欧州連合司法裁判所（CJEU）が火曜日に下した判決[PDF]によれば、ウェブサイトは訪問者に対し、HTTP Cookieをデバイスに保存することに同意することを示すチェックボックスを事前にチェックしたものを提示してはならない。
この決定は、ドイツ消費者団体連盟が、ドイツの企業 Planet49 がオンライン宝くじゲームのプレイヤーのデバイスにクッキーを保存する許可を得るために、事前にチェックを入れたチェックボックスを使用していたことに異議を申し立てたことを受けて下されたものである。
HTTP Cookieは、ウェブサーバーからオンライン訪問者のデバイスに保存されるデータです。HTTPはステートレスなプロトコルであるため、HTTP Cookieはステートフルな情報（例えば、ログインしたばかりのユーザーに関する情報など）を保持します。また、広告関連のトラッキングや分析にも広く利用されています。そのため、プライバシーとセキュリティに影響を与えます。
Planet49はオンライン宝くじサイトを運営しており、2013年には、参加希望者に郵便番号、氏名、住所を入力するための入力ボックスと、2組のチェックボックスが表示されました。1つ目は、様々な商業オファーへの同意を示すもので、事前に選択されていませんでした。2つ目は、デバイスに広告ターゲティングCookieを配置することに同意することを示すもので、事前に選択されていました。
ドイツ消費者団体連合（Bundesverband）は2014年、宝くじウェブサイトが、昨年施行されたより厳格なGDPRに先立つ欧州のeプライバシー指令第5条3項に基づき、ユーザーからインフォームド・コンセントを適切に取得していなかったとして苦情を申し立てた。その後数年間、この消費者団体の訴訟はドイツの裁判所を経て、欧州連合（EU）における米国最高裁判所に相当するCJEU（欧州司法裁判所）にまで持ち込まれた。
3月、裁判所の顧問弁護士であるマチェイ・シュプナール法務長官は、Planet49がオンライン宝くじのプレイヤーに事前選択されたチェックボックスを提示した際に有効な同意を得られなかったと述べた。
「クッキーのインストールに同意しない場合、ユーザーにボックスのチェックを積極的に外してアクティブになることを要求することは、積極的な同意の基準を満たさない」とシュプナール氏は意見書で述べた。
このような状況では、ユーザーが十分な情報に基づいた自由な判断に基づいて同意したかどうかを客観的に判断することは事実上不可能です。対照的に、ユーザーにチェックボックスへのチェックを求めることで、そのような主張がはるかに確度が高まります。
Szpunar 氏はまた、最初のチェックボックスで有効にされた宝くじ参加と、2 番目のチェックボックスでデフォルトで同意された Cookie の同意をリンクすることにも反対した。
「結局のところ、ユーザーは抽選に参加するために参加ボタンを1回クリックするだけです。同時に、クッキーのインストールに同意することになります」と彼は記した。「抽選への参加とクッキーのインストールへの同意という2つの意思表示が同時に行われます。この2つの意思表示を、同じ参加ボタンで同時に行うことはできません。」
シュプナール氏の意見に対し、広告業界団体IABヨーロッパは「デジタル広告業界によるGDPR遵守は関係者全員の緊密な協力なしには容易に達成できない」ことを以前から理解していると述べた。
したがって、特に CJEU が法務長官と同じ結論に達した今、デジタル広告業界が準拠するためにはまだ取り組むべきことがあるようです。
ブレイブは、ネットユーザーを密かにストーキングする広告でGoogleが欧州のGDPRを踏みにじっていると非難している
続きを読む
欧州司法裁判所は、クッキーが個人データを表すかどうかは問題ではなく、「ウェブサイトのユーザーが自分の機器へのクッキーの保存とアクセスに与えなければならない同意は、ユーザーが同意を拒否するために選択を解除しなければならない、事前にチェックが入っているチェックボックスによって有効に構成されるものではない」と述べた。
欧州司法裁判所の判決は、ウェブサイトがクッキーを設置する前に同意を得ることを義務付ける欧州のクッキー要件にオンライン事業者が準拠する必要性を強調するものであり、ウェブサイト運営者への警告ともなる。
裁判所はまた、ウェブサイトはクッキーの保存期間と第三者がそれらのクッキーにアクセスできるかどうかを開示しなければならないことを明確にしました。これにより、欧州の訪問者にサービスを提供する既存のウェブサイトは、これらのクッキーパラメータを表示するためにコードを変更する必要が生じます。
クッキーの同意を求める動きは、サードパーティクッキーがデフォルトでブロックされるケースが増えている中で起こっています。SafariのWebKitエンジンに搭載されたAppleのインテリジェント・トラッキング保護機能や、Firefoxに搭載されたMozillaの拡張トラッキング保護機能、GDPRやカリフォルニア州消費者プライバシー法といった規制、そして広告ブロッカーのおかげで、インターネットユーザーは世界的な監視体制の中で、ある程度のプライバシーを確保できるかもしれません。ただし、Googleがプライバシーサンドボックスの提案を通じて、苦労して築き上げた保護体制を弱体化させない限りは。®
