クッキーバナーをなくせ

• 欧州委員会は2025年秋、ブラウザで一度設定したプライバシー設定をウェブサイトやアプリに自動で伝え、繰り返し表示されるクッキーバナーをなくす案を提案している
• オンライン追跡はEUの個人情報保護法の下で原則として禁止されているが、クッキーバナーは利用者が権利を放棄するよう誘導し、最大90%の同意率を引き出している
• 実際にオンライン追跡を望む人は約**3%**にすぎず、バナーで得た同意と利用者の実際の選好との間には大きな隔たりがある
• Googleと追跡業界のロビー活動を受け、一部のEU加盟国がこの提案を阻止しており、業界団体も欧州議会での否決を求めている
• 加盟国と欧州議会の立場はまだ確定しておらず、市民が欧州議会議員や自国政府の代表に直接意見を伝えることが、この提案の行方に影響を与えうる

---

ブラウザがプライバシー設定を自動送信する仕組み

• ブラウザで追跡の許可・拒否・制限を一度選べば、自動シグナルがその設定をウェブサイトやアプリに伝える
• ブラウザは希望言語のような情報をすでにウェブサイトへ自動送信しており、技術的に新しいものでも複雑な概念でもなく、米国の一部州ではプライバシー選好シグナルが法的に支援されている
• クッキーバナーはオンライン追跡に必要な同意を得るために作られており、利用者を誤導したり、同意拒否を面倒にする設計になっている場合がある

法改正をめぐるロビー活動と行動の呼びかけ

• 追跡業界は、プライバシー設定を効率的に伝えられるようになると追跡同意率が下がる可能性があるため、この提案に反対している
  • 一部のEU加盟国が欧州委員会の提案を阻止している
  • 業界団体も欧州議会が提案を否決するようロビー活動を行っている
• プライバシーシグナルの提案は、Digital Omnibusと呼ばれるEUの法改正の一部である
  • キャンペーン側はプライバシーシグナルには賛成しているが、市民の権利を弱めうる改正案の他の大半の条項は支持していない
• Take Actionでは、欧州議会または自国政府の関係代表にクッキーバナーへの不満を伝えられる
• 欧州各地の市民社会団体がこのキャンペーンを主導しており、ほかの団体も参加方法を確認できる

[GN⁺]

Hacker Newsのコメント

• Cookieバナーをなくすには、チェックボックスやボタンのクリックだけでは十分な説明に基づく同意は成立しないと規定すればよい。実際にはほとんど誰も内容を読まず、とにかく消そうとするだけであり、一部の地域ではシュリンクラップ型の規約や単純契約でも、合理的に予想できる条項しか執行しないよう制限された前例がある
  オーストラリアのビクトリア州では賃貸時に標準契約書が義務化されており、不動産売買も事実上は標準契約書を使っているように見える。ただし、生計が「相手に理解させないこと」にかかっている人を説得するのは不可能だ

  • 他人がCookieバナーの内容も読まずに即座に「同意」を押すのを見るたびに驚く。IT業界の人間なので、データ収集・プロファイリング・プライバシー問題をより意識するほうだが、多くの場合は拒否ボタンを押すだけでバナーは消える
    Cookieは最初からブラウザ設定で管理するのが唯一合理的な方法だった
  • Cookieの制御権は常にブラウザ側にあるべきだった。法律は合理的なデフォルト設定をブラウザに入れるよう強制し、ブラウザが宣言した設定をフィンガープリンティングなどで回避できないようにすべきだった
    権限昇格の要求をポップアップやツールバーのアイコンで許可するとしても、常に同じ位置に表示し、ページを覆わないようにすべきだ
  • 契約書や権利放棄書に、実際には署名者が読んでいなかったなら法的強制力を認めるべきではない。相手が読まないことを当て込んで、望む義務をいくらでも負わせられる構造は悪用の余地が大きすぎる
  • 規制が生んだ問題を、さらに多くの規制で解決しようとしているだけだ。これまで何度も副作用を予想できなかったが、今回だけは想定外の結果が絶対に起きないという皮肉を感じる
  • 「読んでいなかった」ことを理由に契約の拘束力を逃れられるようにすると、制度は維持できない。契約の利益を享受した上で条項に違反した当事者なら誰でも、反証不能な防御手段としてそれを持ち出せてしまう
    消費者の公正さも重要だが、その過程で価値を生み出すインセンティブまで失わないよう、慎重にバランスを取る必要がある

• デバイス設定だけで法的効力のあるプライバシー選好を伝えられるなら、親がそのデバイスを子どもが使っていると表示することで、Online Safety Actのような制度も不要にできるはずだ

  • 政府が悪意を持って行動したときに繰り返し持ち出す「私たちはただ無能だっただけだ」という宣伝に騙されてはいけない。ブラウザにはすでにCookie削除機能があり、バナーは小規模な競争相手を排除し、OSから直接データを吸い上げられる寡占企業に権力を集中させただけだ
    ISPに依頼すればIPを変更できる機能まで義務化していれば、ある種の軽量なTor級のプライバシー保護も可能だったはずだ。全面監視という相反する目標さえなければ、政府が強力なプライバシー保護を実装するのは難しくない
  • 親が設定方法を知らないか、気にしない可能性が高い。使いやすいスマートフォンですらまともに扱えない人は多く、アカウント管理まで期待するのは難しい
    オンライン安全法やEUの類似法は危険だが、まともな代替案であるソーシャルメディア全面禁止や、少なくとも短期的なスマートフォン禁止には触れようとしない。結局は金が絡んでいるからだ
  • California Digital Age Assurance Actはまさにそれをやっているが、この法律も好意的には受け止められていない
  • 親がデバイスを子どもモードでロックしたら、user is childヘッダーを送り、Webサイト側がアクセスを遮断するようにすればよい。影響範囲は事実上なく、監視国家的な解決策も避けられる
    まずブラウザが実装すればOSベンダーも連携できるので、Firefoxが主導すべきだ。仕様を広めるサイトを作り、GitHubやRFCの手続きまで始めたくなる

• 人を監視しなければよい。機能上どうしても必要なCookieにはCookieバナーは不要だ

  • 事実上ほぼ静的コンテンツだけのEU公式Webサイトですら、追跡が不可欠らしい。EU公式WebサイトがCookieバナーなしで動くようになるまでは、「言われた通りにだけ従え」という態度に見える

• 位置情報やマイクへのアクセス許可を尋ねるのと同じように、ブラウザがCookie権限を処理するよう、なぜ最初から強制しなかったのか理解しがたい

• 議論するだけでなく、Californiaのように実際に施行すべきだ。2027年1月から、ブラウザのプライバシー設定ひとつでWebサイトに選好を自動送信し、検索履歴・位置情報・購入履歴・関心事などがデータブローカーや第三者に販売されないよう保護する予定だ
  関連発表

• ようやくWebの使い勝手を大きく改善する変化になりそうだ。サイトごとに同じ選好を適用したいとは限らないので、グローバルなデフォルト値とサイト別設定を併せて提供する折衷案が適切だ

  • 自動化されたシグナルでさえあれば、User-Agentが望むロジックで送信できるので、具体的な送信方式まで法律で定める必要はない。FirefoxのTracking Protectionもグローバルなデフォルト値とサイト別の例外をサポートしているため、この機能も同じ構造を使うか、既存機能と統合される可能性が高い
  • どんな状況で、ユーザーが検索履歴を数十、数百もの第三者トラッキング事業者に送ることに明示的に同意したいと思うのか疑問だ
  • 既存の選好に関係なく追跡したいサイトは、今後も聞き続ける可能性が高い

• 善意で運営されているTFL(Transport for London)でさえ、Cookie警告が実際にWebサイトへのアクセスを妨げている。バスの時刻を確認したいのに、全画面の同意画面が出て、承諾ボタンは画面外に描画されている

  • ユーザーのあらゆる行動を延々と追跡するなら、善意で運営されているとは言いがたい

• 必須ではないCookieをすべて違法にするほうが、むしろ簡単かもしれない。最も抵抗の少ない道を選ぶ以外に、合理的な人がこれを受け入れる理由は想像しにくい

• 自動シグナルは、デフォルトの選好だけでなく、不便に入れ子になったUIの中に隠された正当な利益名目まで含めるべきだ。つまり「追跡されたくないという選好は理解したが、それでも追跡するので、提携先ごとに改めて拒否を押せ」という話だからだ

  • 以前にも試みはあったが、市場情報および監視業界が潰したように見える
    https://en.wikipedia.org/wiki/P3P

• プライバシー保護法は「悪い企業」を狙うと言いながら、結局はあらゆる管理責任を個人に押しつけることがあまりにも多い。Webサイトを訪れるたびに法的契約を結びたいわけではない
  ソーシャルメディアが子どもに有害だという理由で、すべての訪問者に入口で身分証の提示を求めるやり方も同じだ