2025年秋、欧州委員会（European Commission）は「デジタル統合改革案」（Digital Omnibus）の中に、極めて画期的な提案を静かに盛り込みました。それは、ユーザーが一度ブラウザ上でプライバシー設定を行えば、新しいウェブサイトを訪れるたびにあの煩わしいクッキー（Cookie）同意バナーに対応する必要がなくなるという仕組みです。一見すると極めて合理的でユーザー本位なこの案ですが、その後の数ヶ月間で目に見えない熾烈な攻防が繰り広げられることとなりました。
2026年6月18日、EU理事会が公表した立場文書（position paper）において、この「ブラウザレベル自動シグナル」に関する条項が削除されていることが判明しました。削除を推進したのは誰でしょうか？ Googleは、ブラウザレベルの同意シグナルが「オンライン広告収入に重大な悪影響を及ぼす」と主張するレポートを発表。さらに、ドイツやフランスといった主要加盟国も反対派に回ったのです。
これは実に奇妙な事態と言わざるを得ません。一般ユーザーをクッキーバナーのストレスから解放するための改革が、なぜ拒絶されてしまったのでしょうか。事態の経緯を詳しく振り返ってみましょう。
図：Kill The Cookie Banner キャンペーン公式ページ。出典：killthecookiebanner.eu
クッキーバナーの正体とは何か
多くの人は、クッキーバナーがEUの法律によって義務付けられていると思っているかもしれません。しかし現実はその正反対です。
EUの法律（ePrivacy指令およびGDPR）の基本原則は、オンライン追跡はデフォルトで禁止されているという点にあります。ウェブサイトがユーザーの端末に追跡用クッキーを保存したり、デバイス指紋技術を使用したりするには、事前にユーザーの明示的な同意を得る必要があります。つまり、本来の法律は完全にユーザーの立場に立ち、プライバシーはデフォルトで保護されるべきだと定めているのです。
しかし、トラッキング業界には根本的な問題がありました。「デフォルト禁止」の原則を誠実に遵守すれば、自ら進んで追跡を許可するユーザーなどほとんど存在しないということです。そこで彼らが発明したツールこそが、クッキー同意バナーでした。
その真の目的は、ユーザーに自らの権利を放棄させることにあります。
こうして「Cookie Banner Providers」（CMP：同意管理プラットフォーム）と呼ばれるビジネス領域が誕生しました。OneTrust、Cookiebot、Usercentricsといった企業は、ウェブサイト向けにポップアップバナーを提供するサービスを展開しています。彼らのビジネスモデルは「いかにユーザーに『同意（Accept）』をクリックさせるか」の上に成り立っています。ウェブサイトが彼らに費用を支払い、彼らは一人でも多くの人に「Accept」を押させるデザインを設計しているのです。
90% vs 3%——数字が明かす真実
「Kill The Cookie Banner」運動が引用したデータは衝撃的です。現在のクッキーバナー体制下では、実に**90%の人々が「同意（Accept）」をクリックしていますが、実際にトラッキングを受け入れてもよいと考えているユーザーはわずか3%**程度にとどまっています。
言い換えれば、残り87%の「同意」は、巧みに誘導された「作られた偽りの同意」なのです。
図：クッキーバナーでの同意率と実際の意向の対比。出典：killthecookiebanner.eu
なぜこのようなことが起きるのでしょうか。任意のクッキーバナーを詳しく観察すれば、そこが「ダークパターン（Dark Patterns）」に満ちていることに気づくでしょう。
- 「すべて同意（Accept All）」ボタンは大サイズで目立つ色で、最も押しやすい位置に配置される
- 「すべて拒否（Reject All）」は小さな文字やグレーのボタン、あるいはスクロールが必要な階層メニューの中に隠されている
- そもそも「すべて拒否」の選択肢が存在せず、数十社におよぶサードパーティパートナーのトグルを1つずつ手動でオフにしなければならない仕様もある
- 意を決して「拒否」を選んだとしても、一部のサイトではまったく同じバナーが再表示され、再び選択を迫られる
Hacker News（HN）ユーザーの whstl はディスカッションの中で、ある衝撃的な実体験を明かしました。あるクッキーバナープロバイダーが会議でクライアントに対し、**「欧州では『すべて拒否』ボタンを削除しても大丈夫です。訴追される確率は低いですから。ただし、カリフォルニア州では取り締まりリスクが低いので残すことをお勧めします」と発言したというのです。そしてその直後に「今の話は他言無用でお願いします」**と付け加えたそうです。
しかも、これはカメラが回っている中で発言された内容です。これこそが、この業界の偽らざる実態と言えます。
「拒否」を選んでも意味がない——バナー自体が表向きのポーズ
さらに深刻な問題は、苦労して「拒否」をクリックしたとしても、多くの場合すでに追跡が実行されているという点です。
HNユーザーの xp84 は、この構造を明快に説明しています。「よく考えてみてください。サードパーティのトラッキングスクリプトは、バナーが表示される前にすでにページへ読み込まれています。サードパーティから提供されたポップアップUIというサンドボックス内での操作が、ページ上の他のすべてのコードを魔法のように制御できるはずがありません。サイト側が膨大な労力をかけてすべての外部コードをバナーの制御下に組み込まない限り不可能です。しかし、外部スクリプトを貼り付けることで成り立っているマーケティング部門に、そのような技術的リソースがあるでしょうか？」
この指摘はクッキーバナー最大のマジックを暴いています。バナーはユーザーに「選択権がある」という錯覚を与えますが、実際にはバナーが表示された時点で選択権は形骸化しているのです。
さらに、一部のサイトでは「拒否」を選んでもその選択が保存されず、短い有効期限のクッキーで「拒否」を記録するため、数日後には再び同じバナーが飛び出してきます。
本当の解決策：ブラウザに意思表示を代行させる
欧州委員会が2025年秋に提案した案のロジックは、実にシンプルです。
現在、ブラウザは新しいウェブサイトを訪問するたびに、使用言語、画面解像度、タイムゾーンなどの情報を自動的に送信しています。これらはすべて自動で行われ、アクセスごとに設定し直す必要はありません。
プライバシー設定も同じようにできないでしょうか？ ブラウザで「追跡を希望しない」と一度設定すれば、ブラウザがリクエストを送るたびに自動でそのシグナルを送信する——これで解決するはずです。
これこそが Article 88b（第88条b）の核心思想です。ウェブサイトに対し、ブラウザが送信する自動プライバシーシグナル（いわゆる「ブラウザレベルの同意シグナル」）を遵守することを義務付ける内容でした。
図：ブラウザレベルのプライバシーシグナルの動作フロー。出典：killthecookiebanner.eu
この提案は、多くの人が想像するよりも遥かにマイルドな内容でした。 特定のサイトに対して個別でアクセスを許可する権利は保持されており、さらに報道機関やメディア組織はこの条項から完全に適用除外（免除）とされていました。改革の本質は、「拒否」のハードルを「同意」と同じ高さまで下げることにあったのです。現在は両者の手間があまりにも離れすぎています。
同様の仕組みは、米カリフォルニア州のCCPA法の下で「Global Privacy Control（GPC）」として既に存在しています。FirefoxやBraveといったブラウザは既にサポートしていますが、欧州では法的強制力がないため、多くのウェブサイトに無視されているのが現状です。
改革を阻止しているのは誰か
では、論理的にこれほどスムーズな提案が、なぜ削除されてしまったのでしょうか。
理由はシンプルです。お金です。
ターゲティング広告は巨大な産業です。Googleはその中心的な役割を果たしており、同社の広告ビジネス全体が複数サイトをまたぐユーザー行動の追跡の上に成り立っています。ブラウザがデフォルトで「追跡拒否」シグナルを送信するようになれば、大半のユーザーはその設定を変更しないため、追跡広告のターゲティング対象人口は急減することになります。
Googleはこの件に関してレポートを公表し、ブラウザレベルの同意シグナルが「オンライン広告収入に重大な悪影響を及ぼす」と主張。この改革を「広告追跡の一括拒否に等しい」と表現しました。
しかし欧州委員会やプライバシー団体はこれに反論しました。ユーザーにはサイトごとの個別許可の権利が残されており、メディア機関も免除されているため、Googleが主張するような「業界の崩壊」は起きないと指摘したのです。
そして事態はさらに興味深い展開を見せます。普段は「プライバシーの厳格な保護者」を自任し、EUレベルでデータ保護の強化を呼びかけることの多いドイツやフランスが、今回はArticle 88bへの反対側に回ったのです。彼らが挙げた理由は「規制の簡素化と官僚的手続きの削減」でした。
2026年6月18日、EU理事会が公表した立場文書から、Article 88bは正式に削除されました。
プライバシー保護団体 noyb の創設者である Max Schrems は、LinkedInに皮肉を込めた投稿を行いました。「もはや笑い話にもならない事態です。Google、ドイツ、フランスがクッキーバナーの存続に向けてロビー活動を行い、欧州委員会が提示した『シンプルなシグナルでバナーを代替する案』を阻止したのです。有権者の圧倒的多数の意志に反するロビー活動が、まんまと成功してしまいました。」
既に形骸化したシステム
最も皮肉なのは、クッキーバナーという産業自体が、GDPRへの悪意あるコンプライアンス（悪意のある法令順守）から誕生したという事実です。
noyb（None Of Your Business）は繰り返し指摘しています。トラッキング業界は、ユーザーに「知らされた上での同意（インフォームド・コンセント）」という名目のもとでプライバシー権利を放棄させる手段としてクッキーバナーを発明しました。しかし、バナーがわずか0.5秒しか表示されず、ユーザーが毎日数十回もこれに直面させられる環境において、「知らされた上での同意」という言葉自体が完全に空形化しています。
HNユーザーの chrismorgan は興味深い法的視点を提示しています。「なぜ『チェックボックスやボタンのクリックは知らされた上での同意を構成しない』と明確に宣言しないのか？」
彼はオーストラリア・ビクトリア州の事例を挙げました。同州では賃貸住宅の契約書に政府指定の標準テンプレートの使用が義務付けられており、独自仕様の契約書を作成することはできません。クッキー通知も同様に標準化された形式で行われれば——罠だらけのポップアップを各サイトが勝手に設計するのではなく——初めて本物の「同意」が成立するのではないかと論じています。
しかし彼自身が述べるように、「ある人の生計が『何かを理解しないこと』に依存している場合、その人を説得することは不可能である」というのが現実なのです。
戦いはまだ終わっていない
2026年7月現在、Article 88bはEU理事会レベルで削除されたものの、完全に潰えたわけではありません。欧州議会による最終決定はまだ下されていません。「Kill The Cookie Banner」運動は、市民に対して地元の欧州議会議員（MEP）へ働きかけるよう呼びかけています。
仮にArticle 88bが最終的に可決されれば、施行後24ヶ月間の猶予期間がウェブサイト運営者に与えられます。しかしそれ以上に重要なのは、原則の転換です。プライバシーとは、ユーザーが訪問するすべてのサイトで毎回戦って勝ち取らねばならない権利ではなく、ブラウザレベルで一度設定すれば済むデフォルトの権利であるべきなのです。
毎日飛び出してきて「Accept or Reject」を迫るバナーは、本質的にユーザーの苛立ちや諦めを悪用しています。
本当に「殺す（Kill）」べきなのは、「同意を求めているフリ」の上に構築された商業エコシステム全体です。欧州委員会の提案の中には、よりシンプルな未来の可能性が示されていました。言語設定と同じように、プライバシー選択権をブラウザに取り戻し、自動的に機能させるという未来です。Googleとトラッキング業界は、全力を挙げてこれを阻止しようとしています。
この戦いの結末は、将来のすべてのインターネット利用者のプライバシーの姿を決定づけることになるでしょう。欺瞞に満ちたバナーに耐え続けなければならないのか、それとも一度の設定で永遠の静寂を手に入れられるのか。
今、あなたがこの記事を読んでいる画面の右上にも、小さなバナーがあなたを待っているかもしれません。そのバナーが「拒否」ボタンをどこに隠しているか、ぜひ確かめてみてください。
参考リンク：
- Kill The Cookie Banner 公式サイト
- HN ディスカッション (item?id=49057175)
- EU Digital Omnibus 改革提案
- GDPR Local: Cookie Banner Reform分析
- Secure Privacy: Article 88a変化詳解
