サイトを開くたびに出てくる「Cookieを許可しますか？」というポップアップ、よく見かけるようになりました（うちのサイトでも表示されていますが）
内容をよく読まないまま、とりあえず「同意する」を押してしまう。
多くの方が、一度は経験していると思います。

実はこの「同意疲れ」、世界のプライバシー規制を作っている側もかなり自覚しています。少し気になったので調べてみたところ、ここ1〜2年で、規制の方向性そのものが静かに変わり始めているようです。

「とりあえず全部同意を取る」への反省
見えてくるのは「広告目的か、計測目的か」という線引き
じゃあ日本ではどうなっているの？
QA ZEROならフランスでも使えます（…しつこい）

「とりあえず全部同意を取る」への反省

これまでの流れはシンプルでした。
「利用者のデータを使うなら、まず同意を取る」。
EUのGDPR以降、世界中がこの一律オプトイン方式を広げてきました。

これがうっとうしいCookie同意バナーの氾濫を生んだのも事実です。しかも内容をよく読まずに「同意する」を押すか、コンテンツが見れる状態ならそのまま放っておく人がほとんど、という本末転倒な状態になっていました。

そこで各国が動き始めています。
方向性はほぼ共通していて、「一律に同意を求める」のではなく、「何のために使うか」で線引きするというものです。

EU・米国・英国 ―「低リスクなら同意不要」へ

EU

2025年11月、「デジタル・オムニバス法案」が提案されました。統計やセキュリティ目的などリスクの低い用途は、同意不要にする方向で議論が進んでいます。

米国

カリフォルニア州のCCPA改正規則（2025年9月）では、事業者に「オプトアウト・プリファレンス・シグナル」の設置が義務付けられます（施行は2027年1月1日）。「同意を求める」から「拒否しやすくする」への転換がされました。

英国

2025年6月に成立した「データ（使用・アクセス）法」で、統計や機能改善などの低リスクなCookieは同意不要と明確化されました。

3地域とも方向は同じです。
「一律オプトイン」の反省から、「何のために使うのかという目的で線引きする」方向へ進んでいます。

韓国 ― 法律は厳しいのにCookie同意バナーをほとんど見かけない

韓国の個人情報保護法（PIPA）は、2023年改正で「目的によって同意の重さを変える」二層構造になりました。

純粋な統計解析やログイン維持などは、「目的の公表＋オプトアウト手段の提供」で足りる
広告ターゲティングやプロファイリングには、事前の個別同意（オプトイン）が必須

違反時の課徴金は売上高最大3%とかなり重い部類です。

ところが、実際に韓国のサイトを見るとCookie同意バナーをほとんど見かけません。
海外の学術調査（arXiv:2604.18633、Yu, Yin, Zimmeck「Global Web, Local Privacy? An International Review of Web Tracking」2026年4月）によると、韓国の国内向け上位525サイトでバナーを表示しているのはわずか1.8%。
同じ調査でドイツ・スペインの上位サイトは7割超がバナーを表示しているので桁が違います。

理由は法律の緩さではなく、実務の作り方にあるようです。
Naver・KakaoTalkなど主要サービスは、会員登録やログイン時の規約でまとめて同意を取っています。しかもWebよりアプリ経由の利用が主流で、広告もGoogle・Metaではなく自社の仕組みで完結しがち。
そもそも「外部にデータを渡す場面」自体が少ない、という構造のようです。

例外は外資ブランドの韓国法人サイトや、海外顧客も見込む越境EC・英字メディア、会員機能を持たずGoogle・Meta広告に頼るD2Cサイトなど。
こうしたサイトは今もバナーを表示しているとされています。

「同じ厳しい法律でも、ビジネスモデル次第でバナーの要不要が変わる」
これも、目的別に線引きするという今回のテーマの一例と言えそうです。

フランス ― 広告をやめて計測だけ残すもあり

一番わかりやすい実例がフランスでした。

もともと同意まわりの規制がかなり厳格な国でしたが、監督機関のCNILには、統計目的のアクセス解析に限定すれば、事前同意を簡略化してCookieバナー自体を免除できるという基準があります。

条件はおおむね次の4つとされています。

目的がサイトのパフォーマンス測定・統計作成に限定されている
収集データを他のデータや第三者と照合・共有しない
IPアドレスを完全に匿名化する
分かりやすく伝え、簡単にオプトアウトできる手段を用意する

ここで面白いのが、「解析ツールなら何でもいい」わけではないという点です。

CNILは、Googleアナリティクス（GA4）はどう設定を変えてもこの免除条件を満たさないと判断しているとされています。データがGoogle側に送られ米国への移転も伴うため、というのが理由です。
免除の対象になるのは、MatomoやPiwik PROのような、データを自社側で管理できるプライバシー配慮型ツールに限られるようです。

（※QA ZEROも問題なく条件クリアできるので入れてください・・・フランスのえらい人お願いします…）

この結果、フランスのコーポレートサイトでは、こんな動きが出てきているそうです。

広告を全部やめる（特にMetaやGoogleの広告）
そのうえで計測については、GA4ではなく、オンプレミス型のMatomoなどに乗り換えてCookieバナーを簡略化する

もちろん全企業がここまで踏み切っているわけではありません。
広告やリターゲティングが事業の核になっているECサイトやメディアは、免除要件を満たせず同意バナー必須のまま。
広告に依存しないBtoBのコーポレートサイトや官公庁サイトほど、こうした「広告をやめて計測だけ残す」選択をしやすい、という二極化が進んでいるようです。