Cookieバナーを殺せ — 20年越しの同意劇場を終わらせようとするEUの実験
Cookieバナーを殺せ — 20年越しの同意劇場を終わらせようとするEUの実験
1日に何十回も押す「すべて同意する」ボタンは、法が意図した「情報に基づく同意」なのか、それともウェブ全体が共謀した同意劇場なのか。そしてこの劇場を終わらせられるのは、なぜ規制ではなくブラウザなのか。
導入
7月26日、killthecookiebanner.euという直截なドメインのキャンペーンサイトがHacker Newsのトップを占拠した。1,121ポイント、574コメント — 技術規制関連の投稿としては異例の爆発力である。キャンペーンの主体は軽くない。Max Schremsのnoyb、欧州デジタル権利連合EDRi、米国のEFF、欧州消費者機構BEUC、アイルランド市民自由評議会ICCLなど、デジタル権利陣営の主要組織が連合した。
要求は明快だ。EU委員会がDigital Omnibus改革案の一部として提案した自動化されたプライバシー選好信号(automated privacy preference signals) — ユーザーがブラウザでトラッキング可否を一度設定すれば、ブラウザがすべてのウェブサイトにその選択を機械的に伝え、サイトはそれに法的に拘束される仕組み — を支持し、これによってCookieバナーという制度的奇形物を除去しようというものである。キャンペーンが掲げる数字が問題の本質を要約する。バナーを前に最大90%の人が「同意」を押すが、実際にオンライントラッキングを望む人は約3%に過ぎない。
87ポイントの乖離。これが20年間欧州のウェブを覆ってきた同意インフラの成績表だ。法が保障しようとしたものと実際に作動しているものの間のこの乖離はどこから来たのか、そしてブラウザ信号は本当にそれを埋められるのか。
同意劇場の解剖
Cookieバナーの法的ルーツは2002年のePrivacy指令(2009年改正)と2018年のGDPRである。法の原則自体はキャンペーンサイトが強調するとおり単純だ — オンライントラッキングはデフォルトで禁止であり、例外的に明示的同意がある場合にのみ許容される。問題は、この原則が「同意をどう取得するか」の実装段階で完全に転覆されたことである。
トラッキング型広告産業は同意率を最大化する方向にバナーを設計した。ダークパターンの見本市である。「すべて同意」は大きく明るいボタン、「拒否」はグレーのリンクの奥に隠された2段階メニュー。「正当な利益(legitimate interest)」の名の下に同意なしでオンになる数百のトグル。キャンペーンはこれらのバナーが「意図的に誤導するよう」設計され、ユーザーに権利を放棄させていると指摘する。90%の同意率は説得の結果ではなく摩耗の結果だ — コンテンツに到達するにはクリックが必要で、最速のクリックが「同意」になるよう設計されている。
コストの観点から見れば、バナー体制は全員が負けるゲームだった。ユーザーは1日数十回の無意味なクリックと認知負荷を支払い、サイト運営者はCMPの購読料とコンバージョン率の低下を支払い、規制当局は執行不可能なルールの信頼コストを支払う。唯一の受益者は、同意インフラを売る側か、同意率90%という数字を盾にトラッキングを続ける側である。この制度が20年間維持された理由は、それが機能していたからではなく、失敗のコストが分散され成功の利益が集中していたからだ。
HNスレッドで最も支持を集めた論点がここを正確に突いている。あるコメンターの主張 — 要旨を写せば — は、バナーのクリックが「情報に基づく同意」を構成し得ないと法的に宣言することがもうひとつの解法だ、というものだ。誰もあの内容を読んでいないのは周知の事実であり、シュリンクラップライセンスが複数の法域で無力化されたのと同じ論理で、合理的なユーザーが期待し得ない条項は執行不能と見なすべきだ、というのである (HNコメント要旨)。
もうひとつ、頻繁に誤解される事実もスレッドで繰り返し指摘された。Cookieバナーは法が要求したことは一度もない。 機能的に必要なCookie — ログインセッション、買い物かご — に同意は不要だ。複数企業のデータ管理責任者だと明かしたコメンターは、自分が運営するサイトにはバナーが一つもないとし、バナーがあるということはそのサイトがトラッキングをしているという自白か、法を読んでいない証拠だと指摘した (HNコメント要旨)。バナーは法の要求ではなく、トラッキングを維持しながら法を形式的に満たそうとする産業の選択である。
DNTの亡霊 — なぜ今回は違うのか
「ブラウザで一度設定」というアイデアを聞いたベテランウェブ開発者の第一反応は冷笑だろう。HNでも案の定出てきた — Do Not Trackというものがなかったか、と (HNコメント要旨)。正当な冷笑である。DNTは2009年に提案されすべての主要ブラウザに搭載されたが、法的拘束力がなく、広告業界が無視しても何も起きなかった。MicrosoftがIE10でDNTをデフォルトオンにすると、広告業界は「ユーザーの能動的選択ではない」という名分でDNT信号全体を無視することを正当化し、DNTはそうして死んだ。2019年、W3Cのワーキンググループは正式に解散した。
今回の提案がDNTと違う点はただ一つ、法的拘束力である。DNTは紳士協定だったが、Digital Omnibusのプライバシー信号はePrivacy体系の中でサイトが遵守すべき義務になる。信号を無視すればGDPR違反と同様の制裁対象になる。米国ではすでに縮小版の実験が行われた。カリフォルニアCCPA体系のGlobal Privacy Control(GPC)は法的拘束力を認められ、2022年にはSephoraがGPC信号を無視して120万ドルの和解金を支払った。信号自体はDNTと技術的に大差ない。変わったのは、無視したときの結果である。
もちろん反論も侮れない。HNスレッドの実質的な懸念は三つに分かれる。第一に、オール・オア・ナッシングの問題。あるコメンターは、見知らぬニュースサイトのトラッキングは拒否したいが、行きつけのECサイトのレコメンドは受けたいとし、グローバル信号がサイト別の選好を押し潰しかねないと指摘した (HNコメント要旨)。提案自体はサイト別の例外設定を許容する方向だが、デフォルトの設計次第で体感は大きく変わるだろう。第二に、ロビーの力。キャンペーン側は、トラッキング産業がこの提案を潰すためにロビー活動中であり、Googleがその先頭にいると主張する。バナー体制は逆説的に大手プラットフォームに有利だ — 自前のログインベースのファーストパーティデータを持つGoogleとMetaはバナー疲れの影響を受けにくく、同意管理プラットフォーム(CMP)という派生産業まで生まれた。現状維持の受益者が現状を守ろうとする構図である。
第三の懸念はスレッドより一歩踏み込んだものだが、ゲートキーパーの移動である。同意の執行地点がサイトからブラウザに移れば、ブラウザベンダーがプライバシーインフラの関門になる。ところが世界のブラウザ市場の3分の2はChromeであり、Chromeの所有者はトラッキング広告で収益の大半を稼ぐGoogleだ。信号のデフォルトをどう設定するか、設定UIをどれだけ深くに埋めるかがすべてブラウザベンダーの裁量になる構造では、利益相反はバナー時代よりむしろ集中する。IE10のDNTデフォルト論争が示したように、「デフォルトを誰が決めるか」はこの体系の実質を決定する変数であり、立法過程で最も熾烈な戦場になるだろう。
キャンペーン陣営の立場にも緊張があることは指摘しておくべきだ。Digital OmnibusはGDPRの一部緩和を含むパッケージであり、noybを含む同じ団体が他の条項については「権利を弱める」として反対している。つまりこのキャンペーンはオムニバス全体への支持ではなく、その中の一片 — ブラウザ信号 — だけを選んで支持する精密なポジショニングである。
ウェブ開発者にやって来るもの
この提案が通れば、実務の地形はどう変わるのか。
CMP産業の崩壊あるいは変態。 OneTrust、Cookiebot、Didomiのような同意管理プラットフォームは、バナーという制度が生んだ産業だ。ブラウザ信号がバナーを置き換えれば、彼らの中核商品は蒸発する。ただし、サイト別例外の管理、信号遵守の監査、非EU地域への対応というニッチは残るだろう。
フロントエンドからプロトコルへ。 開発者にとって同意処理はUIの問題からHTTPヘッダー処理の問題に変わる。GPCがすでに示している形だ — Sec-GPC: 1 ヘッダーを読んでトラッキングスクリプトのロードを分岐するサーバー/エッジロジック。同意状態の信頼できる情報源がCookieに保存されたCMPの状態からリクエストヘッダーに移動すれば、キャッシュ戦略とA/Bテストのインフラも再設計の対象になる。
同意状態のテストマトリクス化。 信号の尊重が法的義務になれば、「信号オン/オフ × サイト別例外」の組み合わせがQAの対象になる。バナー時代にはCMPが吸収していた複雑性が、各サービスの統合テストに降りてくるということだ。
トラッキングなし計測の台頭。 バナーなしで合法的に運営したいサイトのためのサーバーサイド・Cookieレス分析 — Plausible、Fathomの類 — はすでに成長軌道にあり、この提案はその流れを加速するだろう。HNのあるコメンターが問うたように、そもそもユーザーのためだというサイトがなぜサードパーティスクリプトをベタベタ貼るのか、という問い (HNコメント要旨) がデフォルトになる方向である。
欧州外の実務者にとっても他人事ではない。GDPRがそうだったように、EUのプライバシー制度はグローバルサービスの事実上の標準になるブリュッセル効果を生む。日本の個人情報保護法(APPI)も、韓国の個人情報保護法も、改正のたびにEU体系を参照してきた。ブラウザ信号がEUで法的地位を得れば、グローバルなトラフィックを受けるサービスは、地域判定後に分岐するコストより信号をグローバルに尊重する方が安いという計算に至る可能性が高い — GDPR以後、多くのサービスが全世界に同じプライバシーポリシーを適用するようになったのと同じ経路だ。
シナリオを分ければ、楽観的には2027年の立法完了とともに欧州のウェブからバナーが段階的に消え、GPC系の信号が事実上のグローバル標準になる。悲観的にはロビーが成功して信号の拘束力が「考慮義務」レベルに希釈され、DNTの再演になる。現実的な中間値はおそらく — 拘束力のある信号が導入されつつ「正当な利益」のような迂回路が共に生き残り、バナーが消える代わりに見えないところでの法廷闘争が増える未来だろう。
結論
リード質問に戻ろう。90%が押す「同意」が劇場であることには、今や規制当局も産業も事実上異論がない。20年かかったのは診断ではなく処方だった — そして処方が遅れた理由は技術がなかったからではない。DNTが証明したように、技術は15年前からあった。なかったのは、信号を無視すれば処罰されるという一行の法であり、その一行を阻むロビーだった。
HNのあるコメンターが残した皮肉がこの事件のアイロニーを要約する — 要旨を写せば、結局立法者たちもデバイス設定ベースの法的拘束力ある意思表示を作る方法を知っていたということではないか、というものだ (HNコメント要旨)。知っていた。ただその知識が産業の利害と衝突しなくなる瞬間まで20年待っただけである。Cookieバナーの死亡記事がいつ出るかはまだ分からない。しかし、あなたが今日も反射的に押した「すべて同意する」ボタンが法的には何も同意していないに等しいという認識が主流になった以上、この劇場の幕は下り始めた。あなたのサービスは、バナーなきウェブに備えているだろうか。
出典: