加速するプライバシー規制と3rdパーティCookieへの制限

2016年のGDPR発表から、2021年の現在に至るまで、年々プライバシー規制が進んでおり、直近では、ブラウザがデフォルトでユーザのプライバシー管理を強化する動きが続いています。今回は、これまでに施行されてきた規制について、まとめましたので、記載していきます。

2016年4月、EUでGDPR可決

EU（欧州連合）で個人のデータ保護とプライバシーを守るために、GDPR（General Data Protection Regulation：一般データ保護規則）が可決されました。これにより、CookieやIPアドレスなど、今まで個人情報とみなされていなかったデータが個人情報となり、取得する際にはユーザーの同意が必要になりました。

2017年9月、AppleでITPリリース

Appleが、クロスサイトトラッキングを防ぐために、ITP（Intelligent Tracking Prevention）をリリースしました。ITPリリースにより、クロスサイトトラッカードメインは、3rd-party コンテキストでのクッキー読み書きが、1st-party コンテキストで最後にアクセスした日時によって、制限がかかるようになりました。

2018年3月、Facebookパートナーカテゴリ提供終了

Facebookが、Cambridge Analytica の不正行為の影響により、パートナーカテゴリ (ターゲティングのための 3rdパーティーデータ) を終了しました。提供終了に伴って、サードパーティーと提携して、広告主（独自の顧客データを持っていない小規模企業）がFacebook上で特定のタイプの顧客にリーチできるようにしていたが、使えなくなりました。

2018年4月、GoogleでDoubleClickIDが終了

Googleがログファイル からDoubleclick ID を削除すると発表されました。GDPRの施行に影響を受けるかたちで、終了になったようです。削除されたことにより、DoubleClick IDをキャンペーンマネージャーやディスプレイから転送し、リターゲティングやアトリビューション分析、フリークエンシーのコントロールに活用することができなくなりました。

2018年4月、GDPRが施行

2016年4月、EUでGDPR可決されましたが、この月からスタートしました。先ほども記載しましたが、CookieやIPアドレスなど、今まで個人情報とみなされていなかったデータが個人情報となり、取得する際にはユーザーの同意が必要になりました。

2018年6月、カルフォルニア州でCCPAが可決

アメリカのカルフォルニア州で、カリフォルニア州消費者プライバシー法（CCPA）が可決されました。CCPAによって、事業者が収集する個人情報のカテゴリーや特定の情報についての開示を要求する権利、個人情報が共有される第三者についての開示を要求する権利、及び、事業者が収集した個人情報の削除を要求する権利などが認められるようになりました。

2019年5月、Googleがフィンガープリントの制限を発表

Chromeユーザーに対して、Cookieの使用への可視性とコントロールを与え、 ユーザーエージェントなどのフィンガープリントの制限することを発表しました。合わせて、Chromeが、ユーザーから追跡の許可が得られない限り、ユーザーが訪問した様々なサイトで何をしているのか把握することができなくなるようにすると発表しました。

2019年9月、Firefoxが3rdパーティCookieをブロックすることを発表

Firefoxが全てのユーザに対して、3rdパーティCookieを自動的にブロックすると発表しました。これにより、Firefoxで3rdパーティCookieがほぼ使えなくなりました。

2019年9月、AppleがITP2.3をリリース

Appleが、クロスサイトトラッキングを防ぐために、ITP2.3（Intelligent Tracking Prevention）をリリースしました。ITP2.3によって、これまでの3rd party cookieの制限強化に加えて、1st party cookieの制限強化、ローカルストレージの制限など、さらに厳しい規制が追加されました。

2020年1月、カルフォルニア州でCCPAが施行

アメリカ カルフォルニア州で、カリフォルニア州消費者プライバシー法（CCPA）が施行されました。施行されたことで、事業者が収集する個人情報のカテゴリーや特定の情報についての開示を要求する権利、個人情報が共有される第三者についての開示を要求する権利、および事業者が収集した個人情報の削除を要求する権利などが認められるようになりました。

2020年1月、Googleが3rdパーティCookie廃止を決定

Googleが2年以内に、Chromeの3rdパーティCookie廃止を決定しました。Chromeにおいても、3rdパーティCookieが使えなくなりました。2年以内と発表されているため、2021年中に施行される予定です。かなりインパクトのある内容でした。

2020年1月、MicrosoftがChromiumベースのEdge配布を発表

Microsoftが、Chromiumベースで動作するwebブラウザEdgeの新バージョンの正式版を配布開始しました。EdgeもChromiumベースのブラウザになったことで、プライバシーに対する規制がより厳しくなりました。

2020年3月、日本で日本版GDPR / CCPAが閣議決定

日本版 GDPR/CCPA「個人情報の保護に関する法律等の一部を改正する法律案」 が閣議決定されました。これによって、ユーザの権利が拡大したり、事業会社の報告義務の強化、罰則の強化などが改正されました。今時点では、各国で実施されているようなCookieは対象にはなっていません。

2020年6月、日本で日本版GDPR / CCPAが可決

「個人情報の保護に関する法律等の一部を改正する法律案」が可決しました。先ほども記載しました通り、ユーザの権利が拡大したり、事業会社の報告義務の強化、罰則の強化などが改正されました。今時点では、Cookieは対象にはなっていません。

2020年6月、iOS14でIDFAトラッキングの制限を発表

Appleが、9月リリース予定のiOS14で、IDFAトラッキングの制限を発表しました。この機能のリリースは、2021年頭になる見込みと告知されています。この制限により、アプリのIDFAが、ユーザの同意を得なければ、取得できなくなりました。

3rdパーティCookieが制限されるブラウザが多く使われています

3rdパーティCookieが制限されるブラウザが日本では多く使われています。日本では、PCはChromeのシェアが圧倒的で、スマホは、Safari / Chromeのシェアが圧倒的です。

Chromeは、2020年1月に、2年以内に3rdパーティCookie廃止すると発表していますので、2020年中にはリリースされる見込みです。Safariは、ITP2.3でこれまでの3rd party cookieの制限強化に加えて、ローカルストレージの制限が7日間になると発表されました。

また、それ以外のFirefoxは、3rdパーティCookieを自動的にブロックすると発表されており、Edgeについても、Chromiumベースのブラウザになったことで、プライバシーに対する規制がより厳しくなりました。

以上のように、3rdパーティCookieが制限されるブラウザがほとんどになっていますので、流れ的に、3rdパーティCookieを使う実装はやめた方が良さそうです。