dict.ccの1,741社のパートナー同意バナーがGDPR苦情を引き起こす

1,741社のデータ共有パートナーを持つ辞書サイト

オーストリアのプライバシー団体noybは、人気オンライン辞書dict.ccに対し、オンライントラッキングの同意取得方法をめぐってGDPR苦情を申し立てた。問題は、サイトが許可を求めていることではない。問題は、ユーザーが実際に何に同意しようとしているのかを理解しようとしたときに起こることだ。

noybの計算によると、dict.ccの同意バナーには、訪問者のデータを受け取ったり処理したりする可能性のある1,741社もの「パートナー」が列挙されている。情報に基づいた判断を下すには、ユーザーは理論上、同意する前にそれらすべてのパートナーのプライバシーポリシーを読む必要がある。noybは、その作業だけで約172時間、つまり丸一週間以上休みなく読み続ける時間がかかり、しかもそれは辞書サイトへの1回の訪問のためにすぎないと試算している。

法律が要求するものと、インターフェースが実際に許容するものとの間のこのギャップが、この苦情の中核であり、これは単一のウェブサイトをはるかに超えた疑問を提起する。評価するのに何日もかかる同意が、はたして「情報に基づいた」ものと見なされうるのだろうか？

なぜこれは設計上の欠陥ではなくダークパターンに見えるのか

GDPRの基本原則は、第5条(1)(a)に規定されており、個人データは適法に、公正に、かつ透明性をもって処理されることを求めている。同法の下での同意は、自由に与えられ、具体的で、かつ情報に基づいたものである場合にのみ有効だ。noybの苦情は、1,000を超えるパートナーを列挙するバナーは、情報に基づいた同意を構造的に不可能にしていると主張する。ユーザーに残された実質的な選択肢は、何に同意しているのか理解せずに「同意する」をクリックするか、サイトを完全に離れるかの二者択一だ。

これはオンライントラッキングのエコシステムではおなじみの構図だ。膨大なパートナーリストを伴う同意の壁は、偶発的な複雑さではない。それらは摩擦として機能し、拒否や慎重な確認があまりに時間を要するものにすることで、同意することが最も抵抗の少ない道になるように設計されている。このメカニズムは、他のトラッキング調査で研究者が発見したことと呼応している。たとえば、TikTokがアプリをインストールしていなくてもユーザーを追跡する仕組みに関する報道では、ほとんどの人が目にすることもなく、意味のある形で同意することもないピクセルを通じて追跡が行われている。どちらのケースでも、データ収集の技術的アーキテクチャは、現実的なユーザーの確認能力を凌駕している。

dict.ccのパートナーリストの規模は、いったん収集が始まると、個人データが商業エコシステムをどのように流れるかという、より広範なパターンも映し出している。数十、数百のサードパーティが広告技術や分析の連鎖に契約上組み込まれると、元のウェブサイト運営者は、たとえ最初の同意取得について法的責任を負い続けるとしても、そのデータが下流でどのように使われるかについての実質的な可視性を失うことが多い。

オーストリアの規制当局が今下さねばならない判断

この苦情は、オーストリアのデータ保護当局を難しい立場に追い込む。規制当局は一般的に、同意バナーがサードパーティを列挙することを容認してきた。GDPRは複雑な広告エコシステムを一律に禁止しているわけではないからだ。しかしnoybの苦情は、より具体的な問いを突きつける。バナーの文言やデザインにかかわらず、パートナーリストがどれほど大きくなれば、それを介して収集された同意がもはや法的に有効でなくなるのか、という点だ。

もし規制当局がnoybの側に立つなら、その判断は広告技術業界全体に波及する可能性がある。IABの透明性と同意のフレームワーク（TCF）のような枠組みに結びついた大規模なパートナーリストは、dict.cc特有の癖ではなく、一般的な慣行だからだ。多くのパブリッシャーは、プログラマティック広告を通じてトラフィックを収益化するために、同様に長いパートナー名簿に依存している。dict.ccに不利な判断が下されれば、ヨーロッパ中のサイトがパートナー数を減らし、同意フローを簡素化しなければ、同様の苦情に直面する圧力がかかるだろう。

これは、技術的には開示ルールを遵守しながら、機能的にはその目的を無効にするようなデータ慣行に規制当局が取り組まなければならなかった初めてのケースではない。従業員や学生のデータに関する事例、たとえばPowerSchoolのNavianceによる学生追跡慣行をめぐる scrutin（精査）は、同様の緊張を示している。同意や通知は書類上存在するが、影響を受ける個人がデータ収集を理解したり異議を唱えたりする実際の能力は最小限なのだ。

これがあなたにとって意味すること

もしあなたがかつて、Cookieバナーの内容を一言も読まずに「すべて同意」をクリックしたことがあるなら、それはあなただけではない。そしてこの苦情によれば、あなただけのせいでもない。多くの同意バナーのデザインは、まさにそのような行動を前提としており、おそらくそれに依存している。

いくつかの実用的なステップが役立つだろう：

• バナーをクリックする前に、「すべて拒否」または「設定を管理」オプションを探す。多くのサイトはそれを目立たなくしているが、GDPRはその存在を義務付けている。
• デフォルトでサードパーティトラッカーをブロックするブラウザのプライバシーツールや拡張機能を使用し、それらのパートナーネットワークに届くデータ自体を減らす。
• 同意バナーにいくつの「パートナー」が挙げられているかに注意を払う。dict.ccのように数千に上る数字は、そのサイトのデータ共有の仕組みが、単純な分析設定というよりは広告技術マーケットプレイスに近いというシグナルだ。
• noybの苦情のような執行措置を支援するか、注目する。規制当局の圧力が、しばしばこれらのバナーの作り方を変える唯一の力となる。

結論

dict.ccに対するこのGDPR苦情は、実際には辞書サイトの話ではない。これは、「同意」という概念が現代の広告技術の規模に接触しても生き残れるかどうかを試すテストケースなのだ。Cookieバナーに同意するのに適切に行うには一週間以上の読書が必要となる場合、そのバナーはおそらく、ユーザーが何に同意しているのかを確実に理解させるという、唯一の役割においてすでに失敗している。オーストリアの規制当局がここでどう判断するかによって、同じように肥大化した同意フローが標準的な慣行であり続けるのか、それともウェブから姿を消し始めるのかが決まるかもしれない。