先月5月25日にEUで施行されたGDPR。デジタルマーケティング業界にとっても非常に影響の大きい施策なので、もうすでにご理解されている方も多いのではないでしょうか。
実はEUでは早速GDPRとは別に、個人のプライバシーに関する施策が再び動き始めています。そんな施策の通称は「Cookie法」。施行直前になって頭を悩ますことが無いように、今回はCookie法とは何か？そして、今後どんな影響が出るのかについてご紹介します。
Cookie法について理解しよう
Cookie法とは？
Cookie法の正式名称は、「eプライバシー規則（ePrivacy Regulation）」といいます。この規則の元では、Webサイトに訪れたユーザーに対してCookie付与の同意を得ること（オプトイン）が必要となり、同意を得て初めてユーザーにCookieが付与されます。当然ながら、拒否した場合でもユーザーは通常と同じようにWebサービスを利用することができます。
Cookieは、Webブラウザ(safariやchrome、IEなど)に蓄積される来歴情報で、Webサイト側のサーバーがブラウザを通してユーザのコンピュータに一時的にデータを書き込み、保存する仕組みです。ユーザーのWeb上での行動分析（トラッキング）はこのCookieが元となっています。
Cookieが付与されることで、サイトを閲覧する際に、過去の閲覧履歴を踏まえて最適化されたページを閲覧できたり、ログイン時の手間が省けたりします。また、DSPなどによる個人に最適化された広告配信は、Cookieデータから個人情報を入手することで可能になっています。
つまり、Cookie法は個人データを与えるか否かをユーザーに委ねる施策であり、個人に最適化した広告配信やマーケティングからユーザーを守ります。
実際のcookie付与の同意確認表示
実際には下記のような確認文が表示されます。「このWebサイトはCookieを使用しています。あなたにCookieを付与してもいいですか？」という意味です。
例は全てイギリスのもので、イギリスではEUに先立って、2012年からCookie法が施行されています。
【ロンドン市のHP】
【サッカー・スコットランドプレミアリーグのHP】
施行はいつから？罰則金は？
法案はまだ欧州議会を通っていない段階なので、実際の施行はまだ少し先になりそうです。
罰金に関しては、GDPRと同じで「2,000万ユーロ、または、企業の場合には前会計年度の全世界年間売上高の４％のいずれか高い方」となっています。
Cookie法で何が困るのか
実際にCookie法によってどんな問題が発生するのかまとめました。
ターゲティング広告を配信できない
先程も述べたように、DSPなどの個人に最適化した広告は、Cookieを使ってユーザーの行動を分析し、ターゲティングすることで広告効果を高めていますが、それが不可能になります。リターゲティング広告を提供しているアドテクベンダーや、利用しているメディアは大きな影響を受けることになります。
3rd Party Cookieが使えない
3rd Party Cookieは、ユーザーが訪問しているWebサイトのドメイン以外から付与されるCookieで、サイトを横断したCookie付与ができるため、複数のサイトを跨いだユーザーの行動分析（クロスサイトトラッキング）やリターゲティングを可能としています。現在のオンライン広告では、Cookieの中でもこの3rd Party Cookieが一番利用されています。
しかしながら、Cookie法においては、クロスサイトトラッキングおよび広告配信を目的にCookieを使用すると、プライバシーの侵害と見なされ、Cookieの利用が全くできなくなります。
つまり、今後は1st Party Cookie（ユーザーが訪問しているWebサイトのドメインから付与され、ログイン情報などが該当する）を利用したサービスが有利になるでしょう。
GoogleやFacebookにも影響が…
全米の広告収入の内、過半数を占めるのがGoogleとFacebookですが、Cookie法の厄介な点は、GoogleやFacebookによる独自のデータ収集をも制限する点です。ログイン情報は利用できるものの、ターゲティング広告を配信するための追跡データの収集は全てユーザーの同意が必要となります。Facebook広告やGDNも大きな影響を受けることになりそうです。
広告配信効果の検証ができない
多くの場合、広告の配信効果の検証には、Cookieが欠かせません。Cookieが無いとユーザーの行動が追えず、どの広告にどんな効果があったのか全く分からなくなってしまいます。
対応策
フィンガープリンティング
近年のCookie利用制限の傾向から、Cookieに依存せずターゲティング広告配信を可能にする『フィンガープリンティング』が注目されています。フィンガープリンティングとは、Cookie情報を利用する代わりに、様々なパラメータをデバイスから取得し分析することでWebサイトにアクセスしてきたデバイスを推定する方法です。
一方で、フィンガープリンティングを用いたターゲティングの精度は未だ完全とはいえず、弱みや改善すべき点があります。一つ目は、ユーザーを特定してしまうと完全に個人がわかってしまうので、あくまで推定に留まる点です。二つ目は、バージョンアップなどにより端末のパラメータは変化するので、時間の経過に伴い識別が難しくなる点です。
でもやっぱり、Cookieは必要
Cookieを完全に遮断されてしまうと、なかなか対応策を生み出すのは難しいとの意見が大半です。2017年1月にCookie法が提案されて以降、EUでは大きな議論の対象になっています。
EUの広告業界団体（Amazon、Facebook、Google、Apple、Microsoft、ヨーロッパの大手デジタル企業、広告会社、PR代理店、媒体社など）は、Cookie法に対して同規則は人々の役には立たず、利用者の利便性を損ね、非生産的であると主張しています。
・データ主導型広告の収益を制限することで高品質なジャーナリズムが減り、優良な情報源が減少、インターネット上の意見の多様性が損なわれる。
・データ主導型広告の収益に依存する利便性の高いアプリのビジネスモデルが崩壊する。
・同規則は、デバイスの一つ一つ、ブラウザーの一つ一つ、Webサイトの一つ一つで消費者がプライバシー設定を管理するように強いるもので、消費者を助けるというより混乱をもたらす。
・Webサイトはデータ主導型広告による収益が見込めなくなるため、利用できる無料コンテンツが大幅に減る。
これを受けて、欧州議会は2017年10月23日に提出したCookie法の修正案をより厳しいものへと変更しました。具体的な規則の内容の決定はまだ少し先になりますが、事態の動きに今後も注意が必要です。
参照): KASPERSKY lab「eプライバシーをめぐる戦い」
まとめ
今後の動きとして、そもそもブラウザに「Cookieの付与を受けない」というデフォルト設定を設けようという話もあります。しかしながら、具体的な施策内容が決まっていないことから、Google、Facebookはじめ各プレイヤーも対応は決めかねています。日本国内においても施行が決まってから、対応を検討するのではなく、今後の動向に注意しながら、「Cookieが使えなくなった場合」を想定して、サービス改善・開発に努める必要がありそうです。
