「Cookieを許可しますか？」の画面に「すべて拒否」ボタンが必要だとドイツの裁判所が判決

多くのウェブサイトでは閲覧時に「Cookie」の使用許可を求めるポップアップが表示されます。ところが、このポップアップには「すべて許可」というボタンはあるのに「すべて拒否」というボタンがないことがほとんどで、拒否するには数回クリックしなければなりません。このような状態は不適切で、拒否も許可と同じくらい簡単にできるべきだとして、ドイツの裁判所が是正を求めました。

OH_Digitale_Dienste.pdf
(PDFファイル)https://www.datenschutzkonferenz-online.de/media/oh/OH_Digitale_Dienste.pdf

Urteil zu manipulativem Cookie-Banner: „Alles ablehnen“-Schaltfläche ist ein Muss | Der Landesbeauftragte für den Datenschutz Niedersachsen
https://www.lfd.niedersachsen.de/startseite/infothek/presseinformationen/urteil-zu-manipulativem-cookie-banner-alles-ablehnen-schaltflache-ist-ein-muss-241960.html

„Alles ablehnen“-Schaltfläche im Einwilligungsbanner auf Webseite unter Umständen ein Muss | Der Landesbeauftragte für den Datenschutz Niedersachsen
https://www.lfd.niedersachsen.de/startseite/themen/internet/alles-ablehnen-schaltflache-im-einwilligungsbanner-auf-webseite-unter-umstanden-ein-muss-241880.html

Administrative court: Cookie banner must contain "Reject all" button | heise online
https://www.heise.de/en/news/Administrative-court-Cookie-banner-must-contain-Reject-all-button-10390520.html

ウェブサイトにアクセスすると、以下のようにCookieの使用許可を求めるポップアップが表示されることがあります。Cookieはウェブサイトに訪れたユーザーを識別するための情報で、個人が特定できない形で収集されますが、時には何百ものサービスプロバイダーに提供されることもあり、非常に詳細なユーザープロファイルが構築される場合があります。こうしたCookieの収集はEUの一般データ保護規則(GDPR)などの法律に基づきルールが定められており、多くのウェブサイトにはCookieを使用する際に許可を求めることが義務付けられています。

ところが、上記の画像からもわかるように、多くのサイトでは「許可する」といったボタンはすぐにクリックできるようにしているのに、「拒否する」のボタンは表示していないことがほとんどです。このようなポップアップでは「Cookieの設定」といったボタンをクリックして第2階層以降を表示しなければ「拒否」の処理をすることができません。

許可は1回のクリックで済むのに、拒否は数回のクリックが必要で、しかも単純に「拒否」ではなく「選択内容を確認」といったわかりにくい文言を表示しているのは不適切だとして、ドイツのニーダーザクセン州でとある審判が行われていました。

事の発端は、州のデータ保護担当官であるデニス・レームケンパー氏が州内の大手メディア「NOZ(ノイエ・オスナブリュッカー・ツァイトゥング)」に対して発令したCookieバナーの再設計命令でした。レームケンパー氏は、NOZが配置した「Cookieを許可しますか？」のバナーのデザイン不備を指摘し、「拒否するのは許可するよりもはるかに難しく、ユーザーはCookieの使用に同意したかどうかがわかりにくくなっている」として、こうしたわかりにくい文言で得られた同意は無効になると通知していました。

NOZはこれに異議を唱え、命令に対して法的措置をとりましたが、ハノーファー行政裁判所はレームケンパー氏の主張を支持し、NOZに複数の違反があることを認めました。

行政裁判所は以下のような点を批判しています。

・Cookieの拒否は許可に比べてかなりの労力を要する
・ユーザーは、絶え間なく繰り返されるバナーによって、同意を与えるよう圧力をかけられた
・Cookieの使用に「最適化されたユーザー体験」という見出しを付けたことや、バナーの右上隅にある「x」ボタンが「同意して閉じる」というボタンになっていたことは、ユーザーの誤解を招く
・許可のプロセスに「同意」という言葉が完全に欠落していた
・Cookieを提供するパートナーやサービスの数が明らかでなかった
・同意を撤回する権利やEU域外の第三国でのデータ処理に関する情報はスクロールしないと見えなかった

行政裁判所は、こうした点がEUのGDPRとドイツの電気通信デジタルサービスデータ保護法(TDSDS)の両方に違反すると判断し、「ウェブサイトがCookieバナーで『すべて許可する』というボタンを表示している場合、同じ階層に『すべて拒否する』というボタンをはっきりと見えるように表示しなければならない」という判決を下しました。