Cookie の管理: 電子商取引における同意とトラッカー

クッキーに関する規制は、GDPRだけに限られるものではありません。それは別の法文――いわゆる「プライバシーと電子通信」指令であり、フランス法に転換されたもの――に基づいており、利用者の端末への情報の読み取りまたは書き込みを行う前に、当該情報が個人データであるか否かにかかわらず、事前の同意を義務づけています。この独立性こそが、大半の督告の理由を説明しています。個人データに該当しないトラッカーであっても、同意の対象となるのです。

対象となるもの、対象とならないもの

その範囲は「クッキー」という言葉が示唆するよりも広いものです。対象となるのは、端末上の情報の保存またはアクセスに関わるあらゆる手法です。HTTPクッキー、ローカルストレージ、不可視ピクセル、デバイス識別子、ブラウザのフィンガープリントなどが含まれます。

同意義務の対象外となる2つのカテゴリーがありますが、これらは厳格に解釈されます。

• トラッカーのうち、利用者が明示的に要求したサービスの提供に厳密に必要なもの――ショッピングカート、セッションID、言語設定の記憶、負荷分散など――です。
• トラッカーのうち、電子的なコミュニケーションを可能にし、または容易にすることのみを目的とするものです。

アクセス測定は特殊な位置づけにあります。厳格な累積的条件――目的が測定のみに限定されていること、他の処理と照合されないこと、第三者への提供がないこと、保存期間が限定されていること――を満たす場合に限り、同意の対象外とすることができます。広く普及しているある分析ソリューションのように、サイト間でデータを照合したり、自社にデータを送信したりするものは、これらの条件を満たしません。

同意取得のルール

同意バナーは3つの要件によって構成され、そのいずれについても制裁事例があります。

同意は事前でなければなりません。適用除外の対象とならないトラッカーは、利用者の行動より前に設置することはできません。クリックが行われる前、ページの読み込み時点でトラッカーを設置することは、それ自体で違反となります――これが最も頻繁に確認される違反です。

拒否は同意と同じくらい簡単でなければなりません。「すべて同意する」という目立つボタンを設けながら、拒否は第2階層の設定画面に誘導するバナーは、この要件を満たしません。両方の選択は同じ階層で、同じクリック数でアクセスできなければなりません。

同意は自由で、特定的で、事前説明を受けたものであり、かつ明確でなければなりません。それは、閲覧の継続、ページのスクロール、あらかじめチェックが入ったチェックボックスから生じるものであってはなりません。目的ごとに取得されなければならず、利用者はターゲティング広告に同意することなく、アクセス測定には同意できるようになっていなければなりません。

これに加えて撤回も、最初の同意と同じくらい簡単でなければならず、いつでもアクセス可能でなければなりません。そのためには、サイト上に常設のアクセスポイントが必要です。

期間と保存

しばしば混同される2つの異なる期間があります。

トラッカーの存続期間は、実務上13ヵ月を上限とされ、新しい訪問ごとに自動的に延長されることはありません。これらのトラッカーを通じて収集された情報は、それを超えて保存される期間も限定されています。

同意の有効期間はこれとは別物です。利用者の選択――同意であれ拒否であれ――は、訪問ごとに再度確認しないよう保存されなければなりません。推奨される実務としては、この選択をおおむね6ヵ月間保存することであり、拒否は同意よりも頻繁に再確認されてはなりません。

最後に、管理者は同意が有効に取得されたことを証明できなければなりません。この証拠のためには、利用者ごとに、表示されたバナーのバージョン、提示された目的、表明された選択を記録しておく必要があります。この記録がなければ、「同意を取得しています」という主張は証明できません――これは、利用規約への同意.

共有される責任

広告配信ネットワーク、ソーシャルネットワーク、分析ツールなど、第三者のトラッカーを組み込んでいるサイトであっても、その責任を免れるわけではありません。トラッカーの設置を決定する運営者は、その目的を決定する立場にあり、そのトラッカーが第三者に属する場合であっても責任を負います。

実務上、2つの結論が導かれます。実際に設置されているトラッカーの最新の一覧表は不可欠であり、それはサービス提供事業者の資料上ではなく、実際の稼働環境で検証されなければなりません。マーケティングツールによって追加されたタグは、申告ベースの一覧からしばしば漏れているためです。そして、第三者との関係は契約によって明確にし、誰が管理者であり誰が処理担当者であるかを特定しなければなりません。

制裁と検査

トラッカーに関する規則違反は独自の制度に基づくものです。これは特別法に基づいて制裁されるため、国内の監督当局は欧州の協力メカニズムを経ることなく直接に対応することができます。これが、この分野における決定の速さと金額の大きさを説明しています。

検査は、外部から客観的に確認できる3つの点――同意取得前のトラッカーの設置、同意と拒否の非対称性、拒否後もトラッカーが残存すること――を優先的に対象とします。これら3つの点は、ブラウザの開発者ツールを使えば数分で確認できるため、常時露出しているリスクとなります。

利用シナリオ

広告を掲載するオンラインショップ。機能運用、アクセス測定、広告という各目的を分離し、それぞれについて個別に同意を得られるようにすること。ショッピングカートのトラッカーは同意の対象ではありませんが、リターゲティング広告のトラッカーは常に対象となります。これはショップの法的枠組み.

アクセス測定を行うコーポレートサイト。採用している設定が適用除外の条件を満たしているかどうかを確認すること。満たしていれば、この目的についてはバナーは不要です。満たしていなければ、他のトラッカーと同様に同意が必要です。

サイトのリニューアル。本番公開前に検証環境でトラッカーの一覧表を作成し、その後本番環境でも再度作成し直すこと。マーケティングチームが公開後に追加するツールが、最も頻繁な差異の原因です。この規律は、安全な決済の基準.

よくあるご質問

すべてのクッキーに同意が必要ですか?いいえ。明示的に要求されたサービス――カート、セッション、言語設定など――に厳密に必要なものは免除されます。同様に、コミュニケーションを可能にすることのみを目的とするものも免除されます。この適用除外は厳格に解釈されます。

閲覧を継続することは同意とみなされますか?いいえ。同意は明確でなければならず、積極的な行為に基づくものでなければなりません。スクロール、閲覧の継続、あらかじめチェックされたチェックボックスのいずれも十分ではありません。

拒否は同意と同じくらい簡単でなければなりませんか?はい。両方の選択肢は同じ階層で、同等の手間で提示されなければなりません。拒否を設定メニューの奥に押し込むことは、明白な違反となります。

利用者の選択はどのくらいの期間保存すべきですか?同意であれ拒否であれ、この選択は訪問ごとに再確認することを避けるために保存されます――実務上はおおむね6ヵ月です。これは、13ヵ月を上限とするトラッカーの存続期間とは別物です。

アクセス測定は適用除外の対象になりますか?厳格な累積的条件を満たす場合のみです。目的が測定のみに限定されていること、照合がないこと、第三者への提供がないこと、保存が限定されていること、が条件となります。一般に普及しているソリューションの多くは、デフォルト設定ではこれらを満たしません。

第三者のトラッカーの責任者は誰ですか?サイトの運営者です。その設置と目的を決定する立場にある限り、責任を負います。責任がトラッカーの提供事業者に移転することはありません。

まとめ

3つの違反が制裁の大部分を占めており、いずれも外部から数分で確認できるものです。すなわち、いかなる同意より前に設置されたトラッカー、同意よりも表明に手間がかかる拒否、そして拒否にもかかわらず残存するトラッカーです。

これに持続的に対応する仕組みは2つあります。1つは、資料上ではなく実際の稼働環境で検証され、本番公開ごとに再作成されるトラッカーの一覧表です。もう1つは、表示されたバナーのバージョン、提示された目的、表明された選択を記録する同意の記録です――これがなければ、適合性は主張されるだけで証明はできず、検査の際にはそれは実質的に未対応と同じことになります。