要約

  • 2002年のEU指令は端末内の情報へのアクセスについて説明と拒否の機会を求めた。2009年の改正は事前の同意を要求し、通信の伝送や明示的に求められたサービスには限定的な例外を残した。
  • 英国の監督機関は2012年、当時の一般的なブラウザー設定では同意を十分に表せないと説明し、自らのサイトのバナーを一つの実例として示した。2019年のPlanet49判決は、あらかじめ印を付けたチェック欄を退けた。

ブラウザーの一つの設定で足りた時代

2002年の電子プライバシー指令第5条3項は、端末に情報を保存したり読み出したりする前に、分かりやすい説明と拒否の機会を利用者へ与える仕組みだった。通信を運ぶための処理と、利用者が明示的に求めたサービスには狭い例外を設けた。前文はCookieの実用性にも触れる。ブラウザーの大まかな許可設定は便利だった。一度決めれば、多くのサイトで同じ判断を使えるからだ。

だが、端末全体の設定と個々のサイトの目的は一致しない。第三者が関わるか、何日保存するか、何のために使うか。利用者が選んだと見なすには、設定が何を伝えているかまで問う必要がある。

「拒否」から「同意」へ

2009年の改正指令は、十分な情報を受けた利用者が同意した後に保存やアクセスを認める形へ条文を変えた。前文66は、技術的に可能で有効ならブラウザー設定も同意を表す手段になり得ると述べる。初期設定そのものが本人の意思になるわけではない。英国は2011年5月に国内規則を改めた。法の新しい動詞は、画面上の新しい問いを生んだ。本人のどの行為を同意と呼ぶのか。

バナーを選んだのはサイト側

英国Information Commissionerの2012年5月の指針は、当時の大半のブラウザー設定はきめ細かさが足りず、サイトが同意を推定する根拠にはならないとした。ヘッダーの通知など複数の方法を挙げ、監督機関自身のバナーも紹介した。運営者は事情に合った方法を選ぶ。つまり、細長い帯は法律が指定した唯一の部品ではない。ブラウザーに任せられなかった判断を、各サイトが引き受けた結果だった。

ここで力関係が変わる。Cookieを使いたい側が、説明文、表示時点、ボタンの並びを決める。訪問者の選択は目に見えるようになったが、その舞台は要求する側が作る。

最初から付いていた印

Planet49の懸賞フォームではCookieの欄に最初からチェックが入っていた。拒む人だけが印を外す。EU司法裁判所の2019年10月1日の判決は、この状態では有効な同意にならないと判断した。保存・参照される情報が個人データかどうかは結論を変えない。Cookieの有効期間と第三者のアクセスについても説明が必要だとした。

判決が扱ったのは具体的なチェック欄である。それでも歴史の線は明快だ。端末全体の設定からサイトの通知へ移った判断は、最後には初期値まで問われた。相手が答えを書き込んだ状態で、利用者に「選んだ」とは言えない。