ChromeサードパーティCookie終了後のリタゲ広告などの対処法

Google ChromeでサードパーティCookieが段階的に排除されると、2020年1月に発表され話題となった。デジタルマーケティングに影響を与えることは必至であり、今後の対応について悩ましく思っている人も少なくないだろう。

「Web担当者Forum ミーティング 2020 春」に登壇した、プリンシプルの中村研太氏は、Google ChromeでサードパーティCookieのサポート終了による影響や、すでにサードパーティCookiの排除が行われたITP、法律面でGDPR、CCPA、個人情報保護法などについても説明。今後、マーケターがとるべき対応について解説した。

激震！ サードパーティCookieのサポート終了の影響とは

2020年1月、「GoogleがサードパーティCookieのサポート終了を発表した」というニュースが、日経新聞の一面に取り上げられ、大きな話題となった。

情報ソースは、Google Chrome（以下、Chrome）の開発者ブログである「Chromium Blog（クロミウム ブログ）」だ。ブログには、Chromeが今後目指す方向性が示され、サードパーティCookieのサポート終了はその一部として書かれていた。Chromeが目指す今後のインターネットとは、「個人情報保護を前提として、広告に支えられた無料のインターネット世界（ad-supported web）を維持できる」という考えに基づき、「新たなエコシステム」を構築しようというものだ。

この発表では、サポートの終了時期は明示されていないが、2022年1月頃には、サードパーティCookieのサポート終了が予測されている。つまり、今後1年半をめどにマーケターをはじめ、各担当者はChromeが目指している「新たなエコシステム」へ対応する必要がある。

なぜサードパーティCookieのサポート終了が話題になったのだろうか。そもそも、Cookie（HTTP Cookie）とは、Webサーバーとブラウザの間でデータをやりとりする仕組みの1つで、Webサイトが発行する情報をブラウザに保存できる。たとえば、ログインの維持や検索条件の保存、カート情報の維持などだ。

Cookieには、「どのドメイン名のCookieか」という情報が含まれている。たとえば、訪問しているWebページのアドレスバーに表示しているドメイン名と、Cookieに紐づいているドメイン名が同じならば「ファーストパーティCookie」と呼ばれる。このCookieはお気に入り機能やSNS連携、その他パーソナライズなどにも活用されている。

そして、それ以外のドメイン名からのものが「サードパーティCookie」と呼ばれる。これは、複数のサイトを横断して閲覧を追跡記録できる。そのため、解析ツールや広告のCVトラッキング、広告のターゲティングなどに使われてきた。

このサードパーティCookieを「ユーザーのプライバシー保護の観点からサポート停止する」と、Chromeが発表したことにより、CVの計測やリターゲティング広告にCookieが使用できなくなり、リマーケティングやリターゲティングもできなくなるというので話題になった。

ITPとは？

さらにもう1つのキーワードが「ITP（Intelligent Tracking Prevention）」だ。ITPとは、Safariブラウザでのトラッキングを防止する仕組みのことで、Appleがユーザー情報保護の考えのもと2017年9月に発表した。

ITP1.0発表以降、ITP環境でも正確にトラッキングしようと、各社でタグの張り替えなどさまざまな対策が採られた。しかし、しばらくするとITP側も更新し、また各社がトラッキングを試みるという、いわば“いたちごっこ”が続いていた。

2019年9月に発表されたITP2.3は、サードパーティCookieを一切保存せず、JavaScriptからのCookieも1日しか保存しない。さらに、トラッキングするために一部の広告媒体がCookieの代わりに使用していたローカルストレージも7日で削除。CVトラッキングやリマーケティング広告の配信はおろか、解析やA/Bテスト、接客といった各種ツールやCDP・DMPも使えなくなるなど、マーケターにとっては非常に厳しい内容だ。

変化する個人情報の法規制。GDPR、CCPAと日本の個人情報保護法

こうしたサードパーティCookieの規制や、ITPが生まれた背景にあるのが各国の法規制だ。その発端となったのが、2018年5月25日に欧州で発効されたGDPR（General Data Protection Regulation）である。

GDPRは一般的なデータの保護規制を定めたもので、データの管理業者と処理業者に対して新たな義務と責任が課されることになった。IPアドレスやCookieは個人情報とみなされ、それらの取得時にはユーザーの同意が必要となり、違反すると巨額の罰金が科せられる。

これに連動して、米国カリフォルニア州でも「CCPA（California Consumer Privacy Act）」というGDPR同様の法律が制定され、カリフォルニア州発の企業としてGoogle、FacebookなどがGDPR/CCPA準拠を前提としようとしている。

そして日本では、2020年3月10日に「個人情報の保護に関する法律等の一部を改正する法律案」が通常国会に提出。6月5日の国会で可決し、6月12日に公布された。

その中で特筆すべきなのは、Cookie自体は個人データでは「ない」という判断だ。ただし、個人データとは別に「仮名加工情報」という新たな考え方ができた。これは、提供元では個人データには該当しなくとも、提供先のデータと照合することで個人データに該当する場合、第3者提供については本人同意が得られているかなどの確認を義務付けるというものだ。

このように、データ利用条件を厳格化するのに伴い、政府の個人情報保護委員会は、罰則に関しても強化した。委員会の命令に違反した場合以前は、6か月以下の懲役または、30万円の罰金だったのに対し、1年以下の懲役または、100万円以下の罰金に引き上げられている。虚偽の報告をした場合も、以前は30万円以下の罰金だったのに対し、50万円以下の罰金に変わっている。

また、これまで個人と同額（50万円又は30万円以下の罰金）だった法人に対する罰金は、1億円以下の罰金に引き上げられている。

進む法整備に合わせた新ルール。「Privacy Sandbox」が目指すこと

個人情報保護の法整備を背景にITPが推し進められ、ChromeでもサードパーティCookieのサポートが終了……となれば、もはやデジタルマーケティングができなくなるのかと不安になるのも無理はない。しかし、中村氏は今後のマーケティングについて次のように語った。

サードパーティCookieなしでも、広告を含めたトラッキングでユーザーに有益な施策を提供し、広告に支えられた無料のインターネット世界（ad-supported web）を維持できるという考え方がある。つまり、新しい個人情報保護ポリシーを前提として、新たなエコシステムを構築しようとしている（中村氏）

新たなインターネットのエコシステムとして、2019年8月から動き出しているのが「Privacy Sandbox（プライバシーサンドボックス）」だ。Privacy Sandboxでは、プライバシーについて以下の3つの原則に基づいて議論がなされている。

1. 個人情報がどのように集められ、どのように広告に用いられているかをユーザーが容易に確認できる「透明性」が維持されていること。
2. ユーザーに、個人情報の取り扱いや好ましいWeb体験に対する「選択肢」があること。裏で勝手に個人情報が扱われることがなくなること。
3. ユーザーが、自身の個人情報の扱われている範囲について把握し、提供範囲を「コントロール」できる状態であること。

Privacy Sandboxではこれらを担保し、実現できるCookieについて議論し、技術的に開発しつつあるという。どのようなものが提供されるのかまだ不明だが、少なくともこれら3つの要件は満たされるはずだ。

具体的な開発事項としては、次の3項目が示されている。

• 新しいクロスサイトトラッキング手法の開発
• サードパーティCookieをなくす
• 対策を回避するための「抜け道」をなくす

新しいクロスサイトトラッキングの開発

これはスパムやアドフラウドなど不正広告をコントロールするAPI、クリックスルーコンバージョンやアトリビューションに関するAPIなど、広告コンバージョン計測のためのAPI開発などがあげられる。さらに、ファーストパーティデータとコンテクスト、サイト内行動に基づいたターゲティングや、興味情報に基づいたターゲティング（FLoC）なども個人情報を特定しない方法が考えられている。また異なるサイトをまたいだ共通ログインなども開発中だという。

サードパーティCookieをなくす

なお、サードパーティCookieの終了については、まずファーストパーティとサードパーティそれぞれのCookieを分け、さらにサードパーティCookieにSameSiteという属性を必須として安全性で分類するという。そして、ファーストパーティセットという概念を作成したうえで、サードパーティCookieが終了するという流れだ。

対策を回避するための「抜け道」をなくす

また、その他の方法で試みられているユーザートラッキングについても、そぐわないものは対応していく予定だという。たとえばFingerprinting（フィンガープリンティング）系やCNAME（シーネーム）方式でのトラッキングなどについてもサードパーティCookieを使わない技術だが、前述の3つの原則にそぐわないという判断から、使えない仕様になっていくと思われる。

Cookieは便利であるために、さまざまなものに使われてきた。しかし、あまりに自由に使われすぎたため、ITPなどによって制限されるようになった。そこでAPIごとに目的を明確化して管理し、ユーザーの合意を前提とした新しいトラッキングへと変えていこうとしている（中村氏）

これらが実現すれば、個人の意思で「広告のトラッキングは許可するが、ターゲッティングには応じない」などの選択も可能になるわけだ。

アフターサードパーティCookieへ対応するために

それでは、サードパーティCookieが終了するであろう1年半後に向けて、マーケターとして何をするべきなのか。中村氏は以下の3つの観点から提言をした。

1. 事業者として
2. マーケターとして
3. 成果を出すために

それぞれを説明する。

事業者が対応すべきこと

事業者として対応すべきことの筆頭は、「日本の法律準拠」だろう。新しい個人情報保護法が国会を通過した後に、法律に準拠した対応がとれていなければならない。

Cookieは個人データとされないことから、欧米のようにサイト訪問者すべてにプライバシーポリシーへの同意を求める必要はないという見通しだが、個人情報開示要求に対する準備、プライバシーポリシーの更新などは必要になる。また、海外ユーザー向けにも対応している場合は、GDPR、CCPAも踏まえた個人情報取り扱いが必要だ。

マーケターが対応すべきこと

マーケターが現時点で行うべきことには、「ITP対応」があげられる。解析トラッキングツール系の対応や広告施策の各種トラッキングの管理や、既にとれなくなっているデータ（Safariからのコンバージョンなど）があるならば制約範囲を把握する必要がある。

また「個人のデータを前提としたマーケティング活動の方針策定」も重要であり、現在のCookieのSameSite属性の扱いについてエンジニアと連携し、解析ツールなどのCookieレベルのデータ活用や、CDP/CRMなどの個人データ活用について考えることも求められる。

今後はChromiumプロジェクトの動向を把握し、これまで紹介したような「新しいCookie」のWebサービスへの適応が不可欠となるだろう。サイトで利用するCookieは自社のエンジニアや制作会社と、マーケティング関係であれば解析/広告系Cookieについてサービスベンダー、媒体社、代理店と協議して連携する必要がある。

中村氏は、「やることは山ほどあるが、しっかりと背景や動向を理解し振り回されないことが大切」と強調し、以下のように語った。

個人情報の『透明性』『選択肢』『コントロール』を前提に進んでいくことは間違いない。これを前提に施策を判断し、「抜け道」的な施策は中期的にふさがれる可能性があるので手を出さない方が賢明だろう。そうした方針を見据え、先を見据えて、個別の事象は定期的に意思決定しながら進めるのがいいのではないか（中村氏）

成果を出すために

そして「成果を出すために」として、中村氏は「デジタルマーケティングの方向性を予測し、対応することが大切」と語る。

これまで強化されていた「直接個人の行動データに基づいたターゲティング広告」は縮小され、「個人情報ではない形で集計された属性情報をベースにした広告」へとシフトすることは間違いない。それはGoogleやFacebookなどのプラットフォーマーによって提供される可能性が高く、ブラウザにAPIの情報が貯まって新たな広告が登場する可能性もあるという。

さらに「行動データ」に対するターゲティングからコンテキストや、その瞬間のニーズに対する広告やクリエイティブの最適化があるのではないかと、中村氏は予測する。

たとえば既存の技術として検索連動や閲覧コンテンツと連携して最適化が進み、新しい機会としてサイネージやタクシーといったロケーション系の広告も登場してくるかもしれない。モニタやアンケート、会員サービスなどオプトイン型のサービスなどの広がりも考えられる。

最後に、中村氏は「新しいCookieへ移行するには、まずは2つの取り組みが必要」と強調したうえで、以下のように語った。

まず、多くの広告の『コンバージョン』の定義が変わるなかで、『マーケティング戦略とKPIの再設計』が不可欠となる。そして、コンバージョン等のマーケティングデータ、DMPなどの顧客データについて、今後の活用方針の再策定とプラットフォーム（DMP/BI）の再整理や可視化も必要だろう。これまでとは異なるルールでの施策となることを十分に意識することが大切（中村氏）