GDPR Cookie 同意チェックリスト

GDPR は、EU 各国が国内法に置き換えている ePrivacy のルールと併せて読むと、Cookie に高い水準を課しています。同意は自由に与えられ、特定的で、十分な情報に基づき、明確でなければならず、しかもトラッカーが動作する前に得なければなりません。単に Cookie の使用を知らせるだけのバナーや、解析がページ読み込み時に発火してしまうバナーは、見た目がどれほど洗練されていても、この基準を満たしません。

このチェックリストは具体的な要件を順に見ていきます。各項目は、一度切り替えて忘れてしまう設定ではなく、ブラウザや記録で実際に検証できるものとして扱ってください。

事前ブロッキングが土台です。訪問者がオプトインするまで、解析、広告ピクセル、ソーシャル埋め込み、ヒートマップ、チャットウィジェットといった必須ではないスクリプトはすべて動作しないままでなければなりません。同意なしに動作してよいのは、ページを表示したりセッションを維持したりするために厳密に必要な Cookie だけです。

これを確かめるには、プライベートウィンドウでサイトを読み込み、何もクリックする前に Network タブを観察します。同意の前にトラッキングドメインへの通信が見えるなら、バナーに何と書いてあろうと準拠できていません。

ドイツ、フランス、そして EU 全体の規制当局は、拒否が同意より難しくてはならないと明言してきました。つまり、バナーの第 1 階層に、同じ階層で同じ視覚的な重みを持つ「同意する」ボタンと「拒否する」ボタンを並べるということです。「同意する」は 1 クリックなのに「設定を管理」画面の奥に「拒否する」を隠すのは、よく知られたダークパターンです。

特にフランスの CNIL は、まさにこの不均衡を理由に大手サイトに制裁金を科してきました。デザイン上、ノーと言うほうがイエスと言うより時間がかかったり分かりにくかったりするなら、まずそこを直してください。

同意は特定的でなければならないため、トラッカーを解析、マーケティング、パーソナライズといった分かりやすいカテゴリにまとめ、訪問者がカテゴリごとに選べるようにします。初期状態でチェックが入っていたり有効になっていたりしてはなりません。「すべて同意する」の 1 ボタンがあること自体は問題なく、「すべて拒否する」も同じように使えて、細かく選びたい人のためのカテゴリ単位の操作が用意されていれば構いません。

あらかじめ選択された選択肢は EU 司法裁判所によって無効と判断されているため、チェックなしを初期状態にすることは任意ではありません。

撤回できない同意は、自由に与えられた同意ではありません。訪問者には、小さなフローティングのボタンや設定センターを開き直すリンクなど、あとから気が変わったときに使える常設の分かりやすい手段が必要です。撤回は最初の同意と同じくらい簡単でなければならず、撤回されたらトラッカーは停止しなければなりません。

よくある抜けは、奥まったプライバシーページでしか撤回できないようにしてしまうことです。再度開くためのボタンは、すべてのページで見える場所に置いてください。

規制当局から尋ねられたときには、ある訪問者がいつ何に同意したのかを示せなければなりません。つまり、同意イベントごとに、選択内容、タイムスタンプ、できれば訪問者が実際に見た通知のバージョンまでを記録するということです。ポリシーのバージョンとハッシュを各記録に結びつける改ざん検知が可能なレシートは、これを主張から証拠へと変えます。

記録がなければ、規制当局にこちらの言い分を信じてもらうしかなくなります。監査の場でそのような立場に置かれるのは避けたいところです。

ドイツは GDPR に加えて連邦法の BDSG と、ePrivacy の保存に関するルールを国内法化した TDDDG を適用しており、ドイツの当局は閲覧の継続を同意とみなすことを認めていません。フランスは CNIL を通じて執行しており、CNIL はバナーのデザインに関する詳細なガイダンスを公表し、「すべて拒否する」の不均衡や不明確な選択肢に対して措置を取ってきました。

EU 全域で事業を行うなら、最も厳しい解釈に合わせて設計してください。ドイツとフランスの規制当局を満足させるバナーであれば、通常は EU の他の国でも問題ありません。