Cookie対策

最近、よく見かけるこのCookieの同意。既に導入されている企業もあったり、今後自社サイトにも必要なのではと課題に感じている運営者さんも多いと思います。 しかし、このCookieの同意機能を導入したところ、GA4のアクセス数が70%も激減したなどの話も聞こえてくるようになりました。 このCookieの同意、いったい今後アクセス解析にどのような影響を及ぼすのでしょうか？ なぜCookie同意ツールを導入するとGA4のアクセス数が減るのか？ Cookie同意ツールは裏で何をしているのか？ 多くのメーカーがCookie同意ツールを出しています。イメージがない方に、ざっくりWordPressのメジャーなプラグインであるCookieYesの画面を使ってご説明します。 CookieYesの「Cookie マネージャー」の画面 見て貰うとわかるのですが、左側に必須(Necessary)とか分析（Analytics）などのカテゴリがあり、右側に、そのカテゴリに属するCookieを登録していく仕組みになっています。つまりCookie同意ツールは、ユーザーが同意しなかったCookieを利用するサービスに対し、タグの配信の停止やCookieの削除を行います。 Cookieの同意ツールを入れると、GA4は必ず影響をうける Cookie同意ツールでGA4を対象にすると、必ずGA4は影響をうけます。その理由は両ツールの仕様のためです。以下に場合わけして記載します。 Cookie拒否時のツール設定GA4の動きGA4レポートへの影響ページ遷移の都度GA4のCookieを削除する全ページでCookieを新しく発行する全ページを新規ユーザーのランディングページとしてカウントする。ユーザー数が増えるGA4のCookieをブロックするCookieが発行できないと計測をしないアクセスが記録されない※Cookieレスで記録するには高度なサーバーサイド設定が必須GA4のタグ配信を停止（or ソースから削除）するタグ配信がないので計測をしないアクセスが記録されないJavaScriptでGA4の同意モードを有効化するユーザー情報を送らず特別なpingアクセスを記録するユーザー情報を保存せず、機械学習で推測した値をレポートに表示するCookie同意ツールの設定とGA4の動き どの手法を選んでも、今まで通りにデータを記録できる方法がないことがわかると思います。これがCookieの同意ツールを入れると最悪70%（多くのユーザーはトラッキングを拒否します）のアクセス数が減ってしまう理由です。まぁもともとユーザーが拒否しているので、データを取得できなくなるのは仕方がありません。 ユーザーが拒否した時、Googleはサーバーサイド設定か、同意モードの活用を推奨しています。どちらも高度なプログラム実装が必要ですが、特にサーバーサイド設定はウェブサーバー側の実装が必須でコストがかかりすぎるので、今回は同意モードをご紹介します。 GoogleTagManager(GTM)の同意モードの登場 同意モードは現状GA4の設定ではなくGoogleTagManagerの設定になります。この機能は「ユーザーの同意に基づいて、タグの配信を様々にコントロールする仕組み」です。もちろんGA4のタグ配信も対象になっていますし、Google広告のタグなども対象になっています。 同意モードを使うと、Cookieを利用せず、pingアクセスを記録する この同意モードを利用すると、ユーザーがアナリティクスのCookieを拒否した場合でも、Cookieを利用せずpingアクセスをGA4に記録することができます。しかし当然個人につながる情報を一切もたず、機械学習による推測値が表示されます。 同意モードについては、NRIさんから詳細な検証記事が出ていますので、ぜひこちらをご覧ください。 https://tech.nri-net.com/entry/ga4_using_google_consent_mode Googleも認める同意モード実装の難しさ 同意モードの利用の仕方をざっくり手順でお伝えします。Google公式ヘルプページにリンクしてます。 全ページにJavaScriptプログラミングを実装（同意ツールの情報をGTMに送信する設定） GTMを設定する コンテナの同意モードを有効化する GA4タグで同意モードの設定ができるようになるので、適切な同意を設定 GA4を設定する レポート用識別子を「混合型」に設定する なんか難しそう、と感じた人も多いと思いますが、リンクを張った上記Googleの公式ヘルプにも同意モードは「高度な実装」と書いてあります。かつ、このGTMの同意モードはまだまだ登場したばかりで、利用条件も厳しく、機能も不十分です。また実装も高度な知識とプログラミングができないと難しい、つまりコストがかかるでしょう。ますますGA4がエンジニア向けツールになったと感じます。 現状であれば、私は「Cookieの同意ツールが本当に必要なら、どう対応するのが最もコストが安いのか？」について考えた方がよいと思っています。 ポストCookie時代のアクセス解析 結局のところ、GA4はエンジニア向けツールであり、Cookieの同意が必要になってくると、ますます高度な実装が求められます。ではCookieの同意が今後必要かというと、今のプライバシー保護の流れではおそらく必須になるでしょう。 それではユーザーの同意が必須になった場合、対策としては何があるのでしょうか？これはシンプルな三択です。 同意されなかったんだから取れなくても良いと考える／同意してもらいやすくする 推測値でよいのでGA4にコストをかけて実装する 別のツールも併用する 1番は現実的で、私はこれでいいのではないかと思っています。国内においてCookieの同意バナーが一般普及するのはもう少し先だと思いますし、サイト改善を行う場合も、傾向値でわかることも多いです。 ただ、さすがに70%のデータが失われるとなると無視できないサイトもあると思うので、その場合は2番か3番の選択になります。意外と盲点なのが3番です。 どのようなアクセス解析ツールであればユーザーに許されるのか？ GA4はさすがビッグテック企業だけあって、EU圏に制裁をされないガチガチの仕様になっています。ここで改めて個人情報保護の目的を考えると、「個人を特定するな」「第三者にデータを渡すな」「透明性を担保しろ」というのがルールになります。したがって以下のツールであればユーザーのプライバシーを確保しやすく、そもそもの問題を回避できる可能性があります。 絶対に個人を特定できないCookieを利用しているツール Cookieを使用せずサーバー側でアクセス計測できるツール データを第三者に渡さないツール 順番にご説明します。 1.個人を特定できないCookieを利用しているツール 根本解決にはなりづらいですが、特に裏側のデータ処理が明確なソフトウェアであれば、企業判断でユーザーの同意は不要と考えられる可能性があります。 まず利用しているツールのCookieに保存する値が匿名のハッシュ値（暗号みたいなもの）であれば、その情報が流出しただけでは、個人を特定することは不可能です。従って、このCookieが個人情報にあたるのか？の解釈はそれぞれのサイト運営者に委ねられます。 この匿名のハッシュ値が個人情報にあたると考えられるのは、他の情報を組み合わせた時です。例えば、Cookieの保存期間が二年間だとして、その二年間の間のアクセスを保存した時、その端末が二年間の間のいつ何時にどうアクセスしていたかがわかります。その値を組み合わせていくと、個人が特定できてしまう場合は、個人情報の対象とみなされます。 逆にいえばどう組み合わせても個人を特定できないと判断できるCookieであれば、プライバシー関連の法律とは無関係となる可能性が高いので、ユーザー同意も不要と考えられます。 2.Cookieを使用せずサーバー側でアクセス計測できるツール こちらはよりエレガントです。 たとえばサーバーログによる解析にユーザー同意は不要ですし、GA4のサーバーサイドトラッキングもこのパターンです。QA ZEROもCookie不要でサーバー側でデータを記録することができますので、この実装を自動判別で行う予定です。 Cookieを利用しないのでユーザー端末を継続的に記録していくような分析はできませんが、実際のアクセスデータは取得できます。またそれこそが法律の求めること（ユーザーを特定した分析をしないこと）といえます。 3.データを第三者に渡さないツール GA4やMicrosoft ClarityなどSaas型のアクセス解析ツールは外部、第三者に渡るのでダメなのですが、自社ウェブサービスの必要なサービスの一貫としてしてクッキーを利用する場合、クッキー規制の考え方は変わってきます（※）。 たとえばAmazonの「この本もオススメです」のようなリコメンドシステムは、アクセス解析の側面もありながら、利便性向上の用途も大きいと考えられます。この用途においてユーザーがCookie利用の同意をこばむケースは稀でしょう。自社でコントロールすれば、ユーザーにアクセス解析以上の価値を提供できる可能性もあがります。 ※詳しくは法律の専門家にご相談ください。 QA ZEROはどうなっているの？ QA ZEROは先に挙げた3つの条件をすべて満たすことができます。特に自社解析サーバーかつサービス向上に使えるという目的においては、世界中を探してもQA ZERO以外にあまり選択肢がありません。 もともとQAシリーズの製品は、個人情報と無関係のデータで、サイト改善やサービス改善に利用できるのが理想だと開発当初から考えており、IPアドレスも保持しませんので、そういう意味で最初から個人を特定するのが困難なように製作しています。 まとめ 今回はCookieの同意がアクセス解析ツールに与える影響についてお伝えしました。 改めて、Cookie同意時代にアクセス解析を継続する場合には下記３つの選択肢があります。 同意されなかったんだから取れなくても良いと考える／同意してもらいやすくする 推測値でよいのでGA4にコストをかけて実装する 別のツールも併用する 個人を特定できないCookieを利用しているツール Cookieを使用せずサーバー側でアクセス計測できるツール データを第三者に渡さないツール ファーストパーティーデータをリッチにしていく時代に データの重要性が高まるにつれて、プライバシーの重要性も増してきました。今まではGoogleのおかげで気軽に利用できたアクセス解析も、それが個人データの第三者提供にあたるならば、企業側に責任が生じてきます。 ユーザーからすると、個人情報がビッグテック企業など第三者に渡っているというのは面白くないでしょう。どうせ利用するなら、サイトが便利になる目的のみ許可したいと考えるのは当然です。 企業側から捉えれば「私達はシステムの利便性アップのためにCookieを利用します。第三者提供はしていません。」という宣言が求められる時代。個人データは自社で管理し、匿名データのみSaaSなど外部と共有する時代、つまりファーストパーティデータをよりリッチにしていく時代に入ったのかも知れません。 Cookieレス対応の仕組みを見る もしファーストパーティデータとしてQA ZEROの導入をご検討される方は、ぜひお問い合わせください。

Yuwaiの田中広樹さんと丸山がCookie問題やらP-MAXやらGoogleやらいろんなことについて話しました。

海外Web担当者にGA4とCookieについての現状を聞いてきました。 (WordCamp Asia 2024 参加記録その1）

70%のユーザーが拒否する時代。「Cookie同意」のアクセス解析への影響を考える

海外Web担当者にGA4とCookieについての現状を聞いてきました。　(WordCamp Asia 2024 参加記録その1）