ポール・グレアムへ、クッキーバナー法は存在しない

クッキーバナー法が存在しないことについて

• ポール・グレアムは、EUがクッキーバナーを義務化したと考えていたが、実際にはクッキーバナーに関する法律は存在しない。
• EUは、個人の追跡、プロファイリング、データ販売について同意が必要だと主張している。
• 企業は、追跡を行わないか、追跡を望まないユーザーの Do Not Track ヘッダーを尊重することで、クッキーバナーを回避できる。

クッキー同意の代替手段

• ブラウザーは、SSLアイコンのように追跡アイコンを提供し、ユーザーがクリックして同意できる情報を提示できる。
• サイト上部に小さなバナーでクッキー同意を求めたり、ページ下部に小さなボタンを置いて「追跡による支援」への同意を求めたりできる。

企業によるクッキーバナーの利用

• 企業は、ユーザーが追跡を望んでいなくても、追跡したいと考えている。
• そのため、ユーザーが同意することを期待して、ページの半分ほどの大きさのクッキーバナーを強制表示し、内容を覆ってサイト利用を妨げている。
• ユーザーを疲れさせたり混乱させたりして同意させるような Dark UI Patterns を使っている。

クッキーバナーの実態

• EUはクッキーバナーを義務化していないが、企業がユーザーの生活を不便にしている。
• 企業は、もはや秘密裏にユーザーを虐げられなくなったため、代わりに苛立たせる方法を選んだ。

プライバシー保護についての意見

• EU規制が常に良いとは限らないが、データプライバシーは重要であり、筆者は30年前にPGPのために闘い、これからも闘い続ける。

GN⁺の見解

• クッキーバナーはユーザー体験を損ない、Webサイトのアクセシビリティを低下させる要素として機能しうる。
• ユーザーのデータプライバシーを保護することは重要だが、そのためのアプローチはユーザーフレンドリーであるべきだ。
• Web開発者は、ユーザーの同意を得るためのより良い方法を模索すべきであり、それはWeb標準の発展に寄与しうる。
• クッキーバナーの代わりに、ユーザーのプライバシーを尊重するWebサイト設計を検討すべきである。
• 技術的に Do Not Track ヘッダーの尊重のようなメカニズムを実装することは、開発者にとって新たな挑戦となりうるが、ユーザーの信頼を得る助けになるだろう。

[GN⁺]

Hacker Newsの意見

• 隠れた手数料のたとえを通じて、Cookie関連法への不満を表している。

  ユーザーが後になって隠れた手数料を見つけて不満を抱くと、法律が改正され、企業は手数料を課す前にあらかじめユーザーへ知らせるよう求められる状況を想像してみてほしい。ところが一部の企業はこうした手数料を維持したまま、ユーザーにメニューの全ページで手数料の説明を読ませることを強制し、問題の焦点を過大な手数料や企業がそれを隠していた事実ではなく、法律が手数料の通知を強制していることへとすり替えている。

• Cookieバナーに関する法律があるわけではなく、企業がユーザー追跡をしなければCookieバナーは回避できると指摘している。

  EUが企業にCookieバナーを強制しているというポール・グレアムの考えについては、技術的には正しいが、グレアムが法文そのものではなく法律が実際にもたらす結果に注目していることを理解すべきだ。企業が法律に対応して実際にどう行動するかを踏まえたゲーム理論の観点から、彼の不満を解釈する必要がある。

• 規制をうまく行うとは、規制の予想される結果を見通すことであり、EUの規制がユーザーに不便をもたらしていると批判している。

  ほぼすべてのWebサイトは広告で収益を得るか、ユーザー行動を記録してWebサイトの最適化に役立てているため、EUの規制はユーザーに余計な不便をもたらしているという主張がある。

• Cookie法は単なるブラウザCookieの話ではなく、EUの主要な反マルウェア法でもあり、改正案をめぐるEUの膠着状態を指摘している。

  この法律は、ユーザーの事前同意なしに、インターネット経由で第三者が制御するソフトウェアがコンピューターや携帯電話に情報を書き込んだり読み取ったりすることを禁じており、これはブラウザCookieだけでなく、Webカメラ、マイク、ドキュメントフォルダーの内容にも適用される。EUは、セキュリティ検査・必須アップデートやプライバシー配慮型のオーディエンス測定などに対する追加免除を設けるための改正案で膠着状態にあり、そのためEUは規制において有効ではないという批判がある。

• 法律の意図しない結果についても責任がある点を強調している。

  法律を制定する際には、意図しない結果についても責任を負うべきだという主張がある。

• Cookie法に反対する立場から、Webサイトがユーザーのコンピューターに内容を保存するにはユーザーの同意が必要であり、それはユーザーエージェントが制御するものだと説明している。

  Webサイトがユーザーのコンピューターにコンテンツを保存するにはユーザーの同意が必要であり、ユーザーエージェント（主にオープンソースソフトウェア）がCookieを保存するかどうかを制御できる。すべてのサイトが機能用Cookieと広告追跡用Cookieを区別する「Evil Bit」を設定するのが理想だが、それを監視するのは不可能だ。

• Hacker Newsやリンク先記事にはCookieバナーが不要であることを例に、ブラウザ内でCookieを制御できるべきだと主張している。

  WebサイトがCookieを保存することを望まないなら、ブラウザ内でCookieを制御できるべきであり、Cookieを無効にすることも可能だ。ブラウザがCookieの設定を許可しているのであれば、EU法が毎回Cookie設定への同意を求める必要はない。

• Cookie法が適切に書かれていれば、単にブラウザ設定によって尊重されるべきであり、ユーザーに透明な利益をもたらすべきだと主張している。

  Cookie法が適切に書かれていれば、ブラウザ設定を尊重すべきであり、その結果ユーザーはデフォルトで利益を得られるはずだ。しかし無能な政府職員のせいで、ほぼすべてのサイトに半永久的にCookieバナーが現れるようになっており、しかも標準化されていないため、ひどいサイトではさらに複雑なバナーになり得る。

• ほとんどの人はCookie同意を素早く処理して先へ進みたいと考えており、それをコンテンツの対価として見る見方を説明している。

  ほとんどの人はCookieに同意して日常に戻りたいと考えており、それをコンテンツの対価と見なしている。これは技術業界の一部では不人気な立場かもしれないが、多くの人はこのように考えている。