医療機関サイトでは、どのページが読まれたか、予約ページへ進んだか、電話ボタンが押されたかを知るために、Google アナリティクス 4（GA4）、Google タグ マネージャー（GTM）、広告のコンバージョンタグなどを使うことがあります。しかし、計測ツールを入れただけでは、どの情報が、いつ、どの事業者へ送られるかは分かりません。
Googleの公式資料では、GA4が標準でユーザー数、セッション統計、おおよその位置情報、ブラウザとデバイス情報を収集し、ウェブではファーストパーティCookieの_gaにクライアントIDを保存すると説明しています。また、基本のページタグはページURLとタイトルも収集します。予約番号、メールアドレス、症状などをURLやイベント名に含める設計は、集計目的を超えた送信につながり得ます。
この記事では、2026年10月24日時点の個人情報保護委員会、総務省、厚生労働省、Googleの公表資料をもとに、医療機関サイトのアクセス解析を5つの確認に分けて整理します。問い合わせフォームの入力項目は医療サイトの問い合わせフォーム、広告とランディングページの計測は医療機関の検索広告もあわせてご覧ください。
結論：バナーを置く前に、何がどこへ送られるかを表にする
最初に、サイト内のタグ、埋め込み、外部スクリプトを一覧にし、送信される情報、送信先、利用目的、発火するページ、保存期間、管理者を記録します。そのうえで、必要性、契約・ポリシー、法令の適用、通知・公表や同意の方法を個別に判断します。
『Cookieを使うなら必ず同意バナー』『GA4なら何を送っても匿名』のような一律判断は避けます。Cookie、閲覧履歴、個人情報、要配慮個人情報は同じ意味ではなく、電気通信事業法の外部送信規律も、提供するサービスや事業の実態によって適用判断が変わります。技術設定と表示文だけでなく、院内の個人情報保護責任者、制作会社、必要に応じて専門家を交えて確認します。
アクセス解析で揃える5つの確認
1．タグ・埋め込み・送信先を実装から棚卸しする
GA4やGTMだけでなく、広告タグ、地図、動画、予約ウィジェット、チャット、フォント、CDN、ヒートマップ、エラー監視なども確認します。GTMのコンテナ内には、サイトのソースコードからは見つけにくいタグが追加されていることがあります。公開中ページ、予約画面、完了画面、ログイン後ページを分けて調べます。
棚卸し表には、サービス名、タグID、設置方法、送信先ドメイン、送信する情報、利用目的、発火条件、Cookieやローカルストレージの利用、保存期間、契約主体、設定管理者、最終確認日を残します。『以前の担当者が入れた』『広告代理店に任せている』というタグも、現在の目的と権限が説明できなければ停止候補にします。
目的はツール数を増やすことではありません。たとえば、予約完了数だけを知りたいのに、フォーム入力内容、患者ID、自由記述、詳細なページ遷移まで送っていないかを確認します。目的に必要なイベントとパラメータを先に決め、不要な自動計測や共有設定を外します。
2．URL・タイトル・イベントへ個人情報を入れない
Googleは、Googleが個人情報として利用または認識できるメールアドレス、電話番号などをGoogle アナリティクスへ送信することをポリシーで禁止しています。基本のページタグはURLとタイトルを収集するため、予約番号、氏名、メールアドレス、問診内容がURLパス、クエリパラメータ、ページタイトルへ入る設計は見直します。
フォーム入力値、サイト内検索語、イベント名、カスタムディメンション、User-ID、UTMパラメータにも注意が必要です。『送信ボタンを押した』は計測しても、入力した症状や相談文そのものはイベントパラメータへ渡さない設計にします。Googleのデータ除去機能はメールアドレスや指定したURLクエリパラメータを送信前に削除できますが、ベストエフォートの補助機能であり、元のURL・フォーム・タグ設計を安全にする代わりにはなりません。
個人情報保護委員会は、診療や調剤に関する情報だけでなく、病院等を受診した事実も要配慮個人情報に該当すると説明しています。単なる公開ページの閲覧と受診事実を同一視はできませんが、予約完了、患者ポータル、問診、検査結果など、個人と診療情報が結び付く画面は公開コンテンツと分けて慎重に扱います。
3．Cookie・個人関連情報・外部送信規律を分けて判断する
個人情報保護委員会の通則ガイドラインでは、Cookie等の端末識別子を通じて収集されたある個人の閲覧履歴は、個人情報に当たらない場合でも個人関連情報の例とされています。他の情報と容易に照合して特定の個人を識別できる場合は、全体として個人情報に該当し得ます。
一方、総務省の外部送信規律は、一定の電気通信役務を提供する事業者が、利用者の端末から外部へ情報を送信させる場合に確認機会を設ける制度です。対象となる場合は、通知・公表、同意取得、オプトアウト措置など所定の方法を検討します。すべての医療機関サイトへ同じ対応が一律に必要とは限らないため、サイトの機能、提供主体、サービスの実態、送信内容をもとに適用を確認します。
Cookieポリシー、外部送信に関する表示、プライバシーポリシーは、同じ文章を複製するのではなく役割を分けます。少なくとも、送信する情報、送信先、利用目的、設定変更や停止方法、問い合わせ先が、実装と一致しているかを確認します。海外からの利用、広告配信、複数ドメイン、外部予約サービスがある場合は、その条件も別途整理します。
4．同意画面とタグの実際の動作を一致させる
同意バナーを表示しても、選択前にすべてのタグが発火していれば表示と動作が一致しません。逆に、必要なCookieまで止めて予約や認証が使えなくなる設計も避けます。必須、解析、広告など目的別に分類し、初期状態、許可、拒否、後からの変更、期限切れの各状態でネットワーク通信を確認します。
Googleの同意モードには基本と高度な実装があります。基本の同意モードは、利用者がバナーを操作するまでGoogleタグを読み込まず、同意がなければデータを送信しません。高度な同意モードは、初期値が拒否でもCookieを使わない測定情報を送る場合があります。画面に『拒否すれば送信されない』と書くなら、高度な実装を含む実際の通信と矛盾しないかを検証します。
『すべて許可』だけを目立たせ、拒否や設定変更を見つけにくくする表示は避けます。選択内容を保存し、後から同じ場所で変更できる導線を置きます。Googleの実装例も、同意前のデフォルト状態をデータ送信コマンドより先に設定し、利用者の操作後に状態を更新する順序を案内しています。
5．公開後に通信・表示・権限を定期監査する
公開前は、PCとスマートフォンで、初回訪問、拒否、許可、設定変更、別ページ遷移を確認します。ブラウザの開発者ツール、GTMのプレビュー、Tag Assistant、GA4のDebugView等を目的に応じて使い、送信先、パラメータ、Cookie、発火順序を記録します。予約完了や問い合わせ完了は、個人情報を含まないテストデータで確認します。
公開後は、タグ追加、CMS更新、予約サービス変更、広告開始、制作会社変更のたびに再監査します。GTM・GA4・広告アカウントの権限を定期的に見直し、退職者や委託終了先のアクセスを外します。データ保持期間、広告向け機能、Googleシグナル、ユーザー提供データ、他サービスへの共有も、初期設定のままにせず利用目的と照合します。
アクセス数やコンバージョン数は、サイト改善の観測値であり、治療の有効性や受診後の結果を証明するものではありません。医療広告の表現を評価するときは、解析結果だけで効果や優位性を断定せず、厚生労働省の医療広告ガイドラインと事例解説書に照らして、ページ本文、広告文、計測指標を別々に確認します。
公開前チェックリスト
- 全ページのタグ、埋め込み、外部スクリプトを棚卸しした
- 送信先、情報、目的、発火条件、管理者を記録した
- 予約番号、氏名、メールアドレス、症状をURLやタイトルへ含めていない
- フォーム入力値やサイト内検索語をイベントへ送っていない
- 予約・問診・患者ポータルを公開ページと分けて確認した
- Cookie、個人関連情報、個人情報、要配慮個人情報を混同していない
- 外部送信規律の適用をサイトの実態から確認した
- 同意前・拒否・許可・変更後の通信を実測した
- プライバシー等の表示が実装と一致している
- 権限、保存期間、広告向け機能、共有設定を定期監査する担当を決めた
よくある質問
日本の医療機関サイトは、Cookie同意バナーが必須ですか？
Cookieを使うという事実だけで、一律に同じバナーが必須とはいえません。個人情報保護法、電気通信事業法、各サービスの契約・ポリシー、対象地域、送信内容、広告利用などを分けて確認します。バナーを設置する場合も、表示だけでなくタグの実際の動作を一致させます。
GA4は匿名の統計なので、予約ページにもそのまま設置できますか？
一律に安全とはいえません。GA4はCookieのクライアントID、URL、タイトル、イベント等を扱い、設定次第で追加情報も送信します。予約番号や入力内容が混ざらないかを確認し、予約・問診・患者ポータルではタグを外す、ページ名を一般化する、送信項目を限定するなど、目的に応じて判断します。
同意を拒否したら、Googleへ何も送られませんか？
実装方式によります。Googleの基本の同意モードでは、同意がなければGoogleタグを読み込まず、データを送信しません。高度な同意モードでは、拒否状態でもCookieを使わない測定情報が送られる場合があります。表示文は採用した方式と通信確認の結果に合わせます。
GA4のデータ除去を有効にすれば十分ですか？
十分とは限りません。データ除去は、メールアドレスと指定したURLクエリパラメータを送信前に削除する補助機能です。フォーム値、イベント、カスタムディメンション、ページタイトルなど、別経路の情報まで自動で安全になるわけではありません。最初にURLとタグの設計を見直します。
アクセス解析の数値で広告効果を断定できますか？
できません。タグ漏れ、同意状態、端末・ブラウザ、重複、外部予約への遷移などで数値は変わります。問い合わせや予約への導線改善には使えますが、治療効果、患者満足、他院との優位性を示す根拠とは別です。医療広告表現は別のレビューを行います。
まとめ：計測の前に、送信を説明できる状態をつくる
医療機関サイトのアクセス解析では、計測したい指標を決めるだけでなく、どのページから、どの情報が、どの事業者へ、いつ送られるかを説明できる状態が必要です。タグの棚卸し、個人情報を含めないURLとイベント設計、適用ルールの確認、同意状態の実測、公開後監査を一つの運用にします。
必要最小限の計測でも、予約導線の離脱やページ改善の手掛かりは得られます。情報を多く集めることを成果にせず、患者の予見可能性とサイト改善の両方を支える計測へ整えてください。
アクセス解析と患者導線を整理したい医療機関へ
株式会社メディカルアトラクトでは、公開ページ、予約導線、GTM、GA4、広告タグ、外部埋め込み、プライバシー表示を一つの棚卸し表に整理します。お問い合わせページから、対象サイト、利用中の計測ツール、予約システム、確認したいコンバージョンをご共有ください。初回の相談では、残すタグ、止める候補、個人情報が混ざり得るURL・イベント、同意状態のテスト順序、公開後の管理者と確認頻度を具体化できます。
医療機関向けのWeb・SNS・動画支援はサービスページ、制作・運用例は制作実績ページをご覧ください。計測指標の設計は医療マーケティングの効果測定、SNSリンクのUTM設計は企業SNSのリンク計測も参考にしてください。
本記事は株式会社メディカルアトラクト編集部（医療マーケティング・Web制作担当）が、公表資料を2026年10月24日に確認して作成しました。
参考にした一次情報
- 医療・介護関係事業者における個人情報の適切な取扱いのためのガイダンス（個人情報保護委員会・厚生労働省）（2026年10月24日確認）
- 個人情報保護法ガイドライン（通則編）（個人情報保護委員会）（2026年10月24日確認）
- 診療又は調剤に関する情報についてのFAQ（個人情報保護委員会）（2026年10月24日確認）
- 外部送信規律（総務省）（2026年10月24日確認）
- データ収集（Google アナリティクス ヘルプ）（2026年10月24日確認）
- 個人を特定できる情報を送信しないためのヒント（Google アナリティクス ヘルプ）（2026年10月24日確認）
- GA4のデータ除去（Google アナリティクス ヘルプ）（2026年10月24日確認）
- 同意モードの概要（Google for Developers）（2026年10月24日確認）
- ウェブサイトで同意モードを設定する（Google for Developers）（2026年10月24日確認）
- 医療法における病院等の広告規制について（厚生労働省）（2026年10月24日確認）
本記事は2026年10月24日時点の公表資料に基づく一般的なWeb運用・医療マーケティングの整理であり、個別の法律、医療、情報セキュリティまたは契約上の助言ではありません。適用法令、必要な通知・公表・同意、Cookieやタグの設定、データの分類は、運営主体、サービス、送信内容、利用目的、対象地域、契約、仕様変更等により異なります。実装時に各機関・サービスの最新資料と契約条件を確認し、必要に応じて院内責任者、制作会社、セキュリティ担当者、弁護士等へご相談ください。本記事は個人情報保護委員会、総務省、厚生労働省、Googleその他の機関・事業者の提携・監修を受けたものではなく、法令適合、データ保護、検索順位、予約数、広告成果を保証しません。Google アナリティクス、Google タグ マネージャー、GA4はGoogle LLCの商標またはサービス名称です。