Cookie同意バナーで「拒否」が見つからない理由　1万4000サイト調査が示した実態と、自社サイトの点検手順

Cookie同意バナーで「拒否」が見つけにくいのは、偶然でも手抜きでもなく、多くの場合は設計の結果です。2026年3月に公開された成均館大学（韓国）の研究チームによる1万4000サイトの調査では、同意は1クリックで終わるのに拒否には複数の操作を要する構造が、バナーを検出できたサイトの6割前後で確認されました。さらに深刻なのは、同意前にCookieが設定される、拒否してもCookieが設定され続けるという、画面の見た目では分からない実装レベルの問題が同じくらい広く見つかった点です。この記事では調査結果の内訳を整理したうえで、EUと日本のルールの現在地、そして自社サイトを点検する具体的な手順をまとめます。

1万4000サイト調査で見つかった「進化したダークパターン」

研究チームは、Cookie同意に関するダークパターン（利用者を不利な選択へ誘導する設計）を自動検出するシステム「UMBRA」を開発しました。先行研究で知られる10種類に、新たに定義した9種類を加えた計19類型を対象とし、EU圏2000サイト、米国2000サイト、世界人気上位1万サイトの計1万4000サイトを調査しています。テキスト解析、視覚的な判定、ボタン操作の追跡、Cookieの状態監視を組み合わせ、複数ステップにまたがる同意フローまで追えるのが特徴です。

結果の主な内訳は次のとおりです。いずれも、同意バナーを検出できた1960サイトに占める割合です。

• 同意は1クリックで済むのに、拒否には設定画面を開いて項目をオフにし保存するなど複数の操作を要する：57〜63%
• 同意を撤回する手段が見当たらない：40〜54%
• 撤回手段はあるが、いつでも撤回できる旨の表示がない、手順が多いなど容易でない：38〜57%
• 同意も拒否もしていない段階で、ページを開いただけで第三者Cookieなどが設定される：EU 44%、米国 83%、世界上位 68%
• 拒否を選んでもCookieが設定され続ける「見せかけの拒否」：23〜25%
• Cookieを拒否して閲覧するには支払いを求める：3〜8%

論文は、撤回に障壁があるサイトではCookieが平均25%増えること、収集したCookieの多くが安全でない属性を持ち、XSS（クロスサイトスクリプティング）やCSRFなどの攻撃にさらされやすい状態だったことも報告しています。ITmediaの記事では、Cookie全体の80%でセキュリティ設定が不十分だったと紹介されています。

注意したいのは、これらの割合が「全Webサイト」ではなく「同意バナーを設置しているサイト」を母数にしている点です。つまり、わざわざ同意取得の仕組みを入れたサイトの中で、これだけの比率で非対称な設計や実装不整合が起きている、という読み方になります。

問題は3つの層に分かれている

調査結果を整理すると、「拒否が見つからない」という体験の裏側には性質の異なる3つの問題が重なっています。これを分けて考えないと、対策もずれます。

1つ目はUIの非対称性です。第1層に「すべて同意」しかなく、拒否は「設定」の先にある。クリック数の差がそのまま同意率の差になります。

2つ目は撤回導線の欠落です。一度同意すると元に戻せない、あるいは戻し方が示されていない。入口の設計だけを整えて、出口を用意し忘れているパターンです。

3つ目は表示と実装の乖離です。同意前にタグが発火している、拒否後も計測が止まっていない。これはバナーの文言やボタン配置を直しても解決しません。

ここは考察になりますが、1つ目は意図的な誘導であることが多い一方、3つ目は「同意管理ツール（CMP）を入れたので対応済み」と考えて検証していない結果として起きやすい問題です。CMPを導入しても、既存のタグがタグマネージャ経由でなく直書きされていたり、同意状態をタグ側が参照していなかったりすれば、Cookieは止まりません。誠実に対応しているつもりのサイトほど、ここを見落とす余地があります。

EUと日本、ルールの現在地

EUでは、EDPB（欧州データ保護会議）のCookieバナータスクフォースが2023年1月に報告書を採択しています。CNIL（フランスのデータ保護機関）の発表によれば、同意ボタンと同じ層に拒否の選択肢がないことは、ePrivacy指令に違反すると考える当局が大多数でした。報告書では、拒否をボタンではなく文中のリンクとして埋め込む設計や、文字が読み取れないほどコントラストの低い拒否ボタンも問題として挙げられています。

日本では前提が異なります。電気通信事業法の外部送信規律（第27条の12）は、タグなどで利用者情報を外部送信する際に、「通知」「公表（容易に知り得る状態に置く）」「同意取得」「オプトアウト措置」のいずれかを求めるもので、Cookieバナーの設置やオプトイン同意を一律に義務づけるものではありません。通知・公表の内容として、送信される情報の内容、送信先の氏名または名称、利用目的を示す必要があり、総務省は日本語で平易に、適切な文字サイズで記載することを求めています。

消費者保護の側では、消費者庁の「デジタル取引・特定商取引法等検討会」が2026年8月24日の第8回会合で中間取りまとめ（案）を示し、ダークパターンについて個別列挙ではなく一定程度包括的な規律を検討すべきだとしています。契約前の表示だけでなく、解約手続を不当に遅延させる行為や、契約時に比べて合理的な理由なく過度に複雑な解約手続を課す行為も規律対象として挙げられました。ただしこの案が直接扱っているのは主に取引・解約の場面であり、Cookieバナー単体を名指しで規制するものではない点は区別して読む必要があります。

民間の自主的な枠組みとしては、ダークパターン対策協会のNDD認定制度があり、「クッキーバナー」が審査領域の1つに含まれています。同協会のガイドライン（Ver1.0）では、同意以外の選択肢が与えられているか、拒否が同意と同じ簡便さで提供されているかに加えて、オプトアウト設定後に実際にCookieが無効化され送信が止まっているかを確認項目に挙げています。見た目と挙動の両方を見るという点で、今回の研究が指摘した問題と同じ方向を向いています。

自社サイトを点検する6つの手順

規制の確定を待つ必要はありません。以下は、今日の環境で実際に手を動かして確認できる順序です。

1. クリック数を数える。同意に何クリック、拒否に何クリック必要かを実測します。差があるなら、第1層に「すべて拒否」を追加するのが最短の改善です。
2. 撤回導線を探す。フッターや常設のリンクから設定画面に戻れるか、戻れることが利用者に分かる形で示されているかを確認します。
3. 同意前の発火を実測する。ブラウザの開発者ツールでCookieを全削除し、バナーに触れずにページを開いた状態でどのCookieが設定され、どのドメインへ通信が発生するかを記録します。
4. 拒否後の挙動を実測する。同じ手順を「すべて拒否」を押した後で繰り返し、差分を見ます。差がなければ、拒否は機能していません。
5. ブロック方式を確認する。タグが同意状態を参照して発火を制御しているか、スクリプトの読み込み自体が止まっているかを、タグマネージャやCMPの設定側で確かめます。直書きされた外部スクリプトが残っていないかも併せて見ます。
6. タグを棚卸しする。何を・どこへ・何の目的で送っているかを一覧にします。これは外部送信規律の通知・公表の記載内容にそのまま使えます。自社発行のCookieについては、Secure、HttpOnly、SameSiteといった属性の設定状況も確認しておきます。

そもそもバナーを出すかどうかから決める

日本のサイトであれば、「Cookieバナーを出す／出さない」は選択の余地がある判断です。外部送信規律への対応は公表やオプトアウト措置でも成立しますし、対象となるかどうかはサイトが提供しているサービスの類型によって変わります。一方で、EUや英国の利用者を対象とするなら、同じ層に同等の拒否を置いたオプトイン同意が前提になります。

判断材料として整理すると、選択肢は大きく3つです。広告タグを使わず計測目的に絞るなら、バナーを出さずに外部送信の内容を分かりやすく公表し、オプトアウト手段を用意する構成が成り立ちます。広告・リマーケティングを行い、かつ国内利用者が中心なら、同意取得とオプトアウトのどちらを選ぶかを目的ベースで決めます。EU圏の利用者が一定割合いるなら、第1層での同等な拒否と撤回導線を備えたオプトイン同意が必要です。

避けたいのは、目的を決めないまま「とりあえずバナーを設置する」ことです。利用者には同意疲れを強い、運用側には検証されない実装が残り、今回の調査が示したような表示と挙動の乖離が生まれやすくなります。計測目的のタグと広告目的のタグを分けて管理しておくと、どちらの方針を取る場合でも対応の見通しが立ちやすくなります。

まずは自社サイトで、拒否に何クリックかかるか、そして拒否を押した後に何が送信され続けているかを一度測ってみてください。その2つの実測値が、改善すべき箇所をほぼそのまま示してくれます。

出典

• arXiv: When the Abyss Looks Back: Unveiling Evolving Dark Patterns in Cookie Consent Banners（Cookie同意バナーにおける進化するダークパターンの解明）
• ITmedia NEWS: なぜCookie同意バナーの「拒否」ボタンは見つからないのか 1万4000サイト調査で見えた“同意させる”手口
• CNIL: EDPBがCookieバナータスクフォースの最終報告書を採択
• 総務省: 外部送信規律について
• 消費者庁: デジタル取引・特定商取引法等検討会 中間取りまとめ（案）
• 一般社団法人ダークパターン対策協会: ダークパターン対策ガイドライン Ver1.0

この記事に関連するchot Inc.の支援

chot Inc.では、数千ページ規模のコーポレートサイトのリニューアルや、古いCMSからの移行を支援しています。リニューアルの進め方と費用の考え方はサイトリニューアル完全ガイドで、支援の内容は大規模サイトリニューアルのサービスページで紹介しています。