同意なきCookieは買収後の法的地雷
買い手のデューデリジェンスに立ち会っていると、売上も解約率もきれいにそろった案件で、ひとつだけ誰も見ていない画面があります。ブラウザの開発者ツールを開き、ネットワークの通信ログを表示したまま、トップページをただ読み込む。それだけで、まだ何のボタンも押していないのに、十いくつの通信が外部のサーバーへ飛んでいくのが見えます。GoogleへもMetaへも、聞いたこともない分析サービスへも、訪問者の同意を一度も取らないまま、もう情報が送られ終わっています。
画面の右下には、たいてい立派なCookieの同意バナーが出ています。ところがそのバナーは、送信をひとつも止めていません。私たちはこの光景を、業種を問わず繰り返し見てきました。買い手がその案件を手に入れるということは、この「誰の同意も得ずにタグが撒いてきた状態」を、是正する義務ごと引き継ぐということです。数字は買った瞬間から自分のものになりますが、それを積み上げてきた計測のやり方に法的な穴があれば、その穴も同じ日に自分のものになります。
買収した瞬間に、是正義務と過去のリスクを同時に相続する
同意なきCookieが厄介なのは、リスクが二階建てになっている点です。ひとつは、買収後も同じ設定で運用を続ける限り毎日積み上がっていく、これからの是正義務。もうひとつは、売り手が過去に集め続けてきたデータそのものに残る、過去分のリスクです。前者は自分で直せますが、後者は買った時点ですでに完成してしまっています。
引き継ぎ方によっても重さが変わります。会社ごと買う株式譲渡では、法人が存続するため、過去の違反状態も規制当局とのやり取りも、原則そのまま引き継ぎます。事業だけを切り出す事業譲渡なら過去の責任は売り手に残る建て付けにもできますが、同意の取れていないユーザーデータをそのまま受け取って使い続ければ、その利用は初日から買い手自身の問題になります。同意が有効でなかったCookie連携のプロフィールは、法的には「使ってよいか怪しいデータ」であり、査定で見込んだ広告最適化や追客の効きは、それを使えないなら再現できません。
この構造は、買ってから静かに牙をむくタイプの負債です。目に見える数字の裏に別の仕掛けが仕込まれていた場合と同じで、契約書の一行では見えません。似た構造は隠された解約導線は買収後に牙を剥くでも扱っていますが、Cookie同意の場合は相手が規制当局とユーザーの二方向にいる分、逃げ場が少なくなります。
きれいなCookieバナーは、たいてい何もブロックしていない
もっとも多い誤解は、「同意バナーが出ている＝同意管理ができている」というものです。実際には、世に出ているバナーの多くは、押しても押さなくても裏側のタグをひとつも止めていない、見た目だけの通知です。訪問者が「同意する」を押す前に、GoogleアナリティクスもMetaのピクセルも、もう発火し終わっています。バナーは「あなたを追跡しています」という掲示であって、追跡を止めるスイッチではないのです。
本来の同意管理（consent management、Cookieを含む追跡の可否を訪問者に選ばせて実際に制御する仕組み）は、同意を得るまで必須でないタグを発火させないところまでやって、初めて成立します。「すべて拒否」を押したのに通信が飛び続けるバナー、拒否ボタンが同意ボタンよりわざと探しにくい配置になっているバナーは、機能していないと考えて差し支えありません。
確かめ方は単純です。追跡を全部ブロックする拡張機能を切った素のブラウザで、開発者ツールのネットワークタブを開いたままサイトを読み込み、まだ何も操作していない段階で外部への通信が出ているかを見る。次に「拒否」を押して、通信が本当に止まるかを見る。止まらなければ、そのバナーは装飾です。この五分の操作を省くと、DDのチェックリストに「Cookie同意：バナーあり、対応済み」と書かれたまま、実態が確認されずに買収まで進みます。
タグの棚卸し ── ネットワークタブで「実弾」を数えるところから
同意の有無を議論する前に、そもそも何が、どこへ、いくつ飛んでいるのかを数える必要があります。ここを飛ばして「たぶんアナリティクスくらいでしょう」と進めると、後で必ずずれます。私たちが最初にやるのは、開発者ツールのネットワークタブでドメイン別に通信を並べ、外部の第三者へ飛んでいるリクエストを一件ずつ数えることです。
数え始めると、たいていの事業者が自分でも把握していない数のタグが出てきます。GA4のような分析、Metaやその他の広告ピクセル、ヒートマップや録画系の行動計測、チャットウィジェット、埋め込み動画や地図、フォームの外部サービス。ひとつのサイトで十を超えることは珍しくありません。これらはそれぞれ別の会社のサーバーへ、訪問者のIPアドレスや閲覧ページ、場合によってはハッシュ化したメールアドレスまで送っています。外部のサービスにどれだけ依存しているかという論点はWebサービス売却で効く第三者API依存と地続きで、同意の問題はその依存の一種を法規制の側から見たものだと言えます。
計測タグそのものが買い手名義へ正しく移るのか、過去データごと引き継げるのかは計測タグの移管で過去データが消えるで扱っています。ここで見たいのはその手前、「そのタグは同意を得て撃たれた実弾なのか」という点です。移管できるかどうか以前に、撃ってよかったのかを確認しないまま資産として計上すると、価値ではなく負債を引き継ぎます。
タグマネージャーの中身を書き出す ── 忘れられた旧タグが眠っている
ネットワークタブで見えるのは、その瞬間に発火したタグだけです。特定の条件でしか撃たれないタグは、トップページを一度読み込んだだけでは表面に出てきません。全体像をつかむには、タグマネージャー（Google Tag Managerなど、複数の計測タグをまとめて管理する仕組み）のコンテナ設定を書き出して、登録されているタグ・トリガー・変数を一覧で見る必要があります。
書き出してみると、何年も前に入れたきり忘れられた旧世代の分析タグが、新しいタグと二重に生き残っていることがよくあります。担当者が代わるたびに新しい計測が足され、古いものは「消すと何か壊れるかもしれない」という理由で放置される。結果として、同意の設計をしようにも、そもそも何を管理対象にすべきかの台帳が存在しない事業になっています。
広告系のタグは特に注意が要ります。たとえばアドセンスのような広告配信は、引き継ぎ自体に固有の制約があり、その話はブログ売却でアドセンスは引き継げないで詳しく触れていますが、同意管理の観点では、広告タグは訪問者のプロフィールを外部の広告ネットワークへ渡す典型的な経路です。ここに同意の裏付けがないまま運用されていると、是正の範囲は分析タグより一段広くなります。
日本の外部送信規律と海外のGDPRは、別々の顔で効いてくる
ここで法律の話に一度だけ立ち入ります。日本には二〇二三年六月に施行された、いわゆる外部送信規律があります。利用者の端末から外部の第三者へ情報を送信させる場合に、何を誰に送っているのかを通知するか公表するか、あるいは同意やオプトアウトの手段を用意することを求めるものです。ブラウザ上でサービスを提供する多くのウェブ事業者が対象になり得ます。日本の枠組みは「きちんと知らせる」ことが中心で、必ずしも事前の同意までは求めていません。
一方で、EUの利用者が一定数いる事業なら、話がまるで変わります。EUのGDPRとePrivacyの枠組みでは、必須でないCookieは発火させる前に明示的な同意を取ることが原則で、後出しの通知では足りません。制裁金の上限は全世界売上高の四パーセントか二千万ユーロの高いほう、という桁で、日本の行政指導とは規模が違います。個人情報保護法の側でも、Cookieのような個人に結びつく情報を第三者へ渡し、渡した先で個人データとして使われることが想定される場合、本人同意の確認が求められます。
買い手にとって重要なのは、これらが別々の顔で同時に効いてくるという点です。日本の利用者には通知で足りていても、海外からの流入があるサービスをそのまま運用すれば、EUの基準では初日から未対応になります。DDでは「この事業の利用者はどこにいるのか」を必ず確認します。アクセス解析の地域別データを見れば、自分がどの法域の義務を相続しようとしているのかが分かります。
プライバシーポリシーと実際の送信先が一致しない、という決定的な兆候
DDでもっとも雄弁な証拠は、書いてあることと起きていることのずれです。多くのサイトは、プライバシーポリシーや外部送信に関する説明のページで、利用している外部サービスの一覧を掲げています。ところが、先ほど数えたネットワークタブの実弾と突き合わせると、掲載されているのは三社なのに実際は十一社へ飛んでいる、という不一致が頻繁に見つかります。
この不一致は、単なる書き漏れでは済みません。通知や公表で足りるはずの日本の枠組みですら、送信先を正しく知らせられていないという意味で、開示が不完全だという動かぬ証拠になります。逆に言えば、開発者ツールで数えた送信先の集合が、開示文書の一覧と完全に一致している事業は、同意管理をまじめにやっている見込みが高い。この突き合わせは、同意への姿勢がその事業に根づいているかを測る、手早くて信頼できる物差しです。
そして、いざ「同意を取っていた」と主張されたときに、それを裏づける記録が残っているかも見ておきます。誰がいつ何に同意したかのログがなければ、当局や本人から問われたときに、事業として自分を守る手立てがありません。記録が残らない事業の危うさそのものは監査ログがない事業は自分を守れないで扱っていますが、同意記録はその中でも、規制と直結する分だけ空白の代償が大きい領域です。
サーバーサイドタグは、DDの目から送信を意図的に隠す
近年やっかいになってきたのが、サーバーサイドでのタグ運用です。従来は訪問者のブラウザから直接GoogleやMetaへ通信していたものを、いったん自社のサーバー（多くは計測用に切ったサブドメイン）で受け、そこから外部へ中継する構成です。広告のブロックをかいくぐって計測精度を保つために広がった手法ですが、DDの側から見ると、外部への送信がブラウザのネットワークタブに現れにくくなる、という副作用があります。
この構成では、開発者ツールで見えるのは自社ドメインへの一見無害な通信だけになり、その裏で実際にはどこへ何が中継されているのかがブラウザ側からは分かりません。つまり、先ほどの「実弾を数える」手法だけでは、送信の全量を数え切れなくなります。同意の観点では、送信先が見えにくくなっただけで、第三者へ情報が渡っている事実は変わりません。むしろ「見えないから開示していない」状態は、開示義務の観点でより危険です。
兆候はいくつかあります。計測用に切られた自社サブドメインへの通信が妙に多い、そのサブドメインが名前解決の上で外部の計測サービスへ結びついている、といった痕跡です。DDでこの構成を見つけたら、サーバー側の設定と中継先の一覧を売り手に開示してもらうまで、送信の棚卸しは完了していないと考えるべきです。ブラウザから見える範囲だけで「対応済み」と判断すると、いちばん見えにくい送信を見落とします。
同意を入れ直すと数字は必ず下がる ── 査定の前提が崩れる
最後に、買い手にとって現実的にいちばん痛い話をします。同意管理を後から正しく入れ直すと、計測できる数字はほぼ確実に下がります。これまで全員を追跡して積み上げていたコンバージョンや流入分析が、同意した人だけの計測に変わるからです。事業によっては、追跡できる母数が目に見えて減り、広告の最適化や追客の効きも落ちます。
ここが査定と直結します。売り手が提示してきた広告の費用対効果やコンバージョン率が、同意を取らずに全員を計測して得られた数字だとしたら、それは買い手が是正した後の運用では再現できない数字です。つまり、査定の前提そのものが、これから直さなければならない違反状態の上に立っている。この落差を織り込まずに金額を決めると、買った後で「同じ設定を続ければ違法、直せば数字が落ちる」という板挟みに入ります。
だからこそ、同意管理はDDの後半で慌てて確認するものではなく、数字の信頼性を左右する前提として最初に押さえるべき項目です。見えない負債ほど契約前に掘る価値があり、同意なきCookieはその中でも、規制・利用者・数字の三方向へ同時に効いてくる、静かで確実な地雷です。金額に合意する前に、開発者ツールを開いてまだ何も押していない状態の通信を数えるだけで、相続しようとしている義務の輪郭が見えてきます。
買収を検討している事業のタグや第三者送信の実態を、感覚ではなく客観的に棚卸ししたいときは、AI技術デューデリジェンスで、コードと通信の側から見える技術リスクを確認できます（登録不要）。
