Cookieのオプトアウト

概要

日本に影響がまだないのは割と知られているけど、あるWebブラウザゲーム開発で必要になりかけたので調べてみる。

法律寄りの話題になってしまうので、ある程度実装寄りでまとめる。

以下が軽くわかる程度でまとめる

Cookie のオプトアウト、オプトインとは
GDPR, ePrivacyについて軽く
日本に影響があるか
Cookieの同意が不要なケース

以下のような Cookie　同意バナーをたびたびサイトで見ることがある。

alt text

これはいったいどういった取り組みか

Cookie に関する規制 - MDN

Cookie の使用を対象とした法規制には、以下のようなものがあります。

EU の一般データ保護規則 (GDPR)

EU の ePrivacy 指令

カリフォルニア州消費者プライバシー法

これらの規制は、これらの管轄区域（EU とカリフォルニア州、特にカリフォルニア州の法律は総収入が 2,500 万ドルを超える事業体にのみ適用されるという注意事項がある）のユーザーがアクセスする全世界のウェブ上のあらゆるサイトに適用されるため、世界的な広がりを持っています。

Cookie同意バナーは、ジオロケーション（IPアドレス等）からユーザーがEU圏内からアクセスしていると判断した場合に表示されるよう設定されることが一般的

EU（外国制度） - 個人情報保護委員会

以下は規制の要件

サイトが Cookie を使用することをユーザーに通知すること。

ユーザーが一部またはすべての Cookie をオプトアウトできるようにすること

ユーザーが Cookie を受け取らなくても、サービスの大部分を利用できるようにすること。

とあるように、通知・オプトアウト可能にすることと、cookieを受け取らなくてもサービスの大部分を利用できるようにすることといった条件がある

ログインセッションってどこに保持すべきか

Cookieの同意がされない場合、ログインセッションなどをCookieに保持しているアプリケーションの場合ログインセッションをCookieに保持できなくなる。

しかし、ファーストパーティのセッションクッキーは同意バナーの対象外にできるらしいので、同意がされなくてもログインセッションのようなそのWebアプリケーションで重要な役割を果たす場合は免除されるケースがあるとのこと。

Are there any exemptions?（免除はありますか？） - ICO

同意が必要になる可能性は低い：

ユーザーがインターネットショッピングウェブサイトで商品をオンラインバスケットに入れたり、チェックアウトに進んだりする際に、購入したい商品を記憶するために使用されるCookie

ユーザーが要求したオンラインサービス（オンラインバンキングサービスなど）のデータ保護セキュリティ要件に準拠するために不可欠なセキュリティを提供するセッションCookie

または複数のコンピュータに作業負荷を分散することにより、ページのコンテンツが迅速かつ効果的に読み込まれるようにするロードバランシングCookie。

後でじっくり読みたいブログ

法務のためのCookie（クッキー）講座② ～同意とオプトアウト／クッキーポリシー～

以下のサイトだと必須のクッキーは拒否も同意もできず、個人情報が含まれないCookieであると言う注意書きのポップアップが出るようになっている。

WOVN.io | ウェブサイトを多言語化

WOVN.ioはウェブサイトのローカリゼーションサービスです。わずか数ステップで、あらゆる言語でリーチを拡大できます。

wovn.io