Cookieの仕組みをわかりやすく解説｜ファーストパーティとサードパーティの違い・個人情報保護法から2026年の規制動向まで

「Cookie（クッキー）を許可する」「Cookie設定」—ほぼすべてのWebサイトで見かけるこの表示に、なんとなく「許可」を押していないでしょうか。実はCookieは、Webが便利に使える理由の根幹であり、同時に広告業界とプライバシー保護のせめぎ合いの最前線でもあります。

この記事では、CookieがWebブラウザとサーバーの間でどうやり取りされているかを仕組みから図解し、ファーストパーティCookieとサードパーティCookieの違い、日本の個人情報保護法と電気通信事業法の規制、さらに2026年現在のCookie規制動向まで、一般ユーザーとWeb担当者の両方に向けて徹底解説します。

Cookieとは？—Webサイトがユーザーを「記憶」する仕組み

Cookieとは、Webサイトが訪問したユーザーのブラウザに小さなデータファイルを保存する仕組みのことです。サイトを再訪問したときに、ブラウザが保存したCookieをサーバーに送り返すことで、サーバー側は「あ、このユーザーは前にも来てくれた人だ」と識別できます。

もしCookieが存在しなかったら、あなたは毎回ログインし直し、カートに入れた商品は次のページで消え、設定した言語や通貨は毎回リセットされるでしょう。Cookieは、本来ステートレス（状態を持たない）であるHTTP通信に「記憶」を与えるための、Webの根幹技術なのです。

Cookieに保存される情報の実例

Cookieそのものは「名前と値の組」でしかなく、具体的には次のような情報が保存されます。

• ログインセッションID（ログイン状態を維持するためのランダムな文字列）
• カートの内容を識別するID
• 言語・通貨・表示テーマなどの設定
• 閲覧履歴の一部（サイト内の行動追跡用）
• 広告配信のためのユーザー識別子

意外と見落としがちなポイントですが、Cookieに氏名や住所などの個人情報が直接保存されることは稀です。多くの場合、Cookieにはランダムな識別子だけが入っており、その識別子と紐づいた個人情報はサーバー側のデータベースに保管されています。

Cookieの仕組み—サーバーとブラウザのやり取り

Cookieがどうやってブラウザとサーバーの間でやり取りされるか、その流れを追いかけてみましょう。

具体的には、HTTPヘッダーに「Set-Cookie: session_id=abc123; Expires=…; Secure; HttpOnly」のような形で書かれて送られてきます。ブラウザはこれを保存し、次回以降そのドメインにアクセスするときは自動的に「Cookie: session_id=abc123」というヘッダーを付けて送信するのです。

Cookieの属性—有効期限・ドメイン・セキュリティ

Cookieにはいくつかの重要な属性があり、これが挙動を決めています。

特にセキュリティ関連の属性（Secure・HttpOnly・SameSite）は、Web開発者なら必ず設定すべき項目です。設定が不十分だと、セッションハイジャックや個人情報漏えいの温床になります。

ファーストパーティCookieとサードパーティCookieの違い

Cookieはどのドメインが発行するかによって、大きく2種類に分かれます。これがプライバシー議論の核心でもあります。

ファーストパーティCookie—今見ているサイト自身が発行

ファーストパーティCookieは、ユーザーが訪問しているサイトそのもののドメインが発行するCookieです。example.comにアクセスしているときに、example.comが発行するCookieがこれに当たります。ログイン状態の維持や、ユーザー設定の保存など、サービスの根幹を支える用途で使われます。

サードパーティCookie—訪問していない別ドメインが発行

サードパーティCookieは、ユーザーが訪問しているサイトとは異なるドメインが発行するCookieです。例えばあなたがニュースサイトを見ていて、ページ内に広告バナーが表示されている場合、そのバナーを配信している広告ネットワーク（別ドメイン）がCookieを発行することがあります。

これがどう悪用されるか—サードパーティCookieを使うと、あるサイトでの閲覧情報を別のサイトでも追跡できてしまいます。「昨日通販サイトで見た商品が、今日はニュースサイトの広告枠に表示される」のは、まさにこのサードパーティCookieによる追跡型広告（リターゲティング）の結果です。

Cookie規制の歴史—なぜ世界中で問題視されたか

2000年代から2020年代のプライバシー論争

2000年代に広告業界で急速に普及したサードパーティCookieは、プライバシーへの懸念を呼び起こしました。「誰にも教えていないはずの興味関心が、なぜか広告として表示される」という体験が、一般ユーザーにも気持ち悪さとして共有されたのです。

欧州連合（EU）は2018年5月にGDPR（一般データ保護規則）を施行し、Cookieの使用には事前の明示的な同意（オプトイン）を必須としました。違反企業には最大2000万ユーロまたは全世界年間売上高の4%のうち高いほうの罰金が科され、これによりEU内で運営されるWebサイトは「Cookieバナー」の表示が義務化されています。

さらに、Googleは2020年にChromeでサードパーティCookieを段階的に廃止すると宣言し、実際に2024年以降はサードパーティCookieを制限する方針を展開。Safari（Apple）とFirefox（Mozilla）はすでに2020年時点でサードパーティCookieをデフォルトブロックしており、世界のブラウザシェア約70%を占めるChromeの動向が業界に大きな影響を与えています。

日本の規制—個人情報保護法と電気通信事業法

日本では2022年4月に全面施行された改正個人情報保護法により、CookieやIPアドレスなどの端末識別子は原則として「個人関連情報」に分類されています。個人関連情報を第三者に提供する場合、提供先が個人データとして取得することを想定しているときには本人の同意が必要になりました。違反時は最大1億円以下の罰金が科される可能性もあり、企業にとって無視できないリスクです。

さらに2023年6月に施行された電気通信事業法の改正では「外部送信規律」が導入され、Cookieを使ってユーザー情報を外部に送信するサービスは、送信される情報の内容や送信先を通知または容易に知り得る状態にする義務が生じました。この規律は利用者数1000万人以上の電気通信事業者を主な対象として議論されましたが、事実上ほぼすべての大手Webサービスが対応を迫られ、「プライバシーポリシー」ページで細かく開示している形が一般的です。

2026年の最新動向—「Cookieレス時代」に向けた変化

Cookieレス時代に対応する代替技術

2026年4月現在、広告業界では「Cookieレス時代」に向けた移行が本格化しています。主要ブラウザでのサードパーティCookie制限に加え、日本でも個人情報保護委員会が2026年制度改正に向けた検討を進めており、同意取得の実効性強化が議論されています。一部の広告主はサードパーティCookie廃止の影響で広告CPMが20〜40%下落したという報告もあり、業界全体のビジネスモデル転換が進んでいます。

Cookieに代わる技術として注目されているのが次のような仕組みです。

• ファーストパーティCookieの活用強化：自社ドメインで集めたデータを広告配信に活用する手法
• コンテクスチュアル広告：ページ内容に合わせて広告を出す、Cookieに依存しない方式
• Google Privacy Sandbox：ユーザー追跡なしで広告配信を可能にする新しいAPI群
• CDP（カスタマーデータプラットフォーム）：自社データを統合管理し、Cookieに頼らないマーケティングを実現

Cookieのメリット

Webの便利さを支える5つの役割

Cookieそのものは悪者ではなく、Webを便利にしている重要な仕組みです。

• ログイン状態を維持できる：毎回認証する手間を省ける。これがなければSNSもネットバンキングも使い物にならない。
• ユーザー設定を保存できる：言語・通貨・表示モードなど、サイトを個人好みに調整した状態を維持。
• ショッピングカート機能が動く：ページを移動しても商品がカートに残るのはCookie（または同類の仕組み）のおかげ。
• サイト分析に使える：何ページ見られているか、どこで離脱するかを把握でき、UX改善に役立つ。
• セキュリティ認証に利用できる：二段階認証の記憶デバイスとして、不正ログイン対策にも貢献。

Cookieのデメリット・注意点

一方で、Cookieにはプライバシー面と技術面の両方で弱点があります。

• 追跡型広告によるプライバシー侵害：サードパーティCookieで閲覧履歴が広範に追跡され、個人の興味関心が第三者に把握される。
• セキュリティリスク：Cookieが漏えいすればセッションハイジャックが起きる。不適切な設定で重大なインシデントに発展した事例もある。
• ユーザー体験の悪化：Cookieバナーの同意取得が煩雑で、サイト訪問時のストレスが増えた。
• 広告事業者にとって収益モデルの見直しが必要：サードパーティCookie廃止により、ターゲティング広告の精度が下がりCPC・CPMに影響が出ている。
• ブラウザごとの挙動差：Safari・Firefox・Chromeで挙動が異なり、開発者が対応に苦労するケースが多い。

判断基準・対応方法—ユーザーとWeb担当者の視点から

Cookieにどう向き合えばよいのか、立場別に整理します。

あなたがもし普段使いのブラウザでプライバシーを守りたいなら、設定から「サードパーティCookieをブロック」するだけでかなり改善します。SafariやFirefoxならデフォルトでブロックされており、ChromeもPrivacy Sandboxの段階的展開で対応が進んでいます。

よくある誤解

誤解①：Cookieはウイルス？
違います。Cookieはただのテキストデータであり、実行可能なプログラムではないためウイルスのように機能することはありません。ただし、不正サイトが発行したCookieが認証情報を含んでいると、セッションハイジャックの材料にはなります。

誤解②：Cookieを全部削除すれば安全？
プライバシー的には追跡が減りますが、ログイン情報・設定も消えるため、毎回ログインし直す必要があります。「削除」より「サードパーティのみブロック」がバランスの良い選択です。

誤解③：ファーストパーティCookieも規制される？
現時点の個人情報保護法ではファーストパーティCookieは規制対象外です。ただし、他社に情報を渡す場合は「個人関連情報の第三者提供」として同意が必要になります。自社サイト内で完結する利用は2026年時点で自由に使えます。

まとめ：Cookieの仕組みを理解してWebと賢く付き合おう

この記事のポイントをまとめます。

• Cookieはブラウザに保存される小さなデータで、Webに「記憶」を与える根幹技術
• ファーストパーティCookieはサイト自身が発行し、ログインや設定保存に必須
• サードパーティCookieは広告主など第三者が発行し、クロスサイト追跡に使われる
• 主要ブラウザの多くはサードパーティCookieをブロックする方向に進んでいる
• 日本では改正個人情報保護法と電気通信事業法の外部送信規律がCookie利用を規制
• 2026年以降は「Cookieレス時代」への移行が本格化し、Privacy Sandboxや1stパーティ活用が主流に
• ユーザーは「サードパーティCookieのみブロック」が最もバランスの良い設定

結局どう使えばいいのかを一言で言えば、一般ユーザーはブラウザ設定で追跡型Cookieだけ拒否、Web担当者は同意取得と自社データ基盤の整備を進めるのが正解です。Cookieの仕組みを理解していれば、プライバシーと利便性のバランスを自分で取れるようになります。