GA4はGDPRで使えるか｜Cookie同意とConsent Mode v2の設定（2026年）

欧州の顧客を持つ会社や、EU向けにサイトを出す日本の会社から、よく同じ質問を受けます。「GA4はGDPRで違法と聞いたが、使ってよいのか」。ニュースの見出しだけを追うと、2022年の「違法」という報道と、2023年の「新しい枠組みで解決」という報道が頭の中で混ざります。そのまま使い続けて不安になるか、不安だからと計測をやめて、広告や改善の判断材料を失うか。どちらも、もったいない選び方です。

この記事では、GA4が欧州で使えるかどうかを、3つの別の問いに分けて整理します。Cookieに同意が要るか。個人データを処理する根拠があるか。米国へのデータ移転が許されるか。この3つは、根拠となる法律も、監督する機関も違います。そのうえで、オランダの個人データ保護庁（Autoriteit Persoonsgegevens、以下 AP）の見解、EU-US Data Privacy Framework（以下 DPF）の現状、Google の Consent Mode v2 の仕様を、公式の文書で確かめました。設定の手順と、DevNJ 自身のサイトの構成も、事実の範囲で載せています。

公開後の数字の見張り方は「Search Console と GA4 の定点観測を自動化する」で扱いました。今回はその手前、そもそも何を計測してよいのかという入口の話です。

この記事が主に根拠にした情報：AP の Cookie の案内とバナーの9原則、2025年11月13日の AP の公式回答（ambtsbericht）、欧州委員会の DPF 十分性決定、Google の Consent Mode・GA4・タグマネージャーのヘルプ、Google の EU User Consent Policy。いずれも2026年10月30日に確認しました。

この記事で分かること	答えの要点
GA4は欧州で使えるか	使える。ただし3つの条件が別々にある（第1章）
これまでに何があったか	2020年の判決から2025年の AP の回答までの流れ（第2章）
オランダの見解は	限定的な分析Cookieだけ同意不要。GA4は未確定（第3章）
DPFは安定しているか	有効だが、上訴審が係属中（第4章）
Consent Mode v2 とは	同意の結果をタグに渡す仕組み。バナーは別（第5章）
同意前に止めるもの	Cookie、識別子つきの送信、広告タグ、他社埋め込み（第7章）
設定と確認の手順	GTM と CMP で初期値を拒否にし、画面で確かめる（第8〜9章）

1. 結論から整理する：「使えるか」は3つの問いに分かれる

「GA4はGDPRに違反するか」という問いは、実は1つの問いではありません。GA4を動かすと、少なくとも3つの別の法的な論点が同時に起きます。この3つを混ぜると、「同意を取ったから大丈夫」「DPFがあるから大丈夫」といった、半分だけ正しい判断になります。

1-1. 3つの層と、それぞれの根拠

第1の層は、端末への保存と読み取りです。Cookie などを訪問者のブラウザに書き込み、読み取る行為には、ePrivacy 指令の5条3項が関わります。オランダでは、これを国内法の電気通信法（Telecommunicatiewet）11.7a条が定めています。ここで問われるのは、同意が要るかどうかです。

第2の層は、個人データの処理です。GA4が集めるクライアント ID や IP アドレスなどが個人データに当たるなら、GDPR の原則が及びます。処理には法的根拠（同意か、正当な利益か）が要り、プライバシーポリシーでの説明が要ります。

第3の層は、米国への移転です。Google LLC は米国の会社です。EU の個人データを米国に移すには、GDPR の第5章に沿った根拠が要ります。2023年7月10日からは、DPF の十分性決定がその根拠になっています。

図の3層は、どれか1つが満たされても、残りが免除されるわけではありません。同意バナーを入れても、プライバシーポリシーが空なら第2の層が欠けます。DPF が有効でも、同意を取らずに Cookie を書き込めば第1の層で問題になります。

1-2. 層ごとに、事業者が確かめること

次の表は、3つの層で事業者が確かめることを並べたものです。左の列が問い、右の列が事業者の作業です。

層	問い	事業者の作業
1. 端末	同意が要るか	Cookie の一覧を作り、同意が要るものを分ける
2. 処理	根拠と説明があるか	プライバシーポリシーに目的・提供先・保存期間を書く
3. 移転	米国への移転の根拠があるか	提供元が DPF に参加しているかを確かめる
横断	記録と撤回ができるか	同意の記録を残し、撤回の手段を用意する

この表から言えるのは、GA4の導入は、タグを貼る作業ではなく、3つの確認の作業だということです。タグを貼るだけなら数分で済みますが、確認を飛ばすと、後でバナーの作り直しと数字の欠損に追われます。

2. ここ数年に何があったか：違法報道から DPF、そして係属中の上訴まで

GA4の適法性は、2020年以降、判決や当局の判断で揺れてきました。報道の見出しだけでは、どの時点の話か分かりにくいので、時系列で整理します。古い情報を今の状況として読まないことが、最初の注意点です。

2-1. 年表で見る流れ

図の最後の項目は点線にしています。上訴審の判断は、2026年10月30日の時点で、確認できた範囲では出ていないからです。出ていないことを、出たかのようには書きません。

2-2. 2022年の「違法」は、何が違法とされたのか

2022年2月10日、フランスの CNIL は、ある Web サイト運営者による Google Analytics の利用について、米国への個人データの移転が GDPR に反すると判断しました。noyb という団体の申立てがきっかけで、欧州の複数の当局が同じ論点を調べていました。

押さえておくべきは、違法とされたのは「Google Analytics という道具」ではなく、「その時点で米国への移転の根拠がなかったこと」だという点です。2020年7月16日に欧州司法裁判所（Schrems II 判決）が、それまでの根拠だったプライバシーシールドを無効にしていました。2023年7月10日に DPF の十分性決定が出たことで、前提が変わりました。

2-3. AP は何をしたか

オランダの AP も2022年に、Google Analytics の利用について調査を始めています。2025年11月13日付の AP の公式回答（国会議員の質問への情報提供）によると、この調査は特定の1社への戒告（berisping）で終わり、AP は個別の決定を公表していません。戒告は AP の方針で公開されない扱いです。

同じ文書で AP は、調査の対象が Google Analytics の第3版（いわゆるユニバーサル・アナリティクス）で、論点は米国への移転だったと説明しています。そして、いまは DPF の十分性決定があるため、当時の調査を現在の GA の利用にそのまま当てはめることはできないとしています。

時期	論点	当時の状況	現在の状況（2026年10月30日確認）
2020〜2023年	米国への移転	十分性決定がない	DPF の十分性決定が有効
2022年	CNIL の判断	移転の根拠なしと判断	前提となる根拠が変わった
2022年〜	AP の調査（GA3）	調査開始	戒告で終了。個別決定は非公開
2025年9月	DPF の取消請求	一般裁判所に係属	棄却。上訴が係属中

表の見方としては、「違法」の報道の多くは、DPF 以前の状況の話です。ただし、上訴が係属中である以上、「もう解決した」と言い切ることもできません。この点は第4章で扱います。

3. オランダの見解：APが言っていること、言っていないこと

オランダ向けのサイトで最初に気になるのは、オランダ独自の「分析 Cookie は同意不要」という話でしょう。実際、オランダの規則は他の国より緩いと言われてきました。ここでは、AP の公式ページと文書に書かれていることだけを整理します。

3-1. Cookie の3類型

AP は Cookie を3つに分けています。機能的な Cookie、限定的な分析 Cookie、それ以外（トラッキング Cookie など）です。

類型	例	同意	事業者が必要なこと
機能的な Cookie	ログイン、言語、カート	不要	設置の事実を知らせる（プライバシーの説明など）
限定的な分析 Cookie	訪問者数、よく見られるページ	プライバシーへの影響が小さければ不要	個人データを処理するなら根拠を持ち、説明に書く
それ以外	トラッキング Cookie	必要	目的・処理者・撤回の権利を事前に知らせる

この表で大事なのは、真ん中の行です。「分析 Cookie」ならすべて同意不要、ではありません。AP の言葉は「プライバシーへの影響がない、または小さい」限定的な分析です。APは、それが電気通信法11.7a条に定められていると説明しています。

3-2. 限定的な分析と GA4 の距離

では、GA4は「限定的な分析 Cookie」でしょうか。AP は、2025年11月の文書で、この点を断定していません。AP は、どの Cookie が例外に入るかについて、どこまで言えるかを調べているとだけ述べています。結論が出る時期は、監督権限の移管次第だとしています。

つまり、2026年10月30日の時点で、「GA4は同意不要」と言える公式の根拠は、確認できた範囲では見つかりませんでした。逆に、「GA4は必ず同意が要る」と AP が明言した文書も見つかりませんでした。判断が定まっていない領域では、同意を取る設計に倒すのが、事業者にとっての安全側です。DevNJ 自身も、そうしています（第10章）。

3-3. 誰が監督しているのか

もう1つの注意点は、監督機関の分かれ方です。2025年11月の文書によると、Cookie の規定（電気通信法11.7a条）の監督は、現在 ACM（消費者・市場庁）の権限です。AP は、ACM と協議のうえ、経済大臣にこの監督を AP に移すよう提案しています。

一方で、個人データの処理（GDPR）の監督は AP です。同じ Cookie の問題でも、同意の要否は ACM、データの扱いは AP と、窓口が分かれている点は、相談先を間違えやすい部分です。

3-4. バナーの9原則と、AP の執行

AP は、Cookie バナーの作り方について、9つの原則を公表しています。違反が見つかれば、警告や調査に進みます。

原則	具体的な意味
処理と目的を知らせる	個人データを処理する事実と目的を、最初の層に書く
事前チェックにしない	同意のボックスを初めからオンにしない
平易な言葉	何を選ぶのかが、読めば分かる
選択肢を1つの層に	拒否のために、深い階層をたどらせない
選択肢を隠さない	拒否を目立たなくしない
余計なクリックを求めない	拒否の手間を、同意より多くしない
目立たないリンクを使わない	重要な選択を、本文中の小さなリンクにしない
撤回を同意と同じ手軽さに	同意するのと同じくらい簡単に撤回できる
同意と正当な利益を混ぜない	同意を求めながら、拒否しても処理を続ける、をしない

表の9つは、見た目の注意のようで、実は同意が有効かどうかの条件です。AP は、続けてスクロールしたことや、何もしなかったことを同意とみなすことは認められないとしています。拒否すると使えなくなる「Cookie ウォール」も、GDPR の下では禁止だと説明しています。

AP は2025年4月から、オランダのサイトが Cookie の同意を正しく取っているかを体系的に調べています。2025年11月11日の発表では、200を超えるサイトに警告し、約4分の3がバナーを直したこと、直さなかった組織には調査や執行に進むことが示されました。個別の制裁の例としては、2024年7月16日に Kruidvat のサイトで同意なしにトラッキング Cookie を使っていたとして、AS Watson に60万ユーロの罰金が科されています（AP の同ページには、AS Watson の異議を受けて罰金が減額されたとの2025年6月12日付の更新があります。減額後の額は確認できていません）。

4. EU-US Data Privacy Framework：有効だが、争いは続いている

第3の層、米国への移転に目を移します。ここは、オランダだけでなく EU 全体の話です。2023年7月10日に欧州委員会が DPF の十分性決定を採択し、DPF に参加する米国企業への個人データの移転は、追加の措置なしにできるようになりました。

4-1. Google は DPF に参加しているか

Google の公式ページ（データ移転の枠組み）は、Google LLC が DPF の原則を遵守すると認証していることを示しています。広告と分析の製品のページも、2023年9月1日以降、EEA から米国への個人データの移転で DPF に依拠していると説明しています。同じページには、一定の場合は標準契約条項（SCC）に依拠することがあるとも書かれています。

ここから読み取れるのは、Google 側は DPF を主な根拠にしつつ、DPF が使えない場合の代替も用意しているということです。ただし、これは Google が自社の移転について説明していることで、利用する事業者の側に残る義務（同意、説明、記録）が消えるわけではありません。

4-2. 上訴の状況

DPF に対しては、フランスの議員 Philippe Latombe 氏が取消しを求めました。2025年9月3日、EU の一般裁判所は、事件 T-553/23 でこの申立てを棄却しています。Latombe 氏は2025年10月31日に上訴し、事件は C-703/25 P として欧州司法裁判所に係属しています。EU 官報には、2025年12月22日に上訴の内容が公示されました。

2026年10月30日時点で、上訴審の判決や法務官意見が出たことは、確認できた範囲では見つかりませんでした。したがって、「DPF は有効だが、取り消される可能性が法的にゼロではない」というのが、正確な書き方です。

4-3. DPF が崩れたとき、事業者は何を失うか

仮に DPF が取り消された場合を、事業者の側から考えます。これは推測を含みます。過去の経緯（Schrems II）から言えるのは、十分性決定が無効になれば、米国への移転には SCC などの別の根拠と、追加の評価が必要になるということです。Google は SCC に依拠する場合があると説明しています。

事業者が今できる準備は、次の表の3つです。

準備	内容	費用の感覚
同意を取る設計にしておく	同意前は送らない。DPF の有無と独立に必要	設計時に1回
提供元の契約と認証の確認	Google の移転の根拠を年1回確かめる	年1時間程度
計測の依存度を下げる	Search Console など Cookie に依存しない指標も見る	設計時に半日

表の最後の行は、移転の問題とは別に、Cookie に依存しない指標を持っておくという保険です。Search Console のクリック数は、同意の影響を受けません。

5. Consent Mode v2：何をする仕組みで、何をしない仕組みか

ここからは、技術の話に入ります。Consent Mode は、訪問者の同意の状態を、Google のタグ（GA4、Google 広告など）に伝える仕組みです。名前から「同意を取る機能」と誤解されがちですが、同意を取る画面も、同意の記録も、Consent Mode の仕事ではありません。Google の技術文書は、Consent Mode は同意の選択を保存しないと明記しています。

5-1. 4つの同意タイプ

Consent Mode v2 が扱う同意タイプは、4つです。

タイプ	意味	拒否のときの影響
ad_storage	広告用の Cookie などの保存	広告目的の新しい Cookie が作られない
analytics_storage	分析用の Cookie などの保存	GA の Cookie の読み書きがされない
ad_user_data	広告目的のユーザーデータを Google へ送ること	広告の計測に使えない
ad_personalization	個人に最適化した広告	パーソナライズやリマーケティングに使えない

先の2つが従来からあるもの、後の2つが v2 で加わったものです。Google は、EEA のユーザーを Google のタグで計測するなら、同意の選択を Google に伝える必要があると説明しています。広告を使わない事業者でも、タグを動かす以上、4つの値を正しく渡すことが基本になります。

GTM でも、同じ4種類に加えて、機能の保存（functionality_storage）、個人最適化の保存（personalization_storage）、セキュリティの保存（security_storage）が扱えます。

5-2. default と update、そして wait_for_update

設定の基本は、2つの命令です。default は、ページの読み込み時の初期値を決めます。Google の文書では、サイトのすべてのページで、計測データを送る命令（config や event）より前に呼ぶことになっています。update は、訪問者が選んだ後に値を更新します。

CMP が非同期で読み込まれる場合は、wait_for_update にミリ秒を指定して、タグの発火を待たせます。Google の例では500ミリ秒です。この値は、CMP が保存済みの選択を読み込んで update を呼ぶまでの待ち時間で、短すぎると、再訪者の選択が反映される前にタグが動きます。

図の1番目が、最も落としやすい部分です。初期値の設定が、計測タグより後に動くと、同意の前に計測が始まります。GTM では、同意の初期値を設定するタグを、Consent Initialization のトリガーに置きます。このトリガーは、他のすべてのタグより前に動くよう、コンテナに初めから用意されています。

5-3. 地域ごとに初期値を変える（region）

default は、ISO 3166-2 の地域コードで地域を指定できます。たとえば EEA 各国は拒否を初期値にし、それ以外は許可にする、といった分け方です。地域を指定しない default は、他のどの地域指定にも当てはまらない訪問者すべてに適用されます。

ただし、「EU向けサイトだから EEA のコードだけ書けばよい」とは限りません。Google の EU User Consent Policy は、EEA に加えて英国とスイスの利用者も対象にしています。オランダ向けのサイトでも、英国からの訪問者は来ます。地域を絞るなら、その範囲に英国とスイスが入っているかを確認してください。

5-4. その他の設定（url_passthrough と ads_data_redaction）

2つの補助設定があります。url_passthrough は、Cookie が使えないときに、クリック ID などの情報を URL に付けて引き継ぎます。ads_data_redaction は、広告の保存が拒否されているときに、広告のクリック ID を通信から伏せます。

どちらも計測の精度を保つための機能ですが、使えば同意の問題が消えるわけではありません。URL に識別子が付くことの影響は、別に評価する必要があります。DevNJ は、広告を使わないサイトでは、この2つを初期設定では使いません。

6. 基本モードと高度モード：同意前に何が送られるか

Consent Mode には、実装の仕方が2つあります。基本（basic）と高度（advanced）です。この選択が、「同意前に何が Google に届くか」を決めます。

6-1. 2つのモードの違い

項目	基本モード	高度モード
Google タグの読み込み	同意まで読み込まない	同意前から読み込む
同意前の送信	なし	Cookie を使わない通知（ping）
GA4 の推計（モデリング）	基本的に使えない	条件を満たせば使える
同意を取る前の通信	Google へ届かない	Google へ届く

表のとおり、Google は、基本モードでは Google のタグが同意まで止まり、高度モードでは同意前から読み込まれて、同意がないとき Cookie を使わない通知を送ると説明しています。この通知には、ユーザーエージェント、画面解像度、IP アドレスなどが含まれることがあります。Google は、GA が IP アドレスを記録・保存しないと説明しています。

6-2. 高度モードは法的に問題ないのか

ここが、実務で最も判断に迷う点です。結論から書くと、AP の公開資料で、Consent Mode の高度モードの適法性を直接扱ったものは、確認できた範囲では見つかりませんでした。Google は、通知が個人を直接識別できない粗い情報だと説明していますが、それは Google の説明であり、当局の判断ではありません。

端末への保存の規則（第1の層）が問うのは、Cookie などの保存と読み取りです。一方、通知が IP アドレスなどを含んで Google に届くことは、個人データの処理（第2の層）として別に評価されます。この評価は、事業者の責任で行います。

DevNJ の考え方は、次のとおりです。これは推奨であり、法的な保証ではありません。

• 広告を使わず、数字の完全さよりも、同意の前に何も送らないことを優先するサイトは、基本モードにする
• 広告の計測に推計が必要で、法務の確認が取れているサイトだけ、高度モードを検討する
• どちらでも、同意前の通信を実際の画面で確かめる（第9章）

6-3. 推計（モデリング）が働く条件

高度モードの利点は、GA4 が欠けた分を推計で補えることです。Google の条件は、次の2つです。1つ目は、同意が拒否された状態で、1日に1,000件以上のイベントが7日以上あること。2つ目は、同意された状態で、1日に1,000人以上のユーザーが、直近28日のうち7日以上あることです。

加えて、Consent Mode がサイトのすべてのページに入っていて、Google タグが同意に関係なく読み込まれる設定になっている必要があります。条件を満たしても、推計が必ず働くとは限らないと Google は述べています。

サイトの規模	推計が働く見込み	実務での扱い
小規模（日々の訪問が数百）	条件を満たしにくい	欠ける前提で数字を読む
中規模（日々の訪問が数千）	条件を満たす可能性がある	欠損の幅を記録する
大規模	条件を満たしやすい	推計の有無を管理画面で確認する

この表の規模は、Google の条件（1日1,000イベント・1,000ユーザー）から DevNJ が目安として整理したものです。小規模な事業者のサイトでは、高度モードにしても推計が働かないことが多く、基本モードで困らない場面が多くなります。

7. 同意前に送ってはいけないもの

ここまでの内容を、実務の言葉にします。「同意前に何を止めるか」です。基本の考え方は単純で、同意が必要な保存・送信は、同意の後にしか動かさないことです。

7-1. 止めるものの一覧

対象	同意前の扱い	理由
_ga・ga* などの分析 Cookie	書き込まない	訪問者を区別するための保存
クライアント ID を含む GA4 の計測リクエスト	送らない（基本モード）	識別子を伴う処理
広告・リマーケティングのタグ	動かさない	広告目的の追跡
SNS・動画の埋め込み	読み込まない、または代替表示	提供元に訪問者の情報が渡る
外部のフォント・地図・計測の部品	自社配信に替えるか、同意後に読み込む	提供元へ IP アドレスが渡る
同意の記録（CMP の Cookie）	動かしてよい	同意の記録は、同意を管理するために必要
CSRF トークンなどのセッション	動かしてよい	サイトの動作に必要な機能

表の下の2行が、止めなくてよいものです。同意を管理するための Cookie と、サイトの動作に必要な Cookie は、同意前でも動かせます。AP も、機能的な Cookie に同意は不要で、設置の事実を知らせれば足りるとしています。

7-2. Cookie だけを止めても足りない理由

「Cookie を使わなければ同意は要らない」と考える人がいますが、同意の要否は Cookie だけで決まりません。ePrivacy 指令5条3項は、端末への情報の保存と、すでに保存された情報へのアクセスを対象にしています。Cookie でなくても、ローカルストレージや、端末の情報を読み取る仕組みは対象になり得ます。

さらに、GDPR の層では、IP アドレスや識別子が Google に届くこと自体が、個人データの処理として評価されます。Cookie を使わない設計にしても、第2・第3の層の確認が残ります。

7-3. 同意が有効であるための条件

同意が有効であるためには、GDPR の定義（4条11号）にある自由・特定・十分な情報・明確な意思表示を満たす必要があります。欧州司法裁判所は、2019年10月1日の Planet49 事件の判決で、事前にチェックの入ったボックスは有効な同意にならないと判断しました。

AP の9原則は、これを実務の形に落としたものです。拒否が同意より手間のかかる作りは、同意の有効性そのものを損ないます。

8. 設定の手順：GTM と CMP で、初期値を拒否にする

実際の設定の流れを、GTM（Google タグマネージャー）と CMP（同意管理ツール）の組み合わせで説明します。DevNJ のサイトも GTM を使っているため、同じ構成です。

8-1. 手順

1. Cookie の棚卸しをする。サイトが実際にセットしている Cookie と外部通信を、ブラウザの開発者ツールで洗い出す
2. CMP を選ぶ。GTM のヘルプには、対応する CMP として Cookiebot、OneTrust、Usercentrics などが挙がっている。拒否ボタンが同じ階層・同じ見た目で出せるかを確認する
3. 初期値を拒否にする。GTM の Consent Initialization トリガーで、4つの同意タイプを denied に設定する。EEA・英国・スイスは確実に含める
4. CMP と連携する。CMP の GTM テンプレートか、連携機能で、選択後に update が呼ばれるようにする
5. タグの同意チェックを確認する。Google のタグは同意に応じて動作が変わる組み込みの確認を持つ。他社のタグには、追加の同意チェックで、必要な同意タイプを指定する
6. GA4 側の設定を確認する。管理画面の同意設定で、EEA のトラフィックの割合と、データストリームごとの同意信号の状況を見る
7. 公開前に実画面で確かめる。第9章の確認を行う

8-2. タグごとの同意チェック

GTM では、タグごとに、追加の同意チェックを設定できます。「設定なし」「追加の同意は不要」「発火に追加の同意を要求」の3つです。

設定	意味	使いどころ
設定なし	追加の確認なし（既定）	見直していないタグ
追加の同意は不要	見直したうえで確認なし	機能に必要なタグ
発火に追加の同意を要求	指定した同意が granted のときだけ動く	分析・広告・他社のタグ

この表の「設定なし」は、未確認のタグを意味します。GTM の同意の概要画面を有効にすると、同意の設定がされていないタグが一覧で見えるので、公開前に空にしておきます。

8-3. CMP の設定で見る点

CMP を選ぶとき、機能の数よりも、APの9原則を満たせるかを見てください。

確認する点	見るもの
拒否のボタン	最初の層に、同意と同じ大きさで出るか
事前チェック	初めから、すべてオフになっているか
選択の記録	日時と選択内容が残るか
撤回	画面のどこからでも、同じ手軽さでやり直せるか
言語	訪問者の言語（オランダ語・英語・日本語）で出るか

表の「選択の記録」は、Google の EU User Consent Policy が、同意の記録を保つことを求めている点とも重なります。同意を取っただけでなく、取ったことを後で示せる状態にしておきます。

9. 動作確認：「拒否」を押した状態で、実際に何が動くか

設定は、書いたとおりに動くとは限りません。タグの順序、キャッシュ、CMP の読み込み遅延などで、意図と違う動きになるからです。同意を取る側の確認は、「拒否」を押した状態で行うのが要点です。

9-1. ブラウザで確かめる

シークレットウィンドウで、サイトを開きます。同意バナーが出た段階で、まだ何も押さずに、開発者ツールを開きます。見るのは次の3点です。

確認する場所	同意前に期待する状態
Cookie（Application タブ）	_ga・ga* が存在しない
ネットワーク（Network タブ）	GA4 の計測リクエストが出ていない（基本モード）
外部ドメインへの通信	広告・他社の部品への通信がない

次に「拒否」を押して、同じ3点を見ます。拒否の後も、同意前と同じ状態が続くことが期待する結果です。最後に「同意」を押し、計測が始まることを確かめます。

9-2. GA4 の管理画面で確かめる

GA4 の管理画面には、同意設定の確認画面があります。EEA のトラフィックの割合が出て、データストリームごとに、広告関連の同意信号や、行動分析の同意信号の状況が出ます。Google は、サイトを更新してから表示が更新されるまで、48〜72時間かかることがあると説明しています。

ここに警告が出ていれば、CMP が Consent Mode の値を渡せていません。広告を使わないサイトでも、ad_user_data と ad_personalization の値は渡す設計にします。

9-3. 公開後に定期的に見る

同意の動作は、タグの追加やバナーの更新で壊れます。DevNJ は、公開後も、次の頻度で確認することを勧めます。これは DevNJ の運用の目安です。

頻度	見ること
新しいタグを入れるたび	拒否の状態で、そのタグが動かないか
CMP の更新のたび	バナーの表示と、拒否ボタンの位置
四半期ごと	Cookie の一覧と、プライバシー・Cookie のポリシーの記述
年1回	Google の移転の根拠と、DPF の状況

10. DevNJ 自身のサイトの構成（事実だけ）

説明だけでは分かりにくいので、DevNJ のサイト（dev-nj.com）の構成を、テンプレートと公開しているポリシーから分かる範囲で書きます。確認できた事実と、確認できていないことを分けて書きます。

10-1. 確認できた事実

項目	内容	確認元
計測の入口	Google タグマネージャー（GTM）のスニペットを、全ページの head と body に置いている	サイトのテンプレート
GTM の ID の持ち方	設定ファイルと環境変数で管理し、未設定なら出力しない	サイトのテンプレートと設定
同意管理	Cookiebot を使っている	公開中の Cookie ポリシー
同意タグ	GTM のコンテナ内で Cookiebot の同意タグと Consent Mode を設定	公開されている GTM のコンテナ（gtm.js）を読んで確認（2026年10月30日）
同意の記録	CookieConsent（Cookiebot）を12か月保存	公開中の Cookie ポリシー
分析 Cookie	_ga・ga*（2年）は、同意まで作動しないと明記	公開中の Cookie ポリシー
広告	広告目的の Cookie と、SNS 埋め込みの追跡は使っていない	公開中の Cookie ポリシー
フォント	すべて自社のサーバーから配信	公開中の Cookie ポリシー
フォームの保護	reCAPTCHA v3 を問い合わせページだけで使う	テンプレートと Cookie ポリシー

表の中で、実装として確認できたのは、GTM のスニペットがテンプレートに入っていることです。テンプレートの中に、同意バナーのスクリプトや、Consent Mode の初期値の命令は書かれていません。

10-2. 確認できていないこと

テンプレートに同意の命令がないのは、Cookiebot の同意タグと Consent Mode の設定が、GTM のコンテナの中にあるためです。公開されている GTM のコンテナ（gtm.js）を読んで、Cookiebot の同意タグ（GTM 向けの実装）と Consent Mode の設定が入っていることを、2026年10月30日に確認しました。ただし、初期値の中身や、同意前の送信の有無までは、読んだだけでは確かめられていません。

したがって、DevNJ のサイトについて「基本モードか高度モードか」は未確認で、この記事では断定しません。次の点は、GTM の管理画面と実画面で確認する必要があります。

確認すること	確認の方法
初期値が denied か	GTM のプレビューで Consent Initialization のタグを見る
同意前に GA4 のリクエストが出るか	拒否の状態でネットワークを見る（第9章）
英国・スイスが初期値の対象か	GTM の初期値の地域指定を見る
同意が granted のときだけ GA4 が動くか	タグの同意チェックを見る

読者への示唆は、自分のサイトで同じ確認ができる状態にしておくことです。コンテナの設定が属人的になっていて、誰も全体を説明できないサイトは、実は少なくありません。

10-3. この構成から学べること

DevNJ のサイトの作りは、小さな会社のサイトによくある構成です。同意管理は専用ツール、計測は GTM、フォントは自社配信、広告は使わない。使わないものを決めることが、同意の設計を最も簡単にします。

外部のフォント配信を使わなければ、第3の層の確認が1つ減ります。広告を使わなければ、ad_storage と ad_personalization の設計は最小になります。計測の要件を決めてから、使う部品を選ぶ順番です。

11. 数字が欠ける：計測への影響をどう読むか

同意を取るようにすると、GA4 の数字は、拒否した訪問者の分だけ欠けます。これは、正しく設定した結果です。欠けたことを不具合と取り違えないために、読み方を決めておきます。

11-1. 何が欠けて、何が欠けないか

指標	同意の影響	読み方
GA4 のセッション・ユーザー	拒否した分が欠ける（基本モード）	絶対値より、推移を見る
GA4 のキーイベント	拒否した分が欠ける	問い合わせの実数は別に持つ
Search Console のクリック・表示	影響を受けない	検索流入の基準にする
問い合わせフォームの受信	影響を受けない	成果の実数として使う

表のとおり、成果の実数（問い合わせ件数）と、検索流入の実数（Search Console）は、同意の影響を受けません。この2つを基準に置き、GA4 は「行動の傾向を見る道具」と位置づけると、欠損に振り回されません。

11-2. 欠損の幅を記録する

欠損の大きさは、サイトによって異なります。同意率が何パーセントになるかは、バナーの設計、訪問者の国、業種で変わります。一般的な数字を借りるのではなく、自分のサイトの比率を測って記録するほうが確実です。

簡単な方法は、Search Console のクリック数と、GA4 の自然検索のセッション数の比を、毎週記録することです。この比が急に変わったら、バナーやタグの不具合を疑います。この方法は「Search Console と GA4 の定点観測を自動化する」で詳しく扱いました。

11-3. 計測以外で補う

同意に依存しない手段を、併用できます。問い合わせフォームに、流入元を尋ねる任意の項目を置く方法や、サーバー側の集計（ページの表示回数だけを、個人を識別せずに数える）があります。どちらも、個人データの扱いを別に評価する必要があります。

12. つまずきやすいところ

実際の相談で多い失敗を、表にまとめます。

失敗	何が起きるか	対策
バナーはあるが、タグが先に動いている	同意前に Cookie が書き込まれる	初期値のタグを Consent Initialization に置く
拒否ボタンが2階層目にしかない	同意が無効と判断され得る	最初の層に同じ大きさで出す
同意の選択が update されない	同意しても計測されない	CMP と GTM の連携を確認する
EEA だけ初期値を拒否にした	英国・スイスの訪問者に漏れる	Google のポリシーの対象範囲に合わせる
地図・動画の埋め込みが同意前に読み込まれる	他社に訪問者の情報が渡る	同意後に読み込むか、代替表示にする
Cookie ポリシーが実態と違う	説明義務を果たしていない	四半期ごとに Cookie の一覧と照合する
「Consent Mode を入れたから大丈夫」と考える	バナー・記録・説明が欠ける	Consent Mode は部品の1つと理解する

表で一番多いのは、技術の設定と、文書（ポリシー）の記述のずれです。同意の設計は、画面の中だけでなく、ポリシーとの整合を含めて完成します。

12-1. ポリシーと実装のずれを防ぐ

Cookie ポリシーは、書いた時点では正しくても、タグを1つ足すだけで実態と違ってしまいます。DevNJ は、新しいタグや部品を足すときに、同じ作業の中でポリシーを更新することを、手順に入れています。

ポリシーの更新日を、ページに書いておくことも有効です。DevNJ の Cookie ポリシーにも、更新日を載せています。

13. 日本の事業者はどこから対象になるのか

日本の会社が EU 向けのサイトを運営するとき、「日本の会社に GDPR は関係ない」と考えるのは誤りです。GDPR の第3条2項は、EU にいる人に商品やサービスを提供する場合や、EU でのその人たちの行動を監視する場合に、EU の外の事業者にも適用されると定めています。

13-1. 対象になる手がかり

EU にいる人への提供の意図があるかは、サイトの作りから読み取られます。主な手がかりは次のとおりです。

手がかり	対象になりやすい例	対象になりにくい例
言語	オランダ語・ドイツ語などのページを用意	日本語のみ
通貨	ユーロで価格を表示	円のみ
配送・提供先	EU 各国への配送を案内	日本国内のみ
宣伝	EU 向けの広告・EU 在住者への訴求	日本向けの宣伝のみ

この表は、手がかりの例であり、これだけで対象かどうかが決まるわけではありません。個別の判断になるため、迷うときは専門家に確認してください。

13-2. 日本の法令との関係

日本には、日本の個人情報保護法などの別の規則があります。この記事は欧州の規則を扱うもので、日本の法令への対応は扱いません。日本と EU の両方に向けたサイトでは、両方の確認が要ります。

14. 工数の考え方：どこに手間がかかるか

「同意まわりの対応には、どれくらい手間がかかるか」は、サイトの状態で大きく変わります。以下は、DevNJ の見積りの考え方であり、固定料金ではありません。

状態	作業の内容	目安の工数（サイトの状態で変わります）
すでに CMP と GTM がある	設定の点検と修正、実画面の確認、ポリシーの更新	4〜8時間
CMP がない	CMP の選定と導入、GTM の初期値、連携、確認、ポリシー作成	8〜16時間
広告・他社の埋め込みが多い	上記に加え、タグごとの同意チェックと代替表示	16〜32時間

CMP のツール自体の利用料は、別にかかります。料金は、サービスと訪問数によって異なり、変わることもあるため、導入前に提供元の公式の料金ページで確認してください。この記事では金額を載せません。DevNJ への見積もりは、お問い合わせからご依頼ください。

14-1. 工数が増える要因

工数が増える主な要因は、次の3つです。1つ目は、タグが多いこと。タグごとに、同意の設定と確認が要ります。2つ目は、言語が多いこと。バナーとポリシーを言語ごとに整える必要があります。3つ目は、既存の設定が属人的なこと。誰も全体を説明できない場合、洗い出しに時間がかかります。

逆に、使うものを減らすと、工数も減ります。広告を使わない、外部の部品を自社配信にする、フォントを自社で持つ。これらは、設計の段階で決められる、最も効果の大きい削減です。

15. ケースで考える（架空の3人）

ここからは、架空の事例です。実在の人物・会社ではありません。立場によって答えが変わることを示すための例です。

15-1. 3つのケース

ケース	状況	勧める設計
A：オランダの ZZP コンサルタント	10ページ程度。広告なし。問い合わせが主な成果	基本モード。GA4 は傾向の把握のみ。Search Console と問い合わせ数を軸にする
B：欧州に売る日本の小規模 EC	100ページ。ユーロ表示。広告を検討中	CMP を導入し、広告の計測には Consent Mode v2 を使う。高度モードは法務を確認してから
C：EU 向けにも情報を出す日本の BtoB 企業	日本語中心。英語ページが少しある	英語ページのある範囲で、同意を取る。日本向けのページと設定を分ける

ケース A は、最も多い立場です。計測の数字に頼る場面が少ないサイトは、同意を取る設計にしても失うものが小さい。むしろ、同意前に何も送らない設計が、説明しやすさという価値になります。

ケース B は、広告の計測が絡むため、ad_user_data と ad_personalization の値が重要になります。高度モードの利点（推計）を取るか、基本モードの確実さを取るかは、法務の確認とセットで決めます。

ケース C は、日本向けと EU 向けで、同意の要否が異なる可能性があります。ページを分けて、設定を分けると、運用が楽になります。

15-2. 立場ごとの答え

同じ質問でも、立場で答えが変わります。次の表は、よくある質問への答えを立場別にまとめたものです。

質問	ZZP・小規模事業者	広告を使う事業者
高度モードが要るか	多くの場合は不要	計測の精度が要るなら検討
同意率を上げたい	バナーの文言と見せ方を整える	同上。ただし誘導的な作りは避ける
GA4 をやめるべきか	やめる必要はない	やめる必要はない
優先すること	同意前に送らない設計	4つの同意タイプの正しい受け渡し

表から言えるのは、同意率を上げる工夫が、拒否を押しにくくする方向に行ってはいけないことです。AP は、拒否を目立たなくすることや、拒否の手間を増やすことを、有効な同意を損なうものとして挙げています。

16. やってはいけないこと

やってはいけないこと	理由
同意前に GA4 のタグを通常どおり動かす	同意前の Cookie 書き込みと識別子の送信になる
拒否ボタンを目立たなくする、階層を深くする	AP の原則に反し、同意が無効になり得る
続けてスクロールしたことを同意とみなす	AP は有効な同意と認めていない
拒否したら閲覧できなくする（Cookie ウォール）	GDPR の下で禁止とされている
他社のバナーの文言を、そのまま写す	自社の処理の実態と合わなくなる
Consent Mode を入れただけで済ませる	同意の記録・説明・撤回が別に必要
古い違法報道だけを根拠に、計測をやめる	DPF 以後の状況が変わっている
「同意不要」の例外を、確認なしに使う	GA4 が例外に当たるかは未確定

どの行も、「設定が楽だから」「数字が落ちるから」という理由で選びがちなものです。数字の欠損は、正しい設計の結果として受け入れるのが、長く使える選び方です。

17. チェックリスト

公開前に、次の項目を確認してください。

• サイトが実際にセットしている Cookie と外部通信の一覧がある
• CMP のバナーで、拒否が最初の層に、同意と同じ見た目で出る
• 事前にチェックされた選択肢がない
• 初期値が、EEA・英国・スイスで denied になっている
• 初期値のタグが、Consent Initialization で動く
• 選択後に update が呼ばれる
• 4つの同意タイプ（ad_storage・analytics_storage・ad_user_data・ad_personalization）の値が渡る
• 拒否の状態で、_ga が存在せず、GA4 の計測リクエストが出ない（基本モード）
• 同意後に、計測が始まる
• 他社の埋め込みが、同意前に読み込まれない
• プライバシーポリシーと Cookie ポリシーが実態と合い、更新日がある
• 同意の記録が残り、撤回の手段がある
• GA4 の同意設定の画面に警告がない
• 数字の欠損を前提にした読み方が、社内で共有されている

18. まとめ

• GA4 は条件つきで使えます。端末への保存、個人データの処理、米国への移転の3つを、別々に確認します
• オランダの「分析 Cookie は同意不要」は、限定的な分析に限られます。GA4 が当たるかは未確定で、同意を取る設計が安全側です
• DPF は有効ですが、上訴が係属中です。同意の設計は、DPF の有無と独立に必要です
• Consent Mode v2 は、同意の結果をタグに渡す部品です。バナーも、同意の記録も、別に用意します
• 同意前に止めるのは、分析 Cookie、識別子つきの送信、広告タグ、他社の埋め込みです。同意の管理と、サイトの動作に必要なものは動かせます
• 基本モードを標準にし、高度モードは法務の確認とセットで検討します。小規模なサイトでは、推計が働かないことが多くあります
• 設定は、拒否を押した状態で実画面で確かめます。数字の欠損は、正しい設計の結果として受け入れます

相談するなら

サイトの同意まわりは、「設定した」と「正しく動いている」の間に差が出やすい領域です。DevNJ は、オランダ・デン・ハーグを拠点に、欧州向けのサイト制作と運用を支援しています。Cookie の棚卸し、CMP と GTM の設定、実画面での確認、ポリシーの整備まで、サイトの状態に合わせて範囲を決められます。

まず状況を整理したい方は、サービスの内容をご覧ください。自分のサイトで何を確認すべきか知りたい方は、お問い合わせから、サイトのURLと、使っている計測・同意のツールをお知らせください。

参考にした情報源

オランダの当局

• Cookies — Autoriteit Persoonsgegevens：Cookie の3類型、同意の要否、電気通信法11.7a条
• Clear cookie banners — Autoriteit Persoonsgegevens：バナーの9原則
• Ambtsbericht Google Analytics（2025年11月13日）— Autoriteit Persoonsgegevens：GA の調査の経過、戒告、全面禁止の見通し、ACM の権限
• AP: Three-quarters of websites have adjusted their misleading cookie banners — AP（2025年11月11日）：200超のサイトへの警告と約4分の3の改善
• AP warns 50 organisations about misleading cookie banner — AP（2025年4月15日）：体系的な確認の開始
• AP launches campaign to help organisations develop sound cookie policy — AP（2025年12月2日）：Cookie ポリシーの見直しの呼びかけ
• Decision on fine AS Watson - Kruidvat — AP（2024年7月16日）：トラッキング Cookie に60万ユーロの罰金。2025年6月12日付の更新で、異議を受けた減額に触れている

EU の法令・判決・データ移転

• 指令 2002/58/EC（ePrivacy）— EUR-Lex：5条3項
• 規則 (EU) 2016/679（GDPR）— EUR-Lex：3条、4条11号、7条
• Planet49（C-673/17）— EUR-Lex：事前チェックのボックスは有効な同意でない
• Schrems II（C-311/18）— EUR-Lex：プライバシーシールドの無効
• European Commission adopts new adequacy decision（2023年7月10日）— 欧州委員会：DPF の十分性決定
• EU-US data transfers — 欧州委員会：DPF の概要
• Latombe の上訴の公示 — EU 官報：T-553/23 に対する上訴
• European Court of Justice to Review Challenge to EU-U.S. Data Privacy Framework — WilmerHale：一般裁判所の判決と上訴（法律事務所の解説）
• Utilisation de Google Analytics et transferts de données — CNIL：2022年2月の判断
• CNIL decides EU-US data transfer to Google Analytics illegal — noyb：申立てをした団体の解説

Google の仕様

• Set up consent mode on websites — Google for Developers：同意タイプ、default・update、wait_for_update、region
• Consent mode — Google アナリティクス ヘルプ：基本モードと高度モード、Cookie を使わない通知
• Behavioral modeling for consent mode — Google アナリティクス ヘルプ：推計の条件
• Verify and update consent settings — Google アナリティクス ヘルプ：同意設定の確認画面
• Data retention and IP addresses — Google アナリティクス ヘルプ：IP アドレスの扱い
• Consent mode in Tag Manager — タグマネージャー ヘルプ：Consent Initialization、タグの同意チェック
• Updates to consent mode for traffic in the EEA — Google 広告ヘルプ：ad_user_data と ad_personalization
• EU User Consent Policy — Google：EEA・英国・スイス、同意の記録
• Data transfer frameworks — Google：Google LLC の DPF 認証
• Advertising and analytics products: international data transfers — Google：2023年9月1日以降の DPF への依拠、SCC

DevNJ の公開情報

• Cookie ポリシー — DevNJ：サイトが使う Cookie と同意の扱い
• Search Console と GA4 の定点観測を自動化する — DevNJ：公開後の数字の見張り方と、同意による欠損の扱い

いずれも2026年10月30日に確認したものです。上訴審の判断、AP と ACM の権限の移管、Google の仕様は変わる可能性があります。設定を決める前に、公式ページで最新の情報を確認してください。この記事は法的助言ではなく、個別の判断が必要な場合は、弁護士などの専門家に確認してください。

---

サイトの同意まわりの確認や、欧州向けのサイトの制作・運用のご相談は、サービスの内容またはお問い合わせからどうぞ。