ドイツ裁判所、LinkedInが「Do Not Track」信号を無視できないよう差し止め
(stackdiary.com)- ベルリン地方裁判所は、ドイツ消費者団体連合 vzbv による訴訟で、LinkedInの一部のデータ処理慣行がユーザーのコントロール権を侵害すると判断した
- ブラウザーの Do Not Track 信号を無視したまま、分析・マーケティング追跡を継続するとするLinkedInの案内は、ユーザーに誤解を与えるおそれがある
- 新規アカウントの Profile Visibility の初期設定でプロフィールを自動公開する方式も禁止され、非会員に表示するには明示的な同意が必要となった
- 先行する一部判決では、非会員への望まないメール送信や、特定の法的権利の放棄を強いる利用規約も問題として扱われた
- 今回の判決は先例となり得るが、Do Not Track が実際の保護手段となるには、EU全域での継続的な執行が伴う必要がある
LinkedInのデータ慣行に対するドイツ裁判所の判断
- ベルリン地方裁判所は、プロフェッショナル向けネットワーキングプラットフォーム LinkedIn の一部のデータ処理慣行を差し止めた
- 訴訟はドイツ消費者団体連合 vzbv が提起した
- 裁判所は、LinkedInがユーザーのブラウザーから送信される Do Not Track 信号を無視することはできないと判断した
- Do Not Track 信号は、インターネット利用者がオンライン活動の追跡を拒否する意思を示すもの
- LinkedInは、そのような信号を受け取りながらも、ウェブサイト上で分析・マーケティング目的の追跡を行うと案内していた
- 裁判所は、LinkedInは Do Not Track の要求を尊重すべきであるため、この案内は 誤解を招くコミュニケーション に当たるとみなした
- 新規ユーザーのプロフィールを自動公開する初期設定も禁止された
- LinkedInの Profile Visibility の初期値は、アカウント作成直後にユーザー情報を公開状態にする
- 裁判所は、同意なしにユーザー情報を公開する仕組みはデータ保護規則に違反するとみなした
- ユーザーのプロフィールを非会員に表示するには、ユーザーが明示的に同意しなければならない
- 以前の一部判決でも、LinkedInの別の慣行が禁止されていた
- 非会員に望まないメールを送信する行為
- ユーザーに特定の法的権利の放棄を強いる利用規約の使用
Do Not Track 執行に残る課題
- vzbvは今回の決定を、消費者が 個人データのコントロール権 を行使できることを確認した事例とみている
- ユーザーが Do Not Track を有効にすると、オンライン活動を監視されたくないという明確なメッセージを送ることになる
- ウェブサイト運営者はそのような信号を尊重すべきだという立場である
- 判決そのものは前進だが、ドイツの単独の判決だけでユーザーのプライバシー慣行が大きく変わるとは考えにくい
- Do Not Track は何年も前から存在するが、多くのサイトは大きな結果もなくこれを無視してきた
- 今回の事件は先例になり得る一方で、ドイツの孤立した判決にとどまる可能性もある
- 実質的な変化には、EU全域での 継続的な執行 が必要である
- 規制当局は、これまで十分な速さで動いてこなかったとの批判を受けている
- 欧州のすべてのサイトが遵守したとしても、テック企業が侵襲的な追跡を欧州外へ移す可能性は残る
- クッキー同意バナーは形式的な手続きに近づいているとの評価がある
- Do Not Track のようなプライバシー・同意保護は、企業の自発的な遵守に大きく依存している
- 自社利益を追求する企業は、ユーザーの権限を強化するルールを回避する方法を見つける
- 一部のサイトは DNT のような信号を尊重する姿勢を見せるかもしれないが、表面的な同意プロンプトで回避するのは容易である
- 意味のあるプライバシー保護には、サイトの構築方法と収益化の仕組みを見直す必要がある
- Silicon Valley には監視資本主義を放棄する動機が乏しい
- Big Tech はプライバシーを語りながらも、可能な限り多くのデータを収集する
- ビジネスモデルが変わらない限り、Do Not Track のような自発的措置は空虚なジェスチャーに終わる可能性がある
1件のコメント
Hacker Newsの意見
この判決は素晴らしいし、おそらく避けられない控訴でも維持されてほしい。サイトごとのクッキー通知をなくす最も明白な方法は、DNTを法的に強制可能にすることだ。
非営利団体のウェブサイトを作るエージェンシーを運営しているが、DNTが有効なら追跡せず、クッキー通知も表示しない。ただ、クッキー通知がないとユーザーが「デフォルトで追跡しているのでは？」と疑うかもしれないので、「DNT設定を確認し、追跡を無効にした」という一度限りの案内を表示すべきか悩んでいる
そうすれば、ユーザーがクッキーバナーを消すために同意する可能性が生まれ、ウェブサイトで与えた具体的同意がDNTの一般的な不同意に優先すると主張できる
ウェブサイトがなぜサードパーティではなく自前の広告ソリューションを見つけられないのか、いまだに理解できない。主要サイトは無造作に配置された広告のせいでひどい見た目になっている。
雑誌や新聞の広告のように、人が慎重に選んでページに配置すべきで、そうすれば体験も良くなり、追跡も不要になるはずだ。「良い広告」のために追跡が必要だという期待は実現しておらず、人々が買いたくなる製品を選ぶのは結局センスのある人がやるべきだ
そのため大手供給者からパッケージで買い、その供給者が統計を中央で提供する。これはクリック詐欺や配信詐欺が蔓延し得るため、媒体オーナーをある程度誠実に保つ仕組みでもある。広告主が望むものを提供せずに予算を抜く方法は常にあり、詐欺師とマーケター、マーケターとユーザーの間の軍拡競争の中に最終ユーザーが挟まれている。この判決は、自ら非戦闘員であると宣言した人々に少しばかりの常識を取り戻してくれる
広告主探し、単価交渉、広告位置や反応レポートの作成、クリック詐欺の検出、詐欺対応を広告パートナーに納得させること、契約上の支払いがいつか行われると説得すること、といった仕事が付随する。広告主はそのレポートを、自社システムに流入した関心ログと突き合わせたがる
広告購入者の立場で考えれば、どこかの任意のウェブサイトが自分の広告を表示すると言ったとき、自分が何を得るのかどうやって分かるだろうか
やっとそうなった。Do Not Trackヘッダーは究極の同意拒否だ。明示的な「いいえ」であり、サーバーが知らなかったと主張できないリクエストヘッダーの一部だ。
Do Not Trackがあったのにウェブが同意ポップアップの混乱状態になったのは、これらの企業の悪意を示している。ユーザーの意思を迂回しようとしたのは明らかで、さらに悪いことに、これを追跡用の追加ビットに変えてしまった。法的先例ができてよかった
ブラウザでこれを明文化して指定する仕組みがあるとよいが、必然的に例外リストも長くなる。極端に解釈すれば、DNT準拠とはログイン自体が必要なサイトを利用できないことを意味する可能性すらある
消費者と企業の関係を定義するたいていの擬似契約のたわごとは、くだらない法理論にすぎない。そもそも認められるべきではなかった
法体系がこれを許容し支持してきた事実は、法曹界の哲学と倫理がどれほど知的に脆弱かを示している。企業は、特にデジタルな相互作用において、利用規約やエンドユーザーライセンス契約のようなものを呪文のように使うが、それは合意ではなく、ユーザーや消費者の権利を奪うばかげた儀式にすぎない。規約によって剥奪できる権利なら、そもそも存在しないのと同じだ。「合意によって」という概念自体がこうした状況では偽物だが、どうしてもそうしなければならないなら、盤面を逆に傾けることもできる。「このブラウザにウェブページを提供することにより、あなたは次の内容に同意するものとします…」といった具合に。クッキーを落としたりデータを記録したりした時点で、ユーザーに有利な擬似法的デフォルトを作れるはずだ。購入した製品を使う前にXに同意しなければならないという条件は無効にし、データ開示や規約同意が製品使用の条件なら、消費者に無期限の全額返金権を与えるべきだ。読まれないように設計された強圧的な契約に同意しなければ機器を使えないなら、拒否していつでも全額返金を受ける権利を与えるか、少なくともその合意は無効にすべきだ
エンドユーザーライセンス契約は、ユーザーがアプリや機器を入手する前に提示されなければならない。だからSteamは、ゲームをダウンロードする前にサードパーティEULAへの同意を先に求め、ストアページの目立つ黄色いバーにサードパーティEULAを読めるよう表示している。「箱の裏面にあるEULAリンク」のようなものは認められない。そしてその場合でも、責任に関する内容を超えるEULAのかなりの部分は、本来持っている権利を禁じようとするため、おおむね違法だ。私の知る限り、米国はこの種のシュリンクラップEULAが高級トイレットペーパー以上の実用性を持つ、ほぼ唯一の国だ。ただし私は弁護士ではない
良いニュースだ。次はこの件が争われた場合にEUの裁判所でも扱われるのか見てみたい。ただ、広告業界はEU全体で一度に負けるリスクを取るより、国ごとに争おうとする気がする
ドイツでこの件が連邦通常裁判所（BGH）まで行けば、適用されるEU法、この場合はGDPRの解釈について欧州司法裁判所に「付託」し、他国の裁判所もその先例を考慮することになる。LinkedInが控訴しなければこの判決に従わなければならないし、その場合でも各国の裁判所が国境を越えた判例を参照するのは珍しくない
各国にこの解釈を使わせるには国ごとに争う必要がありそうだが、他のEU諸国にとっても100%先例になる
私の理解では、LinkedInが実際の処理過程でDNTヘッダーを尊重するよう強制されたわけではない。DNTヘッダーに法的拘束力がないので尊重しないと主張することだけが禁じられたのだ
裁判所はLinkedInに対し、DNTヘッダーを実際に尊重すること、あるいは少なくとも考慮することまでは強制していない。ドイツ語ネイティブとして、普段は信頼できるheise onlineのこの記事もそのように読めた: https://www.heise.de/news/Do-Not-Track-LinkedIn-darf-nicht-m...
第一に、DNTが正確に何を意味するのか十分に特定されていなかった。特に訴訟はDNTヘッダーに限定せず、ブラウザが送るあらゆる種類の設定済みシグナルに言及していた。第二に、そうしたシグナルに遭遇したときLinkedInが停止すべき行為の説明が広すぎた。判決が維持されれば、将来の訴訟への道は明らかに開かれるように見えるし、対象企業がそれを見越して行動を調整することを期待することもできるが、私はあまり期待していない
[1] https://www.vzbv.de/sites/default/files/2023-10/23-10-10_Stn...
ただし判決そのものがDNTを尊重しているかどうかではなく、その主張に関するものだという点はその通りだ
トラッキングを論じる際に常に見られる問題は、言葉の範囲が広すぎることだ。たとえば3つある。店主が万引きを防ぐために客を見て、商品の配置のために動線を観察すること、オンラインショップが人々がどの商品を見てどのカートを最も多く放棄するかを追跡すること、世界規模の広告ネットワークがインターネット全体の閲覧活動の大半を受け取って広告プロファイルを作ること
この軸のどこかでは、規模の違いが種類の違いを生むと考えないか？ 個人的には、ユーザーが自分のウェブサイトで何をしているかを観察するのは構わないが、データが第三者に共有されるときは明示的な同意が必要だと思う
Googleが保有する広告プロファイルは自分で見て修正できる [1] [2]。何が見つかるのか少し気になって有効にしているが、今のところ広告トピックは非常に一般的で、心配するようなものではなかった
[1] https://myadcenter.google.com/
[2] chrome://settings/adPrivacy/interests (デスクトップ版Chrome使用時)
追跡対象が人なら、その人の同意が必要だ。追跡対象が無生物なら、たいていは問題ない可能性が高い。ただし、無生物の追跡を通じて人を追跡することになるなら、その人の同意を得なければならない
「ブラウザでDo Not Trackが有効になっているため、このコンテンツを提供できません」
デフォルトでDNTヘッダーが有効になっているブラウザも含まれるのだろうか？ 初期のEdgeや後期のInternet Explorerがデフォルトでこのヘッダーを送っており、広告でもそう主張していたと記憶している
当時の仕様では、ヘッダーが常時送信されているか、あるいはユーザーが有効にしたものでなければ無視できる、とされていた気がする
アガサおばさんが雑誌でDNT設定を読み、ブラウザ設定を開いてみたらすでに有効で、何もしなかったとしよう。デフォルトが無効の別のブラウザを使っているユリシーズおじさんが設定画面を開いて有効にしたのと変わらない。自分の郵便受けに不要な広告は受け取りませんというステッカーが貼ってあるなら、誰がそのステッカーを貼ったのか推測しようとする必要はない
DNTヘッダーをデフォルト設定したブラウザを使うこと自体が、そのようなブラウザを選ぶことでプライバシーに関する決定をしたのだと主張することもできる。広告会社はそのような主張を望まず、すべてのブラウザでユーザーがオプトアウトすることを望んでいる。理想的には、MicrosoftがExplorerでデフォルトで有効にしたあと実際にそうだったように、ヘッダー自体を単に無視したいのだ
もともとのInternet Explorerのケースは、OSにプリインストールされていたため別だ。特定の消費者向けハードウェアでOSの選択権があるのかは今日でも疑わしい場合が多く、当時は「ない」に近い場合がさらに多かっただろう
Global Privacy Controlに誰も触れていないようだ。本質的にはCCPAの下で法的拘束力を持たせることを意図したHTTPヘッダーで、DNTとは異なる
Firefoxには少なくともBeta時点でこれを有効にする設定がある。参考:
https://globalprivacycontrol.org/
https://global-privacy-control.glitch.me/
https://privacycg.github.io/gpc-spec/
https://www.huntonprivacyblog.com/2021/07/15/california-atto...