知っておくべきCookieの基本と規制の潮流。製薬企業への影響は？

Cookieはユーザーの行動履歴を記録するシステムファイル

近年、EUではGDPR（後述）が施行される一方で、サードパーティCookieの段階的廃止を発表していたGoogleが方針を転換するなど、Cookieの取り扱いが議論されています。Cookieの廃止が取り沙汰される背景をより深く理解するために、ここではCookieの基本を説明します。

Cookieとは

Cookieとは、ユーザーがWebサイトにアクセスした際に、ユーザーのWebブラウザに保存されるテキストファイルです。このファイルには、ユーザーIDや閲覧行動に関連した情報などが記録されています。
 
Cookieは、1990年代にNetscape社によって開発され、ブラウザに搭載されるようになった技術です。もともとは、個々のユーザーの閲覧履歴の情報を取得することで、ユーザーのWeb体験を向上させることを目的として開発されました。

Cookieの仕組み

Cookieの仕組みについて、技術的な側面から見てみましょう。
 
まず、ユーザーがWebサイトにアクセスします。するとWebサーバーがCookieを生成し、HTTPレスポンスヘッダーを通じてユーザーのブラウザに送信します。受信したブラウザはそのCookieを保存します。
 
Cookieには、ユーザーがサイト訪問（セッション）を終えてブラウザを閉じると削除される「セッションCookie」、ブラウザを閉じた後も一定期間保存される「パーシステントCookie」があります。こうしたCookieが保持されている期間中に同じWebサイトに再びアクセスした場合、ブラウザはCookieをHTTPリクエストヘッダーに含めてサーバーに送信します。

この仕組みにより、毎回サービスにログインしなくてもログイン状態を維持したままサイトを利用できるなど、ユーザーのWebコンテンツの利便性が上がります。

Cookieが収集する情報

Cookieが収集する情報には、次のようなものがあります。

これらのデータを活用して、Webサイトはユーザーを特定し、そのユーザーに合わせた情報を提供します。また、ユーザーのオンライン行動を追跡できるという利便性から、Cookieは広告効果の測定や、Cookie情報を元に広告配信先を決定するなど、デジタル広告にも活用されるようになっていきました。
 
ここからは、製薬企業におけるCookieの利用方法について、Webサイト内での活用と、広告・マーケティングでの活用に分けて解説します。

Webサイト内でのCookieの活用

製薬企業などが運営するWebサイトでも、アクセスしたユーザーの情報をCookieに記録し、ユーザーの利便性を高める取り組みが行われています。利用例としては次のようなものが挙げられます。

こうした機能は、自社が収集したユーザー情報のCookieを1つのサイト（ドメイン）内のみで使用することで実現できるものです。そのような特定サイト内のみで作動するCookieを「ファーストパーティCookie」と呼びます。

広告とマーケティングでのCookieの活用

一方、ユーザーが訪れたWebサイトとは異なるドメインから発行されるCookieは「サードパーティCookie」と呼ばれます。サードパーティCookieはユーザーのWebサイト間にまたがる移動を追跡できるため、広告やマーケティングの目的で広く使われています。
 
サードパーティCookieは、例えば、「あるユーザーがニュースサイトAを閲覧し、その後に製品Bのブランドサイトを確認した」といった一連の行動を記録する「クロスドメイントラッキング（クロスサイトトラッキング）」を可能とします。クロスサイトトラッキングによって収集されたデータは、広告主やデータブローカーによって、ユーザーの年齢、性別、興味関心、購買意向など、詳細なユーザープロファイルを作成するために使用されます。これらのプロファイルにより、ユーザーに関連性の高い広告を自動配信するターゲティング広告ができます。

ユーザーの興味関心に基づく「ターゲティング広告」

ターゲティング広告では、次のような手法が挙げられます。

・行動ターゲティング

ユーザーの過去の閲覧履歴や検索キーワードを分析し、ユーザーが関心を示した製品やサービスに関連する広告を配信します。例えば、旅行関連のサイトを頻繁に閲覧しているユーザーに、航空券や宿泊施設の広告を表示します。

・コンテキストターゲティング

ユーザーが現在閲覧しているWebページの内容に関連する広告を配信します。例えば、料理レシピのページを閲覧しているユーザーに対し、そのページ内でキッチン用品の広告を表示します。

・デモグラフィックターゲティング

年齢、性別、地域などの属性に基づいて広告を配信します。例えば、東京都在住の30代男性に都内の新築マンションの広告を表示し、30代女性には美白化粧品の広告を表示するなどです。

閲覧履歴に基づく「リターゲティング広告」配信

もう一つのターゲティングがリターゲティング広告です。リマーケティングと呼ばれることもあります。
 
リターゲティング広告では、ユーザーが過去に閲覧したものの購入に至らなかった製品の情報をCookieに記録し、後日そのCookieを利用して、同じ製品や関連製品の広告を別のWebサイトの広告枠に表示します。表示タイミングは、広告配信者が最も効果的と判断した間隔に設定でき、例えば日用品であればすぐに、不動産や車などであれば数日後に再配信するように設定することもできます。

広告効果の計測

サードパーティCookieは広告効果を測定し、キャンペーンを最適化するためにも利用されています。

・クリック率の測定やコンバージョンの追跡

広告の表示回数に対して、ユーザーがクリックした割合（クリック率）、クリック後に製品購入や問い合わせなどの目的のアクションを完了した割合（コンバージョン率）を計測することができます。これにより広告の投資対効果（ROI）を算出できます。

・アトリビューション分析

複数のタッチポイント（検索広告、ディスプレイ広告、SNS広告など）がコンバージョンにどの程度貢献したかを分析し、各チャネルの効果を評価します。

・広告キャンペーンの最適化

複数の広告クリエイティブや広告チャネル、キャンペーンの効果を比較します。最も効果の高いものに予算を重点配分するなど、広告配信設計の最適化が可能です。

・オーディエンスセグメンテーションの作成

過去の広告クリック履歴や購買履歴などの広告効果の測定結果に基づいて、購買意欲の高いユーザー群や、特定の商品に関心を持つユーザー群をターゲットとしたセグメントを作成します。これによりターゲティングの精度が向上します。

製薬マーケティングでのCookie活用法とは

ここまで広告とマーケティングにおけるCookieの一般的な使われ方について説明しました。しかし、製薬マーケティングでは、薬機法やプロモーションコードなどによる厳格な広告規制が存在しているため、広告の使われ方が他業界とは大きく異なります。では、製薬マーケティングではどのようにCookieを活用できるのでしょうか。

医療従事者向けではファーストパーティCookieでユーザー情報活用

製薬企業が運営する医療従事者向けサイトでは、訪問者に「医師」「看護師」「薬剤師」などの職種、あるいは診療科などについて尋ねる画面を表示し、その結果に基づいて表示コンテンツを変えるといったパーソナライズ施策をしていることがありますが、これはファーストパーティCookieで実現できます。あるいは、自サイトの会員として、登録時に職種などに加えて年齢・勤務先などを記入してもらい、会員限定でコンテンツを提供するケースでも、同様にファーストパーティCookieが使われます。
 
また、医療従事者専用のニュースサイト・プラットフォームなどに広告を出し、Web講演会などへの導線を設置してもらう施策も見られます。こうした場合の広告のターゲット設定や効果測定は、広告を設置したニュースサイト・プラットフォーム側で行われますが、これはユーザーの会員登録情報を利用するため、サードパーティCookieを使わなくても高精度な設定・分析が可能です。
 
ただし、前述の「クロスドメイントラッキング」を行っているケースでは、使用する計測ツールによってサードパーティCookieへの対応が必要な場合があります。例えばAdobe Analyticsの場合、サードパーティCookieがブロックされているブラウザではクロスドメイントラッキングを利用できないため、appendVisitorIDsTo関数を実装しなければなりません。
 
なお、多くの製薬企業が活用しているGA4ではクロスドメイントラッキング時に同一Cookieを使用するため、サードパーティCookieによる影響はありません。

患者・生活者向けの広告ではサードパーティCookieが使われることも

医療用医薬品を扱う製薬企業が、患者・一般生活者を対象とした疾患啓発や、自社のイメージ広告などの事例も、近年は多く見られます。こうした場合は、特定の医療用医薬品に関連付けなければ、薬機法による規制の対象外です。つまり、一般のWebメディア・サイトに広告を出すことも選択肢の1つとなり得ます。

こうした広告配信では、特定の疾患名や症状・病態を検索した履歴を持つ人、その疾患が多いと考えられる年齢層・性別の人などを特定し、限定して配信できれば、効率が大きく向上するでしょう。このターゲティングに、サードパーティCookieは欠かせない存在です。

Cookie規制の背景と現状

このようにCookieの活用が多様化、高度化される一方で、ユーザーの詳細な行動履歴や趣味嗜好を広告配信者や企業に知られることが、プライバシー保護の観点から問題視されています。こうした背景から、各国でさまざまなCookie規制の動きが進んでいます。

GDPR（欧州一般データ保護規則）

GDPR（欧州一般データ保護規則）は、2018年5月に施行されたEU域内の個人のデータを扱う全ての組織（EU域外の組織も含む）に適用されるデータ保護規則です。
 
この規則では、個人データの取得時に明示的な同意を得るよう組織に義務付けられています。Cookieも個人データに含まれるため、ユーザーがWebサイトにアクセスしたとき、組織はCookie利用に対する能動的な同意を取得する必要があります。組織は、収集するデータの種類、使用目的、保管期間などを明示しなければなりません。
 
そして、ユーザーは自分に関するデータの削除を要求する権利を持ちます。そのため組織は、特定の条件下で、そのユーザーに関するデータを削除する義務があります。
 
違反した場合、最大で全世界年間売上高の4%または2,000万ユーロのいずれか高い方の制裁金が科されます。

CCPA（カリフォルニア消費者プライバシー法）

CCPA（カリフォルニア消費者プライバシー法）は、2020年1月に米カリフォルニア州で施行されました。カリフォルニア州の消費者のデータを扱っており、総収益や個人情報の取扱量、個人情報の販売による収益の割合などの条件を満たす企業が対象です。
 
対象企業は、主な要件として個人情報の収集と販売に関する通知義務があり、Webサイトに「個人情報を販売しないでください」という選択肢を用意する必要があります。プライバシーポリシーに、収集する個人情報の種類と使用目的を明記しなければなりません。また、消費者は、企業が保有する自分の個人情報にアクセスし、その詳細を知る権利、削除を要求する権利を持ちます。違反した場合、民事制裁金として違反1件につき最大7,500ドルが科されます。 

日本のCookie規制

日本では、2022年4月に施行された改正個人情報保護法に、個人データの利用停止や消去の請求権の拡充、個人情報の漏えい時の報告義務の強化などが含まれています。この改正により、個人情報の不適正な利用が禁止され、外国の第三者への個人データの提供に関する規定も整備されました。
 
日本では、Cookie規制については個人情報保護法の文脈で取り扱われることが多く、Cookieが個人情報として扱われる場合は同法の規制が適用されます。そのため、企業はCookieを通じて収集される個人情報の取り扱いに関して、ユーザーの同意を得る必要がある場合があります。

ブラウザでのサードパーティCookie廃止

当局の規制に加えて、Cookie機能を搭載しているWebブラウザの開発各社も、Cookieによるプライバシー関連の懸念に対して対策を進めています。
 
例えばSafariやFirefoxなどのブラウザは、既にサードパーティCookieをデフォルトでブロックしています。AppleはSafariだけでなく、iOSで動作するWebブラウザに必要な開発エンジンにもCookieをブロックする仕組みを取り入れているため、iPhoneではChromeなどのブラウザでも既にサードパーティCookieがブロックされており、ファーストパーティCookieにも制限がかかっています。
 
一方、Googleも2020年、サードパーティCookieの機能を廃止する方針を表明していました。しかし、数度の延期を繰り返した末、2024年7月に方針を撤回しました。サードパーティCookieの代替策について模索したものの、欧州が求める基準に満たなかったことが背景にあると言われています。
 
だからといって、Googleが今後も大々的にサードパーティCookieを使い続けるというわけではありません。Googleは「ユーザーが選択できる新しいアプローチを提案する」と発表しており、ユーザー側にCookieの使用許可を求めるような設計に変わっていくと予想されています。ユーザーによる使用拒否の割合が高くなる可能性もあり、実質的に広告配信に使うメリットは少なくなるかもしれません。
 
サードパーティCookieを使用した閲覧履歴の追跡が制限されれば、ユーザーの興味に基づいたターゲティング広告の精度は低下します。これにより、広告のクリック率やコンバージョン率が減少する可能性があります。

製薬企業が取るべきCookie規制への対応は？

個人データの保護とCookieの規制は、年々強まる傾向にあることを説明しました。製薬企業も、オンラインでの個人データ取り扱いに関連して以下のような対応を迫られているといえます。

こうした対策はユーザーのプライバシー保護を強化する一方で、製薬企業にとっては負担です。しかし、長期的には信頼性の向上やデータ管理の最適化につながる可能性があります。

製薬マーケティングの視点で見ると、前述の通り、サードパーティCookie規制の影響が即座に出ることはないでしょう。しかし、疾患啓発などで一般生活者向けに広告を使用する場合、Cookie規制が進めば広告の効率が下がっていく可能性があることを頭に入れておきましょう。

Cookie規制動向に合わせたマーケ施策を

Cookie規制はユーザーのプライバシー保護の観点から進んでいるため、今後も規制が緩和される方向に進むことはないでしょう。製薬企業は、規制に対応するための技術的・組織的な対策を講じる必要があります。さらに製薬マーケティングでは、対策の1つとして、自社で保有するファーストパーティデータの質を上げ、量を増やしていくことが必要な一手となります。製薬マーケターは、今後もCookie規制の動向に注視し、対応した施策を適時に打っていくことが重要です。

＜参考＞
・日本経済新聞, 2024.7.23, 「Google、サードパーティークッキー廃止方針を撤回」, https://www.nikkei.com/article/DGXZQOGN2305Y0T20C24A7000000/
・Adobe Analytics, 2024.7.18, 「Adobe Analytics とブラウザーの cookie」, https://experienceleague.adobe.com/ja/docs/analytics/technotes/cookies/cookies
・Experience Cloud Services, 2024.7.17, 「appendVisitorIDsTo（クロスドメイントラッキング）」, https://experienceleague.adobe.com/ja/docs/id-service/using/id-service-api/methods/appendvisitorid