Cookieは個人情報に該当するか - リクナビやフェイスブックの事例から問題点を弁護士が解説

　2019年8月、就職情報サイト「リクナビ」を運営するリクルートキャリアがクライアント企業へ学生の「内定辞退率」を提供していたことが、個人データの扱いや同意の取得方法などの観点から問題視されました※1。

　また同年10月には、リクルートキャリアがクライアント企業に対し、個人を識別できる電子情報（Cookie、クッキー）の取得を目的とした学生に対するウェブアンケートの実施を指南していたことが発覚、学生に対するCookieの利用目的の説明がなかったことなどが報じられています※2。

　2020年には個人情報保護法の改正が予定されているところ（編集注：記事掲載時点）、改正法ではCookieに関して規制を及ぼすとの報道もなされており、また個人情報保護委員会や公正取引委員会がCookieの扱いに関する今後の対応について言及するなか、本稿ではCookieと現行の個人情報保護法との関係や、過去問題となった事例について、STORIA法律事務所 東京オフィスの杉浦 健二弁護士に伺いました。また後編では、公正取引委員会の近時の動向や、個人情報保護法の改正を見据えた今後の見通しについて解説します。

閲覧履歴を踏まえたページの表示や広告配信に用いられるCookie

――　そもそもCookieとはどのような情報を指すのでしょうか。

　CookieはブラウザでWebサイトを閲覧した際に作成される、データを一時的に保管しておく仕組みを指します※3。会員制WebサイトやSNSなどで、ID・パスワードなどのログイン情報をアクセスのたびに入力することなくスムーズに閲覧できるのは、Cookieが機能しているためです。

　またネットショッピングで商品をカートに入れた後で、いったんWebサイトを閉じたとしても、再度Webサイトに戻ってくれば商品がカートに入ったままの状態から再開できるのも、同じくCookieが機能しているためです。

　ユーザーが訪問しているWebサイトから直接発行されるCookieはファーストパーティーCookieと呼ばれますが、その仕組みを簡潔に説明すると、以下のようになります。

　Cookieは、いわば「ブラウザごとに発行される整理番号付き足あと機能」のようなものです。Webサイト側は、Cookieによりどのブラウザからアクセスされたのかを把握したうえで、過去の閲覧履歴を踏まえた適切なページを表示します。ユーザーにとっては、より便利にWebサイトを閲覧できるための仕組みであるといえます。

――　Cookieはどのような事業分野で活用が進んでいますか。

　Cookieは、単にログインの手間を省くようなユーザーの利便性を高める目的のみでなく、インターネット広告配信を効率的に行うための技術（アドテクノロジー）にも活用されています。例えばWebサイト上に広告を掲出する広告事業者が、当該広告を閲覧したブラウザに対してCookieを発行し、当該事業者によるほかの広告枠の閲覧履歴などの情報を踏まえて、ブラウザを利用しているユーザーの好みや趣味嗜好（しこう）に合わせた広告を配信することが可能となります。

　このようにユーザーが訪問しているWebサイト以外（広告事業者など）から発行されるCookieはサードパーティーCookieと呼ばれます。例としてサードパーティーCookieを広告配信に活用する仕組みを簡潔に説明すると、以下の流れとなります。

　サードパーティーCookieは、ユーザーが訪問したWebサイト以外（広告事業者など）により発行されるため、ユーザーとすれば自身がアクセスしたつもりのない広告事業者などからCookieIDを発行され、ブラウザを識別されることになります。

　ファーストパーティーCookieではユーザーが訪問しているWebサイトの運営主体から、サードパーティーCookieではユーザーが訪問したつもりのない広告事業者などから、それぞれブラウザの閲覧履歴などを取得されることになりますので、プライバシー権などを侵害する危険が生じないかが問題となります。

Cookieに個人情報保護法の規制は及ぶか

――　2019年12月現在、Cookieには個人情報保護法の規制は及ぶのでしょうか。

　個人情報保護法における個人情報にCookieが含まれるかが問題となります。

　個人情報保護法では、個人情報について、生存する個人に関する情報であって、以下のいずれかに該当するものを指すと定義しています（個人情報保護法2条1項）。

　これに対しCookie情報は「ユーザーが使用するブラウザを識別できるものにすぎず、ユーザーという特定の個人を識別できる情報ではない」こと、「個人識別符号にも該当しない」ことから、現在（2019年12月時点）の個人情報保護法においては、Cookie情報自体は個人情報には該当しないとされています。

　もっとも、特定の個人を識別することができる情報には「他の情報と容易に照合することができ、それにより特定の個人を識別することができることとなるものを含む」と定められているため（個人情報保護法2条1項1号）、例えばWebサイト事業者が、Cookie情報をユーザー個人の氏名などと合わせて管理している場合は、Cookie情報を含む全体の情報が個人情報に該当することとなります。

　例として図1におけるWebサイトAがユーザーの氏名などの個人情報を保有しており、これらの個人情報とブラウザごとのCookie情報をひもづけて管理している場合は、Cookie情報を含む全体が個人情報となります。この場合、WebサイトAの運営会社は、Cookie情報の利用目的をできる限り特定し（個人情報保護法15条1項）、取得にあたっては利用目的を本人に通知公表などを行ったうえで（個人情報保護法18条1項）、利用目的の達成に必要な範囲内でのみCookie情報を利用できることになります（個人情報保護法16条1項）。

――　これまでCookieの取得・利用に関して問題視された事例にはどのようなものがありますか。

　先ほど触れたように、Cookie情報はユーザーが使用するブラウザを認識するもので、ユーザー個人そのものを特定できるわけではありません。そのため、より精度の高い広告配信などのターゲティングを行おうとする場合、Cookie情報を特定の個人を識別できる情報とひもづけることが考えられます。

　就活サイト「リクナビ」を運営するリクルートキャリアが学生の内定辞退率をクライアント企業に販売していた問題※4で、報道によれば、リクルートキャリアはクライアント企業に対して、学生からCookie情報を取得するためのウェブアンケートを実施するよう指南していたとのことです※5。この場合、ウェブアンケートにおけるCookie情報の取得に際して、その利用目的が適切に通知または公表がされていなければ、クライアント企業は個人情報保護法に違反するおそれがあるといえます（個人情報保護法15条1項、16条1項、18条1項）。

　なお2019年8月26日、個人情報保護委員会はリクルートキャリアに対して勧告および指導を行っていますが、勧告および指導の原因となった事実は、リクルートキャリアがクライアント企業から個人を特定できる学生の氏名などの情報の開示を受けていた2019年3月以降のサービス提供スキームに関してであり、2019年2月以前のスキームについては勧告および指導の対象とされませんでした※6。

　リクルートキャリアのプレスリリース※7によれば、2019年2月以前のスキームは、リクルートキャリアでは個人が特定できないCookie情報や企業特有のIDを、クライアント企業がリクルートキャリアに対して提供し、リクルートキャリアにおいてリクルートキャリア側が保有するCookie情報と突合したうえで内定辞退率スコアを算出し、クライアント企業に納品していたとのことでした。

　しかしクライアント企業において、ウェブアンケートによりCookie情報と学生個人の情報をひもづけて管理していた場合、Cookie情報は個人を識別できる情報となるため、たとえ提供先であるリクルートキャリア内で個人が特定できなかったとしても、クライアント企業からリクルートキャリアへCookie情報を提供するにあたっては、個人データの第三者提供（個人情報保護法23条）の適法性が問題となります。

　またリクルートキャリアからクライアント企業に対して内定辞退率スコアを提供する場合、2019年2月以前のスキームでは、確かにリクルートキャリアにおいてはCookie情報や内定辞退率スコアから特定の個人を識別することはできないかもしれません。しかし提供先であるクライアント企業においては、リクルートキャリアから提供された内定辞退率スコアと特定の学生の情報を照合し、個人を識別することが予定されていました。

　このように、提供元（リクルートキャリア）において個人を識別することができないCookie情報などであっても、提供先（クライアント企業）において特定の個人を識別できることを認識したうえで提供する場合は、個人データの第三者提供にあたるものとして整理するべきではないかとの問題は以前から指摘がされてきましたが※8、この問題について、これまで個人情報保護法や同法に関するガイドラインでは明確にされていませんでした。

　この問題について、個人情報保護委員会は2019年11月29日で公表した「個人情報保護法 いわゆる3年ごと見直し 制度改正大綱（骨子）※9」において、「提供元では個人データに該当しないものの、提供先において個人データになることが明らかな情報について、個人データの第三者提供を制限する規律を適用する」旨を明記しました。この「制度改正大綱（骨子）」については、後編「個人情報保護法改正、公取委の規制を見据えたCookie（クッキー）情報取扱いのポイント」であらためて触れます。

　次の事例としては、個人情報保護委員会が2018年に行政指導を行ったFacebookの「『いいね！』ボタン」問題が挙げられます※10。

　「『いいね！』ボタン」は、Facebook以外のWebサイトやブログ上で設置できるソーシャルプラグインとして、多くの公的機関や企業Webサイトなどで設置されているものです。「『いいね！』ボタン」はその形状からして、ボタンをクリックした際にユーザーの閲覧履歴などの情報がFacebookに送信されることを想像させますが、実際はボタンクリックの有無に関係なく「『いいね！』ボタン」が設置されたWebサイトを閲覧した段階でFacebook側にブラウザの閲覧履歴などが送信されるものでした。これはいわばサードパーティーCookieと同様の仕組みです。

　先に言及したとおり、ブラウザの閲覧履歴自体は個人情報には該当しません。しかしここで問題なのは、実名登録が原則のFacebookは登録会員情報を保有しており、ブラウザの閲覧履歴（Cookie情報）と自社が有する登録会員情報とを照合できてしまうため、「『いいね！』ボタン」から取得されるCookie情報は、Facebookにおいては特定の個人を識別できる情報となってしまい得る点です。Facebookは「データに関するポリシー」において、外部サイトに設置された「『いいね！』ボタン」から閲覧履歴を取得する点について記載をしていますが※11、Facebookが個人を特定できる状態でWebサイト閲覧者から閲覧履歴を取得していた点について、十分な説明がなされていたかどうかという問題が指摘できます※12。