CNIL vs Amazon（2020→2022確定）—事前同意なしで広告Cookieを保存→€35M。十分な情報提供＋事前同意が必須

何が起きた？

• 2020/12/7、仏DPA CNILは Amazon Europe Core に3,500万ユーロの制裁金。理由はamazon.frで広告Cookieを“事前同意なく”保存し、かつ十分な情報提供をしなかったため（仏個人情報保護法82条＝ePrivacy指令の国内法）。あわせて3か月以内の是正命令＋未了は日額10万ユーロの過料も科した。(cnil.fr)

• 2022/6/27、フランス最高行政裁（Conseil d’État）がCNILの€35M制裁と適用権限を全面確認し、決着。(cnil.fr)

違反の中身（CNILの認定）

• 利用者が到達した最初のページで、ユーザーの操作前に広告Cookieが自動保存されていた（“事前同意”不在）。広告目的のCookieが40個超、約20社のアド関連企業のCookieが保存され得る状況を確認。(cnil.fr)

• 情報バナーの文言が抽象的で、目的の具体・拒否手段が分からず不十分。広告からの流入時は情報表示すらないケースも指摘。(EDPO)

• 2020/9のサイト改修後も、情報の明確性・完結性が未達として是正命令（3か月）＋日額10万€を付した。(cnil.fr)

権限・法的論点

• 本件の法的根拠はGDPRではなくePrivacy系（仏法82条）。ゆえにGDPRのワンストップショップの適用外で、CNILが単独で制裁できると整理（最高裁も追認）。(cnil.fr)

実務インパクト（欧州標準）

• *“Cookieは同意前に落とさない／必要不可欠Cookieのみ例外”**が大前提。初層バナーで目的を明確化し、拒否手段も同時提示。(cnil.fr)

• CNILは別途方針として**「受入と同等の容易さで拒否」を求め、各社に是正命令を継続（UIでReject all／Accept allを同階層**に）。(cnil.fr)

すぐに直すチェックリスト

• 初層で明示：目的（測定/広告…）・第三者・拒否手段を同一画面で。“詳しくは設定へ”だけの拒否導線にしない。(cnil.fr)

• 同意前ブロック：タグ/SDK発火を同意取得後に。広告CookieはデフォルトOFF。(cnil.fr)

• 証跡：表示キャプチャ・クリック/同意ログ・タグ発火ログを保存（検査・紛争対応）。

• 流入経路対策：広告経由の着地でも同等の情報表示を保証。(EDPO)

参考（一次情報）

• CNIL決定（SAN-2020-013）本文（英訳）：制裁金、3か月是正命令＋日額10万€、違反事実の詳細。(cnil.fr)

• CNIL発表（2022/6/28）：最高行政裁が€35M制裁を確定（権限・違反内容・金額の相当性）。(cnil.fr)

• 制裁発表の要約・実務解説。(hunton.com)

――要するに、“同意前に広告Cookieを置かない”と“目的と拒否の明確表示”が最低ライン。受入＝1クリックなら拒否も1クリック。ここを外すと、情報提供不足＋無効同意で高額制裁まっしぐら。