Cookie同意義務違反は理論上のリスクではない。複数のEU諸国の当局がここ数年、繰り返し高額の制裁金を科してきた。法的枠組みはGDPR第83条5項——重大違反には最大2000万ユーロまたは全世界年間売上高の最大4%のいずれか高い方が科されうる。実際の発端は形式的にはePrivacy指令やその国内法化立法に由来するとしてもだ。
最もよく知られる例はフランスCNILによるものだ。2020年12月、CNILはGoogleへ1億ユーロ、Amazonへ3500万ユーロの制裁金を科した——両社ともユーザー同意前に広告Cookieを設置したためだ。2022年1月にはGoogleへ1億5000万ユーロ、Facebook(現Meta)へ6000万ユーロが続いた。今回はCookie拒否が同意より明らかに手間のかかる設計(同意は一クリック、拒否は複数メニュー)だったためで、CNILはこれを同意拒否も同意と同じくらい容易であるべき要件への違反とみなした。
他の当局も動いたが、中小企業への額は概して小さかった。よくある問題はCookie分類の欠如、バナーとの相互作用前に読み込まれる第三者スクリプト、あるいは「拒否」ボタンが存在せず同意を強いる設計だ。特に最後の点——同意と同等の重みを持つ拒否がないバナー——は監査で最も多い指摘の一つで、Planet49判決が確認した自由な決定の要件に直接反する。
これらの事例と各当局のガイドラインから、監査で確認される点が見えてくる。非必須Cookieが能動的同意の後に設置されたか。真に対等な拒否手段があったか。カテゴリーと目的は十分具体的か。そして——しばしば決定的な点だが——運営者は事後に、特定の同意が特定時点で与えられたことを証明できるか。
実務ではこの最後の点が軽視されがちだ。技術的に完璧なバナーでも、争いの際——苦情や抜き打ち検査で——同意の有無と方法を示す記録がなければ意味をなさない。GDPR第5条2項の説明責任は運営者側にあり、疑義があれば証明すべきは運営者で、ユーザーが不同意を立証する必要はない。
大多数の中小サイトにこの規模の制裁金が科される可能性は低い——当局は実務上、影響範囲の大きさ、繰り返しの違反、的を絞った苦情に注力する。とはいえ原則は変わらない。十分な情報に基づく能動的で記録された同意こそ、バナーがそもそもの目的を果たす唯一の基盤だ。