cookie-consent-ab-audit

Cookie 同意 A/B テストの監査

概要

同意バナーの A/B テストは、同意率を最適化するためによく行われています。しかし、デザインの非対称性、欺瞞的なパターン、または同意と拒否のしやすさの格差によって、ユーザーを同意へ誘導する実験は、GDPR 第 7 条および ePrivacy 指令第 5 条第 3 項に違反します。最も積極的に執行しているのは CNIL で、同意バナーのデザイン違反を理由に、Google に 1 億 5,000 万ユーロ（2022 年 1 月）、Meta に 6,000 万ユーロ（2022 年 1 月）の制裁金を科しました。

同意バナーのデザインに関する規制の枠組み

同等の目立ちやすさの要件

CNIL 審議決定第 2020-091 号（2020 年 9 月 17 日）および EDPB ガイドライン 05/2020 では、次のように定められています。

1. 視覚的な重みを同等にする：「同意する」と「拒否する」の選択肢は、同じサイズ、同じ色の扱い、同じフォント、同じ階層の位置で、視覚的に同等の目立ちやすさを備える必要があります。
2. 操作の負担を同等にする：Cookie の拒否に必要なクリック数や手順は、同意する場合と同じでなければなりません。
3. 事前選択をしない：目的やベンダーを事前に選択してはなりません。
4. Cookie ウォールを設けない：コンテンツへのアクセスを Cookie への同意に条件付けてはなりません。
5. 中立的な表現を使う：どちらかの選択肢だけに、非対称な形で同意を促したり、拒否を思いとどまらせたりする表現を使ってはなりません。

主な執行措置

当局	対象	制裁金	日付	主な指摘事項
CNIL	Google LLC	EUR 150,000,000	2022 年 1 月 6 日	google.fr：Cookie への同意には 1 回のクリックが必要だったが、拒否にはサブメニューを経由して複数回のクリックが必要だった
CNIL	Meta Platforms Ireland	EUR 60,000,000	2022 年 1 月 6 日	facebook.com：「Cookie に同意」ボタンが目立つように表示され、「拒否」は二次階層に埋もれていた
CNIL	Microsoft Ireland	EUR 60,000,000	2022 年 12 月 22 日	bing.com：「拒否」が同等に目立つ形で表示されないまま、「同意」ボタンが表示されていた
CNIL	TikTok	EUR 5,000,000	2022 年 12 月 29 日	tiktok.com：Cookie の拒否は同意よりも複雑で、情報も不十分だった
イタリア Garante	Clearview AI	EUR 20,000,000	2022 年 3 月 9 日	生体データの処理に有効な同意の仕組みがなかった

ダークパターンの検出方法

カテゴリ 1：視覚的な非対称性

確認項目：

• 同意ボタン：色、サイズ、フォントの太さ、枠線、影、位置
• 拒否ボタン：色、サイズ、フォントの太さ、枠線、影、位置
• 視覚的に同等か？目立つ緑色の「すべて同意する」の横に、灰色のテキストリンク「設定を管理」がある場合、このテストには不合格です。

測定項目：

• ボタンの面積（ピクセル単位の幅 × 高さ）
• 背景に対する色のコントラスト比（WCAG の計算方法）
• フォントサイズと太さ
• 視覚的階層における位置（スクロールせずに見える範囲の上か下か、左か右か）

カテゴリ 2：操作の非対称性

確認項目：

• すべてに同意するまでのクリック数：通常は 1 回（「すべて同意する」をクリック）
• すべてを拒否するまでのクリック数：1 回であるべきです（「すべて拒否する」をクリック）。2 回以上（「管理」をクリックし、切り替えてから「保存」をクリック）は不可です。
• 最初の画面に「すべて拒否する」ボタンがあるか？

CNIL の基準：「すべて拒否する」ボタンは、「すべて同意する」ボタンと同じ画面に、同等の目立ちやすさで表示されていなければなりません。

カテゴリ 3：言葉による誘導

確認項目：

• 同意の文言は中立的か、それとも同意を促しているか？（「同意して、引き続き当サイトをお楽しみください」）
• 拒否の文言は中立的か、それとも拒否を思いとどまらせているか？（「パーソナライズされた体験を望みません」）
• 拒否すると何かを失うような表現になっているか？

不適合な表現の例：

• 同意：「同意して、パーソナライズされたコンテンツを楽しむ」／拒否：「制限された体験を続ける」— 不合格
• 同意：「OK、同意する」／拒否：「すべての Cookie を拒否する」— 合格（どちらも中立的）

カテゴリ 4：タイミングと遅延による誘導

確認項目：

• 拒否ボタンより先に同意ボタンが表示されるか？
• 拒否する操作に読み込みの遅延があるか？
• バナーを閉じる（X ボタン）と、デフォルトで同意したことになるか？

カテゴリ 5：繰り返しのプロンプト（しつこい再要求）

確認事項：

• 拒否した後、次のページでバナーが再表示されますか？
• 同意の再取得はどのくらいの頻度で求められますか？
• CNIL は、6 か月に 1 回を超えないことを推奨しています。

A/B テストのコンプライアンス上の境界

正当にテストできる項目：

許可されるテスト	禁止されるテスト
バナーの位置（上部と下部）	同意ボタンを拒否ボタンより大きくする
配色（両方のボタンを同じ扱いにする）	同意ボタンを拒否ボタンより目立たせる
テキストの文言（両方の選択肢を同じように中立的にする）	拒否するために追加のクリックを必要とする
レイアウトの配置（同等の目立ちやすさを維持する場合）	一方のバリアントで同意目的を事前選択する
アイコンの使用（両方の選択肢で同じものを使う）	いずれかのバリアントでクッキーウォールを設ける
アニメーション／トランジションのスタイル	第 1 層では同意のみを表示し、拒否を見つけにくい場所に置く
プライバシー情報の提示形式	拒否の選択肢に対して思いとどまらせる表現を使う

監査手順

ステップ 1：すべての A/B バリアントを記録する

実施中の同意バナー実験ごとに、以下を行います。

• デスクトップとモバイルのすべてのバリアントのスクリーンショットを撮影する
• 同意要素と拒否要素の HTML/CSS を記録する
• 各バリアントで同意および拒否する際のユーザーフローを文書化する
• トラフィックの配分（各バリアントを表示するユーザーの割合）を記録する

ステップ 2：ダークパターンの評価を適用する

各バリアントについて、次の 5 つのカテゴリに照らして評価します。

カテゴリ	比重	スコア（0～10）	備考
視覚的な非対称性	25%	0 = 同等、10 = 極端な非対称性
操作上の非対称性	30%	0 = クリック数が同じ、10 = 拒否に大幅に多くのクリックが必要
言葉による誘導	20%	0 = 中立的、10 = 強く誘導的
タイミング／遅延	15%	0 = 遅延なし、10 = 拒否時に大幅な遅延がある
繰り返しのプロンプト	10%	0 = 選択を尊重する、10 = 常にしつこく再要求する

総合リスクスコア： 加重合計です。3.0 を超える場合は是正が必要です。5.0 を超える場合は直ちに削除する必要があります。

ステップ 3：バリアント間の同意率を比較する

あるバリアントで、情報の改善ではなくデザインの非対称性によって同意率が大幅に上がっている場合、これは誘導の証拠です。

• ベースラインとの比較：完全に対称的なデザイン間で同意率を比較します
• 警告のしきい値：バリアントの同意率が 20% を超えて上昇し、かつ非対称なデザイン要素がある場合は、レビュー対象としてフラグを立てます
• 統計的有意性：標準的な A/B テストの統計手法（カイ二乗検定またはベイズ法）を使いますが、規制の観点から評価してください。誘導の統計的有意性は違反の証拠です

ステップ 4：文書化して報告する

以下を含む監査レポートを作成します。

• すべてのバリアントのスクリーンショット
• バリアントごとのダークパターンスコア
• 同意率の分析
• コンプライアンスに違反するバリアントへの推奨事項
• 是正のスケジュール

主な規制上の参照資料

• GDPR 第 7 条 — 同意の条件（同程度に容易であること、自由に与えられること）
• ePrivacy 指令 第 5 条第 3 項 — クッキーおよび類似技術に対する同意
• CNIL 決定第 2020-091 号 — クッキーおよびトラッカーに関するガイドライン
• CNIL 決定第 2022-013 号 — Google への制裁金（1 億 5,000 万 EUR）
• CNIL 決定第 2022-014 号 — Meta への制裁金（6,000 万 EUR）
• EDPB ガイドライン 05/2020 — 規則 2016/679 に基づく同意
• EDPB ガイドライン 3/2022 — ソーシャルメディアプラットフォームのインターフェースにおけるダークパターン
• ダークパターンに関する FTC レポート（2022 年 9 月）— 誘導的なデザインに関する米国の見解