ポップアップとCookie同意の法律ガイド｜個人情報保護法・電気通信事業法・GDPR対応チェックリスト【2026年最新】

「ポップアップツールを導入したいけれど、Cookie同意やGDPR対応はどこまで必要なの？」「うちのサイトは法律的に問題ないのだろうか？」──こうした不安を抱えるWeb担当者やマーケターは少なくありません。2022年の改正個人情報保護法、2023年の電気通信事業法改正（外部送信規律）、そして2026年の個人情報保護法見直し議論と、ポップアップに関わる法的要件は年々複雑化しています。本記事では、日本の3つの法律とGDPRへの対応を網羅した「法務チェックリスト20項目」を提供し、ポップアップの法律対応を一本で完結できる完全ガイドとしてまとめました。まずは自社サイトの現状を確認するところから始めてみてください。

ポップアップに関わる3つの日本の法律を整理する

ポップアップツールを導入・運用する際、日本国内では主に3つの法律が関係します。改正個人情報保護法、改正電気通信事業法（外部送信規律）、そして景品表示法です。それぞれの法律がポップアップのどの部分に影響するのかを正確に理解しておくことが、適法な運用の第一歩となります。「知らなかった」では済まされないリスクを回避するために、まずは全体像を把握しましょう。

①改正個人情報保護法（2022年4月施行）── ポップアップで個人情報を取得する場合

結論として、ポップアップでメールアドレスや氏名などの個人情報を取得する場合、利用目的の明示と適切な同意取得が法律上義務付けられています。

2022年4月に施行された改正個人情報保護法では、「個人関連情報」という新しい概念が導入されました。個人関連情報とは、Cookie、IPアドレス、閲覧履歴など、単体では個人を特定できないが、他のデータと組み合わせることで個人を識別できる情報を指します。Cookieはこの「個人関連情報」に該当します。

ポップアップツールとの関係で特に重要なポイントは、以下の4点です。

実務上の対応として、離脱防止ポップアップやリード獲得ポップアップでフォームを表示する際は、フォーム内またはフォーム直下に「プライバシーポリシーに同意の上、送信してください」というチェックボックスとリンクを設置する方法が一般的です。ポップアップとは？意味・種類・効果と正しい活用法でポップアップの基本を確認したうえで、法的要件を満たす設計を行いましょう。

②電気通信事業法（2023年6月改正・外部送信規律）── タグ・SDKの送信について

結論として、Webサイトに設置したポップアップツールのタグが外部サーバーへ情報を送信している場合、「外部送信規律」の対象となる可能性があります。

2023年6月に施行された改正電気通信事業法では、「外部送信規律」（いわゆるCookie規制）が新設されました。外部送信規律とは、ユーザーの端末（PC・スマートフォン）から外部のサーバーへ情報を送信する際に、その事実をユーザーに通知・公表することなどを義務付ける規律です。

ポップアップツール（DataPush、KARTE、Flipdesk等）のJavaScriptタグは、ユーザーのブラウザ情報やページ閲覧情報を外部サーバーに送信する仕組みを持っているため、多くの場合この規律の対象になります。

対応方法には3つのパターンがあります。

日本国内のみをターゲットとするサイトの場合、①の「通知・公表」による対応が最もシンプルです。具体的には、サイト内に「外部送信ポリシー」や「Cookie一覧ページ」を設置し、以下の項目を記載します。

• 送信される情報の内容（例：閲覧ページURL、ブラウザ情報、Cookie ID）
• 送信先の名称（例：Google LLC、DataPush等）
• 送信先における利用目的（例：アクセス解析、広告配信、ポップアップ表示の最適化）
• オプトアウトの方法（送信先のオプトアウトページへのリンク等）

総務省が公開している外部送信規律FAQも併せて確認し、自社が規律の対象になるかどうかを判断してください。

③景品表示法 ── ポップアップ内のクーポン・割引表示について

結論として、ポップアップで「期間限定クーポン」や「割引表示」を行う場合、景品表示法の規定を遵守しなければ不当表示として処分を受けるリスクがあります。

ポップアップは離脱防止やコンバージョン促進のために、クーポンや割引を訴求するケースが非常に多い施策です。しかし、表示内容によっては景品表示法（不当景品類及び不当表示防止法）に違反する可能性があります。特に注意すべき3つのポイントを整理します。

「期間限定」表示のルールについて、ポップアップで「本日限り10%OFF」「あと3時間でクーポン終了」と表示しておきながら、実際には毎日同じクーポンを配布している場合、これは有利誤認表示にあたります。期間限定と表示するならば、実際にその期間で終了しなければなりません。

「通常価格」の二重価格表示規制について、「通常価格10,000円→今だけ5,000円」とポップアップで表示する場合、通常価格には販売実績が必要です。消費者庁のガイドラインでは、過去8週間のうち4週間以上、その価格で販売された実績がなければ「通常価格」として表示できません。

「No.1表示」「実績表示」の根拠データ保持義務について、ポップアップ内で「導入実績No.1」「お客様満足度98%」などの表示を行う場合、その根拠となる調査データを保持しておく必要があります。消費者庁から根拠の提出を求められた際、合理的な根拠を示せない場合は不当表示とみなされます。

違反した場合、措置命令（表示の差し止め等）や課徴金納付命令（違反行為に係る売上額の3%）が科される可能性があるため、ポップアップの表示内容は社内の法務担当にも確認を取る体制を構築しましょう。

GDPRとポップアップ── 日本企業が対応すべきケースと不要なケース

GDPRはEU（欧州連合）の個人データ保護に関する法規制ですが、日本企業にも適用されるケースがあります。ポップアップツールを使ってCookieを取得している場合、自社サイトがGDPRの対象かどうかを正しく判断することが重要です。

GDPRの域外適用はどこまで日本企業に及ぶか

結論として、EU在住ユーザーに商品・サービスを提供している、またはEU在住ユーザーの行動を監視している場合、日本企業であってもGDPRの適用対象になります。

「日本語サイトだから対象外」という認識は間違いです。EU在住の日本人駐在員や留学生が日本語サイトにアクセスし、そのサイトがCookieを取得している場合も、GDPRの規律を受ける可能性があります。

以下の判断フローチャートで自社の対応要否を確認してください。

ステップ2の「サービスを提供しているか」の判断基準には、EUの通貨（ユーロ等）での決済対応、EU向けの言語ページ（英語・フランス語等）の用意、EU向けの配送オプションの提供などが含まれます。単にEUからアクセスがあるだけでは直ちに対象にはなりませんが、アクセス解析でEUからの流入が継続的にある場合は、専門の弁護士に相談することを推奨します。

GDPR準拠のCookie同意バナーの要件

結論として、GDPRの対象になる場合、「同意前にCookieを発火させてはいけない」というルールが最も重要な要件です。

日本の法律では「通知・公表」による対応が認められていますが、GDPRでは明確にオプトイン方式（明示的な同意の取得）が求められます。日本でよく見られる「このサイトはCookieを使用しています。閲覧を続けることで同意したものとみなします」といった「みなし同意」は、GDPRでは有効な同意として認められません。

GDPR準拠のCookie同意バナーを実装する際は、ユーザーが同意する前にGoogle Analytics、広告タグ、ポップアップツールのタグなど、必須Cookie以外のすべてのCookieが発火しないよう制御する必要があります。この制御には、後述するGTM Consent Modeの活用が効果的です。

Cookie同意バナーの実装パターン3選

結論として、Cookie同意バナーの実装には3つの主要パターンがあり、サイトの規模や対象地域に応じて最適なパターンを選択する必要があります。

パターン1：シンプル2ボタン型（「同意する」「拒否する」）

最もシンプルな構成で、ユーザーに「同意する」「拒否する」の2つの選択肢を提示します。小規模サイトやCookieの種類が少ないサイトに適しています。

<div id="cookie-consent-banner" style="position:fixed;bottom:0;left:0;width:100%;background:#333;color:#fff;padding:16px;z-index:9999;display:flex;justify-content:space-between;align-items:center;">
  <p style="margin:0;">当サイトではCookieを使用しています。<a href="/privacy-policy/" style="color:#4FC3F7;">プライバシーポリシー</a></p>
  <div>
    <button onclick="acceptCookies()" style="background:#4CAF50;color:#fff;border:none;padding:8px 20px;margin:0 4px;cursor:pointer;border-radius:4px;">同意する</button>
    <button onclick="rejectCookies()" style="background:#757575;color:#fff;border:none;padding:8px 20px;margin:0 4px;cursor:pointer;border-radius:4px;">拒否する</button>
  </div>
</div>

パターン2：カテゴリ別選択型（必須/分析/マーケティング）

Cookieをカテゴリ別に分類し、ユーザーがカテゴリごとに同意・拒否を選択できるパターンです。中規模以上のサイトやGDPR対応が必要なサイトに適しています。必須Cookieは常にオン（トグルで変更不可）、分析Cookie・マーケティングCookieはデフォルトでオフに設定します。

パターン3：階層型（バナー → 詳細設定ページ）

ファーストビューではシンプルなバナーを表示し、「詳細設定」ボタンから別ページまたはモーダルで詳細なCookie設定を行えるパターンです。大規模サイトや多くのサードパーティタグを使用しているサイトに最適です。UXとコンプライアンスのバランスが取りやすく、多くの大手企業が採用しています。

HTML/CSS/JSでポップアップを作る方法を参考に、自社サイトのデザインに合わせたCookie同意バナーを実装してください。

主要CMP（Consent Management Platform）ツール比較

結論として、Cookie同意の管理にはCMPツールの導入が最も効率的であり、サイト規模や対応すべき法規制によって最適なツールは異なります。

CMPツールとは、Cookie同意バナーの表示、ユーザーの同意ステータスの管理、各タグの発火制御などを一元管理できるプラットフォームです。自社でゼロから実装するよりも、CMPツールを利用することで法改正への追従や多国籍対応が容易になります。

GDPR対応が必要な場合はCookiebotまたはOneTrustが信頼性の高い選択肢です。日本国内のみの対応であれば、WordPressサイトならComplianzやWP Cookie Consentから始めるのもコスト効率が良いでしょう。

参考：Cookiebot公式サイト、OneTrust Cookie同意管理バナー（IIJ提供）

ポップアップツール導入時の法務チェックリスト20項目

ポップアップツールを導入する際、法務面での確認漏れがないよう、チェックリストを活用しましょう。以下の20項目は、個人情報保護法、電気通信事業法、景品表示法、GDPRの4つの法律をカバーしています。

チェックリスト（表形式で20項目）

DataPushを使う場合の法務対応ガイド

結論として、DataPushを使う場合も他のポップアップツールと同様に外部送信規律への対応が必要ですが、DataPushは法務対応に必要な情報を公開しており、比較的スムーズに対応できます。

DataPushタグが送信する情報の一覧は以下の通りです。

DataPushのCookie一覧ページ（公表ページ）記載例として、外部送信規律に対応するために自社サイトに設置する公表ページには、上記の情報を「送信先の名称：DataPush（InnoMark株式会社）」「送信される情報：Cookie ID、ページURL、リファラー情報、ブラウザ情報、スクロール・滞在情報」「利用目的：サイト訪問者に最適なポップアップを表示するため」という形で記載します。

Cookie同意バナーとマーケティングポップアップを共存させる設計

Cookie同意バナーとマーケティングポップアップの両方をサイトに設置する場合、表示の競合が大きなUXの問題を引き起こします。このセクションでは、法令遵守とユーザー体験の両立を実現する設計方法を3つ紹介します。

問題：Cookie同意バナー＋離脱防止ポップアップが同時に表示されると最悪のUXに

結論として、Cookie同意バナーと離脱防止ポップアップが同時に表示されると、ユーザーの直帰率が大幅に上昇し、サイトの信頼性も損なわれます。

ページを開いた瞬間に画面下部にCookie同意バナーが表示され、さらにスクロールし始めると離脱防止ポップアップがオーバーレイで表示される──この「ポップアップだらけ」の状態は、ユーザーにとってストレス以外の何物でもありません。嫌われないポップアップのUI設計術でも解説しているように、ポップアップの過剰表示はコンバージョン率の低下に直結します。

特に問題なのは、Cookie同意バナーを閉じないうちにマーケティングポップアップが重なって表示されるケースです。ユーザーはどちらを先に操作すればよいかわからず、結果として「×ボタンを押してサイト自体を離脱する」という最悪の行動につながります。業界のデータでは、ポップアップが2つ以上同時表示されたページでは、離脱率が通常比で30〜50%上昇するとも言われています。

解決策1：表示優先順位ルールの設定

結論として、Cookie同意バナーを最優先で表示し、マーケティングポップアップはCookie同意後にのみ表示するルールを設定することで、UXとコンプライアンスの両方を確保できます。

表示優先順位のルールは以下のように設計します。

Cookie同意バナーはフローティングバー型（画面下部に帯状に表示）にすることで、コンテンツの閲覧を妨げずに法的要件を満たせます。GTMの「同意モード（Consent Mode）」を活用すれば、Cookie同意が完了するまでマーケティングタグを非発火にする制御が自動化できます。

解決策2：GTM Consent Modeの実装手順

結論として、GTM Consent Mode v2を導入することで、Cookie同意ステータスに応じたタグの発火制御を一元管理でき、法令対応とマーケティング計測の両立が可能になります。

GTM Consent Mode v2は、ユーザーのCookie同意状態をGoogleタグに連携し、同意ステータスに応じてタグの動作を自動制御する仕組みです。

GTM Consent Mode v2で管理する主な同意カテゴリは以下の通りです。

DataPushタグをConsent Modeに対応させるコード例として、GTMでDataPushタグを管理している場合、タグの発火トリガーに「同意の設定」を追加します。GTMの管理画面から、DataPushタグの「同意の設定」→「追加同意チェック」で「functionality_storage」にチェックを入れることで、ユーザーが機能Cookieに同意した場合にのみDataPushタグが発火するようになります。

GA4でポップアップを完全計測する方法も参考にしながら、Consent Modeを活用した計測環境を構築してください。

解決策3：1セッション1ポップアップルールの徹底

結論として、Cookie同意バナーは「ポップアップ表示回数」にカウントせず、マーケティングポップアップは1セッションにつき1回のみ表示するルールを徹底することで、UXを保ちながら法的要件も満たせます。

Cookie同意バナーはあくまで法的な通知であり、マーケティング目的のポップアップとは性質が異なります。そのため、「1セッション1ポップアップ」ルールのカウント対象にはCookie同意バナーを含めません。

sessionStorageを使った表示制御の実装コード例を示します。

// マーケティングポップアップの表示制御
function showMarketingPopup() {
  // Cookie同意が完了しているかチェック
  if (document.cookie.indexOf('cookie_consent=accepted') === -1) {
    return; // Cookie同意未完了なら表示しない
  }
  
  // 1セッション1回の表示制御
  if (sessionStorage.getItem('popup_shown') === 'true') {
    return; // すでに表示済みなら表示しない
  }
  
  // ポップアップを表示
  document.getElementById('marketing-popup').style.display = 'block';
  sessionStorage.setItem('popup_shown', 'true');
}

このコードでは、Cookie同意が完了していない場合はマーケティングポップアップを表示せず、かつ1セッション中にすでにポップアップが表示されている場合は重複表示を防ぎます。DataPushを利用している場合は、管理画面の「表示条件設定」で同様の制御が可能です。

業界別の法務リスクと対応優先度

業界によって、ポップアップに関連する法務リスクの内容や優先度は大きく異なります。自社の業界に該当するセクションを参照し、優先的に対応すべき項目を把握してください。

ECサイト── 景品表示法のリスクが最も高い

結論として、ECサイトではポップアップでクーポンや割引を表示する頻度が高いため、景品表示法の違反リスクが他業種と比較して最も高くなります。

ECサイトの離脱防止ポップアップでは「今だけ10%OFFクーポン」「タイムセール残りあと○時間」といった表示が一般的です。しかし、これらの表示に実態が伴っていなければ不当表示として処分される可能性があります。

特に注意すべきポイントは、クーポン表示の「期間限定」が実際に期限付きであること、二重価格の「通常価格」に過去8週間中4週間以上の販売実績があること、「売上No.1」「顧客満足度○%」などの表記には第三者機関の調査データを保持していること、の3点です。消費者庁の事例でわかる景品表示法（PDF）を社内で共有し、ポップアップの表示内容を定期的に監査する体制を構築しましょう。

BtoB SaaS── 外部送信規律の対応が急務

結論として、BtoB SaaSサイトは複数のMAツール・分析タグを導入していることが多く、外部送信規律の対応（Cookie一覧ページの作成）が最優先の対応事項です。

BtoB SaaSのWebサイトには、GA4、Google Ads、HubSpot、Marketo、Salesforce Pardot、Intercom、DataPushなど、多数のサードパーティタグが設置されているケースが一般的です。これらすべてのタグが「ユーザーの端末から外部サーバーへ情報を送信」しているため、電気通信事業法の外部送信規律の対象となります。

対応の第一歩として、GTMのタグ一覧を棚卸しし、各タグが送信する情報、送信先、利用目的を整理してCookie一覧ページ（公表ページ）に記載しましょう。離脱防止ポップアップツール21選で紹介しているツールを導入する際も、必ず外部送信情報を確認してから設置してください。

メディアサイト── 広告タグの外部送信が対象

結論として、メディアサイトはGoogle AdSenseなどの広告ネットワークタグを多数設置しているため、これらすべてのCookieが外部送信規律の公表対象になります。

メディアサイトの収益の柱である広告表示には、Google AdSense、A8.net、もしもアフィリエイトなど多数の広告タグが使われています。これらの広告タグはすべてユーザー情報を外部に送信しているため、Cookie一覧ページにそれぞれの送信先・送信情報・利用目的を記載する必要があります。

広告タグの数が多い場合は、CMPツールの自動スキャン機能（Cookiebot等）を活用すると効率的にCookie一覧を作成できます。

越境EC・多言語サイト── GDPR対応が必須

結論として、EU向けに商品を販売している越境ECサイトや多言語対応サイトは、GDPRへの対応が法的に必須であり、Cookie同意バナーを即時導入すべきです。

越境ECサイトでは、ユーロ建ての価格表示やEU向け配送オプションの提供がある時点で、GDPRの域外適用の対象となります。多言語サイトの場合も、英語やフランス語、ドイツ語などEU圏の言語ページを持っている場合は対象となる可能性が高いです。

GDPRの制裁金は最大2,000万ユーロまたは全世界年間売上高の4%と非常に高額であるため、対応の遅れは経営リスクに直結します。まずはCMPツール（CookiebotまたはOneTrust）を導入し、EU在住ユーザーにはオプトイン方式のCookie同意バナーを表示する設定を行いましょう。

2026年以降の法改正動向と今後の対応

ポップアップに関わる法規制は今後も変化し続けます。最新の法改正動向を押さえ、先手を打った対応を行うことが、将来のリスク回避とコスト削減につながります。

個人情報保護法の3年ごと見直し（次回2025年〜2026年改正議論）

結論として、個人情報保護法は3年ごとの見直しが法律で義務付けられており、2026年の通常国会で改正法案が提出される見込みです。ポップアップツールの運用にも影響が及ぶ可能性があるため、動向を注視する必要があります。

2026年1月9日に個人情報保護委員会から公表された「制度改正方針」では、主に以下の方向性が示されています。

改正法の施行時期は2027年頃と見込まれますが、制度改正方針の段階から自社の運用体制を見直し、対応準備を進めることを推奨します。最新情報は個人情報保護委員会の公式ページで確認できます。

Cookie規制のグローバルトレンド（米国各州法・中国PIPL）

結論として、Cookie規制は欧州だけでなく米国各州や中国でも強化されており、グローバル展開するサイトは複数の法規制に同時対応する必要があります。

米国ではカリフォルニア州のCCPA/CPRAに加え、バージニア州（VCDPA）、コロラド州（CPA）、コネチカット州（CTDPA）など、各州独自のプライバシー保護法が相次いで施行されています。中国では2021年11月に施行されたPIPL（個人情報保護法）により、中国国内のユーザーデータの取り扱いに厳格な規制が設けられました。

日本企業がこれらの法規制に対応するためには、CMP（同意管理プラットフォーム）ツールで地域ごとに異なる同意バナーを表示する仕組みを構築することが現実的な解決策です。

Googleのサードパーティ Cookie廃止延期とその影響

結論として、Googleは2024年7月にChromeにおけるサードパーティCookieの廃止方針を事実上撤回しましたが、Cookie規制自体がなくなったわけではなく、法的な対応の必要性は変わりません。

Googleは当初、2022年までにChromeでサードパーティCookieを廃止すると発表していましたが、3度の延期を経て、2024年7月に廃止方針を撤回しました。代わりに、ユーザー自身がCookieの使用を制限できる新たな選択肢（Privacy Sandbox）を提供する方針に転換しています。

ただし、SafariとFirefoxではすでにサードパーティCookieがブロックされており、GDPRや改正個人情報保護法などの法的規制は引き続き有効です。「Googleが廃止を撤回したから対応不要」と判断するのは危険であり、法令に基づくCookie同意やCookie一覧ページの整備は引き続き必要です。

よくある質問

まとめ

ポップアップツールの法務対応は、「知らなかった」では済まされない段階に入っています。改正個人情報保護法ではポップアップで取得する個人情報の利用目的の明示と第三者提供時の同意取得が義務化され、電気通信事業法の外部送信規律ではポップアップツールのタグが送信する情報の公表が求められています。景品表示法ではポップアップ内のクーポンや割引表示に虚偽がないかが問われ、GDPRではEU在住ユーザーに対するオプトイン方式のCookie同意取得が必須です。

本記事で紹介した「法務チェックリスト20項目」を活用し、自社サイトの現状を一つずつ確認してください。Cookie同意バナーとマーケティングポップアップの共存設計には、GTM Consent Mode v2の導入と表示優先順位ルールの設定が効果的です。2026年以降も個人情報保護法の改正やグローバルなCookie規制の強化が続くため、継続的な法務チェックの体制構築が不可欠です。

引用元・参考URL一覧

個人情報保護委員会「3年ごと見直し」

総務省「外部送信規律FAQ」

消費者庁「事例でわかる景品表示法」

OneTrust Cookie同意管理バナー（IIJ提供）

TMI総合法律事務所「制度改正方針」解説

西村あさひ法律事務所「改正方針の公表」

離脱防止ポップアップを無料で試してみませんか？

DataPushなら、最短5分でポップアップを設置。
GA4連携・A/Bテスト・表示タイミング最適化まで無料プランで利用可能です。 無料で始める →

クレジットカード不要・30秒で登録完了