ニュースサイトを開いた瞬間、本文が読み込まれる前にまずポップアップが表示される。「お客様のプライバシーを尊重します。Cookieの使用に同意してください」。一瞬目を通し、一番大きく目立つボタン——「すべて同意」を押してしまう。無理もない。欧州のプライバシー団体noybの統計によれば、Cookieバナーが表示されると実に90%のユーザーが「同意」をクリックするが、実際に追跡を望んでいるユーザーは約3%にすぎない。残りの87%という乖離は、まさに「デザインによって誘導されたもの」なのだ。
2026年7月、欧州の10以上の市民団体（noyb、EDRi、EFF、欧州消費者機構BEUCなど）が、文字通り「Cookieバナーを撲滅する」運動「#KillTheCookieBanner」を立ち上げた。ローンチから1ヶ月足らずで、議論はHacker NewsからLobstersへと波及し、80ポイント以上、16件のコメントが寄せられ、バナーそのもの以上に熱い議論を巻き起こしている。
図：公式サイトのメインビジュアル「Stop the tracking circus」——追跡業界をサーカスに例えている。出典：killthecookiebanner.eu
バナーの元凶はGDPRではない
多くの人は、あのウザいCookieバナーを生み出したのはGDPR（EU一般データ保護規則）だと思っている。だが、責任の源流はさらに昔まで遡る。
2002年、EUは「ユーザーの端末にデータを保存すること」を規制するePrivacy指令（電子プライバシー指令）を制定した。そして2009年の改正で、「サイトがユーザー端末にCookieを保存する（ポケットに記名式のレシートを勝手に入れるようなもの）には、事前同意が必要である」という条項が追加された。法律自体は2009年に完成していたが、当時は誰も気に留めなかった。取締機関は動かず、ウェブサイトも見て見ぬ振りを決め込み、それが8年間も続いたのだ。
潮目が変わったのは2018年5月25日、GDPRの施行だ。違反企業に対する制裁金の上限が「全世界売上高の4%」と定められたことで、欧州中のウェブサイト運営者はパニックに陥り、一夜にしてページにバナーを貼り付け始めた。技術コミュニティでは長年「ポップアップの氾濫はGDPRのせい」という誤解が根強いが、ベテランエンジニアのchrismorgan氏はLobsters上でこれを訂正している。2017年前後に登場した初期のポップアップは、実のところ8年間無視され続けてきた2009年の旧法に基づくものだった。GDPRは、放置されていた目覚まし時計を全速力で鳴らしたに過ぎない。
例えるなら、「8年間誰も取り締まらなかった制限速度の標識」のもとに、ある日突然、巨額の反則金を持った警察官が立ち現れたようなものだ。ドライバーは慌てて急ブレーキを踏んだが、道路に設置されたのが単なる減速帯なのか、それとも有料の検問所なのかは、誰が金を払ってそれを設置したかによる。
ウェブサイトとユーザーによる壮絶な引っ張り合いは、ここから始まった。
図：公式サイトのイラスト。「Cookieバナーは権利を放棄させるために設計されている」というセクションに掲載。出典：killthecookiebanner.eu
90%の「同意」はいかにして作られるのか
法律の本来の意図は「デフォルトでは追跡禁止、追跡したいならまずユーザーに尋ねよ」というものだった。しかし、業界側はある抜け道を発見した——「尋ね方にはいくらでもテクニックが使える」ということだ。
「すべて同意」は一番目立つ場所に配置された巨大なカラフルなボタン。「拒否」は階層の奥深くに隠された小さなグレーのテキスト。ひどい場合には拒否ボタンすら存在しないバナーもある。ユーザーは毎日何十ものポップアップ攻撃に晒され、半ば条件反射的に「一番大きなボタン」を盲目的にクリックするよう調教されてしまったのだ。
エンジニアリングの観点から見れば、Cookieバナーとは一種の「コンバージョン率最適化（CRO）マシン」であり、ECサイトが「カートに入れる」ボタンを大きく目立たせるのと全く同じノウハウで作られている。また、規制当局の対応の遅さも目を覆うばかりだった。chrismorgan氏の指摘通り、当局は違反サイトに対して厳しい処罰を下すのではなく、5年もの歳月を費やして「丁寧にお願い」し続けただけだった。
「90%が同意をクリックし、実際に追跡を望むのは3%のみ」——この膨大なギャップこそが、バナー業界全体を支えるビジネスモデルの正体である。
EUの解決策：「同意」の主導権をブラウザに移管する
2025年秋、欧州委員会はCookieルールの改正を包括的法改正案「Digital Omnibus（デジタル総合改革パッケージ）」に組み込んだ。その中の第88b条が提示した解決策は極めてシンプルだった——「同意」の管理権限を個々のウェブサイトから「ブラウザ」へと移すことだ。
ユーザーがブラウザ設定で「追跡を拒否する」と一度設定すれば、あらゆるウェブサイトが自動的にそのシグナルを読み取り、二度とバナーが表示されなくなる。技術的には何ら新しいものではない。ブラウザはすでに使用言語やタイムゾーンなどの情報を自動的にウェブサイトへ伝えており、それに対して毎回ポップアップが表示されることなどないからだ。カリフォルニア州のCCPA（カリフォルニア州消費者プライバシー法）には「Global Privacy Control (GPC)」という先行事例が存在し、FirefoxやBraveといったブラウザではすでに標準実装されている。さらにEUの提案では柔軟性も残されており、特定のサイトに対して個別に許可を与えたり、ニュースメディア全体を対象外とすることも可能とされていた。
ロビー活動の舞台裏で繰り広げられる攻防
だが、当然のごとく猛反発が巻き起こった。
Googleはレポートを公表し、「ブラウザレベルでの設定一括適用はオンライン広告収入に壊滅的な打撃を与え、ユーザーによる広告の一括拒否と同義である」と主張した。業界団体のロビー活動資料には、「400億〜500億ユーロ規模の広告収入がリスクに晒される」とまで記載されていた（※この数字は業界側の主張であり、正確性の検証は困難である）。しかし金額の多寡にかかわらず、図式は明白だ。ユーザーの閲覧履歴に基づく「行動ターゲティング広告（behavioral advertising）」こそが、デジタル広告産業全体の燃料だからだ。
ロビー活動の効果は絶大だった。ドイツ、フランス、ポーランドなどの加盟国がEU理事会内で働きかけ、該当条項の削除を推進。2026年6月18日に発表されたEU理事会の立場文書において、第88b条は正式に削られた。noybの創設者であるMax Schrems氏は6月23日、LinkedInで次のように怒りをぶちまけた。 「事実は小説より奇なりだ。Google、ドイツ、フランスがCookieバナーの存続に向けてロビー活動を行い、欧州委員会が提案したシンプルなシグナル代替案を押し潰そうとしている。有権者の圧倒的多数の意向に反するロビー活動が、見事に成功してしまったのだ」
これに対抗して7月に立ち上がったのが、冒頭で触れた「#KillTheCookieBanner」運動だ。ただし、興味深い点がある。本運動は100万人の署名を集めて法案提出を義務付ける公式の「欧州市民イニシアチブ（European Citizens’ Initiative）」のルートを採っておらず、市民に対して「地元の国会議員や欧州議会議員に直接メールを送ろう」と呼びかけるスタイルを取っている。Lobstersに投稿したスレッド主でさえ、「これは厳密な署名運動ではなく、議員への連絡を促す呼びかけに過ぎず、明確な行動目標を欠いている」と戸惑いを見せていた。
図：公式サイトのイラスト。「追跡業界がバナー存続のためにロビー活動を行っている」というセクションに掲載。出典：killthecookiebanner.eu
反対の声は、広告主からだけではない
この議論は決して一筋縄ではいかない。慎重派・反対派の言い分にも、一理ある主張が含まれている。
| 立場 | 主な代表 | 主な主張 |
|---|---|---|
| バナー廃止派 | プライバシー団体、一般ユーザー | バナーは設計された嫌がらせ。90%の「同意」は虚偽であり、当局は厳しく取り締まるべき |
| 広告業界 | Googleなど | 行動ターゲティング広告が無料コンテンツを支えている。ブラウザシグナルは業界全体への事実上の死刑宣告 |
| 業界内部からの告発 | rkaw92（AdTech従事者） | 唯一の解決策は行動ターゲティング広告の完全禁止。「同意」は自由に与えられたものではなく、問いかけること自体が侮辱 |
| 技術的懐疑派 | Sharparam | ウェブサイトはブラウザの言語設定すら無視するのに、プライバシーシグナルを守るわけがない |
| 異色の反対意見 | casperin | 私はバナーが好きだ。世の中にいかにクソな企業が多いかを常に思い出させてくれるから |
特に際立っていたのが、広告技術（AdTech）業界の当事者であるrkaw92氏の意見だ。業界側に立つはずの立場でありながら、彼の主張はプライバシー団体以上に過激だった。「行動ターゲティング広告における『同意』が自由意志で与えられたことなど一度もない」というのだ。彼はEU域内でのGoogle検索のトップページを例に挙げた。検索画面を開くと同意画面が表示されるが、「拒否」に辿り着くにはページを延々とスクロールしなければならない。チェックボックスや一般的なボタンよりも巧みに隠されているが、本質は「拒否をしにくくする」ためのダークパターンそのものだ。さらに彼は、ゾッとするような予測を立てている。「Cookieバナーが全廃された後、サイトは『ログインウォール（ログイン要求）』にシフトするだろう。ニュースを読みたければ、まずGoogleアカウントでログインしろ、というわけだ。プラットフォーム大手のID連携機能こそが、最強の追跡システムなのだから」。
一方、技術的懐疑派の懸念も現実的だ。多くのウェブサイトがブラウザから送信される言語設定すら無視して英語やデフォルト言語を表示している現状で、サイト側が自主的にプライバシーシグナルを尊重すると信じられるだろうか？ 条文がどれほど立派でも、実行力が伴わなければ意味がない。そして今回の規制当局がどれほど迅速に動けるかは、誰にも分からない。
バナーが消えても、追跡データは消えるのか
仮にこの法案が最終的に可決された場合：ブラウザで一度設定すればバナーは姿を消し、サイトはユーザーの拒否権を尊重せざるを得なくなり、閲覧履歴が収集されるルートが一つ減ることになる。
仮に法案が廃案になった場合：鬱陶しいバナーは残り続け、ユーザーの形式的な「同意」は搾取され続ける。しかし注意すべきは、バナーが消えたからといってデータ追跡そのものが撲滅されるわけではない点だ。サイト側は「不可欠なCookie（Strictly Necessary Cookies）」の解釈を拡大したり、前述のログインウォールやメルマガ登録などを通じて、同様の目的を果たそうとするだろう。バナーは手段に過ぎず、目的はあくまで「ユーザー追跡」なのだから。
今すぐユーザーができる対策としては、以下の2つの小さなアクションが挙げられる。1つ目はブラウザ拡張機能の導入だ。「Consent-O-Matic」を使えば、事前に設定したポリシーに従って自動でバナーを処理してくれるし、「uBlock Origin」を使えばバナーの大半を要素ごとブロックできる。2つ目は、もしあなたがEU域内に住んでいるなら、議員宛てに意見書を送ることだ（キャンペーンサイトには親切にもテンプレートが用意されている）。
この戦いはまだ終わっていない。欧州議会（European Parliament）の最終決定は2026年末まで持ち越される見通しだ。理事会が条項を削除したからといって完全に望みが絶たれたわけではなく、議会側が修正案で再浮上させる可能性を残している。
筆者はEU在住ではなく、行動ターゲティング広告で飯を食っているわけでもない。それでもこの記事を書いたのは、Cookieバナーがおそらく「全インターネットユーザーが唯一満場一致で合意できるテーマ（＝誰もが嫌悪している）」だからだ。しかし、「嫌悪すること」と「具体的に滅ぼす方法を知ること」の間には、あまりにも長くて暗いロビー活動の廊下が横たわっている。
バナーは表面的な問題に過ぎない。真の争点は「同意」という2文字に未だ価値が存在するのかどうかだ。 その結末は、今年の終わりまでには明らかになるだろう。
参考リンク：
- Kill the Cookie Banner 市民イニシアチブ（欧州市民団体発足）
- Lobsters ディスカッション (lobste.rs/s/aftrcr)
- GDPR Local: Cookie Banner Reform 分析
- EU Digital Omnibus 提案（Article 88b）
- Cybernews: Cookieバナー撲滅運動に関する報道
