cross-jurisdiction-cookies

複数の法域にまたがるCookieコンプライアンス

概要

複数の法域のユーザーがアクセスできるウェブサイトを運営する組織は、法域ごとに異なるCookie同意要件に直面します。EUのePrivacy指令は、必須ではないCookieについて事前のオプトイン同意を義務付けています。英国のPrivacy and Electronic Communications Regulations（PECR）は、Brexit後もこの方式を踏襲しています。カリフォルニア州のCCPA/CPRAはオプトアウト方式を採用しており、Cookieはデフォルトで設定できますが、ユーザーは個人情報の「販売」または「共有」をオプトアウトできなければなりません。ブラジルのLGPDは処理の法的根拠を求めていますが、ePrivacyに相当するCookie固有の規制はありません。このスキルでは、法域ごとの要件マトリックスと、Pinnacle E-Commerce Ltd.向けの統一された実装戦略を提示します。

法域別要件マトリックス

法域別のCookie同意モデル

法域	法的枠組み	同意モデル	デフォルトの状態	主な要件
EU（加盟27か国）	ePrivacy指令 2002/58/EC + GDPR	オプトイン	必須ではないものはすべてブロック	事前の十分な情報に基づく同意。事前にチェックされたチェックボックスは禁止（Planet49）
フランス	ePrivacy + Loi Informatique et Libertés + CNIL Guidelines	オプトイン（厳格）	必須ではないものはすべてブロック	同意と拒否を同等に目立たせること。6か月後の再同意。Cookieの有効期間は最大13か月
ドイツ	TTDSG (Telekommunikation-Telemedien-Datenschutz-Gesetz) + GDPR	オプトイン	必須ではないものはすべてブロック	TTDSG第25条に基づく同意が必要。BGHによるPlanet49判決の実施
英国	PECR (SI 2003/2426) + UK GDPR	オプトイン	必須ではないものはすべてブロック	EU ePrivacyと同様。ICOによる執行
米国、カリフォルニア州	CCPA/CPRA (Cal. Civ. Code §1798.100 et seq.)	オプトアウト	Cookieはデフォルトで設定可能	「個人情報を販売または共有しない」リンク。GPCシグナルを尊重
米国、コロラド州	CPA (C.R.S. § 6-1-1301 et seq.)	オプトアウト	Cookieはデフォルトで設定可能	ユニバーサル・オプトアウト・メカニズムを認識
米国、コネチカット州	CTDPA (P.A. 22-15)	オプトアウト	Cookieはデフォルトで設定可能	ユニバーサル・オプトアウト・シグナルを尊重
米国、バージニア州	VCDPA (Va. Code § 59.1-575 et seq.)	オプトアウト	Cookieはデフォルトで設定可能	ターゲティング広告と販売のオプトアウト
ブラジル	LGPD (Lei 13.709/2018)	法的根拠が必要	主張される法的根拠による	同意または正当な利益。ANPDのガイダンスは策定中
カナダ	PIPEDA + 提案中のCPPA (Bill C-27)	黙示の同意（変更の可能性あり）	通知すれば設定可能	意味のある同意。一部のCookieでは黙示の同意で足りる場合あり
韓国	PIPA（2023年改正）+ Act on Promotion of IT Network	トラッキングにはオプトイン	必須ではないものはブロック	トラッキングCookieには同意が必要。厳格な執行
日本	APPI（2022年改正）+ Cookie規制（2023年）	第三者共有にはオプトイン	状況による	Cookieデータを第三者と共有する場合は同意が必要

詳細な要件の比較

要件	EU ePrivacy	UK PECR	California CCPA/CPRA	Brazil LGPD
分析用の事前同意	必要	必要	不要（オプトアウト方式）	法的根拠による
広告用の事前同意	必要	必要	不要（オプトアウト方式）	必要（同意を推奨）
厳密に必要なものへの同意	不要（免除）	不要（免除）	該当なし	該当なし
クッキーウォールの許可	不可	不可	不可（サービスを拒否できない）	不可
承諾と拒否を同等に目立たせる	必要（CNIL、一部のDPA）	推奨（ICO）	該当なし（オプトアウト方式）	規定なし
GPC/DNTへの対応義務	法的義務なし（ただしEDPBが推奨）	法的義務なし	必要 — GPCは有効なオプトアウトとして扱う	規定なし
同意記録の保管義務	必要（GDPR Art. 7(1)）	必要（UK GDPR Art. 7(1)）	不要（ただし推奨）	必要（LGPD Art. 8, §2）
クッキーの最長有効期間	13か月（CNIL）	規定なし	規定なし	規定なし
再同意の頻度	6か月（CNIL）、DPAにより異なる	規定なし	該当なし	規定なし
オプトアウトリンクの設置義務	不要（ただし簡単に撤回できる必要がある）	不要	必要 — 「Do Not Sell or Share」	不要
プライバシーポリシーのクッキーに関する項目	必要	必要	必要	必要
子どもに関する固有の要件	GDPR Art. 8（16歳、または加盟国が定める13歳以上の最低年齢）	UK GDPR Art. 8（13歳）+ 年齢に応じたデザインコード	CCPAでは16歳未満のユーザーにオプトインが必要	LGPD Art. 14（子どもの最善の利益）

ジオロケーションに基づく実装

Pinnacle E-Commerce Ltdのアーキテクチャ

User Request
    │
    ├── Determine user jurisdiction
    │   ├── Primary: IP geolocation (MaxMind GeoIP2 or similar)
    │   ├── Secondary: Accept-Language header
    │   ├── Tertiary: User account country setting
    │   └── Fallback: Most restrictive (EU opt-in)
    │
    ├── Select consent configuration
    │   ├── EU/UK → Opt-in banner (full CNIL-style for FR)
    │   ├── US-CA → Opt-out with "Do Not Sell or Share" link
    │   ├── US-CO/CT/VA → Opt-out with universal opt-out support
    │   ├── US-other → Notice-only (monitor state law developments)
    │   ├── Brazil → Consent banner (LGPD legal basis)
    │   └── Other → Apply most restrictive applicable standard
    │
    └── Load appropriate consent experience

管轄区域ごとの設定

EU/EEAの設定：

設定	値
バナーの種類	オプトイン方式。承諾と拒否を同等に目立たせる
クッキーのデフォルト状態	必須ではないものはすべて拒否
同意前にブロックするタグ	GA4、Meta Pixel、Hotjar、Google Ads、すべての広告
同意の保存	ファーストパーティークッキー + サーバー側の記録
再同意の間隔	6か月（CNILの標準。簡素化のためEU全域に適用）
クッキーの最長有効期間	13か月
GPCシグナルの処理	広告・ターゲティングのオプトアウトとして扱う

UKの設定：

設定	値
バナーの種類	オプトイン方式。承諾と拒否を明確に表示
クッキーのデフォルト状態	必須ではないものはすべて拒否
同意前にブロックするタグ	EUと同じ
法的枠組みの参照	PECR Regulation 6
ICO固有の設定	ポリシーにICOのクッキーガイダンスへのリンクを掲載
再同意の間隔	12か月（ICOは指定していないため、年1回が妥当）

Californiaの設定：

設定	値
バナーの種類	オプトアウトリンク付きの通知バナー
クッキーのデフォルト状態	すべてのクッキーをデフォルトで設定
必須のリンク	フッターに「Do Not Sell or Share My Personal Information」を掲載
GPCシグナル	有効なオプトアウトとして尊重する必要がある（Cal. Civ. Code §1798.135(e)）
オプトアウトの適用範囲	広告クッキー、およびPIの「販売」や「共有」
金銭的インセンティブに関する通知	データ収集に関連付けたロイヤルティプログラムを提供する場合に必要
16歳未満のユーザー	オプトインが必要（トラッキングクッキーをデフォルトで設定しない）

Brazilの設定：

設定	値
バナーの種類	同意バナー（オプトインを推奨）
クッキーのデフォルト状態	必須ではないものは拒否（ANPDのガイダンスが出るまで保守的に対応）
法的根拠の選択肢	同意（Art. 7, I）または正当な利益（Art. 7, IX）
クッキーポリシー	ポルトガル語で提供する必要がある
ANPDのガイダンス	クッキーに関する個別規制の動向を確認（公表が見込まれる）
データ主体の権利	LGPDに基づくアクセス、訂正、削除、ポータビリティ

管轄区域ごとの同意状態の保存

管轄区域	同意 Cookie 名	内容	有効期間
EU	pinnacle_consent_eu	{version:"v3",analytics:false,advertising:false,functionality:false,timestamp:"2026-03-14T10:00:00Z"}	6 か月
UK	pinnacle_consent_uk	{version:"v3",analytics:false,advertising:false,functionality:false,timestamp:"2026-03-14T10:00:00Z"}	12 か月
US-CA	pinnacle_consent_ccpa	{version:"v2",optout_sale:false,optout_sharing:false,gpc:false,timestamp:"2026-03-14T10:00:00Z"}	12 か月
Brazil	pinnacle_consent_lgpd	{version:"v2",analytics:false,advertising:false,timestamp:"2026-03-14T10:00:00Z"}	12 か月

複数の管轄区域にまたがる Cookie ポリシー

Pinnacle E-Commerce Ltd のポリシー構成

Cookie ポリシーでは、サービスを提供するすべての管轄区域に対応する必要があります。

セクション 1 — 使用する Cookie すべてのユーザーに共通する、カテゴリ別の Cookie 一覧を記載するセクションです。

セクション 2 — 所在地ごとの権利

所在地	Cookie に関する権利
欧州経済領域	必須ではない Cookie が設定される前に、それを承諾または拒否する権利があります。事前の同意なしに、分析、広告、または機能性 Cookie を設定することはありません。
イギリス	Privacy and Electronic Communications Regulations（PECR）に基づき、必須ではない Cookie が設定される前に、それを承諾または拒否する権利があります。
アメリカ合衆国カリフォルニア州	Cookie を通じて収集された個人情報の「販売」または「共有」をオプトアウトする権利があります。この権利を行使するには、「個人情報を販売または共有しない」をクリックしてください。Global Privacy Control（GPC）信号を尊重します。
ブラジル	Lei Geral de Proteção de Dados（LGPD）に基づき、お客様の同意を根拠として Cookie データを処理します。同意はいつでも撤回できます。
アメリカ合衆国のその他の州	州によっては、ターゲティング広告をオプトアウトする権利がある場合があります。ユニバーサルオプトアウトの仕組みを尊重します。

セクション 3 — Cookie の管理方法 同意バナー、ブラウザー設定、GPC の使用方法を説明します。

セクション 4 — 本ポリシーの更新 変更履歴と重要な変更の通知手順を記載します。

複数の管轄区域にまたがるコンプライアンスのテスト

検証マトリックス

テスト	EU	UK	California	Brazil
初回訪問時にバナーが表示される	オプトインバナー	オプトインバナー	オプトアウトリンク付きの通知	同意バナー
操作前に必須ではない Cookie が設定されない	検証	検証	該当なし（Cookie は許可）	検証
「すべて承諾」で全 Cookie が設定される	検証	検証	該当なし	検証
「すべて拒否」で必須ではない Cookie がブロックされる	検証	検証	該当なし	検証
「販売しない」リンクが表示される	該当なし	該当なし	フッターで検証	該当なし
GPC 信号が尊重される	推奨	推奨	必須 — 検証	推奨
同意がページ間で保持される	検証	検証	検証	検証
同意が所定の期間で期限切れになる	6 か月	12 か月	12 か月	12 か月
Cookie ポリシーにアクセスできる	検証	検証	検証	検証（ポルトガル語）

主な法的参考資料

• ePrivacy Directive 2002/58/EC, Article 5(3) — EU の Cookie 同意要件
• UK PECR (SI 2003/2426), Regulation 6 — イギリスの Cookie 同意要件
• CCPA/CPRA (Cal. Civ. Code §1798.100 et seq.) — カリフォルニア州における販売・共有のオプトアウト方式
• California AG Regulations, 11 CCR §7025 — 有効なオプトアウト手段としての GPC
• LGPD (Lei 13.709/2018), Articles 7-8 — ブラジルの同意要件
• CJEU Case C-673/17 (Planet49) — 積極的な同意、有効期間および第三者アクセスの開示
• TTDSG Section 25 — ePrivacy の Cookie 要件に関するドイツでの実施
• CNIL Deliberation No. 2020-091 — フランスの Cookie ガイドライン
• UK ICO Guidance on Cookies and Similar Technologies (2023) — PECR コンプライアンスガイダンス
• Colorado CPA Rules, 4 CCR 904-3, Rule 5.11 — ユニバーサルオプトアウトの仕組みに関する要件