【Q&Aで簡単理解】Cookieとは？　規制で何が変わる？　広告ターゲティングへの影響は：徹底解説！Cookie規制と法改正

[山森康平，ITmedia]

Cookie規制の概要をおさらい

　前回の記事「Cookie規制って結局、何が変わるの？　2022年の改正個人情報保護法、注目すべきポイントを解説」のおさらいになりますが、現在のWeb広告や顧客管理には2つの側面で環境変化があります。ブラウザやデバイスなどテクノロジーによる規制と、法律による規制です。この変化により、数年前までは当たり前に行われていたデジタル広告施策が実施できなくなってきています。

　ブラウザによる規制は、SafariやFirefox、Google ChromeによるサードパーティーCookieの利用制限を指します。SafariやFirefoxでは既に規制が始まっており、Google Chromeでも2023年から規制されます。

　デバイスによる規制とは、モバイル広告IDの利用制限のことです。iOS端末向けに発行されているIDFAやAndroid端末向けのGAIDについて、「利用許可」となっていたこれまでの標準設定が、ユーザーによる許可を必要とするオプトイン方式へと変化しています。

　法律面では、日本では22年4月から施行される個人情報保護法の改正は押さえておかねばなりませんし、ヨーロッパのGDPRやアメリカのCCPAなど海外の法律や判例についても把握しておく必要があります。

【Cookie規制編】

　ここからは、Cookie規制についてこれまでトレジャーデータに寄せられたよくある質問をご紹介します。

Q1：Cookie規制によって、Cookieは全く使えなくなる？

A：　いいえ、全く使えなくなるわけではありません。「Cookieレス」や「ポストCookie時代」といわれていますが、この文脈で使われる「Cookie」は具体的に「サードパーティーCookie」を指しています。

Q2：サードパーティーCookieとは？

A：　Cookieは大別して、ユーザーが訪問しているWebサイトのドメインから直接発行される「ファーストパーティーCookie」、ユーザーが訪問しているWebサイトとは異なるドメインから発行されている「サードパーティーCookie」があります（厳密には「セカンドパーティーCookie」も存在しますが、本稿では触れません）。

　サードパーティーCookieとは、ドメインをまたいで計測でき、Webサイトを閲覧しているユーザーの同一性を特定することなどができる技術です。AppleによるITPですでに無効化されていたり、GoogleがChromeにおいて規制を予定しているのは、このサードパーティーCookieを対象にしています。

Q3：ファーストパーティーCookieは規制されない？

A：　一方、同じドメインの中での計測などに用いられるファーストパーティーCookieは、規制の影響は相対的には小さいです。ただし、ファーストパーティーCookieの中で一般的に用いられている「クライアントサイドCookie」については、ITPで有効期限が短く設定されました（例えば、ITP2.3では、JavaScriptを用いて生成したファーストパーティーCookieは24時間で利用不可）。

　ファーストパーティーCookieによるユーザー分析などを実現するために、サーバサイドからファーストパーティーCookieを発行する「サーバサイドCookie」の代替利用も提案されています。サーバサイドCookieの有効期限は最大2年間ですが、ITPの規制の影響を受ける場合にはもっと短くなります（CNAME Cloakingと呼ばれる手法で発行されたサーバサイドCookieの有効期限は7日間です）。また、ITPによるCookie規制は今後もより厳しくなることが予想されます。

Q4：Cookieの有効期限が短くなるとどういった不都合がある？

A：　Cookieの有効期限が短くなると、同一ユーザーかどうかの識別が行いづらくなるため、計測の精度や正確性が下がると考えられます。

　Cookieの有効期限が長ければ、久しぶりにWebサイトを訪れた人のことも「過去にこのWebサイトに来たことのあるユーザーだ」と識別することができ、そのユーザーに最適なメッセージの広告などを表示することができます。

【広告施策への影響編】

Q5：Cookieやモバイル広告IDが規制されると、広告のターゲティングや計測ができなくなる？

A：　影響を受けるのは、サードパーティーCookieやIDFAに依存するターゲティングと計測です。

　当然ながら、サードパーティーCookieを利用して行うリターゲティングやリマーケティングは機能しなくなり、SafariやFirefoxではすでにその影響が出ています。

　完全な代替技術は存在しませんが、部分的にサードパーティーCookieが果たしていた役割を補完する技術や手法はあります。

　IDFAやGAIDなどのモバイル広告IDを利用する場合は、ユーザーの同意が必須となりますが、同意を得ることができれば、これまで通りの突合などが可能です。ただし、同意を得られる割合は決して高くないのが実情です。

　またFacebookやTwitter、LINEなど、ログインして利用するソーシャルサービスでは、そのサービス固有のユーザーIDでターゲティングを行っています。こうしたサービスではCookieを利用していないので、仕様上はその規制の影響を受けません。しかし、ソーシャルサービスであっても、広告のコンバージョン計測にはCookieを利用する企業が多いため、規制の影響を避けられないケースが多いと予想できます。そのため例えばFacebookでは、Cookieを使わずに効果測定するためのコンバージョンAPIなどが提供されるなど、別の手段で対応しています。

　なお、単一ドメイン内で遷移する（サイトを横断しない）場合は、ファーストパーティーCookieによるターゲティングを行うことが可能なため、Cookie規制の影響はありません。

【デジタルマーケティング全体への影響編】

Q6：当社ではWeb広告以外でもデジタルマーケティングを行っています。Cookieの利用が制限されることで、従来の施策へ具体的にどんな影響がありますか？

A：　Cookieがどういう用途で使われているかを下記に整理しました。

　サードパーティーCookieは、従来のデジタルマーケティング施策で広く活用されてきた技術です。広告のリターゲティングはもちろんのこと、アクセス解析やアトリビューション解析など外部から流入してきたユーザーの計測にも使われてきました。パブリックDMP（データ・マネジメント・プラットフォーム）など、データを収集・蓄積するツールでも、その基礎データとしてサードパーティーCookieが重用されてきました。

　ファーストパーティーCookieは、同一ドメイン内でのみ有効なため、リターゲティングやアトリビューション解析には利用されません。自社サイト内のアクセス解析には活用可能です。また「以前Webサイトを訪れたことのあるユーザーが再びサイトにアクセスした際、そのユーザーにメールやLINEを自動送信する」という、いわゆるMA（マーケティング・オートメーション）ツールのトリガーとして、ファーストパーティーCookieは利用されています。

　では、これだけ広く利用されているCookieが規制されることで、どんな影響があるのでしょうか。

　従来のWeb（リターゲティング）広告、各種解析といったデジタルマーケティング施策においてサードパーティーCookieが使われていたものは、全て利用できなくなると考えられます。ファーストパーティーCookieについても、一般的に用いられているクライアントサイドで出されるファーストパーティーCookieは、有効期限が短く設定されたiOSでは影響が出るでしょう。Androidも同様の措置が追随されると考えられます。

Q7：サードパーティーCookieの代わりになるものは？

　ここまで見てきたように、Cookie規制によって広範囲の影響が発生しています。サードパーティーCookieの完全な代替技術は存在しませんので、個人情報を順守しつつ、必要に応じてさまざまな代替技術や代替手法を組み合わせることで、自社にとって最適なデジタルマーケティング施策を再構築していくことになるでしょう。具体的な対応については、次回の連載記事でお伝えします。