クッキー同意バナーとサイトフッターは、法務と信頼にかかわる部分で、日本のユーザーはどちらもよく読みます。APPIを踏まえない書き方、期待と違うフッター構成、的外れな同意文言があれば、海外ベンダーだとすぐにわかります。B2Bでは、日本で事業をきちんと運営する準備ができていない会社だと受け取られます。
欧米のデジタルUXでは、フッターは「法務の物置」のように扱われがちです。ほとんどのユーザーがクリックしないリンクの置き場で、コンプライアンス部門に言われて置き、目立たないように作られています。日本のB2Bユーザーの読み方は違います。特にベンダー評価の段階では、自分から読みにいきます。海外企業が日本で正規に、きちんと事業をしているかを確かめる主な場所の一つだからです。
日本のB2Bサイトのフッターは、情報の並べ方がかなり決まっています。日本のビジネスパーソンは、信頼できる日本企業のフッターがどんな見た目か、つまりどんな項目がどの順で並び、どんな法的開示があるかを感覚で知っています。この形から外れたフッター、特にあるはずの項目が欠けたフッターを見ると、評価する側は「この企業は、日本で事業を行うために必要なことをやっているのか？」と疑問を持ちます。たとえば特定商取引法に基づく表記がないのは、小さな抜けでは済みません。要件を知らないのか、守らないと決めたのか、どちらかに見えます。どちらに取られても、調達の評価ではプラスになりません。
クッキー同意バナーも、同じように「能動的に読む」対象です。日本のデータ保護の文化は、数十年にわたる厳しい消費者プライバシーの規範の上に育ってきました。企業による個人データの扱いに日本の消費者が慎重なのは、よく知られています。GDPRのテンプレートをそのままコピーし、単語だけ置き換えたのが明らかなクッキーバナーを見れば、このベンダーの日本向けプライバシー対応は、もともとあったものではなく後から継ぎ足したものだと受け取られます。反対に、APPIに沿った文言と考え方で書かれたバナーなら、日本の規制を理解している会社だと伝わります。
正確で、日本の状況に合ったクッキーバナー文言を書くには、APPIとGDPRの法的な違いを押さえておく必要があります。両者は別の規制の枠組みなので、GDPR対応のために書いたバナー文言は、そのままではAPPIの要件にうまく当てはまりません。それどころか、サイトがどんな法的根拠でデータを処理しているのか、日本のユーザーに誤解させるおそれもあります。
GDPRは、必須でないクッキーを設定する前に明示的な同意を取ること、クッキーのカテゴリ（必須・分析・マーケティング）ごとに細かく選べるようにすること、決められた「同意の撤回」の仕組みを用意することを求めています。そのためGDPRのバナーは、カテゴリごとのトグル、すべて同意するボタン、すべて拒否するボタン、各カテゴリの詳しい説明がそろい、たいてい複雑になります。
APPIの考え方は違います。クッキーは、それだけでは識別可能な個人と紐づかないかぎり、APPI上は自動的に個人情報とはみなされません。2022年の改正では、仮名加工情報や第三者と共有するデータの扱いについて新しい要件が加わりましたが、GDPRのように分析クッキーの「展開前のオプトイン」を一律に求めるものではありません。
クッキーバナーの文言について、実務上はこう考えます。日本のユーザーも含めて全員に同じバナーを出しているなら、GDPR対応の構成を弱める必要はありません。そのうえで、日本でデータがどう扱われるかを、APPIに沿って書き足します。日本専用の文言を用意するなら、同意か拒否かの二択を細かく作り込むより、データを何に使うのか、APPIが定める権利に基づいてユーザーがどうすれば拒否や削除の請求ができるのかを伝えることに重点を置けます。
| 観点 | GDPRのアプローチ | APPIのアプローチ |
|---|---|---|
| 同意の要件 | 必須でないクッキーを設定する前にオプトインが必要 | 一律のオプトイン義務はなし。開示と利用目的の特定が必要 |
| クッキーの分類 | クッキーはしばしば個人データ。厳格なカテゴリ分けが必要 | 個人と紐づかないかぎり、クッキーは自動的には個人データではない |
| 第三者との共有 | 明示的な同意が必要。データ処理者を列挙する必要がある | 第三者提供は開示が必要。2022年改正後はオプトアウトのルールがより厳格に |
| ユーザーの権利 | アクセス・削除・ポータビリティ・異議申し立ての権利 | 開示・訂正・削除の請求権 |
| バナーの設計 | 複雑。きめ細かなカテゴリのトグルが標準 | よりシンプルな構成で許容。カテゴリのトグルより目的の説明が重要 |
日本語のクッキーバナーで最も多いローカライズの失敗は、手間を最小限で済ませるやり方です。英語のバナーを持ってきて、ボタンの文字だけ訳して終わりにする。その結果、何の説明もなく「同意する」や「承認する」とだけ書かれたバナーができあがります。何に同意するのかを知りたい日本のユーザーには、手抜きに見えます。
日本語の同意文言では、目的をはっきり書くのが慣習です。APPIはデータ処理の目的の開示を求めており、日本のユーザーもそれを当然と考えています。「このサイトはクッキーを使用します。同意しますか？」とだけ書いたバナーでは、目的が何もわかりません。クッキーがサイトの機能のためなのか、分析なのか、広告なのか、その全部なのか、ユーザーには判断できません。短くても目的を書いたバナー、たとえば「このサイトでは、サービス改善のためにクッキー（Cookie）を使用しています」なら、ユーザーが口に出さずに抱いている疑問に答えるので、すぐに信頼されやすくなります。「何のために？」という疑問です。
同意ボタンの主なラベルは小さな選択ですが、語調ははっきり変わります。「すべて同意する」は技術的には正確でも、少し身構えさせます。「すべて」という語から、一度に全部への同意を迫られていると感じ、プライバシーに敏感なユーザーほど警戒しかねません。「同意して続ける」は柔らかく、同意を包括的な法的合意ではなく、閲覧をそのまま続ける流れとして見せます。プライバシーやコンプライアンスを意識するエンタープライズユーザー向けの日本のB2Bサイトでは、「同意して続ける」のほうが、配慮があって押しつけがましくないと受け取られやすいです。
日本のバナーがつまずきやすいのは、むしろ二番目のボタン、つまり拒否やカスタマイズの選択肢です。「すべて拒否する」は突き放した印象になります。「必要なもののみ使用する」のほうが自然で、コンプライアンス意識の高い企業ならこう書くだろうと日本のユーザーが思う言い方に合います。「設定を変更する」も問題なく、日本の主要プラットフォームでも使われています。
ローカライゼーションチームの間でよく聞く心配があります。日本語の「クッキー」は焼き菓子とブラウザの保存の仕組みの両方を指すので、混乱を招くのではないか、というものです。理屈としてはもっともですが、実務では見た目ほどの問題にはなりません。「クッキー」はブラウザのcookieを指す日本語の技術用語として定着しており、Google Japan、Yahoo Japan、LINE、楽天をはじめ、日本の主要プラットフォームのほぼすべてが使っています。ウェブサイトでこの語を見た日本のユーザーは、文脈から技術的な意味だとすぐにわかります。
よくあって影響も大きい失敗は、「クッキー」という語そのものではなく、その使い方にあります。「クッキー」を添えずにCookieと英語だけで出すと、バナーのローカライズに手間をかけなかったサイトに見えます。反対に「クッキー」だけで括弧書きがないと、技術に詳しくないユーザーにはぴんと来ないことがあります。日本の先進的なSaaSやメディア企業がしているように、初出で「クッキー（Cookie）」と書くのが一番です。日本語の用語と、以前GDPRのバナーで見かけたかもしれない英語を両方示せます。この小さな工夫だけで、大がかりな書き直しをしなくても、日本のユーザーに配慮していることが伝わります。
日本のB2Bサイトのフッターには、エンタープライズ向けの日本企業が十数年以上そろえてきた、事実上の標準の形があります。調達チームや評価担当者はこの形を体で覚えていて、信頼できるかをすばやく確かめるチェックリストとして使います。形どおりのフッターは引っかからずに通り、外れたフッターは一瞬、疑いを招きます。
日本のB2Bフッターが含むべき5つの中核セクションを、おおよそ期待される順に挙げます。
B2Bプロダクトの信頼を高める補助的な項目もあります。採用情報（Careers）は成長している企業であることを伝え、資料ダウンロード（Document Downloads）は主な資料の入口になり、サポート（Support）やヘルプセンター（Help Center）は導入後のユーザーのためのものです。必須ではありませんが、あるかないかは見られています。
特定商取引法（よく特商法と略されます）は、日本の相手と通信販売やオンラインの取引をする事業者に、事業者自身と取引について一定の情報を開示するよう求めています。日本で登記した企業に限らず、日本の購買層が使えるオンラインストアやサブスクリプションサービスを運営する海外企業にも適用されます。
特商法のもとで求められる情報には、次のものが含まれます。販売業者（seller's legal name）、住所（address）、電話番号（phone number）、代表者または責任者の氏名（name of the representative or manager）、税込のサービス価格（price of the service including tax）、お支払方法・時期（payment methods and timing）、解約・返品について（cancellation policy）、そして表示価格に含まれない送料や設置料などの追加費用。
日本のユーザー向けにサブスクリプションプランを出している海外SaaS企業にとって、実務上の結論ははっきりしています。日本のユーザーがサイトで有料プランに申し込めるなら、特定商取引法に基づく表記のページを用意し、フッターからリンクする必要があります。新しいSaaSベンダーを評価するとき、日本の調達チームや法務チームが真っ先に指摘するものの一つが、このページの有無です。ページがあれば、日本できちんと事業をするための法令対応を済ませた会社だと伝わります。候補を絞り込む段階で効いてくる信頼材料です。
英語と日本語の両方で展開するプロダクトには、日本のユーザーが探さなくても見つかる言語切り替えが要ります。日本では置き場所とラベルの慣習がはっきりしているので、それに従うのが得策です。外れると、英語ページから日本語に切り替えたいユーザーが、小さいながら確かにつまずきます。
配置：定番の位置は2つです。フッターの右下（フッターを作り込んだSaaSプロダクトで最も多い）と、ヘッダーのナビゲーションバーの右上（切り替えをすぐ目に入れたいグローバル展開のプロダクトで増えています）。フッターの列の中の目立たないドロップダウンに言語切り替えを埋めてしまうと、効果はずっと落ちます。たいていのユーザーはそこまで探しません。
ラベル：いちばん大事な慣習は、言語名を英語ではなく、その言語自身で書くことです。日本語の選択肢は「Japanese」や「JP」ではなく「日本語」と書きます。英語の選択肢は「English」または「EN」です。ラベルのない地球儀アイコンだけでは、どの言語があるのかわかりません。それを見た日本のユーザーは、クリックすると何が起きるのかを推測するしかありません。地球儀アイコンは文字ラベルの補助としてなら使えますが、ラベルの代わりにはなりません。
日本語ミニ診断では、クッキーバナーの文言、APPIを踏まえた書き方、フッター構成の抜け、特定商取引法に基づく表記の有無、言語切り替えの配置を見ます。どれも、日本の調達チームがベンダーを候補に入れる前に確かめる、法令対応と信頼にかかわる部分です。
ミニ診断を依頼する日本法人の担当者が本社から届いたバナー文言を法務・情報システム部門に回すと、「これは個人情報保護法のどこに基づく文言か」と聞き返されることがよくあります。クッキーまわりで照合先になるのは、2022年4月1日に施行された改正で新設された「個人関連情報」の規律です。以下は、条文とガイドラインの該当箇所を並べ、バナーとプライバシーポリシーで確かめる点に置き換えたものです。法解釈そのものではなく、社内で確認を依頼するときの論点整理としてお使いください。個別の判断は弁護士など専門家にご相談ください。
| 資料 | 該当箇所 | 書かれていること（要旨） |
|---|---|---|
| 個人情報の保護に関する法律（平成15年法律第57号） e-Gov法令検索 |
第2条第7項 | 「個人関連情報」は、生存する個人に関する情報で、個人情報・仮名加工情報・匿名加工情報のいずれにも当たらないものと定義されています。 |
| 同上 | 第31条第1項 | 提供先が個人関連情報を個人データとして取得することが想定されるときは、本人の同意が得られていること等をあらかじめ確認しないで提供してはならない、とされています。外国の提供先の場合は、その国の制度などの参考情報が本人に提供されていることも確認事項に加わります（同項第2号）。 |
| 個人情報保護委員会「個人情報の保護に関する法律についてのガイドライン（通則編）」 | 2-8 | 個人関連情報に当たる例の1つ目に、Cookie等の端末識別子を通じて収集された、ある個人のウェブサイトの閲覧履歴が挙げられています。 |
| 同上 | 3-7-1 | 31条は個人関連情報の提供すべてに及ぶのではなく、提供先が「個人データとして取得することが想定されるとき」に適用されるとされています。提供先がID等を介して自社の個人データに付け加える場合が典型例です。 |
| 同上 | 3-7-2-2・3-7-2-3 | 同意を取る主体は原則として提供先で、提供元による代行も認められるとされています。ウェブサイト上では、示すべき事項を記載するだけでは足りず、それを示したうえでボタンのクリックを求める等の方法によるとされています。 |
| 個人情報保護委員会「『個人情報の保護に関する法律についてのガイドライン』に関するQ&A」 | Q8-1・Q8-3 | Cookie等の端末識別子が個人関連情報に当たるか（Q8-1）、個人関連情報の提供で常に同意確認が必要か（Q8-3）が取り上げられています。社内の質問に答えるときの参照先になります。 |
稟議書やチケットに添付する場合は、上の表の「該当箇所」列をそのまま引用元として書き、7点それぞれに「該当する／しない／確認中」を付けておくと、法務側が一次資料に当たり直す手間を減らせます。ガイドラインは改正のたびに更新されるため、照合した日付と版も併記してください。
日本にはGDPRに相当する、クッキー同意バナーを義務づける法律はありますか？
日本の主要なデータ保護法は個人情報保護法（APPI）で、2022年に大きく改正されました。APPIは、GDPRのような形でクッキー同意バナーを義務づけてはいません。クッキーは、識別可能な個人と紐づかないかぎり、APPI上は自動的に個人情報とはみなされないからです。ただし、クッキーで集めた閲覧データを他の個人データと組み合わせる場合や、EUユーザー向けのGDPR対応バナーを日本にもそのまま出す場合は、APPIに沿ってローカライズしたバナーを用意するのが望ましいです。日本のエンタープライズの購買担当者の多くも、信頼できる会社かを見る材料として、バナーがあることを期待しています。
日本のB2Bサイトのフッターに必須のセクションは何ですか？
コンプライアンスと信頼の両面を満たす日本のB2Bサイトのフッターには、次の項目を含めるべきです。会社概要（または会社情報ページへのリンク）、プライバシーポリシー、利用規約、サイトが何らかの商取引を伴う場合は特定商取引法に基づく表記、そしてお問い合わせ。著作権表示は日本式で「© 2026 会社名 All rights reserved.」とします。信頼を高める補助的なセクションとしては、採用情報、資料ダウンロード、サポートがあります。
日本で販売する海外SaaS企業に特定商取引法に基づく表記は必要ですか？
特定商取引法は、日本の消費者や事業者と取引をする事業者に適用され、日本の購買層向けにオンラインストアやサブスクリプションサービスを運営する海外企業も対象です。SaaSプロダクトを日本のユーザーが購入・トライアルでき、何らかの有料部分があるなら、特定商取引法に基づく表記の掲示はほぼ確実に求められます。会社名・住所・代表者・電話番号・価格・解約方針を日本語で開示するものです。日本のエンタープライズの調達チームは必ずここを確認するので、表記がなければそれだけで不信感を持たれます。
クッキーバナーは「クッキー」と書くべきですか、それとも別の表現を使うべきですか？
クッキーは技術的な意味でのcookieを指す標準的な日本語で、Google JapanやLINEを含む日本の主要プラットフォームでも使われています。お菓子と混同されるという心配は、実務では見た目ほどの問題になりません。デジタルの文脈にいる日本のユーザーは、クッキーを技術用語として受け取ります。よくある失敗はむしろ、何に同意するのかを示さずに「同意する」だけを使うことです。おすすめは「このサイトでは、サービス改善のためにクッキー（Cookie）を使用しています」のように、クッキーと英語の括弧書きCookieを並べて書く形で、技術的な意味がすぐに伝わります。
言語切り替えは、日本語ローカライズしたフッターのどこに置くべきですか？
日本語フッターでは、言語切り替えの置き場所に一貫した慣習があります。フッターの右下か、著作権表示と並ぶフッター最下部のバーの中です。ラベルは、各言語の名前をその言語自身で書きます。日本語なら「日本語」、英語なら「English（またはEN）」です。地球儀アイコンだけでは、どの言語があるのかわかりません。日本語プロダクトの英語ページにたどり着いた日本のユーザーは、探さなくても言語切り替えが目に入ることを期待しています。ヘッダー右上に置くのも問題なく、グローバル展開のプロダクトでは増えています。
日本の調達チームは、フッターと同意UIをよく確認します。特定商取引法に基づく表記がない、GDPRテンプレートのバナーを日本語にしただけ、言語切り替えが地球儀アイコンだけ。どれも、日本を主な顧客として見ていなかったと受け取られます。的を絞ったQAレビューで、商談を失う前に直すべき点をはっきり洗い出します。