短縮リンクにCookieバナーは必要でしょうか。リダイレクトそのものについては不要です。デバイスに何も保存しない単純な301や302は、ユーザー自身が求めたサービスの提供にすぎません。短縮リンクが、リターゲティングやクロスサイト分析のために非必須のCookieやデバイス識別子を保存・読み取りした瞬間に、同意が必要になります。ePrivacy指令は、その保存が行われる前に同意を得ることを求めているからです。
この一文の裏には、マーケターがしばしば混同してしまう二つの別個のルールが隠れています。ePrivacy指令は、ユーザーのデバイス上で何かを保存・読み取りする行為を規律します(Cookieレイヤー)。GDPRは、そうして得た個人データをその後どう扱うかを規律します(法的根拠レイヤー)。短縮リンクは、この二つのうちどちらか一方、両方、あるいはどちらにも触れないこともあり得ます。どちらに該当するかを見極めることが、バナーが法的に必須なのか、それとも単に慣習的に貼られているだけなのかを判断する鍵になります。
本稿はコンプライアンスクラスターの記事であるため、根拠となる規定を引用し、貴社の顧問弁護士が確認できるよう出典にリンクしています。GDPRがあらゆる短縮サービスに求める全体像については、URL短縮サービスとGDPR: DPOが実際に確認したいポイント(コーナーストーン記事)が該当する各条文を一つずつ解説しています。
マーケターとDPOのための端的な回答
同意が関わるのはデバイスへの保存であって、リンクそのものではありません。問うべきは一つだけです。短縮リンクをクリックすることで、リダイレクトの実行に厳密に必要な範囲を超えて、ユーザーのブラウザに何かが書き込まれたり読み取られたりしていないか、ということです。
- 何もない場合、クリックは行き先を解決し、せいぜいサーバー側のカウンターを一つ増やすだけです。この場合、短縮サービス側にePrivacyの同意トリガーは発生しません。
- 何かがある場合、つまりリダイレクトの過程でトラッキングCookie、ピクセル、フィンガープリンティング識別子が発火する場合は、同意が必要であり、それは保存よりも前に得られていなければなりません。
さらにGDPRは、クリックログそのものについて二つ目の問いを投げかけます。クリックログはほぼ常に個人データを含んでいるからです。この二つの問いには異なる答えがあり、本稿ではこの後、順番に取り上げていきます。
短縮リンクに同意が不要なケース
Cookieを設定しないリダイレクトは、ePrivacy指令における「厳密に必要」の側に位置します。Article 5(3) of Directive 2002/58/ECは、「加入者または利用者が明示的に要求した情報社会サービスの提供者が、そのサービスを提供するために厳密に必要」な保存を適用除外としています。ユーザーが自ら意図してクリックしたリンクを解決することは、まさにこのサービスに該当します。したがってこのホップにバナーは不要です。
とはいえGDPRレイヤーは依然として適用されます。クリックログが個人データであることに変わりはないからです。あらゆるリダイレクトはIPアドレスとユーザーエージェントを記録し得るものであり、欧州司法裁判所はBreyer (C-582/14)判決で、動的IPアドレスは、その背後にいる人物を特定できる主体にとっては個人データにあたると判示しました。したがってログには適法根拠が必要であり、集計的なクリックカウントであれば、通常はArticle 6(1)(f)に基づく正当な利益がその根拠になります。ただしそれには、バランシングテストを実施し、保持するデータを最小化し、保持期間を短く設定していることが条件です。
実務上これは、分析が集計ベースであり、識別子が特定個人を割り出す目的で作られていない限り、誰にもCookieへの同意を求めることなく、クリック数を数え、どのキャンペーンが流入をもたらしたかを把握し、国単位で地域情報をレポートできるということを意味します。これこそ、ほとんどのリンクトラッキングが本来収まるべき領域であり、プライバシー重視のクリック分析を成立させている理由の大きな部分でもあります。
短縮リンクに同意が必要になるケース
非必須のCookieや類似の識別子が保存される瞬間、バナーは必須になります。欧州司法裁判所はPlanet49 (C-673/17)判決で、その同意の基準を確立しました。あらかじめチェックが入ったボックスは同意にあたらず、保存より前にユーザーが明確な肯定的行動を取る必要があるというものです。EDPBの同意ガイドラインはさらに要件を厳格化しており、同意は自由に与えられ、特定的で、事前に十分な情報が与えられ、撤回することが同意と同じくらい容易でなければならないとしています。
ここで短縮リンクは厄介なタイミングの問題を生み出します。短縮サービスが自社のリダイレクトドメイン上でリターゲティング用Cookieを設置している場合、その保存はユーザーがあなたのサイトや同意バナーに到達するより前の、ホップの段階で発生します。あなたの同意管理プラットフォームが読み込まれる頃には、Cookieはすでに設置されているのです。設置した主体が有効な同意を得ている責任を負うわけですが、この構成では誰もその同意を取得していません。これは単なる書類上の不備ではなく、適法根拠のないままCookieが設置されているということであり、まさに規制当局が制裁金を科してきたパターンそのものです。
したがって、短縮リンクが次のいずれかを行っている場合、あなたは同意が必要な領域にいることになり、それを証明できる必要があります。
- クリック時にトラッキング用またはリターゲティング用のCookieを設置している。
- デバイスフィンガープリントや永続的な識別子を読み取り・書き込みしている。
- リダイレクトを通じてサードパーティの広告ピクセルを発火させている。
- 広告ターゲティングのために個人のクロスサイトプロファイルを構築している。
Cookie同意とGDPRの法的根拠、二つのレイヤー
私が最もよく目にする誤りは、「GDPR上の法的根拠がある」という状態を、Cookieの問題まで解決済みであるかのように扱ってしまうことです。実際にはそうではありません。二つのルールは積み重なるものであり、時間的にはePrivacyのルールが先に来ます。
ePrivacy指令が問うのは、それをデバイス上に保存・読み取りしてよいかということです。非必須のものについては、事前の同意があって初めて「よい」となり、GDPR上のいかなる法的根拠もその同意の代わりにはなりません。正当な利益は、マーケティング用Cookieの設置を正当化することはできません。保存という段階には、いずれにせよ同意が必要なのです。保存の問題をクリアして初めて、GDPRは独自の問いを投げかけます。この個人データを保有している以上、それを処理する適法根拠は何か、そして透明性・保持期間・移転にまつわる義務は満たされているか、という問いです。
この順番で読み解けば、たいていのリンクトラッキング構成はすぐに整理がつきます。Cookieを使わない集計的なクリックログ記録は、レイヤーが一つ(GDPRの正当な利益)で、バナーは不要です。Cookieベースのリターゲティングは、レイヤーが二つ(Cookie設置のためのePrivacy同意、そして処理根拠としてのGDPR同意)であり、バナーが必要で、しかもそれが最初に発火しなければなりません。
キャンペーンのアトリビューションだけを望んでいたのに、現在の短縮サービスが後者のパターンを強いてくるのであれば、それはより大きなバナーで取り繕うのではなく、ツールのレベルで直すべき問題です。Elidoはクリック分析をCookie不要かつEU域内にとどめているため、通常のケースはバナー不要の領域にとどまります。
短縮リンクの同意負担を軽くする方法
すべての義務をなくすことはできません。リターゲティングをするなら同意を得る、それだけの話です。しかし、通常のケースをシンプルに保ち、バナーがカバーすべき範囲を小さくすることはできます。
- リダイレクトドメイン上でCookieを使わず、サーバー側でクリックを記録する短縮サービスを選びましょう。そうすればホップの段階で同意を得るべきものが何もなくなります。
- 分析は集計ベースに保ちましょう。国単位の地域情報やキャンペーンごとの件数は、個人を特定する必要がありません。ユーザー単位のプロファイルは特定を伴います。
- データを最小化し、短くしましょう。可能な場合はIPアドレスを切り詰めるかハッシュ化し、文書化されたバランシングテストに裏付けられた、年単位ではなく週単位の保持期間を設定しましょう。
- データはEU域内にとどめましょう。データ常駐化によって同意の問題自体がなくなるわけではありませんが、米国拠点の短縮サービスが上乗せしてくる別個の移転分析は不要になります。これはBitlyはGDPRに準拠しているかの解説が掘り下げているギャップであり、Google Analyticsが独自のGDPR上の疑問を投げかけるのと同じ理由です。
- プライバシー通知には、リダイレクトが何を記録し、どのような根拠で、どれくらいの期間保持するのかを正直に記載しましょう。
以上は貴社固有のスタックに対する法的助言ではありませんし、行儀の良い短縮サービスを使ったからといって、遷移先のサイト自体のCookie義務が免除されるわけでもありません。しかしそれによって、短縮サービスは「自社のバナーが説明責任を負うべきもう一つのベンダー」から、「クリックを記録してそこで完結するリダイレクト」へと立場を変えます。同じ判断のうちデータ常駐化の側面については、マーケティングツールのEUデータ常駐化: DPOが実際に尋ねることとデータ常駐化の姿勢でランク付けした、EUのベストURL短縮サービスのまとめが、どのサービスがデータをEU域内にとどめることを約束しているかを扱っています。
コーナーストーン記事シリーズを読む
本稿はcomplianceクラスターに属しています。コーナーストーン記事はURL短縮サービスとGDPR: DPOが実際に確認したいポイントです。まずそちらで条文ごとの全体像を押さえ、その後は調達担当者向けの資料として信頼性ページとsolutions/complianceをご活用ください。
関連記事
よくある質問
短縮リンクにCookieバナーは必要ですか?
リダイレクト自体には同意は不要です。Cookieを一切設定しない単純な301や302は、ユーザー自身が求めたサービスの提供にすぎません。バナーが必要になるのは、リターゲティングやクロスサイト分析のために、クリック時に非必須のCookieやデバイス識別子を保存・読み取りする場合です。ePrivacy指令は、その保存が行われる前に同意を得ることを求めています。
URL短縮サービスはCookieを設定しますか?
サービスによって異なります。リターゲティングやキャンペーン横断分析を前提に設計されたサービスは、通常リダイレクト用ドメイン上にトラッキングCookieや識別子を設置します。プライバシーを重視した短縮サービスであれば、Cookieを一切使わずサーバー側でクリックを記録できます。この違いこそが、同意バナーが必要かどうかを分けるポイントです。
GDPRのもとで、同意なしにリンクトラッキングを行うことは認められますか?
サーバー側で行う集計的なクリックカウントであれば、バランシングテストを実施し保持期間を短く保つことを条件に、Article 6(1)(f)の正当な利益を根拠にできます。クリックログにはIPアドレスなどの個人データが含まれるためです。個人をサイト横断でプロファイリングするトラッキングや、非必須のCookieに依存するトラッキングには同意が必要です。保存についてはePrivacy指令のもとで、プロファイリングについてはGDPRのもとで、それぞれ同意が求められます。
短縮リンクはGDPR上の個人データに該当しますか?
リンク自体というより、その背後にあるクリックイベントは通常該当します。あらゆるリダイレクトはIPアドレスとユーザーエージェントを記録し得るものであり、欧州司法裁判所はBreyer判決において、動的IPアドレスは本人を特定できる主体の手元では個人データにあたると判示しました。したがって、リンクのテキスト自体が匿名であっても、短縮サービスが記録するクリックストリームはGDPRの適用範囲に入ります。
同意の取得責任を負うのはマーケターですか、それとも短縮サービスですか?
Cookieを設定する主体が、その同意取得の責任を負います。短縮サービスがユーザーをあなたのサイトに到達させる前に、自社のリダイレクトドメイン上でトラッキングCookieを設置している場合、その保存はあなたの同意バナーの外側で発生していることになり、これがコンプライアンス上の抜け穴になります。非必須のCookieを設置しない短縮サービスを使うことで、責任の所在を、あなたの同意管理プラットフォームが実際にカバーできる範囲内に留めることができます。
Elidoを試す
URLを貼り付けて短縮リンクを取得
登録不要。リンクは30日間有効。永久に保存するには登録してください。
Free、登録不要 · 1日あたり2件