Cookie、トラッキング、プライバシーコンプライアンスは何をしますか？

このスキルは、「Cookieバナーがあるはず」という状態から「サイトが訪問者に対して合法的に動作しているという証拠」を提供します。作業はスコープ設定、監査、実装、検証の4つのフェーズで構成されます。依頼によっては一部のフェーズのみが必要となる場合もありますが（監査のみの場合はレポート作成後に終了）、各フェーズは前のフェーズに依存するため、常にこの順序で実行されます。

以下の3つの考え方がすべての基盤となります。

重要なのは動作であり、それは測定されなければなりません。 規制当局や原告は、ブラウザが実際に何を行うかをテストします。つまり、選択前、拒否後、同意撤回後に、どのCookieが存在し、どのサードパーティにアクセスされるかです。バナーがあっても何の証明にもなりません。実際の発見事項のほとんどは、バナーが存在し一見問題なく見える一方で、タグが実際に発火しているというケースです。したがって、同意ツールやプラグインの設定、コードの存在から結論を導き出さず、スキャン結果から結論を導き出してください。

ルールは訪問者が誰かに依存します。 欧州はオプトイン方式です（同意なしに非必須のものは一切不可）。米国はオプトアウト方式ですが、オプトインを必要とする領域や訴訟リスクの高い領域もあります。世界の他の多くの地域はその中間に位置します。同じサイトでも、あるオーディエンスには問題なくとも別のオーディエンスには違法となる可能性があるため、スコープ設定が最初に行われ、すべての調査結果は特定の規制に照らして記述されます。

嘘をつくバナーは、バナーがないより悪いです。 「拒否」ボタンがタグを実際に停止しない場合、コンプライアンスの欠陥は「欺瞞的なクレーム」に変わります（これはカリフォルニア州のほぼすべての執行措置に見られる事実パターンです）。装飾的なバナーを決して出荷したり、そのまま放置したりしないでください。まだ何かをゲートできない場合は、その旨を明確に伝え、その約束を削除してください。

あなたはユーザーの弁護士ではありません。明確で実用的な調査結果を、それぞれの背後にあるルールとともに提供し、法律が未確定の部分や法的判断が必要な事実についてはその旨を明示し、レポート内で述べてください。ただし、免責事項だけに隠れないでください。ユーザーは何を修正すべきかを知りたいのです。

参照ファイル

必要なものだけを読み、すべてを読む必要はありません。

ファイル	読むタイミング
`references/jurisdictions.md`	常に、スコープ設定時。サイトのオーディエンスを同意規制にマッピングし、開くべき法律ファイルを示します。
`references/law-europe.md`	EU/EEA、英国、スイスの訪問者がいる場合。国ごとの違い、バナーデザインのルール、分析の例外、執行状況。
`references/law-us.md`	米国の訪問者がいる場合。州法のしきい値、GPC、カリフォルニア州の詳細、盗聴訴訟、ヘルスケア/子供/金融関連。
`references/law-rest-of-world.md`	カナダ、ラテンアメリカ、アジア太平洋、中東、アフリカ。
`references/audit-playbook.md`	監査の実行時：スキャナの使用方法、結果の読み取り、コードと設定の調査、既存の同意ツールの診断。
`references/failure-patterns.md`	スキャン結果の解釈時。ほとんどの調査結果を説明する27のパターン。
`references/implementation.md`	修正の計画と実行時：同意ツールの選択または修復、ロールアウト順序、ポリシー、GPC。
`references/consent-signals.md`	特定のベンダーの配線時：Google Consent Mode v2、Meta、Microsoft、TikTok、TCF/GPP、Shopify、WP Consent API。
`references/consent-tools.md`	同意ツールの選択時、またはツールのCookie名、マークアップ、JS APIの特定時。
`references/script-blocking.md`	タグ、埋め込み、フォント、サーバーサイドイベントのゲート処理時。WordPress、Shopify、Next.js、SPA固有の詳細。
`references/testing-tools.md`	検証時：完全なテストマトリックス、アクセシビリティとパフォーマンスチェック、地理的シミュレーション。
`references/report-template.md`	監査レポートまたは検証レポートの作成時。

法律ファイルは 2026-11-11 に検証され、すべての主張に確信度タグが付けられています。プライバシー法は毎月変わります。推奨事項が不確実とタグ付けされた詳細、「流動的な事項」にリストされた詳細、または数ヶ月以上前の詳細に依存する場合は、信頼する前に最新の一次情報源で確認し、再確認したポイントをユーザーに伝えてください。

フェーズ1: スコープ設定

スキャン前にこれらを確定させます。自分で見つけられるもの（サイト、フッター、ポリシー、コードベース）は自分で見つけ、自分で見つけられないものだけをユーザーに質問します。質問は1ラウンドに抑えてください。

どのサイトとホストか。 メインドメイン、サブドメイン、別のチェックアウト/アプリドメイン、ステージング。
訪問者はどこにいるか。 実際のオーディエンスを尋ね、証拠（言語、通貨、発送国、アクセス可能な場合のアナリティクスの地理データ）と照合します。世界中に発送する英語ストアからの「米国のみ」は、米国のみではありません。サイトは、ビジネスの所在地に関係なく、そこにいる人々をターゲットにするか、サービスを提供する場合、その法律の対象となります。
サイトはデータをどのように扱うか。 広告とリマーケティング、アナリティクス、メールマーケティング、アカウント、eコマース、埋め込みメディア、チャット、セッションリプレイ。また、そのいずれかが機密領域（ヘルスケア、子供/10代、金融、正確な位置情報、保護された特性を明らかにするもの）に触れるかどうか。機密領域はすべての法域で答えを変えます。
米国法のための規模。 州ごとの年間収益と訪問者数の概算により、どの州法が適用されるかが決まります。広告Cookieを持つユニークビジネスは「消費者」としてカウントされるため、しきい値はオーナーが予想するよりも早く到達します。
どのようなアクセス権があるか。 読み取り専用の公開サイト、管理者ログイン、コードリポジトリ、ホスティングまたはSSH、タグマネージャー、同意ツールのダッシュボード、広告プラットフォームアカウント。これにより、監査の深さと実装の可否が決まります。
ユーザーは何を望んでいるか。 監査レポートのみか、修正と検証も含むか。失うことのできない測定値は何か。有料ツールの予算。

まだスキャンするサイトがない場合（ユーザーがURLを提供せずに計画、見積もり、アドバイスを求めたり、記憶からサイトを説明したりする場合）：測定をスキップせず、後回しにします。聞いた内容を仮説として扱い、それに基づいて計画を書き、計画の最初のステップとして「各ターゲット地域からスキャンして開始点を確認する」を設定し、スキャナーコマンドを埋め込みます。観測していない事実に依存する計画の部分を明示します。

次に references/jurisdictions.md を開き、対象規制を書き出します。各オーディエンスに対して、適用される規制と、調査結果を導く2〜3のルールを特定します。これを監査前に数行でユーザーに伝えます。オーディエンスが不明または全世界の場合、デフォルトは全員に対して厳格なオプトインとし、法律が確定している少数の国に対してのみ緩和します。

フェーズ2: 監査

references/audit-playbook.md に従います。概要は以下の通りです。

ライブサイトをスキャンする バンドルされたスキャナーを使用します。スキャナーはクリーンなブラウザでサイトを読み込み、別々のシナリオ（操作なし、拒否、同意、Global Privacy Control、オプションで撤回）で、各フェーズのCookie、ウェブストレージ、サードパーティリクエスト、Google同意シグナルを記録します。
```
# 一度だけのセットアップ
npm install --prefix <skill-dir>/scripts && npx --prefix <skill-dir>/scripts playwright install chromium

node <skill-dir>/scripts/scan.mjs https://example.com --out ./scan-quick                    # クイックルック：スタートページ＋数リンク
node <skill-dir>/scripts/scan.mjs https://example.com --coverage types --out ./scan-us       # 監査：サイトマップ内のすべてのページタイプ
node <skill-dir>/scripts/scan.mjs https://example.com --coverage all --out ./scan-full       # すべてのサイトマップURL（低速）
node <skill-dir>/scripts/scan.mjs https://example.com --coverage types --scenarios baseline,reject,accept,withdraw \
     --proxy http://user:pass@de-proxy:8080 --locale de-DE --timezone Europe/Berlin --out ./scan-de
```
レポートにするものには --coverage types を使用します。ページテンプレートは異なります（記事は動画を埋め込み、商品ページはウィジェットを読み込み、お問い合わせページはキャプチャを読み込みます）。トップページのスキャンではほとんど見逃します。カート、チェックアウト、サンキューページは手動で追加してください。これらはサイトマップに含まれていません。

まず summary.md の上部にある「Facts」テーブルを読み、次にスクリーンショット、次に必要なシナリオごとの詳細を読みます（広告が多いサイトでは詳細が長くなるため、すべてを読むのではなく検索してください）。スキャナーは実行元の場所を報告します。同意ツールは訪問者の国によって動作を変えるため、スキャンはその国のみを記述します。 各対象規制から（プロキシまたはVPN終端を通じて）スキャンするか、レポートで観測されなかった規制を明示的に述べてください。米国IPからのスキャンをEU訪問者に関する証拠として提示しないでください。
ブラウザの背後を調査する アクセスが許す限り：各タグがどこに挿入されているか（テーマ、プラグイン、タグマネージャー、ハードコード、エッジ）、同意ツールの設定方法、ブラウザスキャンでは見えないサーバーサイドトラッキング、物事を並び替えるキャッシュとスクリプト最適化レイヤー。

2つのサイトタイプではデフォルトの実行以上のものが必要であり、プレイブックはその両方をカバーしています。それは、オプティマイザーが最初のマウス移動またはアイドルタイマーまですべてのスクリプトを保持するサイト（これらのクイックスキャンは実際にはそうでないのにきれいに見える）、および拒否ボタンのない米国式オプトアウトサイトで、オプトアウトとGPCが広告スタック全体に到達するかどうかが問題となるサイトです。スキャナーがエンゲージメントの鍵となる質問に答えられない場合は、同じブラウザライブラリを使用して短いプローブを作成し、証拠とともに保管します。
既存の同意ツールを診断する。 通常、すでにインストールされており、半分だけ設定されています。なぜ失敗するのかを正確に特定します（プレイブックには決定シーケンスがあります）。修正は交換よりも修復であることがはるかに多いためです。
文書面を確認する：プライバシーポリシー、Cookieポリシー、必須のリンクと文言、フォームとその同意文言、権利請求ルート、同意記録。
対象規制に照らして調査結果を記述する。 各調査結果：観測された内容（スキャンからの証拠付き）、どのオーディエンスに対してどのルールを破っているか、深刻度、修正方法。references/report-template.md を使用します。レポートには2つの層があります。サイト所有者が行動できる平易な要約と、実装者向けの技術的な詳細です。

エンゲージメントが監査のみの場合はここで停止します。監査中にサイト上の何も変更しないでください。

フェーズ3: 実装

references/implementation.md に従います。重要なポイントは以下の通りです。

まず計画に同意する。 何が変更されるか、どの測定値が失われるか保持されるか、必要な有料プランがあるかどうかをユーザーに示し、承認を得ます。トラッカーを削除またはゲートすることは、誰かのレポートと広告パフォーマンスを変更します。それはあなたの判断ではなく、彼らの判断です。
安全な場所で作業する。 存在する場合はステージング。本番環境では：最初にバックアップを取り、一度に一つずつ変更し、ロールバック方法を知り、バナーが約束することをタグが実行しない状態でサイトを放置しないでください。
依存関係の順序で修正する：未使用のものを削除し、1つの同意ツールを同意の唯一の所有者として確立し、タグが読み込まれる前に同意デフォルトを設定し、すべてのタグと埋め込みをそれを通じてゲートし、ベンダーシグナル（Consent Modeなど）を配線し、GPCと米国のオプトアウトリンクを処理し、撤回を機能させ、最後にポリシーをサイトの現在の動作に合わせて更新します。
変更後はすべてのキャッシュレイヤーをパージする（ページキャッシュ、CDN、ミニファイ/結合バンドル）。そうしないと、昨日のサイトをテストすることになります。

フェーズ4: 検証

新しいスキャンで確認されるまでは、何も修正されたとは見なされません。監査と同じシナリオと視点でスキャナーを再実行し、監査実行と比較します。references/testing-tools.md に完全なマトリックスがあります。承認のための最小要件は以下の通りです。

オプトインオーディエンス：選択前および拒否後（実際のマウス入力とスクロール入力後を含む）に非必須Cookieとトラッカーリクエストがゼロであること。最初のレイヤーで拒否が同等の目立つように表示されること。「同意」が実際にタグを読み込むこと。撤回がタグを停止し、ファーストパーティトラッキングCookieを削除すること。選択がページをまたいで持続し、再尋ねされないこと。
オプトアウトオーディエンス：オプトアウトリンクとGPCがそれぞれさらなるクリックなしでセール/共有/ターゲット広告タグを停止すること。カリフォルニアの訪問者はシグナルが尊重されたという確認を目にすること。機密データに触れるページでは、同意前に何も発火しないこと。
すべての場所：発信するGoogleヒットの同意シグナルが、訪問者が選択した状態と一致すること。キャッシュあり/なしの読み込み、モバイル、および関連するページタイプ（商品、チェックアウト、サンキュー、フォーム）で結果が同じであること。Cookieポリシーがスキャン結果をリストしていること。

合格したもの、不合格だったもの、テストできなかったもの（例えば、視点がなかった地域やアクセスできなかったサーバーサイドイベント）を報告します。テストされていないチェックは「テストされていない」と報告され、「合格」と報告されることはありません。

作業上の注意

証拠が主張に優先する。 Cookie名、リクエストホスト、同意パラメータ、スクリーンショットを引用してください。証拠のない調査結果は意見です。
未知のCookieとホストは解決すべき調査結果です。 無視しないでください。それらを特定するか（誰が設定し、何のためか）、未解決としてリストアップします。
深刻度は実際のリスクに従います：オーディエンスが誰か、どのようなデータが関係しているか、障害がどの程度目に見えるか、そのルールがどの程度積極的に執行または訴訟されているか。フランスの訪問者に対する同意前の広告ピクセルの発火、または米国のヘルスケアページでのそれは「重大」です。インプリントリンクの欠落はそうではありません。
法律が許す限り、ユーザーの測定値を維持する。 コンプライアンスはアナリティクスを削除することを意味しません。ルールを満たし、最も有用なデータを保持するオプションを優先してください：同意ゲートタグ、Consent Mode、クッキーレスまたは免責設定のアナリティクス、地域固有の動作。トレードオフを説明し、ユーザーに選択させてください。
チェックしなかったことを明言する。 モバイルアプリ、メールトラッキングピクセル、オフラインデータ共有、ベンダー契約、国際転送の書類作業はプライバシーコンプライアンスの一部であり、ほとんどの場合ウェブサイトスキャンの範囲外です。関連すると思われるものを挙げて、完了したと誤解されないようにしてください。

Cookie、トラッキング、プライバシーコンプライアンス