Cookie設置前の同意義務はGDPRではなく、より古い法律に由来する——ePrivacy指令、正式には電子通信分野の個人データ処理及びプライバシー保護に関する指令2002/58/ECだ。2002年7月12日採択、当時Cookieは主にログインや簡単な個人化に使われ、サイト横断の追跡は技術的に可能でも大規模ではなかった。
当初の第5条3項が求めたのは、Cookie設置を知らせ異議申立ての手段を与えることだけ——オプトアウト方式だ。何もしなければ黙示の同意とみなされた。実際には誰も読まない小さな案内文があるだけで、気づく前にCookieはすでに設置されていることが多かった。
これを変えたのが2009年11月25日の指令2009/136/ECで、第5条3項を根本から書き換えた——通称「Cookie指令」だが、正式には元のePrivacy指令の改正である。オプトアウトは真の同意義務に転換した。明示的に求めたサービスに必須でないCookieは、以降、十分な情報を得た同意の後にのみ設置できる。
背景には2000年代のオンライン広告市場の急拡大があった。追跡Cookieはビジネスモデルの土台となり、ユーザープロファイルは十、二十、百を超えるサイトのデータから作られた——当事者が知らないままに。欧州の立法者は立証責任を反転させ、異議はユーザーではなくサイトが同意を得る側の義務とした。
重要なのは、ePrivacy指令が「指令」であり、規則のように直接適用されるEU法ではない点だ。指令は目標を定め、各加盟国が国内法に翻訳する——その翻訳段階こそ長年の難所だった。期限は2011年5月25日だが、ドイツを含む多くの国は新義務を渋々、あるいは旧オプトアウトに近い形でしか導入しなかった。ドイツの経緯は別記事で扱う。
今も、Cookie同意そのものの法的根拠はePrivacy指令であり、GDPRではない。GDPRは2018年に適用開始し、密接に関連するが別の主題、すなわち個人データ全般の取り扱いを規律する。両者の連動は次回の記事で扱う。
後継として計画されたePrivacy規則は、国内法化不要の直接適用法として指令を置き換えるはずだったが、何年もEU機関間で協議が続き未採択のままだ。それまでは2002年/2009年の指令が引き続き基準となる。
サイト運営者にとってこの経緯は、Cookie同意が単発のスキャンダルではなく、何年も積み重なった実務への段階的な回答として生まれたことを示す。2009年のルールは、2002年に示された基本理念——他人の端末へのアクセスは正当化を要する介入だという理念——の論理的な発展にすぎない。