クイックアンサー: ePrivacy指令とGDPRは、クッキーの同意とオンラインプライバシーを共同で管理する2つの異なるが重複するEUの法律です。ePrivacy指令は、ユーザーのデバイスにクッキーを配置するための具体的なルールを定めており、GDPRは有効な同意の基準を定義しています。EU内で運営されるほとんどのウェブサイトは両方に準拠する必要があり、2026年には、クッキー規則をGDPRに直接統合する大規模な法改正が進行中です。
主なポイント
- ePrivacy指令（2002年、2009年改訂）は、非必須クッキーを設定する前に同意を求める主要な法律であり、GDPR（2018年）は「有効な同意」の意味を定義しています。
- 両方の法律は、ほとんどのEU向けウェブサイトに同時に適用され、一方が他方を置き換えることはありません。
- 提案されたePrivacy規則は、2025年2月に欧州委員会によって正式に撤回されました。
- 2025年11月に発表されたデジタルオムニバスパッケージは、新しい第88a条および第88b条を通じてGDPRにクッキー同意規則を統合することを提案しています。
- 必要不可欠（厳密に必要な）クッキーは、ePrivacy指令の同意要件から免除されています。
- ePrivacy指令は、EU加盟国ごとに異なる形で国内法に移行されており、国によって遵守のばらつきが生じています。
- 2026年の調査では、ウェブサイトのわずか30.66%が「すべて拒否」ボタンを表示しており、広範な非遵守を示しています [7]。
- クッキー同意バナーは両方の法律を満たすことができますが、GDPRの自由に与えられた、特定の、情報に基づく、明確な同意の条件を満たす必要があります。
- 同意管理プラットフォーム（CMP）は、提案されたGDPRの変更に基づいてブラウザレベルの同意信号に適応する必要があります [3]。
ePrivacy指令とGDPRの違いは何ですか
ePrivacy指令とGDPRは異なるが補完的な機能を果たします。ePrivacy指令（指令2002/58/EC、2009/136/ECによる改正）は、クッキーや類似の追跡技術の使用を含む電子通信のプライバシーを管理するためのセクター特化型の法律です。GDPRは、すべてのセクターにおける個人データ処理の法的枠組みを設定し、有効な同意の定義と要件を含みます。
主な違い：
| 特徴 | ePrivacy指令 | GDPR |
|---|---|---|
| 法的形式 | EU指令（国内移行が必要） | EU規則（直接適用可能） |
| 主な焦点 | クッキー、追跡、電子通信 | すべての個人データ処理 |
| 同意基準 | 非必須クッキーに対する同意を要求 | 有効な同意の意味を定義 |
| 執行機関 | 国家通信/DPA規制当局 | 国家データ保護当局 |
| 状態（2026年） | 依然として有効；改革待ち | 有効；提案された修正が進行中 |
ePrivacy指令は指令であるため、各EU加盟国はそれを国内法に異なる形で移行しており、国ごとに執行や具体的な要件にばらつきが生じています [6]。
ePrivacy指令とGDPRの両方に準拠する必要がありますか、それとも一方だけでよいですか
両方の法律は同時に適用され、一方に準拠することは他方の要件を満たすことにはなりません。ePrivacy指令は、同意が必要なタイミング（非必須クッキーを設定する前）を示し、GDPRはその同意がどのようなものであるべきか（自由に与えられた、特定の、情報に基づく、明確であり、いつでも撤回可能であること）を示します [5]。
このように考えてみてください：ePrivacy指令はトリガーであり、GDPRは基準です。クッキーバナーが技術的にはクッキーが読み込まれる前に表示されるが、事前にチェックされたボックスを使用している場合、GDPRの同意要件に違反します。これは、ePrivacy指令の通知義務には名目上準拠していてもです。
一般的な誤解: クッキーノーティス（ユーザーにクッキーが存在することを知らせること）が十分であると仮定すること。両方の枠組みの下では、受動的な通知は非必須クッキーの同意とは見なされません。
ePrivacy指令はあなたのウェブサイトのクッキーにどのように適用されますか
ePrivacy指令は、ウェブサイト運営者がユーザーのデバイスに情報を保存またはアクセスする前に、事前に情報に基づいた同意を取得することを要求します。これはクッキー、ピクセル、ローカルストレージ、および類似の技術を含みます [6]。この義務は、収集されたデータがGDPRの下で個人データに該当するかどうかにかかわらず適用されます。
実際には、これは以下を意味します：
- ユーザーが同意するための肯定的な行動を取る前に、非必須クッキーは発火してはなりません。
- 同意メカニズムは明確であり、サービス利用規約の受諾と一緒に束ねられてはなりません。
- ユーザーは、同意を与えたのと同じくらい簡単に同意を撤回できる必要があります。
この指令は、EUユーザーをターゲットにする任意のサービスに適用され、ウェブサイト運営者がどこに拠点を置いているかに関係なく適用されます。
ePrivacy指令とGDPRの下で同意が必要なクッキーは何ですか
ePrivacy指令の下では、ユーザーが明示的に要求したサービスに「厳密に必要な」クッキーを除いて、すべてのクッキーに対して同意が必要です。GDPRの下では、個人データの処理には合法的な根拠が必要であり、追跡クッキーの場合、その根拠はほぼ常に同意です。
クッキーのカテゴリと同意要件：
- 厳密に必要なクッキー（セッション管理、ログイン状態、ショッピングカート）：ePrivacy指令の下では同意は不要です。GDPRの正当な利益または契約履行の根拠が適用される場合があります。
- 分析クッキー（例：ユーザーを特定するページビュー追跡）：両方の枠組みの下で同意が必要です。
- マーケティングおよび広告クッキー（行動ターゲティング、リターゲティング）：両方の枠組みの下で同意が必要であり、これは執行において最もリスクの高いカテゴリです。
- 機能クッキー（言語の好み、UI設定）：議論の余地あり；個人データを処理する場合は同意が最も安全なアプローチです。
ePrivacy指令は置き換えられるのか、ePrivacy規則とは何か
ePrivacy指令はGDPRによって置き換えられることはありません。しかし、提案されたePrivacy規則は、指令を直接適用可能なEU全体の法律に置き換えることを意図していました。この提案は、2025年2月に欧州委員会によって正式に撤回され、加盟国間での合意の見通しがないことや、最近の技術の変化を考慮して提案が時代遅れであることが理由とされています [2]。
ePrivacy指令と提案されたePrivacy規則の違い： 規則はすべての加盟国に直接的に拘束力を持つものであり（国内移行の違いを排除）、しかし採択には至りませんでした。
その代わりに、欧州委員会は2025年11月19日にデジタルオムニバスパッケージを導入しました。このパッケージは、新しい第88a条および第88b条を通じてGDPRにクッキー同意規則を直接統合することを提案しています [2][3]。第88a条は、同意が必要ないシナリオ（電子通信の送信やユーザーが明示的に要求したサービスなど）を定義します。第88b条は、ブラウザレベルの同意信号を含む自動化された機械可読の同意メカニズムに関する要件を導入します [3]。
2026年7月現在、デジタルオムニバスパッケージはまだ立法プロセスを経ており、最終的な文書は2026年末または2027年初頭に期待されています [4]。
必要不可欠なクッキーはePrivacy指令の下で同意が必要ですか
いいえ。厳密に必要なクッキーは、ePrivacy指令の同意要件から明示的に免除されています。これらは、ユーザーが明示的に要求したサービスが機能するために必要不可欠なクッキーであり、例えば、セッション識別子、認証トークン、ショッピングカートクッキーなどです [6]。
エッジケース: 「必要」とは狭義に解釈されます。パフォーマンスを向上させるクッキーや分析を可能にするクッキーは、厳密に必要とは見なされません。たとえ運営者がそれを運用上重要と考えてもです。疑問がある場合は、同意が必要である方に傾くべきです。
両方の規則を満たす有効なクッキー同意を取得する方法
GDPRの下での有効な同意（したがって、GDPRの同意基準に従うePrivacy指令の下でも）は、以下の要件を満たす必要があります：
- 自由に与えられた、同意の壁や利用規約の受諾と強制的に束ねることはありません。
- 特定の、各クッキーカテゴリ（分析、マーケティングなど）ごとに別々の同意が必要です。
- 情報に基づく、ユーザーはクッキーが何をするのか、誰がデータを処理するのかを知っている必要があります。
- 明確である、肯定的な行動が必要です；事前にチェックされたボックスは無効です。
- 撤回可能である、同意を撤回することは与えることと同じくらい簡単でなければなりません [5]。
適切に構成された同意管理プラットフォーム（CMP）がこのワークフローを処理します。Biscotti CMPは、これらの要件をサポートするように設計されており、詳細な同意カテゴリと監査目的のための同意記録を含みます。デジタルオムニバスパッケージが第88b条の下でブラウザレベルの同意信号を提案しているため、CMPもブラウザ設定からの信号を取り込んで尊重する必要があり、業界にとって重要な運用の変化となります [3]。
クッキーバナーはePrivacyとGDPRの要件を満たすことができますか
はい、ただしバナーが正しく設計されている場合に限ります。GDPRの同意基準を満たすクッキーバナーは、ePrivacy指令の同意要件も満たします。なぜなら、指令はEU加盟国における同意の定義をGDPRに委ねているからです [5][6]。
準拠したバナーは次のことを満たす必要があります：
- 明確な「受け入れる」と「拒否する」（または同等の）オプションを視覚的に同等の重要性で提示すること。
- ダークパターンを使用しないこと（例：「拒否する」を「受け入れる」よりも見つけにくくすること）。
- 同意が与えられるまで非必須クッキーをブロックすること。
- 同意を記録し、タイムスタンプとバージョン参照を保存すること。
- ユーザーがいつでも好みを変更できるようにすること。
2026年の調査では、ウェブサイトのわずか30.66%が「すべて拒否」ボタンを表示しており、調査対象のサイトの大多数が遵守期待に達していない可能性が高いことを示しています [7]。
ePrivacy指令が適用されない国はありますか
ePrivacy指令はすべてのEU加盟国に適用されます。しかし、指令であるため（規則ではなく）、各国はそれを国内法に移行する際に範囲、執行の優先順位、罰則においていくつかのばらつきがあります [6]。EU外の国々、特にブレグジット後の英国には、独自の同等の法律（英国のプライバシーおよび電子通信規則、PECR）が存在します。
ユーザーがどこにいるかに基づいてコンプライアンスの基準を選択してください、ビジネスが登録されている場所だけでなく。EUトラフィックが多い米国の企業は、関連する加盟国で移行されたePrivacy指令とGDPRの両方に準拠する必要があります。
ePrivacy指令の規則に準拠しない場合はどうなりますか
ePrivacy指令（国内法に移行されたもの）に準拠しない場合、国家規制当局からの罰金や執行措置が発生する可能性があります。罰則は加盟国によって異なりますが、かなりの額になる可能性があり、無効な同意によって引き起こされるGDPR違反（例えば、追跡クッキーを介して個人データを処理する際に有効な法的根拠がない場合）は、全世界の年間売上高の最大4%または2000万ユーロのいずれか高い方の罰金が科されます [5]。
国家データ保護当局（DPA）は、クッキー同意の失敗に対して組織を積極的に調査し、罰金を科し続けています [1]。執行措置は、大規模なプラットフォームと小規模な運営者の両方を対象としています。
一般的なコンプライアンスの誤り：
- 同意が登録される前にページロード時に分析や広告クッキーを発火させること。
- ユーザーのインタラクションの後にクッキーをブロックしない同意バナーを使用すること。
- 同意の撤回を迅速に尊重しないこと。
- クッキーポリシーが変更されたときに同意記録を更新しないこと。
- クッキーノーティスを同意メカニズムと同等に扱うこと。
ePrivacy指令の下でクッキーはどのくらいの期間保存できますか
ePrivacy指令は、最大のクッキー保存期間を直接指定していません。しかし、GDPRのデータ最小化および保存制限の原則は、クッキーが個人データを処理する場合に適用されます。同意は時間制限を設けるべきであり、規制当局は一般的に組織に対して定期的に同意を再要求することを期待しています。一般的に12ヶ月が合理的な間隔として引用されますが、これは厳密な法定限度ではありません [6]。
実用的なガイダンス: クッキーの有効期限をその目的に比例させて設定します。セッションクッキーはブラウザが閉じたときに期限切れになるべきです。分析クッキーは、同じ目的を果たすために6ヶ月で十分であれば、2年間の寿命は必要ありません。
ePrivacyコンプライアンスにおける企業の一般的な誤りは何ですか
上記の問題に加えて、執行ケースや監査で一貫して現れるいくつかのパターンがあります：
- 暗黙の同意: 継続的なブラウジングが同意を構成すると仮定すること。これはEUの裁判所やDPAによって明示的に拒否されています。
- 束ねられた同意: クッキー同意をプライバシーポリシーの受諾と一緒に一度のクリックで結合すること。
- 不一致な地理ターゲティング: 特定の国のユーザーに対してのみ厳格な同意ルールを適用し、他のユーザーには追跡クッキーを提供すること。これは、執行がユーザーの位置に従う可能性があるためリスクがあります。
- 国内のばらつきを無視すること: 単一のバナ構成がすべてのEU加盟国に適合すると仮定すること。実際には、一部の国にはより厳しい国内要件があります [6]。
- 同意の監査トレイルがない: ユーザーが何に同意したのか、いつ、どのバージョンのプライバシーノーティスの下で同意したのかを記録しないこと [1]。
結論
ePrivacy指令とGDPRの関係は、一方の枠組みを選ぶことではなく、両方が適用され、両方を満たす必要があります。ePrivacy指令はクッキーに対する同意が必要なタイミングを定義し、GDPRは有効な同意がどのようなものであるかを定義します。これらは一緒に、EU全体のクッキーコンプライアンスの法的基盤を形成します。
規制の状況は変化しています。ePrivacy規則の提案は2025年初頭に撤回され、デジタルオムニバスパッケージは現在、クッキー規則を直接GDPRに組み込むことを提案しています。最終的な文書は2026年末または2027年初頭に期待されていますが、現在の義務はその間も完全に有効です。
2026年のための実行可能な次のステップ：
- ウェブサイトのクッキーの動作を監査し、非必須クッキーが同意を取得する前に発火しないことを確認します。
- 同意バナーをレビューし、ダークパターンがないか確認し、「拒否」オプションが「受け入れる」と同じくらい目立つことを確認します。
- Biscotti CMPのようなCMPを実装し、同意記録をログし、詳細なカテゴリ管理をサポートします。
- デジタルオムニバスパッケージの進捗を監視し、CMPベンダーがブラウザレベルの同意信号のサポートに向けて準備しているかを評価します。
- 重要なユーザートラフィックがある各EU加盟国におけるePrivacy指令の国内移行を確認します。
FAQ
Q: GDPRはクッキーに関してePrivacy指令を置き換えますか？
いいえ。GDPRとePrivacy指令は共存しています。ePrivacy指令はクッキーに対する同意を要求する主要な法律であり、GDPRは有効な同意の意味とクッキーを介して処理される個人データの取り扱い方法を規定しています。
Q: ePrivacy規則とは何ですか、まだ進行中ですか？
ePrivacy規則は、ePrivacy指令を直接適用可能な規則に置き換えることを意図した提案されたEU法です。2025年2月に欧州委員会によって正式に撤回され、現在の形では進行しません。
Q: デジタルオムニバスパッケージとは何ですか？
デジタルオムニバスパッケージは、2025年11月に発表されたEUの立法提案で、クッキー同意規則を新しい第88a条および第88b条を通じてGDPRに統合することでデジタル規制を簡素化するものです。2026年7月現在、まだ立法審査中です。
Q: 分析クッキーは同意要件から免除されますか？
いいえ。個々のユーザーやデバイスを特定する分析クッキーは非必須であり、ePrivacy指令の下で事前の同意が必要です。商業目的で使用されるかどうかにかかわらずです。
Q: クッキー壁（ユーザーがクッキーを受け入れない限りアクセスをブロックすること）は有効な同意を構成しますか？
一般的にはいいえ。EUの規制当局や裁判所は、クッキー壁を通じて得られた同意はGDPRの下で自由に与えられたものではないと見なしています。ユーザーには真の選択肢がないためです。一部の国のDPAは、限られた状況下で有料の代替手段が提供される場合にクッキー壁を許可していますが、これは依然として論争の的です。
Q: ユーザーはどのくらいの頻度でクッキーに再同意を求められますか？
固定された法定期間はありませんが、規制当局は一般的に、目的やクッキーリストが実質的に変更された場合や、合理的な期間（実務上はしばしば12ヶ月と引用されます）後に同意を更新することを期待しています。以前のプライバシーノーティスの下で得られた同意は、新しい処理活動をカバーしない可能性があります。
Q: 厳密に必要なクッキーとは何ですか？
厳密に必要なクッキーは、ユーザーが明示的に要求したサービスが機能するために必要不可欠なものであり、例えば、ログインセッショントークンやショッピングカート識別子などです。これらはePrivacy指令の同意要件から免除されています。
Q: ePrivacy指令は非EU企業に適用されますか？
はい、EU内にいるユーザーをターゲットにしたり、サービスを提供したりする場合は適用されます。領域の範囲は、オペレーターの登録住所ではなく、ユーザーの位置に従います。
Q: 同意管理プラットフォームで何を探すべきですか？
準拠したCMPは、同意を得る前に非必須クッキーをブロックし、詳細な同意カテゴリをサポートし、同意をタイムスタンプ付きで記録し、簡単に撤回できるようにし、提案されたGDPRの修正に基づいてブラウザレベルの同意信号をサポートする準備が整っている必要があります。
Q: EU全体で単一のクッキーバナーを使用できますか？
単一のバナーはベースラインとして機能する可能性がありますが、ePrivacy指令が加盟国ごとに異なる形で移行されているため、一部の国にはより厳しい要件があるかもしれません。高トラフィックのサイトに対しては、各ターゲット市場の国内法に対する法的レビューが推奨されます。
参考文献
[1] Gdpr Cookie Consent 2026 - https://www.consenteo.com/knowledge-hub/GDPR/gdpr_cookie_consent_2026?utm_source=openai
[2] Baking A New Batch Digital Omnibus And Cookies - https://www.considerati.com/publications/baking-a-new-batch-digital-omnibus-and-cookies/?utm_source=openai
[3] Eu Digital Omnibus Cookie Consent Gdpr 88a 88b Cmp Browser Signals - https://inimino.org/eu-digital-omnibus-cookie-consent-gdpr-88a-88b-cmp-browser-signals/?utm_source=openai
[4] Eu Digital Omnibus And Gdpr Changes - https://www.ontapgroup.com/blog/eu-digital-omnibus-and-gdpr-changes?utm_source=openai
[5] Gdpr Cookie Consent Requirements Banners And Fines - https://legalclarity.org/gdpr-cookie-consent-requirements-banners-and-fines/?utm_source=openai
[6] Eprivacy Directive Cookie Law Guide - https://cookiebeam.com/guides/eprivacy-directive-cookie-law-guide?utm_source=openai
[7] arxiv - https://arxiv.org/abs/2606.31485?utm_source=openai