サイトの見た目を整えるために選んだ書体、商品紹介に貼った動画、アクセスの案内に置いた地図。どれも「見せるための部品」で、同意バナーやCookieの話とは別のものだと考えがちです。ところが、これらの多くは、訪問者のブラウザが第三者のサーバーへ直接取りに行く作りになっています。取りに行った瞬間、訪問者のIPアドレスは、その第三者に届きます。
この記事では、Google Fonts、YouTube、Googleマップ、SNSの埋め込み、外部のCDNといった計測以外の外部部品を、GDPRの目で整理します。計測ツール（GA4）と同意の設計は、別の記事「GA4はGDPRで使えるか」で扱いました。今回は、その手前にある「そもそも、読み込ませる必要があるのか」という話です。
読み終えたときに、自分のサイトで次の3つが判断できる状態を目指します。どの部品が、いつ、どこへ通信しているか。自社に置けるものは置き、置けないものはクリックの後に読み込む、という分け方。そして、直したあとに、DevToolsのネットワーク欄でそれを確かめる方法です。
この記事が主に根拠にした情報：ミュンヘン第一地方裁判所2022年1月20日判決（3 O 17493/20）、EDPBのガイドライン2/2023（2024年10月16日の最終版）、オランダの個人データ保護庁（AP）のCookieの案内、Googleのフォントの個人情報に関するFAQ、YouTubeのヘルプ、Googleのプライバシーポリシー、Maps Embed APIの案内。いずれも2026年11月1日に確認しました。
| この記事で分かること | 答えの要点 |
|---|---|
| なぜ埋め込みが問題になるのか | 読み込みの瞬間に、訪問者のIPが第三者に届く（第1章） |
| ミュンヘンの判決は何を言ったか | IPの送信を差止め、100ユーロの賠償（第2章） |
| EUとオランダの見方は | IPのみの追跡にも端末規則が及び得る。APは「Cookieなしの埋め込み」を挙げる（第3章） |
| 部品ごとの整理 | フォント、動画、地図、SNS、CDN、reCAPTCHA（第4章） |
| フォントの直し方 | 自社ホスティング（第5章） |
| 動画と地図の直し方 | クリックするまで読み込まない（第6章） |
| 同意管理との連携 | CMPの役割と、埋め込み側でやること（第7章） |
| 確認の方法 | DevToolsのネットワーク欄（第8章） |
1. 「見せる部品」は、第三者への通信でもある
まず、ブラウザの中で何が起きているかを確認します。ここが分かると、どの部品が問題になり得るかを、自分で見分けられるようになります。
1-1. ブラウザは、HTMLに書かれたURLを取りに行く
訪問者がページを開くと、ブラウザは、自社のサーバーからHTMLを受け取ります。HTMLには、フォントのCSS、画像、動画のiframe、地図のiframeなどのURLが書かれています。ブラウザは、そのURLのサーバーに、訪問者自身の端末から直接リクエストを送ります。自社のサーバーが中継するわけではありません。
リクエストを受け取った側のサーバーには、技術的に、訪問者のIPアドレス、要求したURL、ブラウザの種類（ユーザーエージェント）が届きます。Googleは、Google Fontsのプライバシーに関するFAQで、フォントのリクエストにはIPアドレス、要求されたURL、ユーザーエージェントを含むHTTPヘッダーが含まれると説明しています。Googleはこれを、リクエストに応えるため、および安全のために使うとしています。
図の3と4は、HTMLが読み込まれた時点で起きます。Cookieバナーが画面に出ているかどうかとは無関係です。バナーが出る前に、すでに通信が済んでいる、ということが起こります。
1-2. 「Cookieを使わない」ことは、問題がないことではない
Google Fontsについて、Googleは、APIは認証を伴わず、Cookieを設定も記録もしないと説明しています。この説明は、フォントの利用が「Cookieの同意」の問題として扱われにくい理由の1つです。
けれども、Cookieがないことと、個人データが届かないことは別です。GDPR第4条1項は、個人データの定義の中に「オンライン識別子」を挙げています。IPアドレスが個人データに当たるかは、次章の判決でも争点になりました。Cookieの有無ではなく、IPアドレスが第三者に届くかどうかで考える必要があります。
| 見るポイント | Cookie中心の見方 | 通信中心の見方 |
|---|---|---|
| 問うこと | 端末に何を書き込むか | 誰に何が届くか |
| フォントの場合 | Googleは「Cookieを設定しない」と説明 | IPとURLがGoogleに届く |
| 動画の場合 | プレーヤーがCookieを書くか | 読み込んだ時点でYouTubeに届く |
| 同意バナーで防げるか | 書き込む前に止めれば防げる | 通信そのものを止める必要がある |
| 確認の方法 | ブラウザのCookie欄 | ネットワーク欄 |
この表の言いたいことは、確認の場所を変えることです。Cookie欄を見て「空だ」と安心するのではなく、ネットワーク欄で、どのドメインへ通信しているかを見ます。
2. ミュンヘン地方裁判所の判決（2022年1月20日）
外部からのフォントの読み込みが、実際に裁判で争われた例があります。ミュンヘン第一地方裁判所の2022年1月20日の判決（事件番号 3 O 17493/20）です。バイエルン州の法令・判例データベースで判決文の要旨を読みました。
2-1. 何が命じられたか
裁判所は、原告の請求を大部分認めました。
| 項目 | 内容 |
|---|---|
| 差止め | 訪問者のIPアドレスをGoogle Fontsを通じてGoogleに渡してはならない。違反1回につき最大25万ユーロの秩序金、または最長6か月の秩序拘留 |
| 情報開示 | GDPR第15条に基づき、原告の個人データを処理しているか、何を処理しているかを開示する |
| 損害賠償 | 100ユーロと利息（GDPR第82条に基づく非財産的損害） |
被告となったのは、フォントをGoogleのサーバーから読み込んでいたサイトの運営者です。訪問者がページを開くたびに、IPアドレスが自動的にGoogleへ転送されていました。
2-2. 裁判所の理由づけ
要旨から読み取れる理由づけを、5つに分けて整理します。
- 動的IPアドレスは、運営者にとっても個人データに当たる。運営者が、当局やプロバイダーの助けを借りて本人を特定できる法的な手段を、抽象的にでも持っていれば足りる、としました。実際にGoogleや運営者が本人と結びつけたかどうかは問われていません（判決は連邦通常裁判所のVI ZR 135/13を引いています）。
- 同意はなかった。IPアドレスの自動転送は、情報の自己決定に関する一般的人格権の侵害と判断されました。
- 正当な利益では正当化できない。Google Fontsは、Googleのサーバーに接続せず、訪問者のIPアドレスを送らずに組み込めます。ですので、転送は必要ではない、と判断されました。
- 訪問者がIPアドレスを隠す義務はない。訪問者の側がIPアドレスを隠してからサイトを訪れるべきだ、という考えは、データ保護の目的を逆転させる、としました。
- 再発のおそれがある。過去に違法な転送があれば、再発のおそれが推定されます。あとから設定を変えても、それだけでは消えず、違約罰つきの停止の宣言などが必要だとしました。
3番目が、実務ではいちばん重要です。自社に置けば済むものを、わざわざ外部から読み込んでいることが、正当化を難しくしました。
2-3. この判決を、どう読むか
読み方には注意が必要です。
| 論点 | 読み方 |
|---|---|
| 裁判所 | ドイツの地方裁判所の一審判決。オランダの裁判所を拘束するものではない |
| 適用範囲 | その事件の当事者とその事実関係についての判断 |
| 金額 | 100ユーロは小さいが、判決は差止めと再発のおそれも認めている |
| 賠償の相手 | 賠償を命じられたのは、Googleではなく、サイトの運営者 |
| 他の部品 | 判決はGoogle Fontsの事案。YouTubeやマップに同じ結論が出るとは限らない |
私たちの読み方は次のとおりです。この判決は、外部部品の読み込みが「IPの第三者への送信」として評価され得ることを、はっきり示した例です。同じ考え方は、読み込む相手が違っても成り立ち得ますが、結論は事案で変わります。そして、フォントのように自社に置けるものについては、置かない理由を説明するほうが難しい、というのが実務上の教訓です。
なお、この記事は、控訴審や、その後のドイツ国内の運用については確認していません。判決の効力の及ぶ範囲を、本記事から読み取らないでください。
3. EUとオランダは、どう見ているか
ここでは、EDPB（欧州データ保護会議）のガイドラインと、オランダのAP（Autoriteit Persoonsgegevens、個人データ保護庁）の案内を見ます。判決のようにフォントを名指ししたものではないので、何が言えて、何が言えないかを分けて書きます。
3-1. EDPBガイドライン2/2023：端末規則の技術的な範囲
EDPBは、ePrivacy指令5条3項（端末への保存と、保存された情報へのアクセス）の技術的な範囲を示すガイドライン2/2023を、2024年10月16日付の最終版として公表しています。URLやピクセルによる追跡、ローカル処理、IPのみによる追跡などを例に、5条3項が及ぶ範囲を整理した文書です。
| ガイドラインの節 | 書かれていること（要旨） |
|---|---|
| 3.1 URLとピクセルの追跡 | ピクセルは、コンテンツに埋め込まれたリソースへのリンクで、ホストへの通信を自動的に起こすことだけが目的のものがある。そこに識別子が加えられ、収集されることは、5条3項の「アクセス」に当たる |
| 3.3 IPのみによる追跡 | IPアドレスだけを使った追跡でも、指示を出した者と受け取る者が別でも、5条3項が及び得る |
| 同55項 | IPアドレスが利用者の端末に由来する場合に限る。CGNAT（キャリア級NAT）の場合のように、必ずそうとは限らない |
| 同56項 | 5条3項が及ぶからといって、必ず同意が要るわけではない。例外が使えるか、個別に見る |
この表から、2つのことが言えます。1つ目は、IPアドレスの受け渡しも、端末規則の射程に入り得ることです。2つ目は、入り得るからといって、同意が必ず要るとは書かれていないことです。
ここで私たちが慎重に書きたいのは、ガイドラインのピクセルの例は「ホストへの通信を起こすことだけが目的」のものを念頭に置いている点です。フォントや動画は、画面に表示するという、コンテンツ本来の目的を持っています。ですので、フォントのリクエストが5条3項にどう当てはまるかは、このガイドラインだけでは決まりません。決まらない部分は、断定しません。
3-2. APの考え方：追跡Cookieには同意、埋め込みはCookieなしの形もある
オランダのAPは、Cookieの案内の中で、次のように整理しています（2026年11月1日確認）。
| 項目 | APの案内（要旨） |
|---|---|
| 追跡Cookie | 法的根拠は、はっきりした同意でなければならない |
| 有効な同意 | はっきりした、能動的な行為が要る。チェック済みのボックスは使えない。スクロールや「閲覧を続けると同意したことになる」も使えない |
| Cookieウォール | 追跡Cookieを拒否した人のアクセスを遮ることは、認められない（APの発表） |
| 撤回 | 同意を撤回できる手段を用意する |
| 動画の埋め込み | 動画プレーヤーがCookieを置かない形で埋め込める場合が多い。プライバシーに配慮した版の埋め込みを用意している動画プラットフォームもある |
APの案内で、この記事にとって重要なのは、最後の行です。APは、Cookieを置かない形の埋め込みがあり得る、と述べています。これは、プラットフォームの「プライバシー強化」の選択肢を使う余地を、当局が認めているということです。
ただし、APの案内は、どの設定ならCookieが置かれないかを保証するものではありません。そこは、自分のサイトで確かめる部分です（第8章）。バナーの作り方についてのAPの9つの原則は、Clear cookie bannersにまとまっています。
なお、APは自分のサイトのCookieに関する表示で、機能的なCookieだけを使い、第三者の埋め込みコンテンツは含まない、と説明しています。規制当局自身が、埋め込みを置かない選択をしている、という一例です。
3-3. 通信と法律を、混ぜない
整理のために、3つの別の問いを書き分けます。GA4の記事で扱った3層の考え方と同じ構えです。
| 層 | 問い | 根拠になる法律 |
|---|---|---|
| 端末への保存と読み取り | Cookieなどを書き込むか。IPの受け渡しは含まれるか | ePrivacy指令5条3項、オランダ電気通信法 |
| 個人データの処理 | IPアドレスは個人データか。法的根拠は何か | GDPR第4条、第6条 |
| 米国への移転 | 受け取る側が米国の会社なら、移転の根拠はあるか | GDPR第5章（現在はEU-米国DPFなど） |
米国への移転の根拠（DPF）と、その上訴の状況は、GA4の記事の第4章でまとめました。ここでは繰り返しません。ただし、同意を取る・取らない以前に、そもそも通信を起こさないのが、いちばん確実です。
4. 部品ごとに整理する：何が、どこへ、どう直すか
ここからは、実務の話です。サイトに置かれがちな外部部品を、1つずつ見ます。
4-1. 部品別の早見表
| 部品 | 通信先（例） | 確認できたこと | 直し方の基本 |
|---|---|---|---|
| Google Fonts（CDN） | fonts.googleapis.com、fonts.gstatic.com | IPとURLが届く。Googleは「Cookieを設定しない」と説明 | 自社ホスティング |
| YouTube（通常の埋め込み） | www.youtube.com | 埋め込みのURLはwww.youtube.com/embed/動画ID。自動再生では、ページ読み込み時にデータ収集が起きるとの記載 | クリック後に読む |
| YouTube（youtube-nocookie） | www.youtube-nocookie.com | Cookieの扱いを断言した公式文書は、確認できた範囲では見つからず | 通信を実測して判断 |
| Googleマップ（埋め込み） | www.google.com/maps/embed | iframeで読み込む。Googleのポリシーは「埋め込みのGoogleマップ」を組み込み製品に挙げる | クリック後に読む、またはリンクにする |
| SNS（投稿の埋め込み） | 各社のドメイン | 各社の仕様による | リンクか画像にする |
| 外部CDN（JS・CSS） | 各CDNのドメイン | ライブラリの配信元に届く | 自社に置く |
| reCAPTCHA | www.google.com/recaptcha | フォームの保護に使われる | 必要なページだけ、同意の扱いを決めて使う |
表の「確認できたこと」の欄は、2026年11月1日に公式の文書で確かめた範囲です。確かめられなかったものは、書いていません。
4-2. 3つに分ける考え方
部品を、直し方で3つに分けると、判断が簡単になります。
「自社に置く」は通信そのものを消せます。「クリック後」は、訪問者が自分で選ぶまで通信を起こしません。「同意の後」は、同意管理の仕組みで制御します。左ほど確実で、手間も少なく、右ほど管理が増えます。まず左に寄せられないかを考えます。
5. フォントを自社ホスティングに切り替える
Google Fontsは、最も直しやすい部品です。判決でも、自社に置けるのに外部から読み込んだことが、正当化を難しくしました。
5-1. 仕組み：何を、何に置き換えるのか
Google Fontsの標準的な使い方は、fonts.googleapis.com/cssというURLのスタイルシートを、HTMLにリンクするものです。公式の案内では、特別なスタイルシートのリンクをHTMLに足し、CSSで書体を指定するだけ、とされています。そのスタイルシートが、さらにフォントのファイルへの参照を含みます。Googleのフォントのプライバシーに関する説明では、CSSとフォントのファイルは、fonts.googleapis.comとfonts.gstatic.comという専用のドメインから配信されると読めます。
自社ホスティングは、この2つを自社のサーバーに置き換える作業です。
| 外部読み込み | 自社ホスティング |
|---|---|
| HTMLに外部CSSへのリンクがある | HTMLにはリンクを置かず、自社のCSSに@font-faceを書く |
| フォントのファイルはGoogleのサーバー | フォントのファイルは自社のサーバー |
| 訪問のたびにGoogleへ通信 | 自社のサーバー内で完結 |
| Googleがフォント更新を配信 | 自分でファイルを更新 |
| 書体の追加が簡単 | 書体の追加に作業が要る |
Googleは、フォントを運営者のサーバーから読み込む場合、Googleはサイトの訪問に関するデータを受け取らない、と述べています。これが、自社ホスティングの考え方の根拠です。
5-2. 手順（自作サイト・静的サイト）
自作のサイトや静的サイトでは、次の手順になります。作業の前に、いま使っている書体とウェイトを洗い出すことが大切です。使っていないウェイトまで置くと、ファイルが大きくなります。
- サイトのHTMLとCSSで、fonts.googleapis.comとfonts.gstatic.comを検索し、使っている書体（例：Noto Sans JP）とウェイト（例：400と700）を一覧にする
- 一覧の書体とウェイトのファイルを、woff2形式で入手する。Google Fontsの配布ページからダウンロードできる。書体ごとのライセンス表示も、このとき確認する
- 自社サーバーの、公開しているディレクトリ（例：
/fonts/）にファイルを置く - 自社のCSSに、
@font-faceを書く。font-familyの名前、srcのURL、font-weight、font-display: swapを指定する - HTMLの
<link>のうち、fonts.googleapis.comとfonts.gstatic.comへのものを削除する。preconnectの指定も消す - 日本語の書体は、ファイルが大きくなりやすい。必要な字種に絞るか、システムフォントとの併用を検討する
- 公開後に、DevToolsでGoogleへの通信が消えたことを確かめる（第8章）
5-3. 手順（WordPress）
WordPressでは、フォントの読み込みが、テーマ・ページビルダー・プラグインの3か所から起き得ます。1か所直しても、別の場所が読み込み続けることが、最もよくある失敗です。
| 場所 | 確認すること | 直し方 |
|---|---|---|
| テーマ | テーマの設定画面にフォントの選択肢があるか。functions.phpで外部CSSを登録していないか | 自社ホスティングの選択肢があれば使う。なければ子テーマで外部CSSの登録を外し、@font-faceを足す |
| ページビルダー | ビルダーの設定に「Google Fontsを読み込む」「ローカルに保存する」の項目があるか | ローカル保存の設定を有効にする。更新後に再確認する |
| プラグイン | フォントを自社に置くための専用のプラグインを使うか | 使うなら、設定後にキャッシュを消し、ネットワーク欄で確認する |
| 追加CSS | 追加CSSに外部CSSのimportが書かれていないか | importの行を消し、自社のCSSに置き換える |
| キャッシュ・最適化 | 最適化プラグインが、古い読み込みの記述を残していないか | キャッシュを消してから確認する |
WordPressでは、設定を変えたあとにキャッシュを消してから、ネットワーク欄を確かめるところまでが1つの作業です。画面の見た目が変わらなくても、裏で外部への通信が残っていることがあります。
5-4. 自社ホスティングで失うもの
自社ホスティングには、手間と引き換えの面があります。
| 項目 | 内容 | 対処 |
|---|---|---|
| 更新 | フォントが更新されても、自動では反映されない | 年に1度などの見直しを決める |
| 書体の追加 | 追加のたびに、ファイルの入手と配置が要る | 使う書体を絞る |
| 表示速度 | 外部CDNの共有キャッシュは期待できない | woff2形式、必要なウェイトだけ、font-displayの指定 |
| ライセンス | 配布条件を自分で確認する必要がある | 書体ごとのライセンス表示を保管する |
私たちの考えでは、これらは小さな手間です。外部読み込みを続ける理由が「簡単だから」だけであるなら、自社ホスティングに移す価値があります。
6. 動画と地図は、クリックするまで読み込まない
フォントと違い、動画と地図は自社に置けません。YouTubeの動画はYouTubeのサーバーにあり、地図の地図データはGoogleにあります。ここでは、訪問者が見たいと意思表示するまで、読み込まない作りを使います。
6-1. 2段階埋め込みの考え方
2段階埋め込みは、最初のページに、iframeを置かず、代わりの表示（プレースホルダー）を置く作りです。訪問者がクリックしたときに、はじめてiframeを差し込みます。
この作りの利点は、読み込みの前に、訪問者が自分で選ぶことです。ただし、これだけで「同意を取った」ことになるとは限りません。クリックは、読み込みを意識的に選んだ行為ではありますが、同意として有効になる条件（はっきりした説明、記録）を満たすかは、設計次第です。ここは第7章の同意管理とあわせて決めます。
6-2. プレースホルダーに書くこと
プレースホルダーは、ただの画像ではなく、何が起きるかを伝える場所です。
| 書くこと | 例 | 理由 |
|---|---|---|
| 何を読み込むか | 「YouTubeの動画を読み込みます」 | 外部サービスだと分かる |
| どこへ通信するか | 「再生すると、YouTube（Google）に接続します」 | 相手が分かる |
| 何が届くか | 「接続すると、IPアドレスなどが先方に送られます」 | 影響が分かる |
| 詳細の場所 | プライバシーポリシーへのリンク | 説明の拠りどころ |
| 代わりの手段 | 動画へのリンク、文字での要約 | 読み込まない人にも情報が届く |
「動画を見るには、クリックしてください」だけでは、何が起きるか分かりません。先方のサービス名と、届くものを書きます。
6-3. YouTubeの扱い
YouTubeの標準の埋め込みは、www.youtube.com/embed/動画IDというURLのiframeです（YouTubeのPlayerパラメータの案内）。同じ案内には、自動再生を有効にすると、ページ読み込み時に再生データの収集と共有が起きる、という趣旨の記載があります。自動再生は、使わないのが安全側です。
youtube-nocookie.comについては、はっきり書いておきます。YouTubeのヘルプには、プライバシー強化モードが、埋め込みの閲覧が、閲覧者のYouTube上での体験に影響することを防ぐ、という趣旨の説明があります。けれども、確認できた範囲では、Cookieや端末への保存が、どの条件で、どうなるかまでは、その文書に書かれていません。ですので、この記事は「youtube-nocookie.comならCookieなし」とは書きません。
| 主張 | 確認できたか | この記事の扱い |
|---|---|---|
| プライバシー強化モードは、閲覧が閲覧者のYouTube体験に影響することを防ぐ | 確認できた（YouTubeヘルプ） | そのまま紹介 |
| youtube-nocookie.comはCookieを置かない | 確認できなかった | 断言しない |
| 再生前は端末への保存がない | 確認できなかった | 断言しない |
| 読み込んだ時点で、IPアドレスは先方に届く | 通信の仕組みとして、HTTPリクエストを受け取る側に届く | 前提として扱う |
| APは、Cookieなしの形の埋め込みがあり得ると述べる | 確認できた（APの案内） | 引用して紹介 |
結論として、プライバシー強化モードのドメインを使うことは、やらないよりやったほうがよい選択肢です。しかし、それを根拠に、同意なしで読み込んでよいと判断するのは、確かめられていない前提に頼ることになります。クリック後に読み込む形と、DevToolsでの実測を組み合わせます。
6-4. Googleマップの扱い
Googleマップの埋め込みは、iframeのsrcにwww.google.com/maps/embed/v1/placeなどを指定する作りです。JavaScriptは要らないと案内されており、URLにはAPIキーが入ります。Googleのプライバシーポリシーは、「埋め込みのGoogleマップ」を、サードパーティのサイトに組み込まれるGoogleの製品として挙げています。また、収集する情報として、端末のやりとりの情報にIPアドレスを含むと書いています。
ここでも、Cookieの有無をこの記事は断定しません。確実に言えるのは、ページを開いた時点で、iframeの通信が始まることです。選択肢は3つです。
| 選択肢 | 内容 | 向いている場面 |
|---|---|---|
| クリック後に読み込む | プレースホルダーを置き、クリックでiframeを差し込む | 地図をページ内で見せたい |
| リンクにする | 「Googleマップで開く」のリンクを置く | 住所と経路が伝わればよい |
| 画像にする | 地図の画像を自社に置き、リンクを添える | 見た目を保ちたい |
画像にする場合、地図の画像の利用条件は、画像の出典ごとに確認します。条件を確かめないまま取り込むと、別の問題が生まれます。住所を文字で書き、経路の案内リンクを添えるだけで、実用上は十分な場合も少なくありません。
6-5. SNSの埋め込みと、外部CDN
SNSの投稿の埋め込みは、各社のスクリプトとiframeを読み込みます。仕様は各社で違い、この記事では個別に確認していません。安全側の直し方は、投稿のスクリーンショットと、元の投稿へのリンクに置き換えることです。引用の扱いについては、各サービスの利用条件に従います。
外部CDNから読み込むJavaScriptやCSSは、自社にファイルを置けば、外部への通信が消えます。ライブラリのファイルを、バージョンを固定して自社のサーバーに置きます。更新を自分で見る必要はありますが、通信の相手が減るという利点のほうが大きいのが通常です。
7. 同意管理（CMP）と、どうつなぐか
ここまで「クリックしたら読み込む」と書きました。もう一段、同意管理（CMP：同意の画面と記録を担う部品）とつなぐ設計があります。
7-1. GA4の記事との切り分け
先に、前回の記事との役割分担を整理します。
| 項目 | GA4の記事（計測） | この記事（計測以外の部品） |
|---|---|---|
| 主な部品 | Googleアナリティクス、Googleタグマネージャー | フォント、動画、地図、SNS、外部CDN |
| 主な問い | 計測してよいか、同意前に何を止めるか | 読み込ませる必要があるか |
| 同意を伝える仕組み | Consent Mode（タグに状態を伝える） | CMPの機能、または自作のクリック処理 |
| 最も確実な直し方 | 同意の後に計測を動かす | 自社に置く、クリック後に読む |
Consent Modeは、Googleのタグに同意の状態を伝える仕組みです。フォントのCSSや、YouTubeのiframeを止める仕組みではありません。GA4の記事の「同意前に止めるもの」にも、他社の埋め込み（動画・SNS）は入っています。その中身を、実際にどう止めるかが、この記事です。
7-2. 同意の後に読み込む：基本の形
同意管理を使うときの流れは、一般に次のとおりです。
- 同意が得られるまで、埋め込みのiframeや外部のスクリプトを、ページに入れない
- プレースホルダーを表示し、訪問者が「外部のコンテンツを読み込む」を選べるようにする
- 同意の状態をCMPから受け取り、同意された区分の部品だけを動かす
- 拒否または未回答なら、プレースホルダーのままにする
- 同意を撤回できる手段を残し、撤回後に読み込みを止める
多くのCMPは、スクリプトやiframeに特別な属性や種類を指定すると、同意の後まで実行を遅らせる機能を持ちます。書き方は製品ごとに違うため、使っているCMPの公式ドキュメントに従ってください。この記事は、個別の書き方を保証しません。
7-3. 「クリック」と「同意」の関係
クリック後に読み込む形は、同意管理を使わなくても作れます。では、それは同意の代わりになるでしょうか。
| 考え方 | 内容 | 留意点 |
|---|---|---|
| クリック＝選択 | 見たい人だけが読み込む | 先方に通信することが、プレースホルダーに明記されていること |
| クリック＝同意 | 同意の要件を満たすなら、同意として扱える | 説明、はっきりした行為、記録が要る。法務の確認が望ましい |
| クリックだけ | 説明も記録もない | 同意として扱えるかは不明確。避ける |
当社の見解は、クリック後読み込みは、通信を遅らせる効果が確実にある一方、同意として十分かは、プレースホルダーの説明と記録の設計で変わる、というものです。迷うときは、CMPの機能で同意を取り、記録します。APの案内のとおり、有効な同意には、はっきりした能動的な行為が必要です。
7-4. 同意管理を入れても直らないもの
同意管理は、入れただけで、サイトの外部通信を止めてくれるものではありません。
| よくある状態 | 起きること | 直し方 |
|---|---|---|
| テーマにGoogle Fontsのリンクが直接書いてある | 同意の前に、フォントが読み込まれる | 自社ホスティングに切り替える |
| 動画のiframeがHTMLに直接書いてある | 同意の前に、iframeが読み込まれる | iframeを外し、クリック後に差し込む |
| プラグインが地図のスクリプトを自動で読む | 拒否しても読み込まれる | プラグインの設定を見直すか、別の方法にする |
| タグマネージャーの外に、直書きのタグがある | 同意の制御が効かない | 直書きを探し、制御の下に移す |
8. DevToolsで確かめる
直したあとに必要なのは、実際に通信が消えたことの確認です。設定画面の見た目ではなく、ブラウザが何を取りに行ったかを見ます。
8-1. 準備と手順
ChromeのDevToolsで、ネットワーク欄を使います。他のブラウザにも同様の機能があります。
- 確認用に、シークレットウィンドウなどで、保存済みのCookieや同意のない状態を作る
- ページを開き、DevToolsを開く（Windowsは F12、Macは Option+Command+I）
- ネットワーク欄を選び、ページを再読み込みする。開く前にネットワーク欄を表示しておくと、最初の通信を取りこぼさない
- 同意の画面が出たら、拒否する、または何も選ばない
- フィルターに、調べたいドメインを入れる：
fonts.googleapis、fonts.gstatic、youtube、google.com/maps - 一覧に出た行があれば、その通信は同意の前に起きている
- ページ内を操作し（スクロール、クリック）、あとから読み込まれる通信がないかも確かめる
8-2. 見る場所と、読み方
| 見る場所 | 何が分かるか |
|---|---|
| ネットワーク欄の「ドメイン」列 | どの相手に通信しているか |
| 各行の「イニシエーター」 | どのファイルが、その通信を起こしたか |
| フィルター欄 | 特定のドメインだけに絞る |
| ネットワーク欄の「Type」 | font、document（iframe）、script、など |
| アプリケーション欄のCookie | 書き込まれたCookieがあるか |
「イニシエーター」の列は、犯人探しに役立ちます。フォントの通信がどのCSSから起きているかが分かれば、テーマなのか、プラグインなのか、追加CSSなのかを特定できます。
8-3. 状態ごとに、期待する結果
確認は、状態を変えて行います。1つの状態だけでは足りません。
| 状態 | フォント | 動画・地図のiframe | 期待する結果 |
|---|---|---|---|
| 初めての訪問・未回答 | 自社のみ | プレースホルダー | 外部ドメインへの通信がない |
| 拒否した | 自社のみ | プレースホルダー | 外部ドメインへの通信がない |
| クリックまたは同意した | 自社のみ | iframeが入る | クリックの後にだけ、外部への通信が出る |
| 同意を撤回した | 自社のみ | プレースホルダーに戻る | 以降、新しい外部通信が出ない |
| 別のページ（投稿・固定ページ） | 自社のみ | ページごとに確認 | ページごとの追加部品がない |
この表の「別のページ」の行は、見落とされがちです。トップページは直っていても、ブログ記事のテンプレートにだけ、動画や地図が入っていることがあります。ページの種類ごとに、1つずつ開いて確認します。
9. WordPressと自作サイトで、確認と直しはどう違うか
ここまでの内容を、サイトの作り方ごとにまとめ直します。
9-1. 比較表
| 項目 | WordPress | 自作サイト・静的サイト |
|---|---|---|
| 外部読み込みの出どころ | テーマ、ビルダー、プラグイン、追加CSS | 自分で書いたHTMLとCSS、読み込んだライブラリ |
| 探しやすさ | 3か所以上にまたがり、探しにくい | ソースを検索すれば見つかる |
| フォントの直し方 | テーマやビルダーの設定、または専用プラグイン、または子テーマ | @font-faceを自分で書く |
| 動画・地図の直し方 | 動画や地図のブロックの設定、専用プラグイン、またはショートコードの置き換え | プレースホルダーと小さなスクリプトを書く |
| 再発のしやすさ | 更新やプラグイン追加で、外部読み込みが戻り得る | 新しい部品を足したときだけ |
| 確認の頻度 | 更新のたびに | 部品を足したとき |
WordPressは、更新のたびに状態が変わり得ることが特徴です。直したあと、テーマやプラグインを更新したら、もう一度ネットワーク欄を見る習慣をつけます。
9-2. WordPressでの作業の順番
- ネットワーク欄で、外部ドメインへの通信を洗い出す
- 「イニシエーター」で、テーマ・ビルダー・プラグインのどれが起こしているかを特定する
- フォントは、設定でのローカル保存、またはCSSの置き換えで直す
- 動画と地図は、ブロックやプラグインの設定を見て、読み込みを遅らせる機能があれば使う。なければ、リンクに置き換える
- キャッシュを消し、シークレットウィンドウで再確認する
- 更新後の再確認を、運用の手順に入れる
9-3. 自作サイトでの作業の順番
- HTMLとCSSで、外部のドメインを検索する
- フォントは第5章の手順で自社化する
- 動画と地図は、プレースホルダーと、クリックで
iframeを差し込む小さなスクリプトに置き換える - 外部CDNのファイルは、バージョンを固定して自社に置く
- 公開前に、ページの種類ごとに、ネットワーク欄で確かめる
- 新しい部品を足すときは、「外部への通信が増えないか」を、レビューの項目に入れる
9-4. DevNJ自身のサイトで確かめた事実
説明だけでは分かりにくいので、DevNJのサイト（dev-nj.com）のソースから、確かめられた範囲を書きます（2026年11月1日確認）。
| 項目 | 確認できたこと | 確認元 |
|---|---|---|
| フォント | CSSの@font-faceで、自社のファイルを指している | サイトのスタイルシート |
| フォントの外部読み込み | fonts.googleapis.comやfonts.gstatic.comへの参照は、リポジトリ内に見当たらない | サイトのテンプレートとスタイルシートの検索 |
| 動画の埋め込み | YouTubeのiframeは、サイトのテンプレートに見当たらない | 同上 |
| 問い合わせフォーム | reCAPTCHA v3のスクリプトを、問い合わせページで読み込む | フォームのテンプレート |
最後の行のとおり、自社に置いていない部品が、ゼロではありません。問い合わせフォームのスパム対策に使うreCAPTCHAです。これは、必要なページだけで読み込み、Cookieポリシーに記載する、という設計にしています。ここで言いたいのは、完璧を装うことではなく、どの部品が外にあるかを把握し、説明できる状態にすることです。
10. つまずきやすいところ
実際の作業で起こりやすい失敗を、まとめます。
| つまずき | 起きること | 避け方 |
|---|---|---|
| フォントを自社に置いたが、リンクを消し忘れた | 両方読み込まれ、外部通信が残る | 自社化のあと、必ずネットワーク欄で確認 |
| テーマの設定だけ直した | プラグインが外部CSSを読み続ける | イニシエーターで出どころを特定 |
| iframeを消したつもりが、キャッシュに残った | 古いHTMLが配信される | キャッシュを消してから確認 |
| 動画を非表示にしただけ | CSSで隠してもiframeは読み込まれる | iframe自体をHTMLから外す |
| 地図のスクリプトが別の場所にも入っている | ページごとに外部通信が出る | ページの種類ごとに確認 |
| 「同意しました」の表示で安心した | 通信は、表示の前に済んでいた | 拒否の状態でネットワーク欄を見る |
| クリック後読み込みの説明が不足 | 同意として扱えるか不明確 | 相手の名前と届くものを書く |
特に、CSSで隠しただけの失敗は多く見られます。display: noneの要素は、見えなくなるだけで、読み込みは起きます。
11. 日本の事業者にとって、どこから対象になるか
日本の会社が運営するサイトでも、EUにいる人に商品やサービスを提供する意図が読み取れるなら、GDPRの対象になり得ます（GDPR第3条2項）。言語、通貨、配送先、EU向けの宣伝などが、判断の手がかりになります。GA4の記事で整理したとおりで、対象になるかは個別の判断です。
| 状況 | 一般的な見立て |
|---|---|
| 日本語だけで、日本向けに運営している | EU向けの意図は読み取りにくい。個別に確認 |
| 英語版があり、EUへの発送や予約を受ける | 対象になり得る。確認が必要 |
| オランダ・EUの顧客向けのサービスを案内している | 対象になり得る |
| 欧州に拠点がある | 拠点の活動に関する処理は対象になり得る |
この表はあくまで見立てで、法的な判断ではありません。迷ったときは、専門家に確認してください。
12. 工数の考え方
費用の金額は、サイトごとに大きく違うため、ここでは書きません。どこに手間がかかるか、を整理します。
| 作業 | 手間が増える要因 |
|---|---|
| 現状の洗い出し | ページの種類が多い、WordPressでプラグインが多い |
| フォントの自社化 | 書体とウェイトが多い、日本語のフォントでファイルが大きい |
| 動画・地図の置き換え | 埋め込みが多数のページに散らばっている |
| 同意管理との連携 | CMPの設定、プレースホルダーの文言、記録の設計 |
| 確認とテスト | ページの種類、言語、状態（未回答・拒否・同意）の組み合わせ |
| ポリシーの更新 | プライバシーポリシーやCookieポリシーに、実態を反映 |
一番手間がかかるのは、実は最初の洗い出しです。どこに何があるかが分かれば、直す作業は、思ったより早く進みます。
13. サイトの作り別の直し方
ここまでの内容を、サイトの作りごとに「条件と手順」の形で整理します。どの形に近いかを見て、読み進める場所を決めてください。
13-1. 3つの典型的な構成
構成A：WordPressのテーマがGoogle Fontsを読んでいる場合。ネットワーク欄では、フォントの通信が最初に出ます。まずテーマの設定にローカル保存の項目があるかを見て、あれば有効にします。なければ子テーマで外部CSSの登録を外し、@font-faceを足します。動画や地図が入っている場合は、リンクや住所の文字に置き換えます。設定を変えたら、キャッシュを消してから確認します。
構成B：静的サイトで、iframeを直接書いている場合。HTMLにフォントのリンクと、YouTubeなどのiframeが直書きされています。フォントのファイルを自社に置いて@font-faceに替え、iframeはプレースホルダーとクリック後に差し込む小さなスクリプトに替えます。EU向けのサイトで同意を記録する必要があるときは、CMPで同意を取り、記録します。
構成C：SNSの埋め込みが多い場合。投稿を何件も貼っているサイトでは、埋め込みをスクリーンショットと元の投稿へのリンクに置き換えるのが、安全側の直し方です。全ページのイニシエーターを見て、スクリプトの出どころが残っていないかを確かめます。
| 構成 | 直す部品 | 方法 | 確認で見る場所 |
|---|---|---|---|
| A WordPressのテーマ | フォント、動画、地図 | 設定でのローカル保存、リンク化 | テーマ設定の後、キャッシュを消して確認 |
| B 静的サイトのiframe直書き | フォント、YouTube | 自社ホスティング、クリック後読み込み、CMP | ページの種類ごと、状態ごとに確認 |
| C SNS埋め込みが多いサイト | SNSの埋め込み | 画像とリンク | 全ページのイニシエーター |
3つに共通するのは、直す前に洗い出し、直した後に実測する順番です。
14. やってはいけないこと
| やってはいけないこと | 理由 |
|---|---|
| 「Cookieを使わないから大丈夫」と決める | IPアドレスが届くことは、Cookieの有無とは別の問題 |
| youtube-nocookie.comにしただけで、同意なしに読み込む | Cookieなしと言い切る公式の根拠を、確認できていない |
| CSSで隠しただけで、直ったとする | 隠しても読み込みは起きる |
| 設定画面の見た目だけで確認を終える | 実際の通信は、ネットワーク欄でしか見えない |
| 判決の100ユーロという金額だけで、リスクを軽く見る | 差止めと再発のおそれも認められている |
| 他人のサイトの設定をコピーする | サイトごとに、実際の部品と通信が違う |
| 部品の洗い出しをせずにCMPだけ入れる | 同意の前に出る通信が、そのまま残る |
15. チェックリスト
- ネットワーク欄で、未回答・拒否の状態でも、外部ドメインへの通信が出ないことを確かめた
- fonts.googleapis.comとfonts.gstatic.comへの通信がない
- 動画と地図は、クリックするまで読み込まれない（または、リンク・画像にした）
- 自動再生を使っていない
- 外部CDNのファイルを、自社に置いた
- ページの種類ごと（トップ、記事、固定ページ、フォーム）に確認した
- テーマやプラグインの更新後の再確認を、運用の手順に入れた
- プレースホルダーに、相手の名前と届くものを書いた
- プライバシーポリシーとCookieポリシーを、実態に合わせて更新した
- 外部に残る部品（reCAPTCHAなど）を一覧にして説明できる
16. まとめ
- 外部から読み込む部品は、読み込んだ時点で、訪問者のIPアドレスが第三者に届きます。Cookieバナーとは別の問題です
- ミュンヘン地方裁判所は2022年1月20日、Google Fontsの読み込みについて、差止めと100ユーロの損害賠償を命じました。ドイツの一審判決で、結論は事案ごとに変わります
- EDPBは、IPのみによる追跡にも端末規則が及び得ると整理しつつ、同意が必ず要るわけではないとも書いています。断定せず、個別に見ます
- APは、Cookieを置かない形の動画の埋め込みがあり得ると述べています。どの設定がそうなるかは、自分のサイトで確かめます
- 直し方は、自社に置く、クリックするまで読み込まない、同意の後に動かす、の順に確実です
- youtube-nocookie.comが「Cookieなし」と言い切れるかは、確認できませんでした。実測で決めます
- 直したあとは、拒否の状態でネットワーク欄を見て、外部への通信が消えたことを確かめます
相談するなら
外部の部品は、気づかないうちに増えます。テーマの更新、プラグインの追加、担当者の交代のたびに、通信の相手が変わっていることがあります。DevNJは、オランダ・デン・ハーグを拠点に、欧州向けのサイト制作と運用を支援しています。
まず状況を整理したい方は、サービスの内容をご覧ください。自分のサイトでどの部品が外に通信しているか知りたい方は、お問い合わせから、サイトのURLと、使っているテーマやプラグイン、同意管理のツールをお知らせください。この記事は法的助言ではありません。個別の判断は、専門家にご相談ください。
参考にした情報源
判決
- LG München I, Endurteil vom 20.01.2022 – 3 O 17493/20（Google Fonts）— Bayern.Recht：差止め、100ユーロの賠償、IPアドレスが個人データであること、正当な利益の否定
EU の法令・ガイドライン
- 規則 (EU) 2016/679（GDPR）— EUR-Lex：第3条、第4条（オンライン識別子）、第6条、第82条
- 指令 2002/58/EC（ePrivacy）— EUR-Lex：5条3項
- Guidelines 2/2023 on Technical Scope of Art. 5(3) of ePrivacy Directive — EDPB：最終版（2024年10月16日）。URLとピクセルの追跡、IPのみの追跡
- Guidelines 2/2023 本文（PDF）— EDPB：3.1節、3.3節（55項、56項）
オランダの当局
- Cookies — Autoriteit Persoonsgegevens：Cookieの3類型、電気通信法
- Tracking cookies — Autoriteit Persoonsgegevens：追跡Cookieの同意、有効な同意の条件、動画の埋め込み
- Websites moeten toegankelijk blijven bij weigeren tracking cookies — Autoriteit Persoonsgegevens：Cookieウォールを認めない立場
- Cookieverklaring — Autoriteit Persoonsgegevens：AP自身のサイトのCookie表示
- Clear cookie banners — Autoriteit Persoonsgegevens：バナーの9原則
Google・YouTubeの仕様
- Privacy and Data Collection — Google Fonts：Cookieを設定しない、IP・URL・ヘッダーが届く、自社配信の場合
- Getting started — Google Fonts API：スタイルシートのリンクによる読み込み
- YouTube Player Parameters — Google for Developers：埋め込みのURL、自動再生とデータ収集
- Embedded players and privacy-enhanced mode — YouTube ヘルプ：プライバシー強化モードの説明
- Maps Embed API: Get started — Google for Developers：iframeでの読み込み、JavaScript不要
- Google プライバシー ポリシー：埋め込みのGoogleマップ、IPアドレス
DevNJの公開情報
- GA4はGDPRで使えるか｜Cookie同意とConsent Mode v2の設定（2026年）— DevNJ：計測の同意、DPFの状況、Consent Mode
いずれも2026年11月1日に確認したものです。判決の効力の範囲、当局の見解、各社の仕様は変わる可能性があります。設定を決める前に、公式ページで最新の情報を確認してください。この記事は法的助言ではありません。
よくある質問
- Google FontsをCDN（fonts.googleapis.com）から読み込むと、GDPR上の問題になりますか？
- 問題になり得ます。読み込むたびに、訪問者のIPアドレスなどがGoogleに届くためです。ミュンヘン地方裁判所は2022年1月20日、この送信を理由に、サイト運営者へ差止めと100ユーロの損害賠償を命じました。ドイツの一審判決で、オランダの法律ではありませんが、避ける方法が簡単なので、自社ホスティングが無難です。
- YouTubeの埋め込みは、youtube-nocookie.comにすればGDPRの問題はなくなりますか？
- そう言い切れません。YouTubeの公式ヘルプは、プライバシー強化モードが閲覧履歴の扱いに影響することを説明していますが、Cookieや端末への保存がどうなるかまでは、確認できた範囲で書かれていません。オランダのAPは、Cookieなしで埋め込める場合がある、と述べています。どの通信が出るかは、DevToolsで自分のサイトを確かめてください。
- Googleマップの埋め込みを置くだけで、Cookie同意は必要ですか？
- 一律には言えません。Googleのプライバシーポリシーは、埋め込みのGoogleマップを、サイトに組み込まれるGoogleの製品として挙げています。ページを開いた時点で、訪問者のIPアドレスがGoogleに届きます。確実なのは、同意を取るか、クリックするまで読み込まない形にすることです。
- Google Fontsを自社サーバーに置く方法を教えてください。
- 使う書体とウェイトを決め、woff2形式のファイルをダウンロードして自社サーバーに置き、CSSの@font-faceでそのファイルを指すように書き換えます。最後にfonts.googleapis.comとfonts.gstatic.comへのリンクと接続指定を消します。WordPressではテーマやプラグインの設定が外部読み込みを残していないか、DevToolsで確認します。
- 同意管理（CMP）を入れていれば、埋め込みも安全ですか？
- 同意管理は、同意を取る画面と記録を担う部品です。入れただけでは、YouTubeやマップのiframeが同意前に読み込まれる状態は直りません。埋め込みを同意の後に読み込む形へ作り替え、拒否の状態でネットワーク欄に外部への通信が出ないことを確かめる必要があります。
- 日本の会社が運営するサイトでも、この対応は必要ですか？
- EUにいる人に商品やサービスを提供する意図が読み取れるサイトなら、日本の会社でもGDPRの対象になり得ます。対象になるかは個別の判断です。迷うときは専門家に確認してください。この記事は法的助言ではありません。
日本と欧州の両方で機能するサイトをお考えですか？
無料で相談する
