CNIL vs Google／SHEIN（2025/9）—Gmail広告・事前同意なしCookieで巨額制裁／「拒否の容易さ」や繰返し違反に厳格

概要

• 2025/9/1、仏DPA CNILがGoogleに3.25億€、SHEINに1.5億€の制裁金。いずれも**クッキー規則（仏法82条＝ePrivacy実装）**違反。(cnil.fr)

• 位置づけ：CNILは2019年開始のCookie取締アクションプランの延長線上で、同意前の保存／同意取得UIの誘導を重点是正。(cnil.fr)

Google（3.25億€）：Gmailの“メール間広告”とアカウント作成時Cookie

• 違反認定（骨子）

  • Gmailの受信トレイに挿入された広告を同意なく表示。

  • Googleアカウント作成時に有効同意なくCookieを設定（2023/10ごろまでの設計に問題）。(cnil.fr)

• 是正命令：同意なく広告を表示しない／Cookieは同意後に限る等。期限内不履行で日額10万€の過料。(goodwinlaw.com)

• 背景・補足：noyb申立てに沿う判断。CNILが**“拒否を受入と同等に容易に”**するUIを継続要求。(noyb.eu)

SHEIN（1.5億€）：事前同意なし・オプトアウト不備

• 違反認定（骨子）

  • 着地直後に広告等Cookieを自動保存＝事前同意なし。

  • 拒否後も一部Cookieが動作、情報提供の不備など複合違反。(cnil.fr)

• 調査の経緯：2023/8開始の調査→2025/9制裁。(lewissilkin.com)

何が“国際標準”になったか（実務要件）

• 事前同意が原則：広告・測定（免除外）Cookieは同意前に落とさない。(cnil.fr)

• UIの対等性：“Accept all”と“Reject all”を同一階層・同視認性で提示（拒否だけ多段／目立たない導線は不可）。(cnil.fr)

• 同意の実効性：拒否後は即ブロック、アカウント作成時も有効同意が必要。ログで証跡を残す。(cnil.fr)

• 繰返し違反への重罰：大規模事業者の再犯・UI誘導は高額制裁の対象に。(cnil.fr)

チェックリスト（EU域UIの最低ライン）

1. 初画面にAccept all／Reject allを等サイズで併置。

2. 同意前は発火禁止（タグ管理で遮断／必要不可欠のみ例外）。

3. 目的別ON/OFFはデフォルトOFF、第三者・目的を明示。

4. 撤回動線をフッター常設（Consent管理）。

5. 証跡（表示キャプチャ／クリック・同意ログ／タグ発火ログ）を保全。

   1. （上記はGoogle・SHEIN案件の是正要求と整合。）(cnil.fr)

一次情報・公的ソース

• CNIL（Google 3.25億€）：決定要旨と是正命令。(cnil.fr)

• CNIL（SHEIN 1.5億€）：決定要旨。(cnil.fr)

• CNILアクションプラン継続発表（両件を束ねて位置づけ）。(cnil.fr)

• EDPBニュース（各件の要約リンク）。(edpb.europa.eu)

• 主要報道（Reuters／Tech業界解説）。(Reuters)