レストランサイトのCookieを確認する方法：同意・拒否・撤回（2023年のAEPDガイド解説）

レストランサイトのCookie管理では、用途、画面表示、実際の挙動を確認する必要があります。利用者が同じくらい簡単に同意または拒否できるか、選択後にどの機能が停止するか、後からどのように撤回できるかを確かめましょう。ポップアップが閉じることは目に見える変化にすぎず、こうした確認の代わりにはなりません。

AEPDは2023年7月11日にガイドラインの更新を発表しました。Cookieへの同意と拒否は同じように目立つ形で示す必要があります。また、利用者が自ら選んだ言語などの設定に必要で、それ以外の目的に使われない技術Cookieは、同意を得ずに使用できます。この更新への対応期限は2024年1月11日でした。本記事は既存のガイダンスを解説するもので、発表日を新法の施行日として扱うものではありません。

各機能の用途と管理者を特定する

トップページからメニュー、予約、会計へと進み、自社ページと外部サービスを洗い出します。地図、動画、予約、マーケティングの機能名だけでは、用途のすべては分かりません。ウェブサイトのサービス提供者に、端末情報を受け取るか、なぜその情報が必要なのか、設定やその後の更新を誰が担当するのかを確認してください。

• 機能と提供元：導入時の一覧をそのまま写すのではなく、実際に有効になっているサービスを記載します。
• 具体的な目的：利用者のリクエストへの対応、設定の保存、アクセス解析、広告など、用途を分けて記載します。同じ機能に複数の目的がある場合は、それぞれ別に記録します。
• 読み込みの条件：情報のリクエストや保存がいつ行われるのか、拒否後にどの動作が停止するべきかを明記します。
• 管理責任：問い合わせ先と、用途や設定が変更された際に再確認する担当者を記載します。

言語を自分で選ぶことと、サイトが好みを推測することは別

2023年の発表で示された同意不要の条件は、利用者自身が言語などの設定を選び、関連する技術Cookieがそれ以外の目的に使われないことです。取得した情報をもとにウェブサイト側が設定を判断する場合、同じ結論をそのまま当てはめることはできません。また、広告のリターゲティングは、メニューと同じ機能を使うからといって、一律に必要な機能とみなすことはできません。

具体的な適用除外や同意要件については、実際の用途に基づき、資格を持つプライバシーの専門家に判断を求めてください。すべてのアクセス解析ツールを必要なもの、あるいは同意が必須なものと一律に決めつけないでください。用途がなく、管理する人もいないトラッキング機能は、まず削除するかどうかを検討できます。

画面表示と選択後の挙動を分けて確認する

• 初回訪問時：スマートフォンとパソコンの両方で、同意、拒否、設定の各項目が分かりやすく示されているか、隠れていないか、拒否する場合に余計な手順が必要になっていないかを確認します。
• 拒否後：技術サービスの提供者に、管理されたブラウザー環境で、どの通信や情報の保存が行われなくなるのかを説明してもらいます。ポップアップが閉じたことを示すスクリーンショットだけでは不十分です。
• 個別の選択：用途と実際の読み込みの関係を一つずつ確認し、画面上の選択肢が対応する動作を実際に制御できることを確かめます。
• 選び直しと撤回：利用者がどこから設定に戻れるのか、変更後に実際の挙動がどう変わるのかを説明します。保存できない設定画面へのリンクだけを残してはいけません。

言語が異なっていても、同意と拒否は同じように分かりやすく示し、どちらを選ぶかは利用者自身に委ねます。広告を拒否した後にメニューや予約に問題が起きた場合は、利用者にすべてへの再同意を求めて不具合を覆い隠すのではなく、管理担当者に原因を調べてもらいましょう。特別なサービス条件がある場合は、別途専門家に助言を求めてください。

提供事業者が変わったら、確認内容も更新する

予約、地図、広告のサービスを変更すると、従来の説明や利用者の選択が実際の内容と一致しなくなる可能性があります。担当者はサービス提供者に、機能一覧、用途、選択結果を更新するよう求め、まだ確認できていない挙動と引き継ぎ先を明記してください。社内には必要な確認根拠を保管し、問題と関係のない利用者端末の閲覧履歴まで求めないようにします。

Cookie管理だけで、予約時の連絡先、会員情報、決済情報に関するすべての責任をカバーできるわけではありません。これらの情報の用途は、それぞれ個別に確認してください。スタッフは問い合わせや注文を直接サポートし、法的な疑問は適切な責任者に引き継ぎます。特定のツールを導入すれば、その後は永久に法令を遵守できると説明してはいけません。