ウェブブラウザで使われている「サードパーティクッキー」を規制しようとする動きが広まっている。

日本経済新聞（1月26日）によると、米グーグル社は、自社ブラウザにおける、ネット閲覧履歴などを保存する「サードパーティークッキー」のサポート廃止に向けて、代替技術の試験運用を2021年4月に始める方針だという。グーグルは2020年1月、2年以内の完全廃止を目指す計画を発表していた。

サードパーティクッキーは、広告配信事業者が保存されている閲覧履歴を元に効果的な広告を表示することなどに利用されている。

しかし、米アップル社が2020年3月に自社ブラウザ「サファリ」でのサポートを完全廃止するなど、近年、プライバシー侵害につながるおそれがあるとして規制しようとする動きが広がっている。

これまでブラウザで広く使われてきたクッキーだが、どれほどプライバシーの侵害のおそれがあるのだろうか。また、急速に広がる規制の動きにはどんな理由があるのだろうか。ITストラテジストなどの資格を持つ平野敬弁護士に聞いた。

●クッキーには「ファースト」「サード」がある

——「クッキー」とはどのようなものなのでしょうか。

クッキー（Cookie）は、ウェブサイトを訪問したとき閲覧者の端末に保存されるデータファイルです。ウェブサイト側から個々の閲覧者を識別するために用いられます。たとえば、通販サイトのショッピングカートがこの技術の上に実装されています。

クッキーには、訪問したウェブサイト自身が発行するファーストパーティクッキー（1st Party Cookie）と、訪問したウェブサイト以外のサイト、すなわち第三者が発行するサードパーティクッキー（3rd Party Cookie）があります。

サードパーティクッキーを活用している主な事業者の1つが「広告業者」です。複数のウェブサイトにまたがって閲覧者の行動を追跡することにより、広告効果を高めようとしています。

——具体的にはどのように広告効果を高めるのでしょうか。

たとえば、閲覧者が過去に訪問したウェブサイトに基づいて、表示する広告を選択する（リターゲティング）といった用途で使われています。

ためしに、私の端末からいったんすべてのクッキーを削除したあと、弁護士ドットコム（bengo4.com）を表示してみました。その後にクッキーの保存状況を見てみた画面が次のものです。

弁護士ドットコムが発行するクッキー（画像提供：平野弁護士）

一番上に弁護士ドットコム自身が発行したファーストパーティクッキーがあります。2番目は広告業者（クリテオ）の発行するサードパーティクッキー、３番目がデータ解析業者（トレジャーデータ）の発行するサードパーティクッキーです。

●「クッキー規制」のルールづくりはすでに進んでいる

——広く活用されてきたクッキーが、プライバシー保護との関係で問題視されているようです。

クッキーそれ自体に閲覧者の名前や住所が書き込まれているわけではありません。しかし、使いようによっては、ほかの情報と照合して個人を特定することが可能です。

たとえば、「閲覧者Aはこのサイトを何回見た」というだけではどうということはありませんが、ほかの情報源から「閲覧者Aは平野である」と照合できれば、とたんに私の行動が丸裸となります。

オンラインでの活動が業者に追跡されることについて、プライバシー侵害ではないかという反感が高まり、近年これを技術的・法的に防いでいこうとする動きが盛り上がりました。

クッキーの技術は非常に古く、20世紀から用いられています。しかし、広告業界におけるアドネットワークの誕生（2008年）や機械学習を用いたデータ解析の流行（2010年頃～）により、サードパーティクッキーの利用価値は大きく上がり、比例して閲覧者にとってのプライバシーの脅威も増大しています。

——クッキーの法的な位置づけはどうなっていますか。

日本の個人情報保護法上、すべてのクッキーがただちに「個人情報」にあたるわけではありません。しかし、ほかの情報と照合して容易に個人が特定できる場合には「個人情報」に該当して、規制が及ぶと解されます。

さらに、2020年6月の改正個人情報保護法（2年以内に施行）では、「個人関連情報」の第三者提供が規制されるようになりました。クッキーも「個人関連情報」にあたります。

欧州連合の一般データ保護規則（GDPR）では、クッキーを含むオンライン識別子について「個人データ」として扱い、規制対象としています。