Cookiebotは中国本土で使えるか：同意記録、PIPL越境移転、データの国内保存
Cookiebotはクッキー同意プラットフォームです——現在はUsercentrics A/Sの商標であり、同社自身のプライバシーポリシーは同意記録をEUのサーバー（デンマークとアイルランド）に保持し、中国本土のリージョンはありません。中国にとってそれは、すべての中国の訪問者の同意記録とその背後のIPを、PIPLの下での越境移転に変えます——そしてGDPR型のバナーは、PIPLが求める個別かつ特定の同意ではありません。データの国内保存、同意制度、ICPのリスク——そして合法的な国内経路——を、コンプライアンス起点で読み解きます。
Cookiebotは中国本土で使えるか
皮肉がそのまま答えです。Cookiebotは同意管理プラットフォームでありながら、中国本土に向けて出荷されたまま使うと、それ自体がコンプライアンス上のリスクになりえます。到達することは問題ではありません——中国の利用者の同意記録をどこに保持するか、そしてGDPRバナーが中国の求める同意であるかどうか、が問題です。
Cookiebotは「Usercentrics A/Sの商標」——コペンハーゲンの企業——であり、自社のプライバシーポリシーは、CMPの同意データのホスティングを「EU加盟国内、具体的にはアイルランド」のデータベースに、Usercentricsの「同意データ」をデンマークに、そしてジオIP照会を米国のデータベースを通じて、と列挙しています——中国本土のリージョンはどこにもありません。したがって、Cookiebotが中国の訪問者から記録するあらゆる同意の判断とその背後のIPは、オフショアに保持される個人情報です——PIPLが規律する越境移転（通知、個別の同意、そして移転メカニズム、第38〜40条）であり、重要情報インフラ運営者（CIIO）または大量取扱者にはデータの国内保存義務があります（PIPL第40条、サイバーセキュリティ法第39条（旧第37条））。加えて、GDPR向けに作られたバナーは、自動的にはPIPLの個別かつ特定の同意ではなく、データが中国を離れる前にPIPLが求めるさらなる同意でもありません（第39条）。そしてバナー自体はオフショアから取得されるため、中国国内からは遅く読み込まれる、または失敗することがあり——読み込めない同意ゲートは、守るべきページを滞らせうるのです。
これは判定ではなくリスクの見取り図です——何を負うかは、貴社のデータ量、取扱者としての役割、そして利用者が誰かによって変わり、専門家と整理する価値があります。当社の中国チームが貴社のリスクを一緒に整理します →
コンプライアンス・スナップショット
- ! 同意記録は、本土ではなくEUのサーバー（デンマーク、アイルランド）に保存される
- ! それらの記録——そしてその背後の訪問者IP——は、PIPLの下で国境を越える中国の利用者の個人情報
- ! GDPR型のバナーは、PIPLの個別・特定・越境の同意を満たさないことがある
- ✕ Cookiebot（Usercentrics A/S）は中国本土のホスティングリージョンを挙げていない
- ! バナーとそのジオIP照会はオフショアから提供されるため、ゲートが滞る、または失敗することがある
- ! 重要情報インフラ運営者（CIIO）／大量取扱者は、Cookiebotが提供できないデータの国内保存義務を負う
Cookiebotの公式ドキュメントが中国について述べていること
| 事実 | 一次情報源 |
|---|---|
| CookiebotはUsercentrics A/Sの製品であり、その同意記録は中国ではなくEUにあります。Cookiebot自身のプライバシーポリシーは、それが「Usercentrics A/Sの商標」（コペンハーゲン）であるとし、Usercentrics A/Sを管理者として挙げ、その処理者リストでは、CMPの同意データのホスティングを「EU加盟国内、具体的にはアイルランド」のデータベースに、Usercentrics自身の「同意データ」を「デンマーク」に置いています。同意プラットフォームにとって、それは逆説的な要点です。中国の利用者が同意したことを証明する記録そのものが、オフショアに保持される個人情報——PIPLの下での個人情報の越境移転（通知、個別の同意、そして移転メカニズム、第38〜40条）——なのです。 | Cookiebot（Usercentrics A/S）— Privacy Policy（2026-10-09 取得）；PIPL第38〜40条 |
| Cookiebotは中国本土のホスティングリージョンを公表せず、そのジオIP照会は米国のデータベースを経由します。Cookiebotのプライバシーポリシーに挙げられる所在地は、デンマーク、EU加盟国（アイルランド、オランダ）、米国、シンガポールにまたがり——中国本土内にはありません——そして、適切なバナーを選ぶジオロケーションがAkamaiの「米国のデータベース」を経由すると列挙しています。国内のリージョンが提供されないため、同意記録が置かれる本土のホスティングリソースはなく、ICP備案を紐づける先もありません。 | Cookiebot（Usercentrics A/S）— Privacy Policy（2026-10-09 取得） |
| GDPRのクッキーバナーは、自動的にはPIPLの同意ではありません。Cookiebotの同意フローは欧州のオプトインモデルを中心に作られています。PIPLはそれ自身のロジックで動きます。同意は特定され、かつ定められた場合には個別——一つにまとめた受諾ではなく、独立した単独の行為——でなければならず（PIPL第13〜14条）、個人情報を中国の外へ送ることには、海外の受領者についての個別の通知に加えて、さらなる別個の同意が求められます（PIPL第39条）。GDPRの下で有効なバナーも、それら中国固有の同意には届かないことがあります。貴社のものが基準をクリアするかは、専門家の判断事項です。 | PIPL第13〜14条および第39条；Cookiebot（Usercentrics A/S）— Privacy Policy（2026-10-09 取得） |
| 一部の取扱者にとって記録は中国国内に留めなければならず、本土内から提供することはICP備案を発動させます。取扱者が重要情報インフラ運営者（CIIO）であるか、個人情報を大量に移転する場合、中国で収集した個人情報は本土内に保存しなければなりません（PIPL第40条、サイバーセキュリティ法第39条（旧第37条）（英語））——EUの同意ストアでは満たせません。そして中国国内から実際に提供されるあらゆる公開サイトは、ICP備案（国務院令第292号、MIIT令第33号）を負い、Cookiebotが提供しない本土のホスティングリソースに紐づけなければなりません。 | PIPL第40条；サイバーセキュリティ法第39条（旧第37条）；国務院令第292号；MIIT令第33号 |
情報源は21YunBox コンプライアンスチームが2026年10月9日に確認しました。
中国本土の読者にとって、Cookiebotにはねじれが組み込まれた問いが伴います。Cookiebotは同意管理プラットフォーム——企業がプライバシー法を扱う「ために」インストールするツール——です。サイトをスキャンし、クッキー同意バナーを表示し、各訪問者の同意の判断を、それを生成・証明するために用いるIPアドレスや技術的シグナルとともに記録します。出荷されたまま中国に向けると、まさにその記録保持からリスクが始まります。問いは、バナーが読み込まれるか——中国に到達します——ではありません。Cookiebotが貴社の中国の利用者について保持する同意記録が本土の外のサーバーに落ち着くこと、どのバナーを表示するかを決めるIPベースの照会がオフショアのデータベースを経由すること、そして欧州の同意ルール向けに作られたバナーが中国法の求める同意ではないこと、です。最初の二つは中国法の下でのデータの国内保存と越境の問いであり、三つ目は同意制度の問いです。三つとも、パフォーマンスより前にあります——そしてCookiebot自身のプライバシーポリシーが、データがどこに存在するかを決めます。
中国でのCookiebot：ひと目で
| 決め手 | Cookiebot自身の言葉で——そして中国の法で |
|---|---|
| 誰が、どこから運用するか | Cookiebotのプライバシーポリシーは、それが"a trademark of Usercentrics A/S"（Usercentrics A/Sの商標）——コペンハーゲンの企業——であるとし、Usercentrics A/S（デンマーク）を管理者として挙げています。プラットフォームと、それが保持する同意記録は、本土ではなくEUにあります。 |
| Cookiebotが記録するもの | 貴社のサイトをスキャンし、各訪問者の同意の判断を記録します——選択されたカテゴリー、タイムスタンプ、同意キー、そしてその背後のIPアドレスです。そのいずれの項目も個人情報です。 |
| 記録はどこに存在するか | そのプライバシーポリシーは、同意データのホスティングを"within EU member states, specifically Ireland"（EU加盟国内、具体的にはアイルランド）のデータベースに、Usercentrics自身の"Consent Data"（同意データ）を"Denmark"（デンマーク）に、そしてジオIP照会をAkamaiの"Database in the USA"（米国のデータベース）を通じて、と列挙しています。いずれも中国本土内にはありません。 |
| 貴社の中国の利用者の記録 | 中国の人々から収集され、EUまたは米国に保持される同意の判断とその背後のIPは、PIPLが規律する個人情報の越境移転です（第38〜40条）——通知、個別の同意、そして移転メカニズム一つ。 |
| GDPRバナー対PIPLの同意 | CookiebotのフローはGDPRの同意を中心に作られています。PIPLは、それ自身の個別かつ特定の同意——そして個人情報が中国を離れる前の、さらに別個の同意——を求めますが、欧州向けのバナーはそれを自動的に生み出しません。 |
| データの国内保存と公衆への提供 | 重要情報インフラ運営者（CIIO）または大量取扱者は、中国で収集した個人情報を本土内に留めなければなりません（PIPL第40条、サイバーセキュリティ法第39条（旧第37条））。中国国内から提供されるサイトも、Cookiebotが提供しない本土のホスティングリソースに紐づくICP備案を必要とします。 |
同意の記録そのものが個人情報であり、それはEUに保持される
ここで厄介なのは、細部ではなく構造です。Cookiebotの目的そのものは、貴社が個人情報を適切に扱ったことの証拠——訪問者が与えた同意、受け入れたカテゴリー、その背後にある記録——を生成し、保持することです。しかしCookiebot自身のプライバシーポリシーは、その証拠がオフショアに落ち着くことを示しています。プラットフォームは”a trademark of Usercentrics A/S”（Usercentrics A/Sの商標）——コペンハーゲンの企業——であり、その処理者リストはCMPの同意データのホスティングを”within EU member states, specifically Ireland”（EU加盟国内、具体的にはアイルランド）のデータベースに、Usercentrics自身の”Consent Data”（同意データ）を”Denmark”（デンマーク）に置いています。したがって、中国の利用者が同意したことを証明する記録は欧州に保持されます——つまりこのプライバシーツールは、それが文書化を助けるために存在する、まさにその越境移転を静かに生み出したのです。
中国の個人情報保護法（PIPL）の下では、それは越境移転であり、義務は個人情報取扱者——Cookiebotではなく貴社——に課されます。貴社は、通知、海外移転についての個別の同意、そしてクリアされた移転メカニズム一つ（CACの安全評価、CAC標準契約、または認証）を負います（PIPL第38〜40条）。同意を収集するプラットフォームは、その同意がその後どこに存在するかに付随する義務を引き受けません。
GDPRのクッキーバナーは、それ自体ではPIPLの同意ではない
国内保存の問いが隠しがちな後半があり、同意ツールにとってはそちらがより鋭い問いです。Cookiebotの同意フローは欧州モデル——説明に基づくオプトイン、カテゴリー、選択の記録の保存——を中心に設計されています。中国のPIPLはそれ自身の同意ロジックで動き、両者は一対一には対応しません。PIPLは、特定され、かつ定められた状況では個別——一つにまとめた受諾ではなく、独立した単独の行為——である同意を求めます（PIPL第13〜14条）。個人情報が中国の外へ送られる場合には、海外の受領者についての個別の通知に加えて、その移転についてのさらに別個の同意を求めます（PIPL第39条）。ジオIPで適切な体験を選び、GDPRを満たすよう調整されたバナーは、それら中国固有の同意を自動的には生み出しません。
したがって、同意を収集するためにインストールしたツールが、中国にとって間違った種類の同意を収集している可能性があります。GDPRの下では有効でも、PIPLの個別の同意と越境の同意の期待には届かない、というものです。貴社の構成がその基準をクリアするかは専門家の判断事項ですが——「すでに同意プラットフォームを運用している」ことが、それだけでは国境を越えない、もう一つの理由です。
本土のリージョンがない、ゆえに国内保存もICPの足場もない
Cookiebotは、Usercentrics A/Sを通じて、同意データのEUホスティングと米国のジオロケーションデータベースを挙げており、中国本土のリージョンは公表していません。その地理は、速度が視野に入る前に、さらに二つの問いに答えます。
第一に、国内保存です。貴社が重要情報インフラ運営者（CIIO）または大量取扱者である場合、中国で収集した個人情報は本土内に保存しなければなりません（PIPL第40条、サイバーセキュリティ法（英語）第39条——データ国内保存の規定は、2026年1月1日施行の2025年のサイバーセキュリティ法改正で旧第37条から番号が振り直され、内容は変わっていません）。EU内の同意ストアは、どのように構成してもその義務を満たせず、一定の量のしきい値を超える場合——または記録が重要データに該当する場合——その移転自体に、何かが出ていく前に中国のデータ越境安全評価（英語）が必要となることがあります。第二に、ライセンスです。中国国内から本土の訪問者に実際に提供される公開向けのサイトは、国務院令第292号とMIIT令第33号の下でのICP備案（备案）を要し、その備案は本土内に物理的に存在するホスティングリソースに紐づけなければなりません。Cookiebotはそれを提供しないため、Cookiebot上に備案の対象となるものはありません。「同意のためにすでにCookiebotを運用している」ことは国境を越えません。プラットフォームが貴社に与えるはずのクリーンなデータ取扱いの筋書きこそ、まさに中国で未解決のままになるものです。
オフショアから提供される同意ゲートは、ページを滞らせうる
到達性の側面も現実であり、同意バナーにとっては通常のアセットよりも厳しく効いてきます。Cookiebotのバナーは、ページが落ち着く前にブラウザが取得するクライアントサイドのスクリプトであり、そのプライバシーポリシーは、適切なバナーを選ぶジオロケーションがAkamaiの”Database in the USA”（米国のデータベース）を経由すると記録しています。スクリプトもその照会も本土の外に由来します——すべてのオフショアのアセットが中国の利用者に到達するために行う、同じ越境のホップです。
したがって、オフショアから提供される同意ゲートが中国国内から遅く読み込まれる、または失敗するとき、それは脇で静かに失敗するのではなく——守るべきまさにそのコンテンツを滞らせうるのです。それは法的な問題ではなく配信の問題ですが、中国向けのサイトでは両者が複合します。最も配信しにくいゲートが、越境と同意のリスクを担うゲートでもあるのです。当社はここでCookiebotについて一次の中国レイテンシの数値を公表しません。速度はこの判断が依拠する軸ではなく、方法・サンプル・日付のない数値は誤解を招くだけだからです。そして21YunBoxが決して行わないこと——そして合法的なプロバイダーが提供できないこと——は、中国のデータ越境規則やネットワーク上の制限を不正な手段で逃れることです。当社は、いかなる形の不正な手段も使用せず、推奨もしません。
これは判定ではなくリスクの見取り図です。個別の同意、移転メカニズム、国内保存、データ越境評価、ICP備案、あるいはそれらの組み合わせのいずれを負うかは、貴社のデータ量、取扱者としての役割、そして利用者が誰かによって変わります——それに依存する前に、専門家と整理すべき事柄です。
合法的な道筋——マッピング、ローカライズ、配信
中国向けの読者のために同意管理を運用する法令適合の方法があり、それには形があります。まずマッピング：当社の中国チームが、Cookiebotが記録する同意の判断とIPデータに付随するPIPLの越境・同意制度・データ国内保存の義務を、貴社の法人・データ量・利用者に照らして洗い出し、別個の越境同意、データ越境評価、または第39条の保存義務がどこに適用されるかを示します。法的な判断は専門家とともに行い、当社はそれに供給する技術的な全体像を構築します。
次にローカライズ：国内に留めなければならない記録について、本土内の同意ストアと、ICP備案済みの国内の足場で動く同意フローを立ち上げて統合します——同意に基づく国内処理・保存という合法的な国内パターンを、PIPLの個別の同意の期待に合わせて形づくります——これにより、合法的に本土を離れられないものが離れなくなります。その間、すでに役立っている市場ではCookiebotを使い続けます。
次に配信：同意ゲートを提示する中国向けのサイトまたはアプリは、それ自体が本土での公開サービスであるため、ICP備案の義務を負い、法令に沿った国内配信を必要とします。21YunBoxはそれを国内から配信します——21YunBox Optimizerが、すでに運用中のものの前段に置かれ、再構築もリプラットフォームも不要です。その結果は、中国の利用者のために合法かつ法令に沿って動く同意・プライバシーの構成です。
関連する読み物：
よくあるご質問
Cookiebotは中国の利用者の同意データを中国に保存しますか？
いいえ。Cookiebot自身のプライバシーポリシーは、その同意データのホスティングを「EU加盟国内、具体的にはアイルランド」のデータベースに、そのプロバイダーであるUsercentrics A/Sを「デンマーク」に挙げ、ジオIP照会は米国のデータベースを経由する——中国本土のリージョンはありません。中国の訪問者から記録する同意の判断とIPデータはオフショアに保持され、それらはPIPLの下での個人情報の越境移転になります。取扱者（Cookiebotではなく貴社）が、通知、個別の同意、そして移転メカニズムを負います。
Cookiebotがプライバシーツールなら、なぜ中国でコンプライアンス上のリスクになりうるのですか？
中国でのコンプライアンスは、ツールが何のためのものかではなく、データがどこに存在し、実際にどの同意を保持しているかで決まるからです。同意プラットフォームは、貴社が個人情報を合法に扱ったことを証明するために存在しますが、その証拠がEUに保存されていれば、PIPLが規制する越境移転を作り出したことになります。そしてGDPR向けに作られたバナーは、PIPLの個別かつ特定の同意や、データが中国を離れる前にPIPLが求めるさらなる同意を提供しないことがあります。どちらも専門家と検討すべきリスクとして扱ってください——プライバシーツールを使うことは、それが収集する個人情報を、中国の移転・国内保存・同意のルールから免除しません。
21YunBoxは当社のCookiebot構成を中国で使えるようにできますか？
はい。当社の中国チームは、Cookiebotが収集する同意とIPデータに付随するPIPLの越境・同意制度・データ国内保存の義務を、貴社の法人・データ量・利用者について整理し、すでに運用中のCookiebotスタックの前段に、合法的な中国プレゼンスに必要なICP備案済みの国内配信と保存を立ち上げます。個別のケースを一緒に整理するにはお問い合わせください。
