GDPRがCookieバナーに求めるもの

GDPRとePrivacy指令は、Cookie同意に関する5つの譲れないルールを定めています：

• 自由に与えられた：Cookieの拒否は、受け入れと同じくらい簡単でなければなりません。
• 具体的：同意は各目的ごとに個別に求められなければなりません。
• 情報に基づいた：ユーザーは同意する前に、何に同意するのかを知っていなければなりません。
• 明確な：事前にチェックされたボックスやブラウジングの継続はカウントされません。
• 撤回可能：ユーザーはいつでも同意を撤回できなければなりません。

例1：「同意のみ」バナー（非準拠）

外観

「エクスペリエンス向上のためCookieを使用しています」と1つの「OK」ボタンだけの小さなバー。拒否オプションなし、設定なし。

なぜ不合格か

本当の選択肢なし、Cookieに関する情報なし、拒否する方法なし。CNILは2022年にまさにこのパターンでGoogleに1億5000万ユーロ、Facebookに6000万ユーロの罰金を科しました。

判定：GDPRの下で違法。

例2：すべて受け入れ＋小さな「設定を管理」リンク（非準拠）

外観

目立つ「すべて受け入れ」ボタンと小さなグレーの「設定を管理」リンク。「すべて拒否」ボタンなし。

なぜ不合格か

視覚的な階層がユーザーを受け入れに誘導します。拒否には2クリック、受け入れには1クリック必要。複数のDPAがこれは自由に与えられた同意ではないと判断しました。

判定：非準拠。拒否は受け入れと同じくらいアクセスしやすくなければなりません。

例3：同じ大きさの受け入れと拒否ボタン（準拠）

外観

同じサイズの2つのボタン：「すべて受け入れ」と「すべて拒否」。その下に「設定を管理」リンク。Cookie目的の簡単な説明。

なぜ機能するか

本物の自由な選択、両方のオプションが同じくらい目立つ、各1クリック。これはCNILが明示的に推奨したパターンです。

判定：準拠。すべてのウェブサイトが満たすべき基準。

例4：Cookieウォール（非準拠）

外観

すべてのコンテンツをブロックするフルスクリーンオーバーレイ。唯一のオプションは「Cookieを受け入れる」。

なぜ不合格か

GDPR第7条(4) ——サービスへのアクセスが条件付きの場合、同意は自由ではありません。オランダのDPAはCookieウォールは一般的に許可されないと結論付けました。

判定：ほとんどのEU管轄区域で非準拠。

例5：事前チェック済みチェックボックス（非準拠）

外観

チェックボックス付きのCookieカテゴリーを表示する詳細バナー——しかしすべてのボックスが事前にチェック済み。

なぜ不合格か

CJEU Planet49判決（2019年）がこれを決定的に解決：事前チェック済みボックスは有効な同意を構成しません。同意には明確な肯定的行動が必要です。

判定：CJEU判例法により明示的に違法。

例6：レイヤードアプローチ（準拠——ベストプラクティス）

外観

第1レイヤー：すべて受け入れ、すべて拒否、カスタマイズボタン付きのコンパクトバナー。第2レイヤー：個別カテゴリートグルとベンダーリスト付きの詳細な設定センター。第3レイヤー：完全なCookieポリシー。

なぜ機能するか

情報とユーザビリティのバランス。第1レイヤーは選択を、第2レイヤーは詳細を、第3レイヤーは完全な透明性を提供。EDPBが明示的に推奨。

判定：ベストプラクティス。コンプライアンスのゴールドスタンダード。

例7：誤解を招くボタンラベル（非準拠）

外観

「同意する」対「非必須Cookieの拒否に同意しない」。または：「推奨設定を受け入れる」対「制限版を使用する」。

なぜ不合格か

GDPR前文42は明確で平易な言語を要求しています。二重否定、暗示的な結果、操作的なラベルは非準拠です。

判定：非準拠。明確で中立的なラベルを使用してください。

例8：正しく作られた準拠バナー

外観

きれいな下部バー：明確な見出し、簡潔な説明、同じスタイルの3つのボタン（すべて受け入れ、すべて拒否、設定を管理）、Cookieポリシーへのリンク。設定を管理は個別トグル、ベンダーリスト、保存ボタン付きの設定センターを開きます。

なぜ機能するか

すべての要件を満たしています：自由な選択、対称的なボタン、レイヤードな情報、平易な言語、事前チェック済みボックスなし、Cookie設定アイコンによる簡単な撤回。

判定：完全準拠。

悪いバナーに対する実際の罰金

• Google（フランス、2022年）：1億5000万ユーロ——拒否オプションが受け入れより見つけにくかった。
• Facebook（フランス、2022年）：6000万ユーロ——同じ非対称性の問題。
• Microsoft（フランス、2022年）：6000万ユーロ——有効な同意なしに広告Cookieが設定された。
• TikTok（フランス、2023年）：500万ユーロ——Cookieの拒否に受け入れより多くのステップが必要だった。

コンプライアンスチェックリスト

• 第1レイヤーに目に見える「すべて拒否」ボタンはありますか？
• 受け入れと拒否は同じくらい目立ちますか？
• すべてのチェックボックスはデフォルトでオフですか？
• 非必須Cookieが設定される前にバナーは表示されますか？
• ユーザーは詳細なカテゴリー制御にアクセスできますか？
• 同意はタイムスタンプ付きで記録されますか？
• ユーザーはいつでも同意を変更できますか？
• バナーはユーザーの言語ですか？
• 拒否をクリックすると実際に非必須Cookieが防止されますか？

FlexyConsentがこれをすぐに処理する方法

FlexyConsentはIAB TCF 2.3サポート付きのGoogle認定CMPです。すべてのコンプライアンス要件に対応：

• 第1レイヤーの同じ大きさの受け入れと拒否ボタン
• 組み込みレイヤードアプローチ（第1レイヤーは選択用、第2レイヤーは詳細制御用）
• 事前チェック済みボックスなし——すべてのオプションカテゴリーはデフォルトでオフ
• Google Consent Mode V2がすぐに統合
• 自動検出付き43言語
• 地域別バナーのジオターゲティング
• 監査用の同意ログと証拠
• 月額0ユーロからのプラン

panel.flexyconsent.comで5分以内に準拠バナーを設定。