個人データ
特定された、または特定できる人物に結び付く情報すべてです。Cookie、広告ID、IPアドレスなどのオンライン識別子は、通常、個人データに当たります。
ガイド · 英国の規制
難しい法律用語なしで学ぶ、UK GDPRと英国のCookie
ブレグジット後、英国は独自のプライバシーとCookieのルールを持つことになりました。2026年には再び変わり、同意の例外が設けられ、Cookieの制裁金が引き上げられ、規制当局の名前も変わりました。このガイドでは、英国からの訪問者がいるAdSenseやAd Managerのサイトに、現在適用される内容を説明します。
- ✓英国の法律と、規制当局の公式ガイダンスに基づいています
- ✓ブラジルのサイトも含めた、広告サイトの例
- ✓サイトを変更せずに読み取ります
1,750万ポンドUK GDPRで最も重い制裁金の上限
4%年間の全世界売上高の割合。この金額が固定の上限より大きい場合
52026年の公式ガイダンスに定められた、Cookieの同意の例外
72 h人々にリスクを生じさせるデータ漏えいを、規制当局に通知する期限
概要
連携して動く3つのルール
英国は欧州連合を離脱したとき、欧州のGDPRを自国の法律にコピーしました。2021年1月1日から有効なこのコピーを、UK GDPRと呼びます。これは、英国の法律で内容を補い、調整するData Protection Act 2018と、Cookie、メールマーケティング、電子通信を扱う2003年の規則PECRとともに機能します。
実際には、UK GDPRが、個人データとは何か、いつ使えるか、人々にどんな権利があるかを定めます。PECRは、もっと具体的な問いに答えます。サイトはいつ、訪問者の端末に情報を保存したり、読み取ったりできるのか、ということです。Cookie、ピクセル、ブラウザのローカルストレージ、端末のフィンガープリント、トラッキングのスクリプトは、すべてこのルールの対象です。
法律は、英国に拠点を置く企業だけでなく、英国の人々に商品やサービスを提供する、またはその行動を監視する国外の企業にも適用されます。広告のCookieで英国の訪問者のプロファイルを作っているブラジルのサイトは、ロンドンにオフィスがなくても、行動を監視していることになります。
2025年には、Data (Use and Access) Act 2025が3つの規範を改正しました。変更の大部分は、2026年2月5日に有効になりました。そして2026年9月30日に、規制当局のICOはInformation Commissionに替わり、同じ機能と権限を引き継ぎました。
チェックリスト
満たすべきこと
これらは、英国の規制当局とGoogleが、英国からの訪問者がいる広告付きサイトに対して求めるポイントです。
EEA、英国、スイスからのトラフィックがあるパブリッシャーにとって、パーソナライズ広告の要件です。AdSenseとAd Managerのプライバシーとメッセージは、その選択肢の一つです。
2024年1月16日から、Googleは、英国でパーソナライズ広告を表示するために、認定済みでIAB TCFに対応したCMPを必須としています。CMPがない場合、そのトラフィックには非パーソナライズ広告または制限付き広告しか配信できません。
例「プライバシーとメッセージ」で、EEA、英国、スイスに適用される欧州規制のメッセージを作成してください。
すべての広告用Cookieの前に同意を求める
公式のガイダンスでは、オンライン広告が同意の要件の対象外だったことは一度もないとされています。広告用のCookieやピクセルは、有効な同意を得た後でなければ保存できません。
例リマーケティングのピクセルは、「同意する」をクリックした後にだけ読み込まれる。
拒否も同意と同じ簡単さにする
規制当局は、拒否することが同意することと同じ手間であることを求めています。無言や無応答は同意になりません。
例「同意する」と「同意しない」が、最初の画面に同じ大きさで一緒に表示されている。
すべてオフの状態から始める
同意が必要な技術のオプションは、初期状態でオフにしておく必要があります。訪問者が自分で選んだときだけオンにできます。
例設定画面では、広告と広告計測のボタンがオフの位置から始まる。
第三者が誰かを明示する
同意を有効にするには、データを受け取る第三者が誰かをサイトが知らせる必要があります。
例バナーに、Googleとサイトのすべての広告ネットワークを含むパートナー一覧へのリンクがある。
いつでも同意を撤回できるようにする
法律では、訪問者がいつでも同意を撤回できることが求められています。Googleのポリシーも、そのための明確な手順を求めています。
例フッターの固定リンク「プライバシー設定」から、バナーをもう一度開ける。
例外は、通知と簡単な拒否がある場合だけ使う
統計用やサイトの表示用のCookieは同意が不要になることがありますが、サイトは目的を説明し、簡単で無料の拒否方法を用意する必要があります。これらの例外は広告には適用されません。
例Cookieのページ: 当サイトでは、サイト改善のために統計用Cookieを使用しています。このボタンでオフにできます。
規制当局への手数料を支払う必要があるか確認する
個人データを使う組織は、免除されていない限り、データ保護手数料を支払う必要があります。該当するかどうかは、規制当局のサイトで確認してください。
実例
正しい例と間違った例
✕間違い同意ボタンしかなく、拒否するには複数のメニューを開く必要がある。 ✓正しい同意と拒否が同じ画面にあり、手間も同じである。 ✕間違い画面を開いた時点で、広告のボタンがすでにオンになっている。 ✓正しい設定画面で、広告と広告計測が最初はオフになっている。 ✕間違いページが読み込まれるとすぐに、リマーケティングのピクセルが起動する。 ✓正しい広告用のピクセルとCookieは、同意をクリックするまで待機する。
公式ツール
認定CMPと公式リンク
英国でパーソナライズ広告を使うには、GoogleはCMPの認定を求めています。以下は、選択と設定のための公式ページです。
- Google認定CMPの一覧EEA、英国、スイスのルールと、毎週更新される認定CMPのリストを載せたヘルプセンターのページです。support.google.com/admanager/answer/13554116
- IAB EuropeのTCFに登録されたCMPの一覧TCFに登録されているCMPを、それぞれの識別番号とともに表示します。iabeurope.eu/cmp-list
- Googleのプライバシーとメッセージ欧州規制と米国の州法向けのメッセージを作成する、AdSenseの機能を説明します。support.google.com/adsense/answer/10924669
- 英国の規制当局: 同意を実際に管理する方法拒否を同意と同じ簡単さにすること、オプションをオフにしておくこと、同意の撤回についての公式ガイダンスです。ico.org.uk/for-organisations/direct-marketing-and-privacy-and-electronic-communications/guidance-on-the-use-of-storage-and-access-technologies/how-do-we-manage-consent-in-practice
- 英国の規制当局: 同意の例外Cookieの例外を一覧にし、そのどれも広告には当てはまらないことを明確にしています。ico.org.uk/for-organisations/direct-marketing-and-privacy-and-electronic-communications/guidance-on-the-use-of-storage-and-access-technologies/what-are-the-exceptions
用語の定義
あちこちで出てくる用語
欧州のGDPRと同じ概念ですが、2025年の改正で持ち込まれた新しい名称もあります。
管理者と処理者
管理者は、データを何のために、どう使うかを決める側で、サイトの運営者がこれに当たります。処理者は、管理者に代わってデータを処理する側で、ホスティングやメールの会社がこれに当たります。
保存とアクセスの技術
規制当局が、Cookieや、同じ役割を果たすもの全般(ピクセル、ウェブストレージ、フィンガープリント、端末のデータを読み取るスクリプト)に使うようになった名称です。
同意
自由で、特定され、十分な説明を受けたうえで、同意するをクリックするなどの明確な行動によって行われた選択です。沈黙、チェック済みのボックス、閲覧を続けることは、同意とみなされません。
法的根拠と同意
許可を求める必要があるとき
UK GDPRは、個人データを使うたびに法的根拠を求めます。最も一般的なものは、同意、契約の履行、法的義務、正当な利益です。2025年の改正で、犯罪の防止や緊急事態など、均衡テストが不要な、認められた正当な利益のリストが設けられました。広告は、このリストに入っていません。
Cookieについては、PECRが優先します。一般的なルールは変わりません。訪問者の端末に何かを保存したり、読み取ったりするには同意が必要で、例外に当てはまる場合は別です。同意の基準はUK GDPRのものであり、規制当局は、拒否も同意と同じくらい簡単であることを求めています。
2026年2月5日から、5つの例外があります。通信の送信、厳密に必要なサービス、サービス自体を改善するための統計、ユーザーが選んだ外観や機能、緊急時の支援です。統計と外観の例外では、サイトは明確に通知し、簡単で無料の拒否の方法を提供しなければなりません。
公式のガイダンスははっきりしています。オンライン広告をカバーする例外は一つもありません。パーソナライズ広告のCookieやピクセル、広告の測定、リマーケティングは、引き続き同意が必要です。2026年5月に、規制当局は政府に、リスクの低い広告の例外を検討するよう提案しましたが、法律はこれまでのところ何も変わっていません。
個人の権利
訪問者がサイトに求められること
英国の誰でも、これらの権利を行使できます。サイトには、請求を受け付ける窓口と、期限内に回答する体制が必要です。
知る、アクセスする
データの使い方についての明確な情報と、サイトが保有する自分のデータのコピーを受け取れます。原則として1か月以内です。
訂正と削除
誤ったデータの訂正と、同意の撤回後など、保管する理由がなくなったときの削除を求められます。
マーケティングに異議を唱える
ダイレクトマーケティングへのデータ利用を、いつでも拒否できます。この場合の異議は絶対的で、サイトは中止しなければなりません。
同意に基づく利用について、いつでも考えを変えられること。
Cookieについて、同意したときと同じくらい簡単に考えを変えられます。設定を開き直せる固定リンクがあれば対応できます。
自動化された決定
重要な決定がシステムだけで下された場合に、通知を受け、異議を唱え、人による見直しを求められます。
管理者への苦情
2026年6月19日から、データを処理する側は、苦情の手続きを設け、30日以内に受領を確認する必要があります。
義務
英国の訪問者がいるサイトがすべきこと
- 完全なプライバシー通知を公開するサイトの責任者、収集するデータ、目的、法的根拠、共有先、保管期間、権利の行使方法を示します。広告パートナーと、国外へのデータ移転にも触れてください。
- 実質的な選択ができるバナーを表示する広告のCookieや広告の測定のCookieの前に、同意を求めます。同意と拒否は、見た目の重みを同じにし、同じ画面に置く必要があります。
- 同意が必要なものをブロックするピクセル、リマーケティング、パーソナライズ広告は、同意の後にしか動かしてはいけません。回答がない場合、サイトは拒否として扱います。
- 例外は透明性を持って使う同意なしで統計やプリファレンスのCookieを使う場合は、Cookieのページでそのことを説明し、簡単にオフにできる方法を用意してください。
- セキュリティと漏えいに気を配るデータを守り、漏えいが人々にリスクをもたらす場合は、72時間以内に規制当局に通知します。リスクが高い場合は、影響を受けた人にも通知します。
- 足元を固めるデータを処理する取引先と契約を結び、リスクの高い利用には影響評価を行い、会社が規制当局に年間の手数料を払う必要があるかを確認します。
執行と罰金
間違えたときの代償
規制当局は、まず警告や是正命令から始めるのが普通ですが、制裁金の上限は高く、2025年の改正では、Cookieに関する権限も強化されました。
UK GDPRで最も高い上限
法的根拠なしにデータを処理するなど、最も重い違反に対して、最大1,750万ポンド、または年間の全世界売上高の4%のいずれか大きいほうです。
標準の上限
記録が不完全、またはセキュリティが不十分といった不備に対して、最大870万ポンド、または年間の全世界売上高の2%です。
Cookieに関する強い権限
2025年の改正で、PECRに関する規制当局の監督権限と制裁金の権限が拡大されました。新しいルールは、2026年2月5日以降の行為に適用されます。
積極的な執行
2025年1月に、規制当局は、国内で最も訪問者の多い1,000サイトのバナーを見直すと発表しました。2026年4月には、そのうち99%がすでに基準を満たしていると報告しました。
年表
ルールがここまで来た経緯
英国の訪問者がいる人にとって、特に重要な日付です。
- 2003
PECRの誕生
英国の電子通信に関する規則が、Cookieと電子マーケティングを扱うようになります。
- 2018年5月25日
GDPRとData Protection Act 2018
欧州のGDPRが、英国の新しいデータ保護法とともに、英国で有効になります。
- 2021年1月1日
UK GDPRの開始
ブレグジットの移行期間が終わり、英国は独自のGDPRを持つことになります。
- 2024年1月16日
Googleの広告向けの認定CMP
英国でのパーソナライズ広告には、AdSenseとAd Managerが、IAB TCFに統合された認定CMPを求めるようになります。
- 2025年6月19日
Data (Use and Access) Act 2025
UK GDPR、Data Protection Act、PECRを改正する法律に、国王の裁可が下ります。
- 2026年2月5日
新しい例外と強化された権限
Cookieの新しい例外、認められた正当な利益、PECRに関する規制当局の新しい監督権限が施行されます。
- 2026年4月29日
Cookieに関する最終ガイダンス
規制当局が、保存とアクセスの技術に関するガイダンスの最終版を公開します。
- 2026年9月30日
Information Commission
ICOは、同じ機能と権限を持つ合議制の機関であるInformation Commissionに替わります。
AdSenseやAd Managerを使っている場合
収益に実際にどう影響するか
Googleは、英国を欧州経済領域と同じように扱います。英国の訪問者にパーソナライズ広告を表示するには、サイトにGoogleの認定を受け、IAB TCFに統合されたCMPが必要です。それがない場合、このトラフィックには、パーソナライズされない広告または制限付き広告しか配信されず、報酬は大きく下がるのが普通です。
CMPは、訪問者の選択をTC stringに記録し、同意モードのシグナルをGoogleのタグに伝えます。サイトでGoogle AnalyticsやGoogle Adsも使っている場合、同意モードの4つのシグナルは、バナーで訪問者が選んだ内容を反映している必要があります。
英国からの訪問者がわずかにいるブラジルのレシピサイトを考えてみてください。そこには、英国に住むブラジル人も多くいます。ブラジルの訪問者にはLGPDが、英国の訪問者にはUK GDPRとPECRが適用されます。正しい設定では、TCFのメッセージを英国、EEA、スイスにいる人にだけ表示し、ブラジルの訪問者には影響しません。
AdSenseとAd Manager自体のプライバシーとメッセージは認定済みで、英国もすでにカバーしています。別のCMPを使っている場合は、Googleのリストに載っていること、設定した地域に英国が含まれていることを確認してください。
実例
英国でできること、できないこと
英国の訪問者がいる、ニュース、レシピ、金融、求人サイトでよくある例です。
してよいこと
- サイト自体を改善するための統計Cookieを、同意なしで使う(通知し、簡単な拒否の方法を用意している場合)
- 外観の例外に基づいて、訪問者の言語やダークモードの設定を保存する
- TCFのメッセージを、英国、EEA、スイスの訪問者にだけ表示する
- 拒否した人には、パーソナライズされない広告を表示する
- すでに認定されているAdSenseまたはAd Managerのプライバシーとメッセージを使う
してはいけないこと
- 「同意する」をクリックする前に、リマーケティングのピクセルや広告のCookieを読み込む
- 広告の測定を、統計の例外として扱う
- 最初の画面に「同意する」だけを置き、拒否はメニューの中に隠す
- 英国のトラフィックに、Googleのリストにない一般的なCookieプラグインを使う
- 閲覧を続けることを、同意として扱う
よくあるエラー
サイトが特につまずきやすい点
英国のトラフィックがあるサイトの監査で、よく見つかる不備です。
ブレグジットで英国がルールの対象外になったと思い込む
CMPを欧州連合向けだけに設定している人が多くいます。英国の訪問者にはメッセージが出ず、Googleは制限付き広告を配信するようになります。
2025年の改正を全面解禁と読む
新しい例外は、統計、設定、緊急時のためのものです。広告には、引き続き同意が必要です。
飾りにすぎないバナー
バナーは表示されますが、広告のCookieは回答の前にすでに保存されています。規制当局にとっては、同意を求めていないのと同じです。
同意より拒否のほうが難しい
1クリックで同意でき、拒否には5クリックかかる設計は、規制当局が大手サイトに対して是正を求めてきたものです。
一般的なプライバシーポリシー
他のサイトからコピーしたテキストで、Google、広告パートナー、国際移転、請求の窓口に触れていません。
拒否の選択肢がない例外
同意なしで統計や外観のCookieを使いながら、簡単にオフにする方法を提供しないと、例外そのものの条件を満たさなくなります。
ConsentModeでは
英国について監査で確認すること
- 英国の訪問者と、それ以外の地域の訪問者としてサイトを開き、バナーが表示される場所と、表示されるボタンを記録します。
- ページのコードからCMPを特定し、Googleの認定CMPリストに載っているかどうかを伝えます。
- TC stringと同意モードのシグナルを読み取り、訪問者が選んだ内容と比べます。
- 同意の前後のCookieとネットワークリクエストを一覧にし、早すぎるタイミングで動くものを指摘します。
- プライバシーのページに、広告パートナー、法的根拠、権利、連絡窓口が書かれているかを確認します。
よくある質問
うちのサイトはブラジルのもので、英国に会社はありません。法律は適用されますか?
サイトが英国にいる訪問者の行動を監視している場合、たとえばパーソナライズ広告のCookieを使っている場合は、その訪問者に適用されます。また、法律を見なくても、Googleは、この訪問者にパーソナライズ広告を表示するために、認定CMPを求めています。
Google AnalyticsのCookieには、まだ同意が必要ですか?
使い方によります。統計の例外は、データがサイト自体の測定と改善にだけ使われ、明確な通知と簡単な拒否の選択肢がある場合に適用されます。ツールがデータを広告や提供元自身の目的に使う場合は、例外は適用されません。
ICOはなくなったのですか?今は誰が監督していますか?
2026年9月30日から、ICOの機能はInformation Commissionに移りました。規制当局の役割と権限は変わらず、日々の業務は続いています。変わったのは運営体制で、現在は合議制です。
2025年の改正で、英国は欧州連合より柔軟になりましたか?
一部ではそうです。統計や設定についての新しい例外などです。パーソナライズ広告については、実際の結果は同じで、端末に何かを保存または読み取る前に、同意が必要です。
英国専用のCMPと、ヨーロッパ用のCMPを別々に使えますか?
できますが、それが得になることはあまりありません。認定CMPの多くは、同じ設定で、地域ごとに、EEA、英国、スイスに対応しています。
訪問者が拒否した場合、収益はどうなりますか?
Googleは、その人に、パーソナライズされない広告や制限付き広告を表示できます。訪問あたりの収益は低くなるのが普通ですが、ルールに違反せずに収益化を続けられます。
ライブラリ
公式の情報源
このガイドは、次の公式ページをもとに作成しました。情報源を直接お読みください:
- 英国の規制当局:保存とアクセスの技術の利用に関するガイド(例外)ico.org.uk/for-organisations/direct-marketing-and-privacy-and-electronic-communications/guidance-on-the-use-of-storage-and-access-technologies/what-are-the-exceptions
- legislation.gov.uk:Data (Use and Access) Act 2025 (Commencement No. 6) Regulations 2026www.legislation.gov.uk/uksi/2026/82/made
- GOV.UK:Data (Use and Access) Act 2025の施行計画www.gov.uk/guidance/data-use-and-access-act-2025-plans-for-commencement
- GOV.UK:Information CommissionがICOを引き継ぐwww.gov.uk/government/news/information-commission-succeeds-the-ico-as-uks-data-protection-regulator
- Google Ad Manager:EEA、英国、スイスにおける同意管理の要件support.google.com/admanager/answer/13554116
- 英国の規制当局: 同意を実際に管理する方法ico.org.uk/for-organisations/direct-marketing-and-privacy-and-electronic-communications/guidance-on-the-use-of-storage-and-access-technologies/how-do-we-manage-consent-in-practice
英国の訪問者に、サイトがどう見えるかを確認する
監査では、英国からサイトを開き、バナーとCookieを記録し、何も変更せずに、直すべき点を示します。