「Cookie ID」が法律上の個人関連情報になる
改正個人情報保護法は2026年4月7日に閣議決定され、Web担当者Forumの報道によれば7月17日に公布された。施行は法律の附則により「公布の日から起算して2年を超えない範囲内」で政令が定める日とされており、前回2020年改正の施行までの期間を踏まえると、2028年前後が有力視される（GVA法律事務所）。
改正の柱は大きく4つ——データ利活用の推進、リスク対応の強化、不適正利用防止、遵守実効性の確保だ。焦点の一つが、Cookie IDを含む「連絡可能個人関連情報」という新区分の新設である。これは「特定の個人に対して電気通信を利用した情報伝達に利用できる」情報を指し、DMPが保有するCookie IDや類似の識別子が、これまでより明確に規制の対象として位置づけられる。
何が変わり、何がまだ決まっていないか
現時点で確定している主な変更点は3つある。第一に、Cookie IDなど連絡可能個人関連情報の不適正利用・不正取得の禁止が明文化される。第二に、16歳未満のユーザーについては法定代理人の同意取得が新たに義務化される。第三に、課徴金制度が導入され、対象は不適正利用の禁止違反・適正な取得違反・第三者提供の制限違反・統計特例違反の4類型に限定され、金額は「違反行為によって得られた財産的利益に相当する額」とされる（GVA法律事務所）。あわせて、統計情報作成やAI開発に限っては本人同意なしの第三者提供を認める特例も新設された（Web担当者Forum）。
一方で、Cookie規制の実務上の詳細——同意取得の具体的な方法や、既存のCMP（同意管理プラットフォーム）実装がそのまま適合するかどうか——は、今後の政令・ガイドラインで明確化される予定であり、現時点では未確定だ。「Cookieバナーさえ出せば良い」という単純な話ではなく、実務家の間でも解釈が固まりきっていない点には注意したい。
広告運用者が「今から」やるべきこと
施行までにまだ1年以上の猶予があるとはいえ、広告代理店squadbeyondの解説は、待つのではなく先回りすべき理由を4点挙げている。1つ目はCMPと同意取得フローの点検で、タグの発火条件と実際の同意状態が一致しているかを確認すること。2つ目はプライバシーポリシーにおける利用目的・第三者提供先の記載の見直し。3つ目はファーストパーティCookieへの移行、具体的にはサーバーサイド計測（コンバージョンAPI）への切り替えで、これは規制対応と計測精度向上を同時に狙える打ち手とされる。4つ目は同意取得履歴を残す内部ログ体制の整備だ。
なぜ今のうちに動くべきなのか
施行が2028年前後なら、まだ余裕があるように見える。しかし本誌が9月6日に報じたChatGPT広告のMeasurement Pixelのように、海外プラットフォームの計測タグは同意フラグを明示的にfalseにしない限りtrueで初期化される設計が珍しくない。海外発の広告・計測タグを日本のCMPに接続し直す作業は、法律が施行されてから着手するには時間がかかる。課徴金という金銭的なペナルティが初めて個人情報保護法に持ち込まれる以上、「様子見」のコストは従来の改正より高くなる可能性がある。