Cookie同意バナー：研究データでわかったこと
この記事のポイント ・約11分で読めます
- 欧州の法律では、必須でないCookieには同意が必要で、拒否は同意と同じくらい簡単でなければなりません。
- ある研究では英国の680サイトのうち法的な最低要件を満たしたのは11.8%だけ。別の研究ではバナーの89%が法律に違反していました。
- 「拒否」ボタンを1画面目から消すと、同意率は約22ポイント上昇しました。選択の大半はバナーのデザインで決まります。
- ユーザーが選ぶ前に、あるいはオプトアウトした後に「同意」を記録していたサイトもありました。
今では欧州のほぼすべてのウェブサイトで、訪問者は同じ小さな交渉に迎えられます。画面に「このサイトはCookieを使用しています」というボックスが現れ、大きく目立つ「すべて同意」ボタンと、ときにはどこかに小さなグレーの「オプションを管理」リンクがある。多くの人は1語も読まずに目立つボタンを押し、それを週に何十回も繰り返します。何に同意したのか気にする人はほとんどいません。
こうしたバナーがあるのは、欧州の法律のためです。2009年以降、サイトは必須でないCookieの大半を端末に保存する前に同意を得る必要があり、2018年からはGDPR（EU一般データ保護規則）が「同意」の意味について厳しい基準を定めています。自由意思に基づき、具体的で、十分な説明を受けたうえでの、明確な同意です。追跡について、人々に本当の意味でのコントロールを与えるのが狙いでした。
研究者はすでに、バナーが実際に何をしているかを測定しています。何千ものバナーを自動収集し、何万人もの実際の訪問者で試し、サイトが人々の選択を尊重しているかどうかを確かめました。結果は、小さなデザインの違いで同意率が数十ポイント変わること、大半のバナーは法的な基準を満たしていないこと、そして一部のサイトは与えられていない同意を記録していることを示しています。この記事では、その根拠と、規制当局がどう対応してきたかを見ていきます。
Cookieとは何か、バナーは何を対象にしているのか
Cookieとは、ウェブサイトがブラウザに保存する小さなテキストファイルです。ログイン状態を保ったり、カートの中身を覚えたりする、必須のものもあります。一方で、主に後からユーザーを識別するためのものもあります。同じサイトでも、多くのサイトをまたいでも識別し、広告主が読んだものや買ったもののプロフィールを作れるようにするのです。最も重要な区別は、訪問しているサイト自身が設定するファーストパーティCookieと、ページに埋め込まれたコードを通じて別の会社が設定するサードパーティCookieの違いです。
典型的なニュースサイトや通販サイトは、そうした会社数十社のコードを読み込むことがあります。「同意」をクリックすると、多くの場合はそのすべてについてまとめて同意したことになります。そのリストは、設定リンクの奥に隠れた数百社に及ぶこともあります。バナーが尋ねるのはCookieについてですが、同じ会社は、デバイスフィンガープリンティングのようにCookieにまったく頼らない別の手法も使えます。バナーではそれに触れていないこともあります。
法律が求めていること
適用される欧州の法律は2つです。2009年に改正されたeプライバシー指令の第5条3項は、ユーザーが求めたサービスに厳密に必要な場合を除き、サイトがユーザーの端末に情報を保存したり読み取ったりする前に同意を得るよう求めています。GDPRは有効な同意とは何かを定義し、第7条3項で、同意の撤回は同意を与えるのと同じくらい簡単でなければならないと付け加えています。
細部を埋めてきたのは、EUの最高裁判所です。2019年のPlanet49事件で、欧州司法裁判所は、あらかじめチェックが入ったチェックボックスは有効な同意ではないと判断しました。規制当局はその後、拒否は同意と同じくらい簡単であるべきこと、閲覧を続けただけで同意したとみなすことはできないこと、追跡の目的を明確に示さなければならないことを示しています。
研究者が調べてわかったこと
2020年のCHI国際会議で発表された研究で、Midas Nouwens らは、英国の上位1万サイトのうち、人気上位5つの同意管理プラットフォームを使う680サイトの同意ポップアップを自動収集しました。同意管理プラットフォームとは、多くのサイトが同意の処理のために導入している外部サービスです。欧州法に基づく最低限の要件（明示的な同意、同意と同じくらい簡単な拒否、事前チェックなし）を満たしていたのは、わずか11.8%でした。
最も多かった不備は単純なものです。「すべて同意」と同じ画面に「すべて拒否」ボタンを表示していたサイトは12.6%だけでした。それ以外のサイトで「いいえ」と言うには、別の画面、ときには何画面も先に進み、目的や事業者を1つずつオフにしなければなりませんでした。
英国の680サイトの同意ポップアップ
人気上位5つの同意管理プラットフォームを使うサイト（2019年）
出典：Nouwens M, Liccardi I, Veale M, Karger D, Kagal L, Proceedings of CHI 2020, 1–13.
デザインで答えが変わる
同じチームは次に、40人の参加者で実地実験を行い、実際に訪れるサイトで異なるバージョンのポップアップを表示しました。1画面目から「すべて拒否」ボタンを消すと、同意する確率は約22ポイント上がりました。目的や事業者についての詳しい選択肢を1画面目に置くと、同意は8〜20ポイント下がりました。通知がバナー型かページをふさぐ壁型かは答えに影響しませんでしたが、バナー型は3.6倍多く無視されていました。
より大規模な実験でも同じパターンが確認されています。2019年、Christine Utz らはドイツのウェブサイトで、8万人を超える訪問者に同意通知を試しました。画面の左下にある通知のほうが操作されやすい傾向がありました。「はい／いいえ」の単純な選択では、カテゴリーや会社ごとに個別に許可する場合より多くの人が追跡を受け入れ、事前に選択されていない限り、特定のカテゴリーを選ぶ人はごくわずかでした。強調されたボタンや事前チェックのような誘導は大きな効果を持っていました。
Jan Michael Bauer、Regitze Bergstrøm、Rune Foss-Madsen が2021年に発表した1,493人のランダム化実地試験では、バナーのデザインを操作すると、サンプル全体で同意が17ポイント増えました。著者らは、サイト運営者がこのように選択を誘導できることは、おそらく法律の意図に反していると結論づけています。
バナーのデザインの実地テスト
実際のウェブサイト訪問者を対象にした実験
出典：Bauer JM, Bergstrøm R, Foss-Madsen R, Computers in Human Behavior, 2021; Utz C et al, ACM CCS 2019.
デザインが同意をどう変えるか
ポップアップのデザインが同意の確率に与える影響（実地実験）
| デザインの変更 | 同意への影響 |
|---|---|
| 1画面目から「すべて拒否」を消す | 約22ポイント上昇 |
| 事業者の選択肢を1画面目に表示 | 約20ポイント低下 |
| 目的の選択肢を1画面目に表示 | 約9ポイント低下 |
| ページをふさぐ壁型ではなくバナー型 | 変化なし。ただし3.6倍多く無視される |
出典：Nouwens M et al, CHI 2020。サンプルは40人と小規模。
サイトは選択を尊重しているか
バナーはシステムの表側にすぎません。その裏では同意の判断が保存され、広告会社に渡されます。2020年、Célestin Matte、Nataliia Bielova、Cristiana Santos は、広告業界団体IAB Europeが運営する業界標準で、多くの同意管理プラットフォームが従っている「Transparency and Consent Framework（TCF）」を使うサイトを調べました。
こうしたバナーのある1,426サイトのうち、ユーザーが何も選ぶ前に「同意あり」を登録していたサイトが141、選択肢を事前に選んで誘導していたサイトが236、ユーザーが明示的にオプトアウトした後でも「同意あり」を保存していたサイトが27ありました。560サイトを対象にしたより詳しいテストでは、54%で少なくとも1つの違反の疑いが見つかりました。著者らは、規制当局やユーザーがこうした問題を検出できるよう、ブラウザ拡張機能を作っています。
バナーの文言にも問題があります。Cristiana Santos らは、EUからアクセスした人気の英語サイトのバナー約400件に注釈を付けて分析し、89%が記載内容の点で適用法に違反していることを見つけました。最も多かった問題（61%）は、「ユーザー体験の向上」のようなあいまいな目的の記載です。30%では、肯定的な言い回しが「自由意思に基づき、十分な説明を受けた同意」という要件を損なっていました。
バナーの裏で起きていること
IAB Europeの同意フレームワーク（TCF）を使うサイト
| 発見された問題 | サイト数 |
|---|---|
| 選択前に「同意あり」を登録 | 141 |
| 選択肢を事前に選んで同意へ誘導 | 236 |
| オプトアウト後に「同意あり」を保存 | 27 |
| 少なくとも1つの違反の疑い（テストした560サイト中） | 54% |
出典：Matte C, Bielova N, Santos C, 2020 IEEE Symposium on Security and Privacy, 791–809。こうしたバナーのある1,426サイトは、クロールした2万8,257サイトの中から見つかったもの。
規制当局の対応
取り締まりは研究の後を追ってきました。2022年1月、フランスのデータ保護機関CNIL（情報処理及び自由に関する国家委員会）は、Cookieの拒否を同意より難しくしていたとして、Googleに計1億5,000万ユーロ、Facebookの親会社に6,000万ユーロの制裁金を科しました。同意はワンクリックなのに、拒否には何度もクリックが必要だったのです。両社は、同じくらい簡単に拒否できる方法を用意するよう命じられました。
同意の枠組みそのものも、ベルギーで問題になりました。ベルギーのデータ保護機関は2022年、IAB Europeの枠組みがGDPRに違反していると判断しました。2024年3月には欧州司法裁判所が事件C-604/22で、ユーザーの設定を記録したコード化された文字列は個人データになりうること、そしてそうした枠組みを運営する組織は、その使われ方について責任を共有しうることを示しました。
一方で、リスクの低いCookieについては、規制当局は逆方向にも動いています。英国の2025年データ（利用・アクセス）法は、一部の分析用Cookieなど低リスクとみなされるCookieについて、同意の要件の例外を設けました。あらゆるものにバナーを出した結果、生まれたのはコントロールではなく「疲れ」だった、という広い見方を反映したものです。
バナーに書かれていること
人気の英語サイトのバナー約400件を、EU法に照らして評価
出典：Santos C, Rossi A, Sánchez Chamorro L, and colleagues, Proceedings of the 20th Workshop on Privacy in the Electronic Society, 2021, 187–194.
欧州以外では
欧州のやり方はオプトインが基本です。同意するまで、必須でないことは何も起きてはいけません。米国はおおむね逆の道をとってきました。カリフォルニア州のプライバシー法は、カリフォルニア州プライバシー権法（CPRA）による改正を経て、住民に個人情報の販売や共有をオプトアウトする権利を与えています。また州の規則は、Global Privacy Control（GPC）のようなブラウザレベルのオプトアウト信号を有効な請求として扱うよう事業者に求めています。その後、米国のほかのいくつかの州も同様の法律を成立させました。
結果として、実際にはつぎはぎの状態になっています。多くの国際的なウェブサイトは、欧州や英国からの訪問者にだけ完全な同意バナーを表示し、カリフォルニアの人には簡易な通知を、それ以外の地域の人には何も表示しません。そのため同じサイトでも、同じ記事を読む2人の読者を、どこにいるように見えるかによってまったく違うやり方で追跡しうるのです。こうした法域の外にいる読者にとっては、ブラウザの設定が唯一の手段であることも少なくありません。
そもそもバナーは正しい手段なのか
立場を問わず批判する人たちは、バナーが意図どおりに機能していないという点で一致しています。あまりに多くのバナーにさらされ、「同意」をクリックするのが反射になってしまいました。Utz らは2019年に「同意疲れ（consent fatigue）」を報告しています。また、バナー型が壁型よりはるかに多く無視されるという結果は、多くの人が単にバナーを避けて使っていることを示唆しています。
反対の見方もあります。研究は、拒否を同意と同じくらい簡単にすれば、拒否する人がずっと多くなることも示しています。つまりバナーが測っているのは好みよりもデザインであり、公平なデザインなら、追跡を受け入れたい人は今の同意率が示すより少ないことがわかるはずです。一部の研究者や規制当局は、ページごとに尋ねるのではなく、Global Privacy Control信号のような1つの設定がすべてのサイトに適用されるよう、選択をブラウザに移すべきだと主張しています。
デザインをめぐる争いがこれほど激しいのは、パブリッシャーにとって利害が大きいからです。無料のウェブサイトの多くは収益の大半を広告から得ており、パーソナライズ広告はたいていターゲティングしない広告より高く売れます。同意率の1ポイントごとに値段がつくわけで、サイトには同意を簡単に、拒否を面倒にする強い動機があります。研究が示唆しているのは、結果を決めているのは読者が本当に望んでいることではなく、バナーのデザインであることが多い、ということです。
自分でできること
個人にできることは大きくはありませんが、確かにあります。同意する前に「拒否」や「必須のみ」の選択肢を探しましょう。ルールを守っているサイトなら、1画面目にあるはずです。サードパーティCookieをブロックするブラウザ設定や、バナーに自動で拒否を返す拡張機能を使えば、自分で判断する回数を減らせます。ときどきCookieを削除すれば、たまった識別子を消せます。プライベートブラウジングのウィンドウは、閉じるとCookieを破棄します。
Cookieは数ある追跡手法の1つにすぎません。スマートフォンの位置情報がどのように集められ、売られているかはデータブローカーについての記事で、人を操るデザインの手口全般はダークパターンについての記事で取り上げています。
よくある質問
Q. Cookieには同意しなければいけない？
いいえ。EU法では、必須でないCookieにはユーザーの同意が必要で、拒否は同意と同じくらい簡単であるべきとされています。厳密に必要なCookieには同意は不要です。
Q. 法律を守っているCookieバナーはどのくらい？
ごくわずかです。ある研究では英国の680サイトのうち最低要件を満たしたのは11.8%だけ、別の研究では約400件のバナーの89%が文言の点で法律に違反していました。
Q. Cookieを拒否すると、本当に効果がある？
たいていはありますが、必ずではありません。ある研究では、ユーザーがオプトアウトした後でも「同意あり」を保存していたサイトが27ありました。
Q. 「Cookieウォール」は認められている？
規制当局はおおむね、サイトへのアクセスをすべての追跡への同意と引き換えにすべきではないとしています。ただし、有料の代替手段を認めているところもあります。ルールとその解釈については、今も議論が続いています。
Q. なぜ「同意」ボタンはいつも大きいの？
デザインで行動が変わるからです。ある実験では、1画面目から「拒否」ボタンを消すと、同意率が約22ポイント上がりました。
Q. Cookieバナーで制裁金を科された企業はある？
あります。2022年にフランスは、拒否を同意より難しくしていたとして、Googleに1億5,000万ユーロ、Facebookの親会社に6,000万ユーロの制裁金を科しました。
まとめ
- 欧州の法律では、必須でないCookieには同意が必要で、拒否は同意と同じくらい簡単でなければなりません。
- ある研究では英国の680サイトのうち法的な最低要件を満たしたのは11.8%だけ。別の研究ではバナーの89%が法律に違反していました。
- 「拒否」ボタンを1画面目から消すと、同意率は約22ポイント上昇しました。選択の大半はバナーのデザインで決まります。
- ユーザーが選ぶ前に、あるいはオプトアウトした後に「同意」を記録していたサイトもありました。
- 規制当局はGoogleとFacebookに制裁金を科し、EUの裁判所は同意の枠組みについてのルールを厳しくしました。
この記事は、Cookieの同意について公表された研究と規制当局の決定をまとめたものです。ウェブサイト運営者やユーザーへの法的な助言ではありません。ルールはEU、英国、その他の国で異なり、今も変わり続けています。
さらに読むなら：Nouwens らの ‘Dark Patterns after the GDPR: Scraping Consent Pop-ups and Demonstrating their Influence’（CHI 2020）はオープンアクセスで、読みやすい論文です。バナーの裏側で何が起きているかについては、Matte、Bielova、Santos の論文（IEEE Symposium on Security and Privacy、2020年）がおすすめです。
- Means of Control（Byron Tau著、2024年）。アプリやウェブサイトで集められたデータが、どのようにデータブローカーや政府へ流れていくのかを、ジャーナリストが追った本です。
- Privacy Is Power（Carissa Véliz著、2020年）。個人データがなぜ重要なのか、個人と社会に何ができるのかを、哲学者が論じた本です。
- Breached!（Daniel J. Solove、Woodrow Hartzog著、2022年）。プライバシーとデータセキュリティの法律がなぜ不十分なままなのかを、2人の法学者が論じた本です。
参考文献
- Nouwens M, Liccardi I, Veale M, Karger D, Kagal L. Dark patterns after the GDPR: scraping consent pop-ups and demonstrating their influence. Proceedings of the 2020 CHI Conference on Human Factors in Computing Systems, 1–13. doi:10.1145/3313831.3376321.
- Utz C, Degeling M, Fahl S, Schaub F, Holz T. (Un)informed consent: studying GDPR consent notices in the field. Proceedings of the 2019 ACM SIGSAC Conference on Computer and Communications Security, 973–990. doi:10.1145/3319535.3354212.
- Bauer JM, Bergstrøm R, Foss-Madsen R. Are you sure, you want a cookie? The effects of choice architecture on users’ decisions about sharing private online data. Computers in Human Behavior, 2021;120:106729. doi:10.1016/j.chb.2021.106729.
- Matte C, Bielova N, Santos C. Do cookie banners respect my choice? Measuring legal compliance of banners from IAB Europe’s Transparency and Consent Framework. 2020 IEEE Symposium on Security and Privacy, 791–809. doi:10.1109/SP40000.2020.00076.
- Santos C, Rossi A, Sánchez Chamorro L, and colleagues. Cookie banners, what’s the purpose? Analyzing cookie banner text through a legal lens. Proceedings of the 20th Workshop on Privacy in the Electronic Society, 2021, 187–194. doi:10.1145/3463676.3485611.
- Directive 2002/58/EC (ePrivacy Directive), Article 5(3), as amended by Directive 2009/136/EC.
- Regulation (EU) 2016/679 (General Data Protection Regulation), Articles 4(11) and 7(3).
- Court of Justice of the European Union. Case C-673/17, Planet49, 1 October 2019; Case C-604/22, IAB Europe, 7 March 2024.
- Commission nationale de l’informatique et des libertés (CNIL). Deliberations on Google LLC, Google Ireland Limited and Facebook Ireland Limited, 31 December 2021, announced January 2022.
