noyb、dict.ccに対し1,741件のワンクリック同意でGDPR訴訟を提起

dict.ccのワンクリック同意バンドル（1,741パートナー） – なぜGDPRに違反するのか

要点: noybはオーストリアでGDPR訴訟を提起し、dict.ccの同意バナーがユーザーに1,741のサードパーティーパートナーへの許可をワンクリックで強制し、GDPRに基づく真の「インフォームド・コンセント」を不可能にしていると主張しています。

コアの主張

何が起きたか: dict.ccは1,741の「パートナー」企業を列挙した同意バナーを表示します。ユーザーが「受諾」をクリックすると、各パートナーがデバイスと個人データにアクセスできることを暗黙的に許可したことになります。
なぜ問題か: GDPRは同意が自由意志に基づき、具体的で、情報が提供され、かつ明確であることを求めています。1,741社のプライバシーポリシーを読むだけでも少なくとも170時間（1ポリシーあたり約6分）かかり、現実的なユーザーの労力をはるかに超えます。したがって、ユーザーは情報が提供されたとは言えません。
法的主張: オーストリアのデータ保護当局（DPA）に対し、違法に処理されたデータの削除、全受取人への削除通知、そして同様の慣行を抑止する罰金の課税を求めています。

“1,741社のデータ保護ポリシーを正しく読み理解するには、数日、場合によっては数週間かかります。これで情報に基づく判断ができると考えるのは馬鹿げています。” – Felix Mikolasch、noybのデータ保護弁護士。

GDPRが定義するインフォームド・コンセント

自由意志に基づく: ユーザーは真に選択できなければならず、サービスの条件として同意を求めることは、厳密に必要な場合を除き認められません。
具体的: 同意は明確に定義された目的と、明確に特定されたデータ管理者に結び付けられなければなりません。
情報が提供された: ユーザーには、誰がデータを処理し、何の目的で処理するかについて簡潔で透明な情報が提供される必要があります。
明確: ボックスにチェックを入れるなど、明確な肯定的行動が同意を示す必要があります。

何千ものパートナーを1つの「すべて受諾」ボタンにまとめることは、具体的かつ情報が提供された要素を読めないリストに圧縮し、規則に違反します。

業界の現状 – 同意バナーは広く普及

一般的な慣行: 多くのウェブサイトやアプリは、同意ダイアログに数百のパートナーを列挙し、しばしば「正当な利益」を根拠にしたり、プレミアムな「トラッキングなし」サブスクリプションを提供したりしています。
ユーザー体験: Hacker Newsのコメントでは、Samsungのテレビ、Androidアプリ、その他のサービスでも同様の体験が報告されており、1クリックで数百の組織へのデータアクセスが許可されるケースが指摘されています。
規制の圧力: 本訴訟は、同意の有無だけでなく、同意の質をDPAsが強化すべきという広範な必要性を浮き彫りにしています。

“何千もの『パートナー』企業があなたの個人データを使用することに同意させるのは、単に間違っているだけでなく、実際に違法です。データ保護当局はこの慣行に終止符を打つべきです。” – Martin Baumann、noybのデータ保護弁護士。

オーストリアDPAからの潜在的な結果

削除命令: dict.ccは争点となっている同意に基づき収集された全データの削除を強制される可能性があります。
通知義務: 1,741のパートナー全てに削除を通知し、以後の処理を停止させなければなりません。
罰金と抑止: 金銭的罰則が課され、他の事業者が同様の同意バンドリング手法を使用することを防止します。
広範な執行: DPAは本件を欧州データ保護委員会（EDPB）に紹介し、先例となる見解を求め、EU全体の指針策定につながる可能性があります。

コミュニティの反応が示す核心課題

同意の規模: ユーザーは数百のパートナーへのデータ共有を承認させられることに驚きを示し、広告トラッキングの全面禁止を求めています。
技術的回避策: DNSレベルでのブロック（例：Pi‑hole）や、プレミアムの広告非表示サービスへの移行が実用的な防御策として提案されています。
規制の抜け穴: コメントでは、多くの同意バナーがフラグを立てるだけで実際に分析を無効化していないことが指摘され、同意の有効性に対する執行が不足していることが浮き彫りになっています。

ユーザーと企業への意味合い

ユーザー向け: 本訴訟は、ワンクリックがインフォームド・コンセントに等しいわけではないことを強調します。ユーザーは粒度の細かいコントロールと、各データ処理者に関する明確な情報を求めるべきです。
企業向け: 大規模な「すべて受諾」バナーに依存すると、コンプライアンス違反のリスクが高まります。事業者は、GDPRの具体性と透明性基準を満たすよう同意フローを再設計し、開示するパートナー数を制限するか、階層化された分かりやすい情報提供を行う必要があります。

結論

noybのdict.ccに対する訴訟は、多くのオンラインサービスが同意を取得する方法に根本的な欠陥があることを浮き彫りにしています。何千ものサードパーティーデータプロセッサーを1クリックで束ねることは、GDPRの下で真のインフォームド・コンセントを不可能にします。オーストリアDPAの判断は、EU全体で同意バナーの構造をどのように設計すべきかという重要な先例を作る可能性があります。