同意モードとCookieの扱い：日本の小さな会社に何が必要か

GA4やGoogle広告のタグを入れていると、「同意モード」「Cookieバナー」「外部送信規律」がセットで出てきて、どこまでやればよいのか分からなくなります。同意モードはGoogleのタグの仕組み、Cookieバナーは同意を取る画面、外部送信規律は日本の電気通信事業法のルールで、出どころが別です。読み終わると、自分の会社のサイトに同意モードとバナーが要るかを判断でき、要らない場合もプライバシーポリシーに何を書くかが分かります。前提は、Googleアナリティクス4（GA4）とGoogleタグマネージャー（GTM）がサイトに入っている状態です。法律の話は総務省と個人情報保護委員会の公表資料をもとにしていますが、個別の判断は専門家に確かめてください。

例は、スタッフ6名ほどの予約制の料理教室「サンプル料理教室」のサイト sample-cooking.example（WordPress）です。体験レッスン申込フォームとサンクスページ /thanks/、電話のボタン、LINEの友だち追加ボタン、Instagramへのリンクがあり、通常レッスンの予約は外部の reserve.example です。GTMの中にはGA4のGoogleタグ、Google広告のコンバージョンタグ、Meta ピクセルが入っています。

この記事の内容

1. 先に決めること
2. 一覧の表
3. 外部送信規律で求められること
4. プライバシーポリシーに書くこと
5. Cookieバナーを入れるか
6. GTMで同意モードを入れる手順
7. 応用
8. できないことと、その代わり
9. よく詰まるところ
10. 次にやること

先に決めること

触る前に次の4つを決めます。飛ばして先にバナーを入れると、要らないバナーで数字だけ減ります。

1つ目は、ヨーロッパから来る人を相手にしているかです。Googleの「EU ユーザーの同意ポリシー」の対象は、欧州経済領域（EEA）・英国・スイスのエンドユーザーです。サンプル料理教室は日本語のサイトで、ヨーロッパ向けの広告も申込の仕組みもないので、このポリシーのための同意取得は対象の外と考えます。英語のレッスンを始めるなら変わります。

2つ目は、電気通信事業法の外部送信規律の対象になるかです。総務省の解説では、企業のホームページや来店予約のページは電気通信事業に当たらず対象外とされています。会員同士の掲示板や、情報を広く配信するサービスのページがあると、そのページは対象になりえます。

3つ目は、対象でなくても送っている情報を公表するかです。どのタグがどこに何を送っているかをプライバシーポリシーに書くのは手間が小さく、問い合わせを受けたときの説明も楽になります。サンプル料理教室では自主的に載せます。

4つ目は、Cookieバナーを入れるかです。入れると拒否した人の分はGA4のレポートにほぼ入らなくなるので、法律上の必要がなくヨーロッパ向けでもないなら入れない判断が多くなります。

一覧の表

同意モード・バナー・外部送信規律・プライバシーポリシーの違い

名前	何か	決めている人	サンプル料理教室で要るか
同意モード	訪問者の同意の状態をGoogleのタグに伝え、タグの動き方を変える仕組み	Google	今は要らない。ヨーロッパ向けを始めたら入れる
Cookieバナー（同意管理ツール）	訪問者に同意するかどうかを聞く画面と、その記録	サイトの運営者（ツールは各社）	今は入れない
EU ユーザーの同意ポリシー	EEA・英国・スイスのユーザーの同意を求めるGoogleのポリシー	Google	ヨーロッパ向けでなければ対象外
外部送信規律	タグで外部に送る情報の内容・送信先・目的を利用者が確認できるようにするルール	総務省	企業のホームページは対象外。自主的に公表する
プライバシーポリシー	上の全部をまとめて訪問者に見せるページ	サイトの運営者	要る。GA4の利用規約でも求められている

同意モードの同意タイプ

Google タグ プラットフォームの開発者ドキュメントに載っている同意タイプです。値はそれぞれ granted（許可）か denied（拒否）のどちらかになります。

同意タイプ	何についての同意か	拒否されたときの動き
ad_storage	広告に関するCookieやデバイスの識別子の保存	広告のCookieや識別子を書き込まず、読み取りもしない
ad_user_data	広告の目的でユーザーのデータをGoogleに送ること	広告の目的でのユーザーデータの送信をしない
ad_personalization	パーソナライズド広告	パーソナライズド広告に使わない
analytics_storage	分析に関する情報（滞在時間など）の保存	分析用のファーストパーティCookieを読み書きせず、Cookieを使わないping（通信）を送る

このほかに、サイトの機能の functionality_storage、おすすめ表示などの personalization_storage、認証や不正防止の security_storage があります。GA4とGoogle広告に関係するのは表の4つです。同意モードでは、ad_storage と analytics_storage に加えて ad_user_data と ad_personalization も送る必要があります。「同意モード v2」と呼ばれるのは、この2つが加わった形です。

基本の同意モードと詳細の同意モード

項目	基本	詳細
Googleタグが読み込まれるとき	訪問者がバナーを操作するまで読み込まない	サイトを開いた時点で読み込む
同意する前に送るもの	何も送らない	Cookieを使わない計測（ping）を送る
拒否されたとき	同意の状態も含めて何も送らない	Cookieを使わない計測を送り続ける
同意されたとき	通常どおり全部送る	通常どおり全部送る
Google広告のコンバージョンのモデリング	一般的なモデルで推定する	その広告主のデータをもとにしたモデルで推定する
向く場面	同意前には一切送らないと決めている会社	同意前のCookieなしの計測を社内の方針で認めている会社

どちらにするかは、同意前にCookieなしの通信をGoogleへ送ってよいかの社内の判断で決まります。詳細を選んでも、拒否した人の分がGA4のレポートに出るわけではありません（後の「Cookieバナーを入れると数字が減る理由」）。

外部送信規律で求められること

対象になる事業者

外部送信規律は、2022年6月の電気通信事業法の改正で設けられ、2023年6月16日から適用されています。総務省の外部送信規律FAQでは、従う必要があるのは「電気通信事業を営む者」のうち、「利用者の利益に及ぼす影響が少なくない電気通信役務」をブラウザやアプリで提供している事業者だとされています。その役務は次の4種類です。

• 利用者間のメッセージの媒介（メール、ダイレクトメッセージ、宛先を指定したウェブ会議など）
• SNS、電子掲示板、動画共有、オンラインショッピングモールなど
• オンライン検索サービス
• ニュース配信、気象情報、動画配信、地図など各種情報のオンライン提供

FAQには対象外の例も書かれています。小売業者が自社サイトで商品を売る、サービスの案内ページ、来店予約のページは対象外です。同じサイトでもニュース配信のページは対象、会社案内のページは対象外と、ページごとに分ける例も示されています。サンプル料理教室のレッスン紹介・料金・申込・アクセスは、自社の情報発信と申込の受付なので対象外に入ります。

迷うのはブログです。教室の宣伝としてレシピを載せる範囲なら会社のホームページの一部と考えるのが自然ですが、料理情報サイトとして広く配信する、会員が投稿し合う、というところまで行くと別のサービスと見られる余地があります。境目にあるときは総務省の「電気通信事業参入マニュアル」とそのガイドブックを読み、必要なら総務省の窓口や専門家に確かめます。なお、FAQでは「Cookieを使っていないから対象外」とはならないとも書かれています。

対象になったときにやること

対象になる場合は、通知（ポップアップなどでその場で知らせる）、公表（利用者が容易に知り得る状態に置く）、同意の取得、オプトアウト（送信や利用を止める手段）のどれかを行います。いちばん多いのは公表で、書く事項は次の3つです。

書く事項	サンプル料理教室で書く例
送信される利用者の情報の内容	閲覧したページのURL、閲覧した日時、Cookieに保存されたID、ブラウザや端末の種類
その情報を取り扱う者の氏名または名称	Google LLC、Meta Platforms, Inc.
その情報の利用目的	サイトの利用状況の分析、広告の効果の測定と配信

書き方は、日本語で、専門用語を使わず平易に、拡大しなくても読める文字で、外部送信をするページかそこから容易にたどり着けるページに載せる、と決まっています。FAQでは、遷移先に外部送信の事項があると分かる形でリンクを置けば「容易に到達できるウェブページ」に当たるとされています。フッターに「プライバシーポリシー（外部送信を含む）」のリンクを置くのが分かりやすい形です。

利用目的は、送信先の会社が公表しているページへのリンクで示すこともでき、FAQでは概略も添えるのが望ましいとされています。Googleは外部送信規律向けのページ（business.safety.google の「tba-jp」）を公開していて、Google アナリティクスの利用目的は「利用者による閲覧の傾向や履歴の分析のため」と書かれています。

個人情報保護法との関係

個人情報保護委員会のQ&Aでは、Cookieなどの端末識別子は、個人情報に当たらない場合でも通常は「個人関連情報」に当たるとされています。また、サイトに他社のタグを置いてその会社が直接閲覧履歴を受け取る形は、運営者がその閲覧履歴を扱っていなければ運営者が「提供」したことにはならない、と説明されています。タグを置くだけで第三者提供の同意を確かめる義務が生じるわけではありません。一方で、GA4の利用規約は、Googleが個人を特定できる情報として使える情報をGA4に送ることを禁じています。サンクスページのURLにメールアドレスが付いたままになっていないかは必ず確かめます。

プライバシーポリシーに書くこと

GA4の利用規約が求めていること

Google アナリティクスの利用規約（日本語版）のプライバシーの条項には、プライバシーポリシーを公開し、Cookieなどの識別子を使っていること、Google アナリティクスを使っていることとデータの収集・処理の仕組みを開示すること、と書かれています。開示の方法として、Googleの「Google のサービスを使用するサイトやアプリから収集した情報の Google による使用」のページへのリンクを目立つ場所に置く方法が示されています。外部送信規律の対象かどうかに関係なく、GA4を使っているならこの開示は要ります。

書く項目

サンプル料理教室のプライバシーポリシーには、次の項目を入れます。

項目	書く内容
事業者の名前と連絡先	サンプル料理教室の運営者名、住所、問い合わせ先
フォームで受け取る情報と利用目的	名前・メールアドレス・電話番号・希望日。体験レッスンの日程調整と連絡のため
アクセス解析ツール	Google アナリティクスを使っていること。Cookieを使って閲覧の情報を集めていること。個人を特定する情報は送っていないこと
広告のタグ	Google広告とMeta広告の効果測定のためにタグを使っていること
外部送信の一覧	送信先の会社・サービス名・送る情報・目的を表にする
オプトアウトの方法	Google アナリティクス オプトアウト アドオン、Googleの「広告設定」、Metaの案内ページ
改定の履歴	いつ何を変えたか

外部送信の一覧の書き方

外部送信の一覧は、GTMの「タグ」の一覧にあるタグを1つずつ書き出して作ります。

送信先	サービス	送る情報	目的
Google LLC	Google アナリティクス	閲覧したページのURL・日時・参照元、Cookieに保存されたID、端末とブラウザの種類	サイトの利用状況の分析
Google LLC	Google 広告	広告をクリックしたことを示す情報、申込が完了したこと、Cookieに保存されたID	広告の効果の測定と配信
Meta Platforms, Inc.	Meta ピクセル	閲覧したページのURL・日時、申込が完了したこと、Cookieに保存されたID	広告の効果の測定と配信
LINEヤフー株式会社	LINEのタグ	閲覧したページのURL・日時、申込が完了したこと、Cookieに保存されたID	広告の効果の測定と配信

GA4イベントのタグはGoogle アナリティクスの行にまとめ、種類が「カスタム HTML」の Meta とLINEのタグは中のコードの送信先で行を分けます。LINEの友だち追加ボタンとInstagramへのリンクは、ただのリンクなら一覧に入れません。reserve.example の中のタグは予約システムの会社のポリシーを案内します。

オプトアウトの方法

Googleのページでは、ブラウザでGoogle アナリティクスが使われないようにしたい人向けに「Google アナリティクス オプトアウト アドオン」が案内されています。このアドオンは analytics.js と gtag.js によるデータの使用を無効にするもので、Chrome・Firefox・Safari・Edgeで使えます。広告の表示を管理する方法としては、Googleの「広告設定」が案内されています。プライバシーポリシーには、この2つのページの名前と場所を書きます。

WordPressには、プライバシーポリシーのページを作る機能があります。

1. WordPressの管理画面で「設定」→「プライバシー」を開く
2. 「新しいページを作成」を押すか、既存のページを選んで「このページを使う」を押す
3. ひな形のページが開くので、上の項目に書き換えて「公開」を押す
4. フッターにプライバシーポリシーへのリンクが出ているかを、スマートフォンとパソコンの両方で確かめる

WordPressの公式ドキュメントでは、ひな形は手助けにすぎず、内容を最新に保つのも、各ページにリンクを置くのもサイトの責任だとされています。テーマによってはフッターにリンクが出ないので、そのときは制作会社に依頼します。

Cookieバナーを入れるか

判断の目安

サイトの状況	判断
国内向けの会社のホームページ	バナーは入れない。プライバシーポリシーで公表する
外部送信規律の対象のページがある	公表で足りるか確かめる。同意取得を選ぶならバナー
ヨーロッパ向けに広告を出す・予約を受ける	CMPと同意モードを入れ、対象地域だけ拒否から始める
取引先の方針で同意前に計測しないと決まっている	基本の同意モードとバナーを入れる
念のため入れたい	先に、数字がどれだけ減ってよいかを決める

外部送信規律の対象でも、方法は通知・公表・同意取得・オプトアウトのどれかで、同意が必須とは書かれていません。同意を取るなら、チェックボックスにあらかじめチェックを入れておく方法はとらないよう注意されています。

Cookieバナーを入れると数字が減る理由

バナーで拒否した人の分は、GA4のレポートにほぼ入らなくなります。理由は同意モードの種類で少し違います。

基本の同意モードでは、拒否した人のブラウザではGoogleタグが読み込まれず、Googleに何も届きません。GA4から見ると、その人は来なかったのと同じです。

詳細の同意モードでは、拒否した人のブラウザからもCookieを使わない通信が届きます。GA4にはこれを使って拒否した人の行動を推定する「行動モデリング」がありますが、使えるのは、拒否された状態のイベントが1日1,000件以上ある日が7日以上、同意したユーザーが1日1,000人以上いる日が過去28日のうち7日以上あるプロパティだけです。サンプル料理教室のような規模では届かないので、詳細を選んでも、拒否した人の分はレポートに入らないと考えます。

減り方はバナーの作りと来る人の層で大きく変わり、公式の目安はありません。実際に運用していると、同じ業種でも同意率はサイトごとにかなり違います。入れるなら次の準備をしておきます。

• 入れた日を記録し、前後の月を同じ物差しで比べない
• 同意管理ツールの同意率を毎月見て、GA4の数字と一緒に代表へ報告する
• 体験申込の件数は、受付の手元の件数（フォームの通知メール）を正にする
• Google広告の自動入札が反応するので、広告の担当に入れる日を伝える

GA4の数字と手元の件数がもともと合わない理由は「ユーザー・セッション・イベント数の違い：GA4の数字が合わない理由」に書いています。

GTMで同意モードを入れる手順

ヨーロッパ向けの広告を始めた、取引先の方針で必要になった、という場面の手順です。同意管理ツール（CMP。バナーを出して同意を記録するツール）は、GTMのコミュニティ テンプレート ギャラリーにテンプレートがあるか、日本語のバナーを作れるか、同意の記録が残るかで選びます。

入れる前の準備

1. 対象にする地域を決める。ヨーロッパ向けなら、EU加盟27か国とアイスランド・リヒテンシュタイン・ノルウェー（ここまでがEEA）、英国、スイス
2. 基本と詳細のどちらにするかを社内で決める
3. 対象地域とそれ以外で、初期値（デフォルト）をどうするかを決める。対象地域はすべて denied、それ以外は granted にするのが、日本向けのサイトでは扱いやすい
4. GTMで新しいワークスペースを作り、作業をそこに分ける

CMPのテンプレートと同意の初期化

1. GTMの「管理」→「コンテナの設定」を開き、「追加の設定」の「同意の概要を有効にする」にチェックを入れて「保存」を押す
2. 「タグ」→「新規」→「タグの設定」を押し、「タグの設定」の画面からコミュニティ テンプレート ギャラリーを開き、使うCMPのテンプレートを追加する（ボタンの表記は画面で確かめる）
3. テンプレートの設定欄で、CMPの管理画面で発行されたIDを入れる
4. 地域ごとの初期値を入れる。対象地域の行で4つの同意タイプを denied にし、国コードをカンマ区切りで入れる
5. 「待機時間」（wait_for_update）に 500 を入れる。非同期の処理が要る場合は500ミリ秒以上と開発者ドキュメントにある
6. トリガーに「同意の初期化 – すべてのページ」を選んで保存する

同意の初期化のトリガーはページビュー系でいちばん早く動くので、初期化トリガー（Initialization – All Pages）に置いたGoogleタグより先に初期値が決まります。

Googleのタグとそれ以外のタグの同意設定

1. 「タグ」の画面で「同意の概要」のアイコンを押す（コンテナの設定で有効にすると出る）
2. GA4とGoogle広告のタグに、組み込みの同意チェック（ad_storage、analytics_storage など）が付いていることを確かめる
3. 詳細にするなら、Googleのタグは「追加同意は不要」のままにする
4. 基本にするなら、Googleのタグに「タグの配信時に追加同意が必要」を選び、GA4は analytics_storage、Google広告は ad_storage を指定する
5. Meta ピクセルなど他社のタグは「タグの配信時に追加同意が必要」で ad_storage を指定する
6. 「保存」を押す

Meta ピクセルには、ピクセルの初期化より前に毎ページで fbq('consent', 'revoke') を呼び、同意後に fbq('consent', 'grant') を呼ぶMeta自身の仕組みもあります。GTMの追加の同意チェックとどちらかに揃えないと、どちらで止まっているのか分からなくなります。

Tag Assistantで確かめる

1. GTMの「プレビュー」を押し、Tag Assistantに sample-cooking.example を入れて接続する
2. バナーを操作しないまま、「Summary」でいちばん古い「同意」のイベントを選ぶ
3. 「Consent」のタブの「On-page Default」の列に、4つの初期値が入っているかを見る
4. バナーで同意し、新しい「同意」のイベントの「On-page Update」が granted になったかを見る
5. 「Tags」のタブで、Meta のタグが同意の後だけ配信されたか見る
6. Cookieを消して開き直し、拒否して denied への更新が届くかを見る
7. 地域ごとに初期値を変えているなら、Chromeの位置情報の設定で地域を指定して同じ確認をする
8. 問題なければ「公開」を押す

GTMを使わないサイトの場合

Googleタグを直接貼っているサイトでは、スニペットより前に初期値を置きます。ヨーロッパの国だけ拒否から始め、それ以外は許可にする例です。

<script>
  window.dataLayer = window.dataLayer || [];
  function gtag(){dataLayer.push(arguments);}
  // EEA・英国・スイスは拒否から始める
  gtag('consent', 'default', {
    'ad_storage': 'denied',
    'ad_user_data': 'denied',
    'ad_personalization': 'denied',
    'analytics_storage': 'denied',
    'region': ['AT','BE','BG','HR','CY','CZ','DK','EE','FI','FR','DE','GR','HU','IE','IT','LV','LT','LU','MT','NL','PL','PT','RO','SK','SI','ES','SE','IS','LI','NO','GB','CH'],
    'wait_for_update': 500
  });
  // それ以外の地域は許可
  gtag('consent', 'default', {
    'ad_storage': 'granted',
    'ad_user_data': 'granted',
    'ad_personalization': 'granted',
    'analytics_storage': 'granted'
  });
</script>
<script async src="https://www.googletagmanager.com/gtag/js?id=G-XXXXXXXXXX"></script>
<script>
  gtag('js', new Date());
  gtag('config', 'G-XXXXXXXXXX');
</script>

地域を指定しない初期値は、ほかで指定されていないすべての訪問者に使われ、複数の指定があると範囲の狭い地域が優先されます。同意されたら、バナーの側から gtag('consent', 'update', {...}) で4つを granted にした更新を送ります。GTMの中ではこの gtag の更新を使わず、テンプレートの updateConsentState を使います。開発者ドキュメントによると、gtag のコマンドは後回しに処理され、次のイベントまでに反映されないことがあるからです。カスタムHTMLのタグで同意のコマンドを呼ぶのも推奨されていません。

応用

広告のクリック情報を残さない設定

同意モードには追加の設定が2つあります。ads_data_redaction を true にすると、ad_storage が拒否されているとき、Google広告とFloodlightのタグが送信する広告のクリックIDが伏せられます（許可のときは影響しません）。url_passthrough を true にすると、Cookieが使えない状態でも広告のクリック情報（gclid・dclid・gclsrc・_gl・wbraid）をURLのパラメータで次のページへ引き継げます。url_passthrough は config コマンドより前に設定します。日本向けだけなら触らなくて構いません。

外部送信の一覧を最新に保つ

外部送信の一覧は、タグを足したときに古くなります。他社のタグを足すときは公開の前にプライバシーポリシーの表に行を足す、という順番を決まりにし、GTMの公開権限を渡している代理店にも同じ約束をしてもらいます。

2026年のGoogleシグナルの変更

公式ヘルプの「Google アナリティクスのデータ管理の更新」によると、2026年6月15日以降、Google広告で使うCookieやIDの収集はGoogleシグナルではなく同意モードの設定で決まるようになり、広告のパーソナライズも2026年中に ad_personalization へ移ると案内されています（2026年10月時点）。日本向けのサイトでも、Google広告の管理画面に出る同意モードの案内は読み飛ばさずに確かめます。

できないことと、その代わり

できないこと	代わりの手
拒否した人の行動を小さなサイトで推定する	行動モデリングの条件に届かない。同意率を記録し、申込は手元の件数を正にする
外部送信規律の対象かをこの記事だけで確定する	総務省のフローチャートとマニュアルを読み、境目なら専門家に確かめる
CMPなしでGTMだけで同意の記録を残す	同意の画面と記録はCMPの役割
reserve.example の中のタグを止める	予約システムの会社のポリシーを案内する
同意モードを入れれば法律の対応が終わる	同意モードはタグの動き方を変える仕組みで、公表やプライバシーポリシーの代わりにはならない

よく詰まるところ

症状	原因	直し方
Tag Assistantの「On-page Default」が空のまま	CMPのタグが「同意の初期化 – すべてのページ」で動いていない、または4つの同意タイプの初期値が入っていない	CMPのタグのトリガーを同意の初期化にし、4つ全部に初期値を入れる
初期値より先にGoogleタグが動いている	直書きのサイトで gtag('consent', 'default', ...) がGoogleタグのスニペットより後にある。非同期で読み込んでいる	初期値のコードを <head> のGoogleタグより前に置く
同意を押しても計測が始まらない	更新（update）を送る仕組みがない、またはカスタムHTMLから gtag で送っている	CMPのテンプレートに任せる。自作なら updateConsentState を使う
拒否しても Meta ピクセルが動く	Meta ピクセルに「タグの配信時に追加同意が必要」を付けていない	ad_storage の追加の同意チェックを付ける
Tag Assistantが「Could not connect」になる	基本の同意モードや広告ブロックで、GTMやGoogleタグの読み込みが止まっている	先にバナーで同意してから接続し直す。広告ブロックの拡張機能を止める
DebugViewに自分の操作が出ない	バナーで同意していない	同意してから試す
バナーを入れた月から申込のキーイベントが減った	拒否した人の分がレポートに入らない	手元の申込件数と比べ、集客の問題と分ける。同意率と一緒に報告する
日本からの確認では全部 granted で、ヨーロッパの設定が試せない	地域ごとの初期値は訪問者の地域で決まる	Chromeの位置情報の設定で地域を指定して確かめる
サンクスページのURLにメールアドレスが入っている	フォームの設定で入力値をURLのパラメータに付けている	制作会社にパラメータを外してもらう。GA4に個人を特定できる情報を送らない
外部送信の一覧と実際のタグが合わない	代理店がタグを足したのに一覧を直していない	GTMのタグの一覧と表を突き合わせる
同意を取り消しても止まらない	拒否（denied）への更新を送れていない	バナーの「拒否」や設定の変更で denied が届くかをTag Assistantで見る

次にやること

GTMにタグを足せる人の整理は「GA4・GTMの権限：制作会社・広告代理店に渡すとき、辞めた人を外すとき」、広告のタグの置き方は「GTMで広告のタグを入れる：Google広告のコンバージョンタグとMeta ピクセル」に書いています。バナーを入れた後の数字のずれは「ユーザー・セッション・イベント数の違い：GA4の数字が合わない理由」、タグとトリガーの基本は「GTM（Googleタグマネージャー）とは：タグを直接貼るのと何が違うか」にあります。