独立監査により、Google・Microsoft・Metaはユーザーが追跡拒否しても追跡を継続していると判明

カリフォルニア州におけるMicrosoft、Meta、Googleのウェブトラフィックに関する独立プライバシー監査により、これらの企業が州の規制に違反し、数十億ドルの罰金を科される可能性があることが明らかになった。プライバシー検索エンジン「webXray」による監査によると、調査対象サイトの55％が、ユーザーが追跡を拒否した場合でも、ユーザーのブラウザに広告クッキーを設定していた。各社はこの調査結果に異議を唱え、問題点を指摘しており、Googleは自社製品の動作に関する「根本的な誤解」に基づくものだと述べた。 「webXrayカリフォルニア・プライバシー監査」は、3月の1ヶ月間にカリフォルニア州の7,000以上の人気ウェブサイトのトラフィックを調査し、ほとんどのテック企業がユーザーのクッキー追跡拒否要求を無視していることを発見した。カリフォルニア州はカリフォルニア消費者プライバシー法（CCPA）により厳格で明確に定義されたプライバシー法規を有しており、ユーザーは個人情報の売却を拒否する権利などを有する。また、グローバル・プライバシー・コントロール（GPC）と呼ばれるシステムがあり、ユーザーが追跡を拒否したい場合にその旨をウェブサイトに伝えるブラウザ拡張機能などが含まれる。 webXrayの監査によると、Googleは87％のケースでユーザーの拒否要求を無効にしていた。「GoogleがGPCの拒否信号を尊重しないことは、ネットワークトラフィックから容易に確認できます。GPCを使用するブラウザがGoogleのサーバーに接続すると、コード 'sec-gpc: 1' を送信することで拒否信号をエンコードします。これは、Googleがクッキーを返すべきではないことを意味します」と監査は述べている。「しかし、Googleのサーバーがこの拒否信号付きのネットワークリクエストに応答する際、'set-cookie' コマンドを用いて『IDE』という名前の広告クッキーを作成するよう明示的に指示を返しています。この非遵守は隠れておらず、明白です。」 監査によると、Microsoftも同様にユーザーの拒否要求を無効にしており、webXrayが調査したウェブトラフィックにおける無効化率は50％だった。Metaの無効化率は69％で、その手法はやや包括的だった。「Metaはパブリッシャーに対し、自社のウェブサイトに以下の追跡コードをインストールするよう指示しています。このコードには、グローバル標準の拒否信号（GPC）を確認する処理が含まれていません。無条件に読み込まれ、追跡イベントを発生させ、消費者のプライバシー設定に関わらずクッキーを設定します」と監査は述べた。監査では、GPCチェックが一切含まれていないMetaの追跡データの一部が示されていた。 webXrayは、インターネット上のプライバシー侵害を検索できる検索エンジンを運営する独立系技術企業である。その創設者であるティモシー・リバートは、Googleでクッキーポリシーとコンプライアンスの責任者を務めていた。リバートは404 Mediaに対し、Googleでの自分の役割はユーザーを保護することだと考えていたが、上司たちは同意しなかったと語った。彼は2023年に同社を退社し、webXrayを立ち上げた。 「退社する直前に、上司は私に、直接引用すれば、『君の仕事は会社を守ることだ』と言いました。別の機会には、税金と罰金の違いについて、かなりシニアなエンジニアと非常に根本的な議論をしたことがありますが、彼らはその違いを理解していませんでした」と彼は語った。 Microsoft、Meta、Googleは、リバートとwebXrayが今回の監査で発見したものと同様の過去のプライバシー違反に対して、合わせて数十億ドルの罰金を支払ってきた。リバートによると、大手テック企業はこれらの罰金を恐れていない。「多くの点で、罰金は税金に取って代わってきました」と彼は言う。「私がここで示そうとしているのは、『法執行はどこで機能していないのか？』ということです。私たちが目指しているのは、これらの問題に取り組む規制当局や法律関係者に、実際に内部で何が起こっているのかを理解してもらうことです。」 監査で明らかになった内部の実態の一つは、クッキーバナーの仕組みである。インターネットを利用する誰もが、サイトから発行されるクッキーをどのように扱うかをユーザーに尋ねる煩わしいポップアップを見たことがあるだろう。これらは同意管理プラットフォーム（CMP）と呼ばれる。クッキーの主要な提供者の一つであるGoogleは、CMPを認定する「CMPパートナープログラム」というサービスを運営している。 「この明らかな利益相反は、私たちに疑問を抱かせました：これらのCMPは実際に機能するのか？」と監査は述べている。「拒否信号がウェブサイトに送信された時に何が起こるかを測定した結果、その知見は明らかです：私たちが評価したGoogle認定CMPは、100％機能するものは一つもなく、すべてが、拒否信号が存在しているにもかかわらず、Googleによるクッキー設定を防ぐことにしばしば失敗していました。」 webXrayは、3つのCMP企業をテストし、拒否要求の無効化率が77％、91％、90％であることを発見したと述べた。「それは機能しません。失敗しています。特に、これが機能すると主張した当事者であるGoogleに、クッキーを設定させてしまっています」とリバートは言った。 Google、Meta、Microsoftはいずれもこの監査に異議を唱えた。「この報告は、当社の製品の動作方法に関する根本的な誤解に基づいています。当社は法律で要求されるように、広告主とパブリッシャーによって提供される拒否要求を尊重しています」とGoogleの広報担当者は404 Mediaに語った。 「これは、GPCの仕組みとMetaの役割を誤って伝えるマーケティング策略です」とMetaは404 Mediaに語った。「GPCは第三者データの特定の利用のみを制限するもので、ウェブサイト運営者はGPC信号を上書きすることができます。また、当社はウェブサイトがどのような許可を得ているかを示すのに役立つ『限定データ使用（LDU）』機能を提供しています。LDUフラグ付きで当社にデータが送信された場合、当社は州固有の規約で定められている通り、そのデータの利用を制限します。」 「消費者のプライバシーは当社の最優先事項であり、透明性の確保と適用されるプライバシー要件への遵守に努めています。当社のプライバシーステートメントに記載の通り、GPC信号を受信した場合、当社はユーザーをパーソナライズド広告のための第三者との個人データ共有から除外し、当社の広告システムはその選択を反映するように設計されています」とMicrosoftの広報担当者は述べた。「一部のMicrosoftクッキーは運用目的に必要であるため、GPC信号が検出された場合でも設定され、読み取られる可能性があります。」 「私の見解では、このようなことは複雑ではありません。『クッキーを設定するな』と言う。彼らはクッキーを設定する」とリバートは言った。「規制当局は、キツネが鶏小屋に入るのを見て、キツネは『私はただ卵を数えに来ただけで、鶏を食べるつもりはない』と言う。そして彼らはその言葉を信じる。彼らは公開記録の作成を強制しない。」 発覚した場合、政府は企業に罰金を科し、企業はそれを支払う。リバートは、それだけでは不十分だと言う。「彼らは永遠に罰金を支払い続けることができます」と彼は言った。 この監査の重要な点は、リバートと彼のチームが違反に対する簡便な解決策を提示したことである。webXrayによれば、それは1行のコードを追加するのと同じくらい簡単だ。「Microsoftの広告サーバーが『Sec-GPC: 1』付きのトラフィックを受信した場合、消費者の法的に定義された拒否によりコンテンツを提供できないことを示すために、ステータスコード『451 法的理由により利用不可』を返せばよい。この条件下ではクッキーは設定されません」と監査は述べた。 「これはデータ経済におけるホルムズ海峡です。変化を起こしたいなら、ここで遮断するのです。それに及ばない措置は、劇的な政治的姿勢に過ぎません」とリバートは言った。

背景や根拠まで確認しますか？

関連記事

調べる

選ぶ

サイト