バナーは同意ではない

バナーは画面にすぎません。同意とはその背後にある記録であり、自由に与えられ、目的が特定され、説明を受けたうえで、いつでも撤回できるものです。見た目の整ったクッキーバナーを設置していても有効な同意を保持していない場合はあり、だからこそ「cookieバナーを入れました」は「適法ですか」への答えになりません。

その記録は四つのことを示せなければなりません。誰が同意したか、何に同意したか、いつ同意したか、そしてクッキー一覧のどのバージョンに対して同意したかです。特定の訪問者についてこれらを示せないなら、あるのはバナーだけで、その背後には何もありません。

チェックリスト

五項目です。いずれもコードを読まずに、外側から五分ほどで確認できます。

非必須のものが先に読み込まれない。 解析、広告、第三者の埋め込みは、選択が行われるまで読み込んではいけません。多くのサイトが落ちるのはこの項目です。バナーより先にタグを入れてしまっているからです。

拒否が承諾とまったく同じ手軽さである。 同じ画面、同じクリック数、同程度の視覚的な重み。目立つ「すべて同意」の隣に控えめな「設定を管理」を置く構成が、典型的な失敗です。

カテゴリが細分化され、初期選択がない。 解析、機能、マーケティングはそれぞれ別の判断であり、非必須のトグルはすべてオフから始まります。

撤回が付与と同じくらい簡単である。 選択を開き直せる常設の導線を用意します。メールアドレスでもサポートフォームでもありません。

選択が保存され、バージョン管理されている。 クッキー一覧が実質的に変わったとき、旧一覧に対して取得した同意は新しい目的をカバーしません。

取得した同意を無効にするダークパターン

規制当局の指摘は短い一覧に収束しており、そのいずれもが、取得した「はい」を同意なしに変えてしまいます。

コントラストの低い、あるいは埋もれた拒否ボタン。既定でオンのチェックボックス（既定で有効な「正当な利益」のトグルを含む）。同等の代替手段がないまま、拒否すれば利用できなくなるクッキーウォール。訪問者が折れるまでページ遷移のたびに再表示する挙動。そして利用規約への同意に抱き合わせる方式、つまり製品を使うことに同意すれば追跡にも同意したことになる設計です。

これらすべての根にある判定基準は一文で言えます。インターフェースが「いいえ」を「はい」より高くつくようにしているなら、その「はい」は自由に与えられたものではありません。

拒否されたとき、解析データはどうなるか

ここでは異なる二つのことが同じ名前で呼ばれています。同意シグナルの送信は、タグをページに残したまま同意が拒否されたことを伝える方式で、クッキーを使わないpingが送られ、欠落分はベンダー側で推計されます。そもそも収集しないとは、リクエスト自体が発生しないことです。

どちらにも理はありますが、同じものではなく、その違いは数字に表れます。推計されたトラフィックは、測定値の顔をした推定値です。同意が拒否されたセッションでは、ごくわずかな手がかりから組み立てられた推定になります。見た目の揃った数字より、判断に使える数字が欲しいのであれば、そもそも同意を必要としない測定 — 集計値のみ、クッキーなし、サイト横断の識別子なし — を選び、拒否されたセッションは正直に欠けたままにしておくほうが健全です。

GDPRとCCPAは同じ要求ではない

GDPRはオプトインです。同意前に非必須のクッキーを置くことはできず、沈黙は拒否として扱われます。CCPAおよびCPRAはオプトアウトに近く、収集を始めること自体は認められますが、訪問者に通知し、データの販売や共有を停止できるようにしなければなりません。これは実務上、広告関連の連携のほとんどに及びます。

カリフォルニアだけを想定したバナーは欧州で通用しません。GDPRに合わせて作ったバナーは通常どちらも満たすため、複数地域からトラフィックを受けるサイトにとっては、そこを基準にするのが妥当です。

五分でできる自社バナーの確認

プライベートウィンドウでサイトを開き、開発者ツールのネットワークタブを表示します。ストレージを消去してページを読み込み、そのまま何もしません。クリックする前に現れた第三者へのリクエストは、いずれも正当化できないものです。次に拒否を選び、再読み込みして、一覧が空のままであること、そして選択が再読み込み後も保持されていることを確認します。

最初から要件を満たした状態で始めたい場合は、無料のクッキー同意バナー生成ツールが、拒否の導線、細分化されたカテゴリ、バージョン管理された記録をあらかじめ備えたバナーを出力します。