ほとんどの同意バナーは、その週にCMPログインを持っていた人が一度作成し、その後は監査されません。そのため、2種類の損害が発生します。1つは、すでに準拠したバナーの例を公開している規制当局に晒されること、もう1つは、アナリティクスが機能しなくなることです。Googleはここで厳しい基準を設けています。GA4プロパティは、以下の条件を満たしている場合にのみ行動モデリングの対象となります。 1日あたり少なくとも1,000件のイベント analytics_storage='denied' 少なくとも7日間さらに、過去28日間のうち7日間は、1日あたり1,000人以上の同意ユーザーがあった。それ以下では、拒否されたトラフィックは完全に消滅する。
これは、バナーの所有者（成長責任者、分析担当者、またはバナーを引き継いだ開発者）向けの再構築手順書です。6つのステップが順番に進み、それぞれに判断ポイントがあり、最後に現在のバナーを評価するための14項目のチェックリストが用意されています。EU、英国、トルコ向けに販売を行っているサイトを対象としています。
両管轄区域において、バナーが果たすべき役割とは
2つの監督機関が設計規則を文書化しているので、これは好みの問題ではありません。EDPBの クッキーバナータスクフォース報告書 （2023年1月17日） 欺瞞的なデザインパターンに関するガイドライン03/2022 (v2.0、2023年2月14日)はEUの基準を設定した。トルコのKVKKは2022年にクッキーガイドを公開し、2025年半ばに改訂版を公開した。
| 要件 | EU／英国（eプライバシー＋GDPR） | トルコ（KVKK） |
|---|---|---|
| 最初のレイヤーで拒否 | いずれのレイヤーにおいても拒否オプションがないことは侵害行為である。 | 「すべて拒否」は「すべて受け入れる」と同じ視覚的な重みを持つ必要がある |
| あらかじめチェック済みのカテゴリ | 沈黙やあらかじめチェックが入っていることは同意を意味しない | 必須ではないカテゴリはデフォルトでオフになっています |
| 同意なしの分析 | ほとんどの加盟国の解釈において免除されない | 例外規定以外では、分析と測定は独自のカテゴリーを形成する。 |
| クッキーウォール | ケースバイケース、高いハードル | すべてのCookieを受け入れることを条件にコンテンツへのアクセスを制限することは許可されていません |
| 撤退 | 同意を与えるのと同じくらい簡単でなければならない | どのページからも設定にアクセスできます |
執行シグナルは本物だ。2025年9月1日、CNILは グーグルに3億2500万ユーロの罰金を科した。同意は「パーソナライズされた広告に関連するクッキーを拒否するよりも受け入れる方が難しいため、自由意志によるものではなかった」と結論付けている。ボタンの左右非対称性は、見た目の問題ではない。
手順1 — すべてのタグを一覧し、必須タグのそれぞれについて理由を説明する
クリーンなブラウザプロファイルでサイトを開き、すべてのCookieを拒否し、それでもストレージが設定されるものを記録します。次に、Cookieを受け入れ、その差を記録します。Cookieまたはストレージキーごとに1行ずつ、名前、設定者、目的、カテゴリ、および規制当局に伝えるであろう文章を記録します。
判断のポイントは必須性であり、その責任はあなたにあります。EDPBのタスクフォースは、その評価の実際的な難しさを認めつつも、管理者は必須と分類したものの必須性を証明しなければならないことを明確にしました。セッション認証、カートの内容、不正防止トークンは引き続き有効です。ヒートマップツール、テストライブラリ、マーケティングピクセルは無効です。
具体的な例として、典型的なトルコのeコマース決済プロセスを見てみましょう。セッションクッキー、カートトークン、ボット対策トークンは必須です。GA4、メタピクセル、広告リマーケティング、セッションリプレイ、チャットウィジェットはすべて同意が必要です。8つのうち6つ――ほとんどのチームが記録したことのない比率です。
パス2 — 最初のレイヤーを修正する（アクセシビリティを含む）
最初のレイヤーには、誰が何を処理するのか、その理由を簡潔に説明し、「すべて承認」と「すべて拒否」を同じスタイルで表示し、詳細な設定へのアクセス手段を用意し、事前に選択されていないものを用意する必要があります。同等の重要性を主張するには、測定可能な方法を用いるのが効果的です。
- 両方のメインボタンは、同じサイズ、重さ、加工が施されています。片方が中身が詰まったボタンであれば、もう片方も同様に中身が詰まっています。
- テキストのコントラストは最低4.5:1、ボタンの境界線やその他のテキスト以外のUIについては3:1とする。 WCAG 2.2 基準1.4.3および1.4.11。タスクフォースは、「テキストとボタンの背景とのコントラストが非常に低く、テキストが判読できない」バナーを問題視した。
- 拒否ボタンは必ず実在するボタンでなければならない。タスクフォースは、「『拒否』などの文言の背後にリンクを配置する」といった、視覚的に十分なサポートがない拒否オプションを却下した。
- キーボードは適切な順序でアクセス可能で、フォーカストラップはありません（WCAG 2.1.2）。 WCAG監査ツール コントラストとフォーカス順序の不具合を検出します。
次に、EDPBの6つのパターンファミリー（過負荷、スキップ、かき混ぜ、妨害、気まぐれ、情報不足）に照らし合わせてコピーをチェックします。「かき混ぜる」とは、「ユーザーの感情に訴えたり、視覚的なヒントを使用したりして、ユーザーの選択に影響を与える」デザインであり、「最高の体験のために承認してください」はまさにこれに該当します。
パス3 — 第二層と引き出し経路を構築する
第2層はカテゴリごとの切り替え機能で、デフォルトではすべてオフになっており、それぞれに目的の説明と保持期間が設定され、個別に保存可能です。
実装上の問題点は、同意の撤回です。同意を与えるのと同じくらい簡単にできる必要があり、KVKKガイドでは、すべてのページから設定にアクセスできることが求められています。フッターに常時表示されるリンクや、小さなフローティングコントロールはどちらも有効ですが、プライバシーポリシーに一行だけ記載するだけでは不十分です。製品ページから2クリックで同意を撤回できる機能を試してみましょう。
パス4 — 同意をワイヤーで記録し、拒否も測定可能にする
このパスによって、コンプライアンス違反でアナリティクスが利用できなくなるかどうかが決まります。Googleの 同意モード 2つの形状があります。
- 基本： タグはユーザーが操作するまで読み込まれません。事前に何も送信されず、「デフォルトの同意ステータスさえも送信されません」。防御は最も簡単ですが、拒否者からのシグナルはすべて失われます。
- 上級者： タグは同意がデフォルトで拒否された状態で読み込まれ、Cookieなしのpingを送信します。拒否されたトラフィックの形状が保持され、モデリングの対象となります。
上級は唯一の道です 行動モデリングこれは、「同意ダイアログが表示される前にタグが読み込まれ、ユーザーが同意した場合だけでなく、すべての場合に Google タグが読み込まれる」ことを要求します。適格性はモデリングではないことに注意してください。Google は、公開されているしきい値を満たしても「適格性が保証されるわけではない」と述べています。モデル化された数値は方向性を示すものとして扱い、実験の決定的な指標として決して使用しないでください。
判断ポイント：EEA、英国、トルコのトラフィックを合わせても、1日に1,000件の拒否イベントを処理できる可能性が低い場合は、モデリングに基づく測定計画を一切作成しないでください。サーバー側の変換データと独自の注文テーブルを信頼できる情報源として使用してください。
パス5 — バナー自体を楽器化する
バナーはファネルのステップであり、ほとんど誰もその効果を測定していません。個人データを含まず、同意を必要としないメカニズムを通じて、以下の4つのイベントを記録します。バナーの表示（分母）、選択が行われ、どの選択が行われたか、レイヤー2が開かれたか、そしてインタラクションが全くなかったか。
4つのセグメントすべてを国別、デバイス別にセグメント化します。モバイルでの非インタラクション率は通常、意外な結果となることが多く、バナーの高さ、主要なCTAを覆っているかどうか、ルート変更のたびに再表示されるかどうかといった選択肢のアーキテクチャに手を加えることなく改善できるポイントです。
合格6 — 許可されているものだけをテストする
正当な評価項目：バナーの高さ、位置、コピーの明瞭さ、カテゴリ名、レイヤー2レイアウト、バナーがコンテンツを遮るかどうか。正当な評価項目ではないもの：ボタンの非対称性、あらかじめチェックが入っているチェックボックス、隠された拒否パス、拒否プロセスにおける余分な手順。これらは失敗例ではなく、発見事項です。
標準的な引用にも懐疑的になりましょう。最初のページのオプトアウトを削除すると「同意率が22～23パーセントポイント上昇する」というよく引用される主張は、 Nouwens et al., CHI 2020数千箇所に及ぶスクレイピングを行ったが、因果関係の実験は 40参加方向性は信頼できるものの、その規模をベンチマークとして引用すべきではない。また、同じ論文で示されている、きめ細かな第一層制御に関する8～20ポイントという数値にも、同様の注意点がある。ベンダーの「平均同意率」の数値はさらに信頼性が低い。これは、顧客層が自己選択によるものであり、独立して検証できないためである。
現在のバナーのスコア：14チェック
各項目1点。12点未満の場合は、テストにお金を使う前に点数を改善しましょう。
| # | チェック | 合格基準 |
|---|---|---|
| 1 | 最初のレイヤーで拒否オプション | ボタンとして提示 |
| 2 | 視覚的パリティの承認／拒否 | 同じサイズ、重量、充填 |
| 3 | ボタンテキストのコントラスト | ≥4.5：1 |
| 4 | テキスト以外のUIのコントラスト | ≥3：1 |
| 5 | 必須ではないカテゴリにあらかじめチェックが入っています | なし |
| 6 | クッキーの在庫を文書化 | すべてのキーには、それぞれ名前の付いた用途があります。 |
| 7 | 必要性の正当化を記述 | 必須クッキー1つにつき1文 |
| 8 | タグなし、選択前に発火 | クリーンなプロフィールで検証済み |
| 9 | どのページからも撤退する | 2回以下のクリック |
| 10 | キーボード操作可能、フォーカストラップなし | WCAG 2.1.2を満たしています |
| 11 | 感情に訴えかけるようなコピーはありません | 「最高の体験」という枠組みはない |
| 12 | クッキーの壁はありません | 拒否後もアクセス可能なコンテンツ |
| 13 | 同意状態が記録されました | 選択ごとに記録が保持されます |
| 14 | バナーファンネル計測器 | 4つのイベントすべてが発火 |
これが破綻するところ
これはインターフェースと測定に関するマニュアルであり、法的意見ではありません。また、以下の4つの事項はこれに含まれません。
eプライバシーは指令であるため、分析免除は加盟国によって解釈が異なり、ある当局を満足させる設計が別の当局を満足させない可能性がある。法律も動いている。欧州委員会のデジタルオムニバス提案、 COM(2025) 837 最終版 2025年11月19日クッキー規則をGDPRに移行し、集計されたファーストパーティのオーディエンス測定を除外する案だが、欧州議会の立法記録によると、2026年3月18日の欧州経済社会委員会の意見書があるものの、委員会の投票や理事会の立場は公表されておらず、まだ初期段階にある。三者協議と確定したタイムラインを発表する投稿が、この文書に先行して掲載されている。今日の規則に合わせて設計し、インベントリを迅速に再分類できる形式で保持する。
また、モバイルアプリは対象外としており、モバイルアプリではATTとAndroidの同意画面は独自の仕組みを持っている。さらに、CMPは1つであることを前提としている。1つのタグコンテナに複数のブランドが含まれている場合、同意状態はドメインごとにスコープされる必要がある。 【必要な内部データ：Switasバナー再構築における匿名化された前後同意率およびモバイル非インタラクション率（理想的にはEUとトルコの物件それぞれ1件ずつ）を、この記事が意図的に引用を拒否しているベンダーベンチマークに代わるものとして提供してほしい。】
よくある質問
「すべて拒否」ボタンはコンバージョン率を低下させますか？
これは同意率を低下させるだけで、同じことではありません。サイト上でのコンバージョンは、ユーザーが広告Cookieを受け入れたかどうかによって影響を受けません。変わるのは、広告プラットフォームでのコンバージョンの計測能力です。収益の減少ではなく、計測能力の低下を想定して予算を組んでください。
Google Analyticsを必要不可欠なものとして扱うことはできますか？
トルコではそうではない。改訂されたKVKKガイドでは、分析と測定は独自のカテゴリーに分類され、技術的なデータ伝送や明示的に要求されたサービスに関する例外規定の対象外となっている。EUでは加盟国によって立場が異なるが、原則として同意が必要である。
基本同意モードか詳細同意モードか？
法務チームが選択前にクッキーなしのpingに特に異議を唱えていない限り、アドバンストを選択してください。ベーシックは弁護がしやすい反面、拒否されたトラフィックに関するすべての可視性（モデリングの適格性を含む）を失います。
拒否された後、どれくらい経てば再度依頼できますか？
現在のEUやトルコの規則には、具体的な期間は定められていません。求められているのは、繰り返し通知しても妨害にならないことです。デジタルオムニバスの提案では、目的ごとに6ヶ月の最低期間が設けられることになりますが、これは法律ではありません。拒否通知を6ヶ月間保存し、再度通知しないことは、現状では正当な政策と言えます。
トルコ用に別のバナーが必要ですか？
通常は別のバナーは不要ですが、国別のカテゴリロジックと、同じボタン配置のトルコ語テキストが必要です。KVKKのルールはEDPBの基準に非常に近いため、テキストとカテゴリをローカライズすれば、適切に構築された1つのバナーで両方の要件を満たすことができます。
クッキーの壁って、どんな場合でも許容されるものなの？
利用不可として扱ってください。KVKKガイドラインでは、すべてのCookieの受け入れをコンテンツへのアクセス条件とすることは認められておらず、EUの基準も高いです。ニュースサイトにおける「同意するか、支払うか」は、電子商取引のテンプレートではなく、別の議論の余地のある問題です。
どのくらいの頻度で再監査を行うべきでしょうか？
14項目のチェック項目を四半期ごとに、またタグマネージャーの変更や新規ベンダーの統合直後に評価してください。ほとんどの不具合は、バナーのデザイン変更ではなく、新しいピクセルが原因で発生します。
自分でバナーを作成するか、私たちに渡してください。
今週中にライブバナーで14のチェックを実行してください。クリーンなブラウザプロファイルとコントラストチェッカーを使用すれば1時間もかかりません。スコアではなく、優先順位付けされた修正リストでインターフェース、タグレイヤー、同意レコードをまとめて監査したい場合は、 アクセシビリティとコンプライアンス監査についてご相談ください.
ソース
- EDPB、クッキーバナータスクフォースの報告書2023年1月17日採択
- 欧州データ保護委員会（EDPB）、欺瞞的なデザインパターンに関するガイドライン03/2022バージョン2.0は2023年2月14日に採用されました。
- KVKK、チェレス・ウイグラマラリ・ハッキンダ・レーベル （改訂版、2025年）
- CNIL、Googleに3億2,500万ユーロの罰金、1 9月2025
- Google、同意モードの概要
- Google、同意モードのためのGA4行動モデリング
- Google、EUユーザー同意ポリシー
- W3C、WCAG 2.2
- ナウエンス、リッカルディ、ヴィール、カーガー、カガール、GDPR 後のダーク パターンCHI 2020
- 欧州議会立法プロセス、デジタル包括規制案COM(2025) 837 最終
