されています。アプリによって違いはありますが、標準のバナーより柔軟にできることは次のとおりです。
| できること | 内容 |
|---|---|
| バナーの見た目と文言 | デザインや表示位置、ボタンの並び、言語ごとの文言を細かく変える |
| 国や地域ごとの出し分け | 国ごとに、バナーを出すか、既定を許可にするか拒否にするかを変える |
| 同意の種類の細分化 | 分析・広告・機能などの区分ごとに、お客様が選べるようにする |
| 同意の記録 | いつ、どの内容に同意したかを残す |
| 同意モードとの連携 | 同意の状態をGoogleに送る設定を、画面から行う |
検討する価値があるのは、越境ECで複数の国に販売している場合です。同意のルールは国や地域によって違います。EUと英国のほかにも、独自の規制を持つ国や州があり、販売先が増えるほど、どの国に何を出すかの管理が必要になります。販売先ごとの設定を1つの画面で管理できる点が、アプリを入れる理由になります。
日本向けだけに販売しているストアや、越境でも英国とEEAだけに販売しているストアなら、まず標準のバナーで足ります。アプリは有料のものが多いので、標準の機能でできないことが出てきてから検討します。アプリを入れるときは、Shopifyの［お客様のプライバシー］の設定と連携しているものを選びます。連携していないと、Shopifyを通して動いているピクセルに同意の状態が伝わりません。
GTMで自分でタグを管理している場合
Shopify以外のカートや、GTMを直接入れているサイトでは、次のものを組み合わせます。
- 同意管理のツール（CMP）。バナーを表示し、訪問者の選択を記録して、同意モードに渡します。Googleは、同意モードに対応したCMPを「CMPパートナー」として公開しています
- GTMの「同意の初期化」トリガー。ほかのタグより先に、既定の同意状態を設定するためのトリガーです
- タグごとの「同意設定」。そのタグを動かすのに、どの同意が必要かを指定します
GTMでは、コンテナの設定で「同意の概要」を有効にすると、どのタグに同意の設定が入っているかを一覧で確認できます。タグが多いサイトでは、まずここで設定漏れを探します。
よくある間違い
「日本でも同意が義務になった」と思い込む 外部送信規律が求めているのは通知・公表・同意・オプトアウトのいずれかで、自社商品のオンライン販売は対象外です。義務だと思って全訪問者にバナーを出し、計測を欠けさせているサイトがあります。
同意モードを入れれば、バナーは要らないと考える 同意モードは、同意の結果をタグに伝える仕組みです。同意を取る画面は別に必要です。
同意モードを入れれば、数字は元どおりになると考える 推計で補われるのは、アクセス数の条件を満たしたサイトだけです。補われる場合も、ユーザー単位の詳細なレポートなど、推計が使われない機能があります。
バナーを出したのに、タグが同意前に動いている バナーは表示されているが、タグ側に同意の設定が入っておらず、同意の前からCookieが書き込まれている。EUや英国に販売している場合、これがいちばん問題になります。バナーを入れたら、同意する前にどのCookieが書き込まれているかを、ブラウザの開発者ツールで確かめます。
一度入れたきり、見直さない タグやツールを追加したのに、プライバシーポリシーの記載が古いまま、ということがよくあります。ツールを足したら、ポリシーも直します。
計測の設計をどこまでやるかは、販売先と広告の使い方で決まります。何を計測し、どのタグをどこに置くかを最初に決めておく考え方は、逆算の構築に書いています。
参考にした公式情報
よくある質問
日本のECサイトに、Cookie同意バナーは必要ですか？
日本国内向けに自社の商品だけを販売しているなら、法律上の義務はありません。総務省のFAQは、自社商品をウェブサイトで販売する小売業者には、電気通信事業法の外部送信規律は適用されないと答えています。ただし、プライバシーポリシーで、どのツールにどんな情報を送っているかを説明しておくことは勧められます。
同意バナーを出すと、GA4の数字はどうなりますか？
同意しなかった人のデータが欠けます。基本の同意モードでは、同意が得られるまでGoogleのタグ自体が読み込まれないので、その人の訪問は記録されません。高度な同意モードでは、Cookieを使わない最小限の信号が送られ、条件を満たせばGA4が欠けた分を推計で補います。
同意モードとは何ですか？
訪問者がCookieの利用に同意したかどうかを、Googleのタグに伝える仕組みです。同意の状態に応じて、タグの動きが切り替わります。同意バナーそのものを表示する機能ではないので、バナーは別に用意する必要があります。
基本の同意モードと高度な同意モードは、何が違いますか？
同意が得られる前にタグを読み込むかどうかが違います。基本の同意モードは、同意があるまでタグを読み込まず、何も送りません。高度な同意モードは、タグを読み込んだうえで、同意がない間はCookieを使わない信号だけを送ります。GA4の行動モデリングが使えるのは高度な同意モードだけです。
日本にしか販売していなくても、同意モードは設定すべきですか？
Googleが同意の信号を求めているのは、欧州経済領域・英国・スイスの利用者のデータです。日本国内だけに販売しているなら、必須ではありません。むしろ、日本の訪問者に対して既定を「拒否」にする設定を入れると、計測が欠けます。Googleも、既定を拒否にするのは対象の地域に限ることを勧めています。
ShopifyではCookieバナーをどこで設定しますか？
管理画面の［設定］＞［お客様のプライバシー］です。自動プライバシー設定が有効なストアでは、英国とEEAに向けたマーケットを有効にすると、その地域の訪問者にCookieバナーが自動で設定されます。それ以外の地域では既定で無効ですが、手動で追加できます。
2026年に個人情報保護法が改正されたと聞きました。同意バナーは義務になりますか？
義務にはなっていません。2026年7月に成立した改正では、Cookie IDなどを含む個人関連情報について、不適正な利用と不正な取得が禁止されます。Cookieの利用そのものに同意を義務付ける内容ではありません。施行は公布から2年以内とされ、細かい基準はこれから定められます。
- 日本向けに自社商品だけを売るECには、Cookieの利用に同意を取る法律上の義務はない
- 外部送信規律で求められるのは通知・公表・同意・オプトアウトのいずれか。自社商品のオンライン販売は対象外
- EUや英国に販売しているなら同意の取得が必要で、Googleへ同意の状態を伝える同意モードも求められる
- 同意バナーを出すと、同意しなかった人のデータが欠ける。基本の同意モードでは訪問そのものが記録されない
- 既定を拒否にするのは対象の地域だけにする。日本の訪問者まで拒否にすると計測が欠ける
- Shopifyは［設定］＞［お客様のプライバシー］で地域ごとにバナーを設定できる
この記事を書いた人永田 龍史
株式会社ULTRO 代表取締役Shopify Partner。Shopifyストアの構築・保守・広告運用・CRMを一気通貫で担当。個人として運用した広告費は累計40億円超。計測設計から逆算して、利益が伸びる仕組みを作っています。Google 広告の認定資格（検索・ディスプレイ・動画・ショッピング・アプリ・P-MAX・測定）と Google アナリティクス認定資格を保有。
経歴と執筆記事81本を見る → Xでフォローする @Ryushi_ULTRO →自分のストアでは、どうなっているか。
無料診断では、あなたのShopifyの実データを見てサイトの健康状態を確認し、何から直すべきかを改善案とあわせてご提案します。
