【特別対談】Webサイトのプライバシー対応はなぜ進まないのか？

Webサイトでは、アクセス解析や広告配信などに用いるタグを通じて、利用者に関する情報を外部サービスへ送信することがある。しかし、運営者自身が送信の実態を把握できていなかったり、利用者が実質的に拒否できない設計になっていたりするケースも少なくない。なぜWebサイトのプライバシー対応は進まないのか。法令遵守の先に企業は何を目指すべきなのか。順天堂大学でITガバナンスを研究する満塩尚史氏と、クッキー同意管理ツール「STRIGHT（ストライト）」を手がけるインターネットイニシアティブ（以下、IIJ）の中西康介氏が語り合った。

対談者プロフィール

（右）順天堂大学健康データサイエンス学部准教授／博士（理学）
満塩尚史氏
情報システム監査、情報セキュリティ、ITガバナンスなどを研究。環境省・経済産業省のCIO補佐官、デジタル庁のセキュリティチームの立ち上げへの参画など、行政での実務経験を持つ。

（左）株式会社インターネットイニシアティブビジネスリスクコンサルティング本部副本部長
中西康介氏
GDPR施行前からプライバシー保護のコンサルティングに携わり、STRIGHTの開発・運用を統括する。

対応が遅れるのは、Web担当者のせいではなく組織の問題？

―野村総合研究所が2025年12月に公表した調査では、電気通信事業法の外部送信規律の義務をすべて満たしている割合が、「Webのみ」のサービスで43.2%、「アプリのみ」で71.0%でした。この差についてどうご覧になりますか。

出典：総務省『外部送信規律の遵守状況に関する調査』（調査実施：野村総合研究所／2025年12月24日公開）

満塩氏：Webは、もともと研究者がデータを交換するために生まれ、誰でも自由にサイトを作れる、いわば“自主性に委ねられた世界”です。学生でもサイトを作れますし、誰かの審査を受けるわけでもありません。一方のアプリは、原則、アプリストアの審査を通らなければ公開できず、プラットフォーマーの管理下にあります。両者は出自からして違うのです。こうした統制の仕組みの違いも、対応率に差が生じる背景の一つではないかと考えています。

中西氏：満塩先生のご指摘に加え、Webでは、運営者自身が外部送信の実態や規律の対象であることに気づきにくい点も、対応率の差につながっていると思います。実際、アクセス解析や広告配信、SNS連携などを通じて、閲覧履歴や端末情報がさまざまな外部事業者へ送信されます。特にターゲティング広告では、行動データが収集・分析され、複雑な広告ネットワークを通じて複数の広告関連事業者間で共有・流通します。蓄積された情報から健康上の悩みや家族構成などが推測され、悪用されれば犯罪に利用されるおそれもあります。外部送信規律は、こうした外部送信について利用者に確認の機会を提供するため、対象事業者に対し、送信情報の内容・送信先・利用目的を通知・公表する、同意を取得する、オプトアウト措置を設ける、のいずれかの対応を求めています。しかし実際には、自社が外部送信規律の対象であること自体を認識していない企業が多く、対象だと認識していても、自社サイトからどのような情報がどこへ送信されているのかを把握できていない企業も少なくありません。こうした制度への認識不足と外部送信の実態を把握する難しさが、Webの対応率の低さにつながっていると考えています。

満塩氏：情報の中身の問題は当然ですが、Webの裏側で何が起きているのか見えないこと自体にも不気味さがあるでしょうね。すべてを表で説明することは困難かもしれませんが、利用者がきちんと確認できる状態にはすべきです。

順天堂大学健康データサイエンス学部准教授満塩尚史氏

―法律を知ったとしても、対応が進まない企業は多いようです。何が障壁になっているのでしょうか。

中西氏：最大の障壁は、社内で優先順位が上がらないことです。そもそも外部送信規律や、自社が対象事業者であることを知らない企業も少なくありません。規律を知った後も、周囲の企業が十分に対応しておらず、目立った行政処分や罰則適用の事例も見えないため、「今すぐ対応しなければならない」という危機感を持ちにくいのです。その結果、売上やサービス改善に直結する施策が優先され、外部送信先の調査や情報開示などの対応は後回しになります。法律を知っていることと、組織として実際に対応へ動くことの間には、まだ大きな隔たりがあると感じています。

満塩氏：部門ごとの力関係で決まってしまうこと自体が、組織の問題ですよね。Webの担当者が個別に判断する話ではなく、会社としてどう決めるか。ガバナンスを実装するとは、結局のところ内部統制の話なんです。担当者だけでなく、マネジメントや経営層が理解し、組織全体で動かなければ機能しません。経営層には、短期的な売上だけでなく、中長期の視点で、利用者や株主を含む幅広いステークホルダーを見てほしいと思います。同時に、現場から声を上げることも大事です。

「同意する」しかない画面では、選択肢を提示したとは言えない

―説明責任を果たさない企業には、法令上の問題以外にどのようなリスクがあるのでしょうか。

満塩氏：利用者には「自分の情報はここまでしか使われないはずだ」という合理的な期待があります。それを裏切っていたことが明るみに出れば、企業は釈明やマーケティング上の立て直しを迫られ、対応コストという実際の損失につながります。

中西氏：逆に合理的な期待を裏切らない誠実な設計がなされていれば、利用者からも支持を得られます。動画配信サービスでも、金額が不透明だったり解約がしづらかったりするサービスと、簡単に解約できることで知られるサービスではユーザーからの評価・評判がまったく異なるというのは広く知られているところだと思います。

満塩氏：マーケティングの考え方も変わってきていますよね。無理に利用者を引き留めて売上を伸ばすより、すぐやめることができて、また気持ちよく戻ってきてもらう方が、長期的にはプラスになる可能性があります。

―一方で、クッキーバナーを設置していても、拒否の方法が分かりにくいなど、形式的にしか対応していない例も見られます。

中西氏：そもそも多くの人は、同意ボタンを押さないとサイトが使えないと思い込んでいます。だから拒否ボタンが置いてあっても押しづらいんです。同意と拒否のボタンを並べただけでは、実質的な選択機会を提供したことになりません。「拒否しても問題なく閲覧できます」と伝えるくらいの配慮が必要です。

満塩氏：広告でも似たことが起きています。閉じるボタンがどこにあるか分からず、ひたすら間違い探しをさせられるようなサイトもあります。ああいう体験が続くと、もうこのサイトを利用するのはやめようかなと思いますよね。

中西氏：今は不誠実な設計をした方が儲かってしまう面もありますからね。誠実な取り組みが正当に評価される世の中になればいいと思っています。利用者を意図しない同意へ誘導するダークパターンは、短期的には数字が取れても、長期的には不快感と不信が蓄積されてしまいます。

―仮に法律で義務づけられていなくても、利用者に情報を示し、拒否できるようにしておく。そこまで利用者に寄り添うことは、企業にとってどのような意味を持つのでしょうか。

満塩氏：短期間で畳むつもりの会社なら、そこまでやる必要はないのかもしれません。ただ、長く続いてきた企業や、これからブランドを育てていこうという企業であれば、対応していないことが分かったときに、利用者から厳しい目を向けられます。また、海外対応にしても「グローバルスタンダードに準拠していれば十分」というわけではなく、実際には各国・各地域の法規制や要件に応じた対応が求められます。利用者の意思を尊重することや、地域ごとのルールにも適切に対応する姿勢は、事業を長く続けていくうえで欠かせないものだと思います。

外部送信の把握から情報開示、タグ制御まで一元化するSTRIGHT

―こうした対応をWebサイト上で実現できるのが、IIJの「STRIGHT」ですね。どのようなサービスなのでしょうか。

中西氏：STRIGHTは、Webサイトをスキャンしてクッキーやタグ、外部サービスを検知し、どのような情報がどの事業者へ何の目的で送信されるのかを一覧にしたうえで、利用者への情報開示から同意・拒否の受付、タグの制御までを一元的に行うクッキー同意管理ツール（CMP）です。プライバシー保護コンサルティングで培った、適切な情報提供や同意取得に関する知見をUI設計に反映し、利用者を特定の選択へ不当に誘導しないバナーテンプレートを標準で用意しています。また、日本の電気通信事業法　外部送信規律に対応し、送信先や利用目的をサービス単位で分かりやすく示す情報提供ページを自動生成できる点も特長です。また、HTML埋め込みやGTMで実装できるため、専任エンジニアがいない組織でも比較的容易に導入可能です。

株式会社インターネットイニシアティブビジネスリスクコンサルティング本部副本部長中西康介氏

―とはいえ、バナーが画面を覆うこと自体を煩わしく感じる利用者もいます。

中西氏：欧州をはじめとする一部の国・地域では、一定のCookieや外部送信を行う前に、利用者の同意を取得するオプトイン方式が求められます。一方、日本では、多くのサイトでこうした対応は法的義務とされていません。そのため、STRIGHTでは、バナーを表示しない形での実装も可能です。サイトを訪れた瞬間に大きなバナーで画面を覆うのではなく、フッターの「プライバシー設定」やフローティングボタンから、外部送信に関する説明や設定画面へアクセスできるようにします。これにより、閲覧を妨げることなく、外部送信を望まない利用者には、簡単に拒否や設定変更ができる手段を提供できます。必要な情報も適切に提供できるため、利用者のプライバシーに配慮しながら、マーケティング部門の理解も得やすい方法です。

―利用者がバナーで拒否を選んだあと、Webサイト側では何が起きているのでしょうか。

中西氏：利用者が拒否を選ぶと、その選択内容に応じて広告やアクセス解析などのタグの動作が制御され、対象となる外部サービスへの情報送信が停止されます。

ただし、画面上では拒否を選べるように見えても、実際には裏側でタグが動作し続け、情報の送信が止まっていないケースがあります。これは、いわゆる「なんちゃってバナー」と呼ばれるものです。特に無料ツールでは、バナーの表示と実際のタグ制御が連動していない場合があるため、拒否後に本当に送信が止まっているかを確認する必要があります。利用者が拒否したにもかかわらず情報を送り続ければ、選択の機会を形だけのものにし、利用者の信頼を損なうことにもつながります。

STRIGHTでは、タグマネージャーを利用した制御や制御コードの実装に加え、特許出願中の独自機能「Tag Auto Control」により、複雑なタグ構成のサイトでも、利用者の選択を実際の送信制御に反映しやすくしています。また、国や地域によって異なる規制に応じて、バナーを出し分ける機能も備えています。

満塩氏：信頼性という点でいうと、STRIGHTはSOC 2レポート（※1）Type1報告書を受領していますね。利用者や導入企業は、そのサービスの内部でどのような管理が行われているのかを直接確認することが難しいですから、適切な管理体制であることをSOC 2レポートのような第三者監査で確認してもらったうえで、プライバシーツールを提供していることは非常に重要になります。こうした客観的なアシュアランス（※2）があることで、「個人情報や同意情報が適切に管理されている」と判断でき、安心してサービスを利用・導入しやすくなると思いますね。

（※1）SOC2（System& Organization Control 2）・・・サービスを提供する企業の信頼性とデータセキュリティについて、米国公認会計士協会（AICPA）が定めたトラストサービス規準（Trust Service Criteria）に則って、セキュリティ、可用性、処理のインテグリティ（完全性）、機密保持、プライバシーが評価されるレポート。

（※2）アシュアランス・・・証拠等の客観的な検証を根拠とした事実認定に基づき、信頼性についての意見を表明すること。

―STRIGHTのようなCMPツールは、企業のデータガバナンスにおいてどのような役割を果たすとお考えですか。

満塩氏：STRIGHTは、各国対応と利用者への配慮が強く意識されたサービスだと伺いました。ただ、CMPはリスクガバナンスを実装するためのレイヤーであって、ツールを入れれば終わりというものではありません。経営層が理解し、ガバナンスをデジタルの仕組みとして継続的に回す。その中で初めて生きるものです。

中西氏：おっしゃるとおりです。CMPは、企業が定めたプライバシーガバナンスの方針を、Webサイト上の具体的な仕組みとして実装・運用するための基盤だと考えています。外部送信の実態を把握して利用者に分かりやすく示し、同意や拒否の意思を実際のタグ制御に反映するとともに、その履歴を残す。つまり、企業の方針と利用者の意思を、実際のデータ処理につなぐ役割です。

一方で、クッキーバナーを導入しさえすれば、企業のデータガバナンスが完成するわけではありません。プライバシーポリシーやプライバシーノーティスの整備、各国・地域で求められる代理人制度への対応、適切なセキュリティ対策など、企業が取り組むべきことはほかにもあります。

私たちは、単にツールを提供するだけのベンダーではありません。法規制と技術の双方に精通した専門家として、方針の策定から実装、運用まで、お客様のプライバシーガバナンスの構築と継続的な改善に伴走します。

満塩氏：研究機関の情報の流通から始まったインターネットは、商用利用の時代を経て、コンプライアンスをどう実装するかが問われる段階に入りました。サイトを作る最初の段階からプライバシーを考慮する、セキュリティ・バイ・デザインの発想が欠かせません。自前で作り込むこともできますが、CMPのような仕組みを便利に使うのも有力な選択肢だと思いますね。