欧州のCookieバナー実務をこれほど直接変えた判決は少ない。2019年10月1日、欧州司法裁判所(CJEU)がPlanet49社を相手取った事件(C-673/17)で下した判決だ。当初はオンライン懸賞の些細な論点に見えたが、有効なCookie同意を定める画期的判決となった。
事実関係は単純だった。Planet49は懸賞で二つのチェックボックスを提示。一つは——あらかじめチェック済み——広告パートナーのマーケティング用Cookie設置への同意。もう一つは別途チェックが必要で、個人データを電話・メールでのマーケティングにスポンサーへ提供する同意だった。参加者は二つ目は能動的にチェックせねばならないが、一つ目は気づかずそのままにしてよかった。
連邦通常裁判所はCJEUに問うた。既にチェック済みの箱は同意として十分か。答えは明確——否だ。同意にはユーザーの能動的で意識的な行為が要る。同意するために自分でチェックする箱であって、同意「しない」ためにチェックを外す箱であってはならない。「能動的同意」と「異議を唱えない」の違いこそ2009年以降の指令史の核心で、CJEUは厳格化が本気だったと確認した。
二つ目の注目点は、同意義務の成立が、Cookie情報がGDPR上の個人データに当たるかとは無関係だとCJEUが明確化した点だ。ePrivacy指令は端末自体へのアクセスを保護し、最終的に何が保存されるかは問わない。仮名や純技術的識別子は対象外という一部事業者の主張への重要な反証となった。
三つ目に、裁判所は同意前にCookieの有効期間と第三者アクセスの有無を具体的に知らせるよう求めた。あいまいな一般的説明ではもはや足りず、ユーザーが実際に何に同意するか判断できる具体性が必要になった。
実際の影響は即座だった。あらかじめチェック済みの箱は消え、「同意する」ボタンは本物の意識的クリックでのみ作動するようになり、目的と保存期間を明記した分類が標準となった。複数国の当局が直後にガイドラインを見直し、以降「拒否」を「同意」より意図的に押しにくくするバナーの是非など、後続事件の参照点となった。
Planet49は、一件の裁判が条文の抽象的要求を具体的な技術要件に翻訳する典型例であり、今日のバナーが2019年以前と違う姿をしている理由でもある。
注目すべきは影響の広がりの速さだ。形式的には一件のドイツの訴訟についてePrivacy指令の解釈を示したにすぎないのに、欧州全域の監督当局が同じ基準に沿った——一件のCJEU判決が原訴訟の枠を越えて実務全体を左右しうる好例である。