フランス　クッキーの不適切な使用でAmazonに制裁金

フランス監督機関CNILは、amazon.frのウェブサイトからユーザーのコンピュータに、事前の同意取得と十分な情報提供なく広告クッキーを設定したことを理由に、AMAZON EUROPE CORE社に3500万ユーロの罰金を課すことを決定した。
2019年12月12日から2020年5月19日までの間に、CNILはamazon.frのウェブサイトを確認したところ、ユーザーがこのサイトにアクセスすると、ユーザー側で何もしなくても自動的にクッキーがコンピュータに設定されることが判明した。

情報および自由法違反の内容

CNILは、情報と自由法（注：フランスのデータ保護国内法）第82条の違反を2件指摘した。

利用者の事前同意がないクッキー設定

amazon.frのページを閲覧すると同時に、大量の広告クッキーが閲覧者のコンピュータ上に設定されていた。広告クッキーは利用者の同意なしには設定できないため、必須でないクッキーを設定する前に個人の同意を得るものとする同法第82条の要件を遵守していないとCNILは判断、サイトにアクセスすると同時にクッキーを設定することは、事前の同意とは相容れない行為であるとした。

サイトamazon.frの利用者への通知の不備

CNILは、インターネットユーザーがamazon.frサイトを訪問した際に提供される情報が明確かつ完全ではないと指摘した。
「このサイトを利用することで、あなたは私たちがサービスを提供し、改善するためにクッキーを使用することに同意していると考えられています。詳細はこちら」というメッセージを表示するバナーには、すべてのクッキーについて、その目的に関する一般的な説明が含まれている。しかし、コンピュータに設定されたクッキーがパーソナライズド広告を表示することを主目的としていることを、バナーを閲覧した際に示されるこのメッセージからユーザーは理解できないとした。また、バナーには、ユーザーがこれらのクッキーを拒否する権利を有していることや、拒否のために利用できる手段が表示されていないことも指摘した。そのほか、他のウェブサイトに掲載された広告をクリックしてamazon.frのサイトにアクセスしたユーザーについて、クッキーに関する情報を提供しないにも関わらずクッキーを設定したと指摘している。

制裁の背景

CNILは、発見された侵害の重大性に鑑み、制裁が正当化されるとしている。
2020年9月のamazon.frのウェブサイトの改修まで、同社はフランス在住のインターネットユーザーのコンピュータに、情報と自由法第82条に基づく情報を提供しないままクッキーを設定したという事実をCNILは考慮した。
amazon.frの主な活動は消費財の販売であり、クッキーで可能になったパーソナライズド広告は同社の製品の認知度を大幅に高めている。オンライン販売でamazon.frサイトが中心的な地位を占めていることから、フランスに住む何百万人ものユーザーが毎日このサイトを訪れていることを重視した。
最近のamazon.frサイトの変更点、特にユーザー同意前にクッキーが設定されなくなったという事実には注目するものの、新しいクッキーバナーは、クッキーがパーソナライズド広告を表示するために使用されていることをフランス在住のインターネットユーザーが理解できるものではなく、かつこれらのクッキーを拒否できることを明確に知らせるものでもないとCNILは判断した。CNILは罰金の行政処分に加えて、amazon.frが3ヶ月以内に同法第82条に基づきユーザーに情報を提供することとし、それができない場合、amazon.frは遅延1日につき10万ユーロの違約金を支払うことになる。

ワンストップショップを否定

CNILは、フランス在住のユーザーのコンピュータ上に設置したクッキーについて、情報と自由法第82条に置き換えられた「eプライバシー指令」の範囲に含まれるため、「ワンストップショップ」とよばれる協力メカニズムは、この手続きには適用されないとした。AMAZON EUROPE CORE社のフランス領内での「拠点」であり、それらの製品やサービスをプロモーションするAMAZON FRANCE社の活動範囲内でクッキーが使われているため、同法第3条によりCNILは地理的な管轄権があると判断した。
注：AMAZON EUROPE CORE社はルクセンブルク法に基づく会社で、アマゾングループの一員であり、amazon.frを含むヨーロッパの「Amazon」のウェブサイトを担当している。

【CNILプレスリリース】
https://www.cnil.fr/fr/cookies-sanction-de-35-millions-deuros-lencontre-damazon-europe-core