同意バナーと計測のギャップ

英国では、Cookieとそれに類する技術は、2003年プライバシー・電子通信（EC指令）規則（PECR）の第6条によって規律されています。2025年データ（利用・アクセス）法（Data (Use and Access) Act 2025）は、2026年2月5日付で第6条を新たな条文に置き換えました。原則は変わっていません。附則A1に従うことを条件に、何人も、加入者または利用者の端末機器に情報を保存してはならず、また端末機器に保存された情報にアクセスしてはなりません。新しい条文では、保存やアクセスを誘発することもこれに含まれること、そしてアクセスには端末機器から自動的に発信される情報の収集も含まれることが追記されました。

英国情報コミッショナー事務局（ICO）は、2026年4月29日に保存・アクセス技術に関するガイダンスを確定させました。対象は、Cookie、トラッキングピクセル、リンクデコレーション、ローカルストレージ、デバイスフィンガープリンティング、スクリプト、タグです。ガイダンスは、同意要件に対する五つの例外を示しています。通信、厳密に必要なもの、統計目的、表示設定、緊急援助です。

経営向けのレポーティングにとって最も重要なのは、統計目的の例外です。ICOのガイダンスによれば、組織は、サービスの改善を目的として、その利用状況に関する統計情報を収集することが唯一の目的である場合、同意なしにアナリティクスを実行できます。得られる情報は集計されたものでなければならず、訪問者には明確かつ網羅的な情報が提供され、簡単かつ無料で異議を申し立てる手段がなければなりません。第三者のアナリティクス事業者の支援を受けることもできますが、その事業者は処理者として行動しなければならず、データを他の情報源の情報と組み合わせてはなりません。

この例外の境界ははっきりしています。ICOは、オンライン広告の目的は「PECRの同意要件の適用除外ではなく、これまでもそうであったことはない」と述べ、その中に広告の効果測定とパフォーマンス計測を挙げています。コンバージョンを広告パートナーと共有するために訪問者IDを購入と結び付ける場合には、引き続き同意が必要です。

データ（利用・アクセス）法が変えるのは英国法だけです。EUからの訪問者がいる組織は、その訪問者の所在地で適用されるルールに照らして、別途検討を行う必要があります。

Googleのタグを使用しているウェブサイトは、Googleの同意モードを通じて、同意の選択をタグに伝えます。Googleのデベロッパー向けドキュメントには二つの実装方法が記載されており、どちらを選ぶかによって、企業が見られるものが変わります。

基本モードでは、訪問者がバナーを操作するまでGoogleのタグはブロックされます。訪問者が拒否した場合、同意のステータスさえ含め、Googleには一切データが送信されません。その場合、Google Adsのコンバージョンモデリングは一般的なモデルで代替されます。

詳細モードでは、同意を既定で「拒否」とした状態でタグが読み込まれます。同意が拒否されている間はCookieを使わない計測データを送信し、訪問者が同意した時点で初めて完全な計測が始まります。Googleは、これにより一般的なモデルではなく、広告主ごとのモデルが利用できるとしています。

個々の同意タイプには、それぞれ固有の影響があります。analytics_storageが拒否されると、Google AnalyticsはファーストパーティCookieの読み取りも書き込みも行いません。ad_storageが拒否されると、新たな広告Cookieは書き込まれず、IPアドレスは収集時に切り詰められます。ad_user_dataが拒否されると、拡張コンバージョン用のハッシュ化されたファーストパーティデータは送信されません。いずれも、観測でき、セッション全体や再訪問を通じて個々の訪問者に結び付けられる行動の割合を下げます。

Google Analytics 4は、行動モデリングによってギャップの一部を埋めます。これは、アナリティクスCookieを拒否した訪問者の行動を、同意した類似の訪問者の行動から推定するものです。Googleのヘルプセンターは、その条件を挙げています。詳細モードの実装により、すべてのページで同意モードが導入されていなければなりません。プロパティは、analytics_storageが拒否された状態で1日あたり1,000件以上のイベントを、少なくとも7日間収集している必要があります。さらに、過去28日間のうち少なくとも7日間、analytics_storageが許可された状態でイベントを送信する1日あたりのユーザーが1,000人以上いなければなりません。これらの基準を満たしても、適用対象となることが保証されるわけではありません。

トラフィックがそれほど多くないプロパティは、これらの基準を下回ることがあり、Googleはその結果を明確に示しています。モデルを学習させるのに十分な同意済みトラフィックがない場合、同意を拒否した訪問者からのイベントは報告されません。

モデリングが実行される場合でも、一部の機能には及びません。Googleは、オーディエンス、ユーザーエクスプローラ、コホートデータ探索とユーザーのライフタイムのデータ探索、シーケンスセグメント、維持率レポート、予測指標、そしてBigQueryエクスポートを含むデータエクスポートを、対象外として挙げています。したがって、BigQueryエクスポートから取り込んだデータウェアハウスには観測データしか含まれず、一方でレポート用識別子を「ブレンド」にしたGA4の画面には、観測データとモデル化されたデータの両方が表示されます。同じ週のユーザー数がウェアハウスのダッシュボードとGA4の画面で異なる場合、まず確認すべき文書化された理由の一つがこれです。

2026年の例外により、条件を満たすアナリティクスは同意なしで実行できるようになりましたが、広告効果の計測は引き続き同意に依存しています。アナリティクスをこの例外に移行した組織では、アナリティクスのレポート上のセッション数やユーザー数が増える一方、広告プラットフォームが報告するコンバージョンは横ばいのままということが起こり得ます。その差は、各システムが観測を許されている範囲の違いから生じるものであり、その背後に需要の変化はありません。

同意の設定を変更した日は、時系列の断絶として扱います。それをレポーティングカレンダーに記録し、変更前と変更後で別々のトレンドラインを保持し、調整方法を明示しないまま断絶をまたいでコンバージョン率を比較することは避けます。基準系列には、コマースプラットフォームやERPの注文件数を用います。ブラウザが何かを保存することに依存せず、バナーのデザインが変わっても変化しないからです。

CTOは、どの同意管理プラットフォームを使用しているか、Googleの同意モードを基本モードと詳細モードのどちらで実装しているか、そして他のベンダーのものを含め、サイト上のすべてのタグが訪問者の選択を尊重しているかを把握しているべきです。

データ保護責任者は、広告以外の各技術がPECRのどの例外に依拠しているか、訪問者が簡単に異議を申し立てる手段がどこにあるか、そしてアナリティクス事業者との契約がその事業者を処理者として位置づけているかを説明できるべきです。

CMOとCFOは、取締役会で用いる指標のうち、どれが観測値でどれがモデル化されたデータを含むのか、GA4プロパティが行動モデリングの基準を満たしているか、そしてシステム間で数字が食い違う場合にどの系列を基準とするのかを把握しているべきです。いずれの答えにも責任者を明記し、バナー、同意管理プラットフォーム、タグの構成が変わるたびに見直す必要があります。