3PCA 29 日目: Privacy Sandbox の方針転換は何を意味するか
Intro
このエントリは、3rd Party Cookie Advent Calendar の 29 日目である。
- 3rd Party Cookie のカレンダー | Advent Calendar 2023 - Qiita
先日、Google より Privacy Sandbox の方針転換について発表があった。
本当は、まだ記事を書くには情報が足りていないため、あまり書く気はなかったが、今後出てくる発表に備えて経緯をまとめるために、「何がまだ分かっていないか」の現状を書いておくことにする。
Privacy Sandbox の方針転換
問題の記事は 2024/07/22 に公開された以下だ。
- A new path for Privacy Sandbox on the web
そもそも、世間では「3rd Party Cookie の Deprecation を撤回した」と騒がれているようだが、そもそものタイトルは「Privacy Sandbox の方針転換」だ。
長い発表ではないため、筆者による段落一行訳を載せておく。
- オンラインプライバシーの問題を解決するため Privacy Sandbox などに取り組んできた。
- その活動は CMA や ICO その他各機関や業界からフィードバックを得てきた。
- 検証の結果、効果は出ているが、それでも業界の移行に時間がかかりすぎており、影響も大きい。
- そこで、3rd Party Cookie の廃止をやめて、ユーザが「informed choice」できるように方針を変更していくことにする。
- それでも Privacy Sandbox は重要なので投資は続ける。またユーザのプライバシーのために、プライベートモードに IP Protection を入れる。
- 業界への謝辞。
重要なのは、以下の文だ。
Instead of deprecating third-party cookies,
we would introduce a new experience in Chrome
that lets people make an informed choice that
applies across their web browsing,
and they'd be able to adjust that choice at any time.
今回の発表でまだわかっていないのは、この「informed choice が可能な UX の提供」が何を指しているか、だ。
これがはっきりしない限りは、なんとも言えない。
CMA による発表
さて、このアドベントカレンダーの中でも触れてきたように、Google が行う 3PC Deprecation の一連の流れについては、Google の一存で決めて進めているわけではない。
基本的に全て CMA (日本で言う公正取引委員会)や ICO (日本で言う個人情報保護委員会)などがレビューに入っており、ここまでにあった 3 回の延期を含めた進め方についても、それらのレビューを通った上で行われている。
そして今回の件について、CMA も小さくアップデートを出している。
On 22 July 2024, Google announced that it is changing its approach to Privacy Sandbox.
Instead of removing third-party cookies from Chrome, it will be introducing a user-choice prompt,
which will allow users to choose whether to retain third party cookies.
The CMA will now work closely with the ICO to carefully consider Google's new approach to Privacy Sandbox.
We welcome views on Google's revised approach, including possible implications for consumers and market outcomes.
...
— https://www.gov.uk/cma-cases/investigation-into-googles-privacy-sandbox-browser-changes
こちらでは、「ユーザが 3rd Party Cookie を保存するかを選択できるユーザプロンプトを代わりに導入する」と、Google 以上にはっきりと書かれている。
もし仮に、これがそのまま Google の計画なのであれば、想像できるのは iPhone でいう トラッキング許可プロンプト (ATT: App Tracking Transparency) と同等のものを、Chrome がブラウザとして提供するというものだ。
ユーザプロンプトが提供された場合
ここからは、「ATT のようなプロンプトを Chrome が出すとしたら」という仮の話になる。
このアドベントカレンダーの前半で散々解説したように、プロンプトなどをユーザに出すといった取り組みは、過去にも様々な形で試された。ところが、それが何を意味するのかをきちんと理解して選択できるユーザは非常に限られ、ほとんど失敗してきた。
ATT についても、「トラッキング」という言葉に(なんだかよくわかっていなくても)ネガティブなイメージを持つユーザにとっては、拒否したところで特にアプリが動かなくなるわけでもないため、許可するインセンティブがない。
許可率の調査などは、探せばいくらでも出てくるが、決して「みんなが許可している」なんて世界ではないことは、体感的にもわかるだろう。
同じことが Cookie で行われるとなれば、結果起こるのは「Chrome は 3rd Party Cookie を無効にしない。無効にするのはユーザだ。」という主体の変化だけになる可能性が高い。
「選択」の方法
「プロンプトが出るかどうか」の次に大事なのは「どのタイミングで、どの粒度で、どの範囲の選択ができるのか」だ。
ATT の場合は IDFA をそのアプリに渡すかどうか、という割とシンプルな選択だが、Web の場合はもう少し事情が変わるだろう。
ここで、表示されるプロンプトには二種類の方式が考えられる。
ATT のようにページに遷移したときにとにかく一旦プロンプトを表示し、そこで選ばせる方式だ。かつての Push Notification などがそうだった。
iPhone アプリはインストール後の最初の起動時に一回だが、Web の場合はページに遷移するたびにプロンプトが出て、ユーザにとっては非常に煩わしいことになる。その上で
といったことも重要になる。
細かく操作ができてもユーザに理解は難しいだろうし、最悪 Chrome 自体が「他と比べてプロンプトばかり出す不便なブラウザ」として悪評がつくリスクもある。
もう一つが、ユーザが操作しない限りプロンプトが出ない方式だ。
Push Notification もプロンプトがウザすぎるため、URL バーにバッジが出るだけになり、ユーザが明示的にクリックしないとプロンプトは出ないように変更された。それと同じ方式だ。
代わりにこの場合はデフォルトで Deny の形になる。
GDPR などを遵守し Cookie Banner を出しているサイトにとっては、どうせ許可がないと付与できない点で、実装がブラウザ側にいくだけとも言える。
しかし、デフォルトが Deny になっていれば、それはもう 3PC が Deprecate されたといって良いことになるだろう。
逆に、プロンプトは操作しないと出ないが、デフォルトが Deny ではない、という方式は、現状とほぼ変わらない。
これまで Settings から行ってきたようなブロック操作が、少し手軽にできるようになるだけだ。その方式で CMA が満足するとは、筆者にはあまり思えない。
最初に必ず選択させるプロンプト
ユーザが操作しないと出ないプロンプト
3rd Party Cookie の無効化は諦められたのか?
以上を踏まえた上でも「3rd Party Cookie の無効化は諦められたのか?」は、「どのようなプロンプトを出すのか」によって大きく左右されるだろう。
- アクセスのたびにプロンプトを出す。
- デフォルトが Deny で、操作しないとプロンプトが出ない。
- デフォルトが Accept で、操作しないとプロンプトが出ない。
1, 2 は 3PC がユーザによってブロックされている可能性が高くなり、実質 3PC の Deprecation が終わったと考えて良い状態になるだろう。
3 は現状とほぼ変わらないため、「Deprecation は諦めた」に近い状態になると考えられる。
これがはっきりするまで、「Chrome は 3rd Party Cookie を排するのを諦めた、これまで通り使い続けられる!!」と歓喜できるかは、かなり怪しいと筆者は感じている。
Cookie のプロンプトの拒否率が低くないと想定するならば、結局広告は Privacy Sandbox を駆使してネイティブに許可された粒度の情報をかき集める必要があり、認証連携は壊れないように FedCM などに移行する必要があるだろう。
であれば、「Chrome 自体が 3rd Party Cookie を無効にするのを撤回した」のだとしても、開発者が備えるべき未来はほとんど変わっていないことになる。
構図の変化
今回の発表で筆者が期待したいのは、むしろ構図の変化の部分だ。
これまでは、「無効化を進める Chrome vs それに振り回される業界」という構図がどうしてもあり、同じことを他のブラウザはほぼ終えているにも関わらず、あらゆる批判や Issue が Chrome に一極集中していた。壊れる全てのサイトを洗い出せるはずもなく、ましてやそれら全てを直せるはずもなく、しかしそれを地道にやっている状態だ。
代替として用意しているはずの Privacy Sandbox も、標準化の段階からビジネス色が強く、W3C のプロセスも閉じ気味で、CMA など標準化以外の団体の介入もあり、実装する前から他のブラウザに Considered Harmful されながら、Chrome だけがそこへの移行を啓蒙し続けるという、Web 史上類をみない「変なこと」がずっと起こっていた。本来は協調して進めていくはずの Web 標準が、Chrome によるお仕着せの破壊的変更のように扱われ、都合 3 回延期したとて、結果はそこまで変わらない。
ここ 4,5 年のこの動きは、すごく「Web っぽくないやり方」だったし、筆者はそこがずっと好きになれなかった。
それを続けても Privacy Sandbox はうまくはいかないだろうと思っていたし、それでも 3PC の Deprecate は既定路線だから、どこかでバッサリ強行し、壊れた部分を向こう 10 年くらいかけて徐々に均していくんだろうな、というのが筆者の想像だった。
しかし、今回の動きは、プロンプトがどうあれ「ブロックしたのは Chrome ではない。ユーザによる選択である。」という結果になるだろう。すると「自分で選択したユーザ vs それをサポートするサービス」という構図に、課題を個別分散したと見ることができる。
ユーザがどんな選択をしようとそれを尊重したいサービスは、Privacy Sandbox や FedCM などへの移行にコストを払うインセンティブがある。そこで初めて Privacy Sandbox はお仕着せの仕様ではなく選択肢になる。
コストなどの問題で現状の実装を維持するため、ユーザの選択をサポート外とし、エラーメッセージなどでユーザをプロンプトに誘導し、明示的な許可を求めるという方法もあるだろう。
それは、あくまで個別に起こる事象に対しての、サービスの対応だと考えると、Chrome が 0 or 1 で行い一方向にしか道がなかった時と比べ、ワークアラウンドを行う余地がユーザランドに残ることになる可能性が出てきた(これも、プロンプト次第だが)。
そもそも「プライバシー」は、ユーザが選択するべきものだという、問題の原点に立ち返りつつ、「一極集中していた問題」を「個別分散させて解決する」というやり方は、非常に「Web っぽい」なと筆者は感じた。
Outro
今回の発表から、今後の 3rd Party Cookie が「今までどおり使える」なのか「結局使えなくなる」なのか、それ以外の何かになるのか、実際のところ全くわからない。
プロンプトの出し方についても、一回のリリースでは終わらず、ここから先数年かけて徐々に行なっていくことになるんだろう。
Web は誰のものでもない。にもかかわらず、先に Deprecate を終えたブラウザは高みの見物で、Chrome だけが孤軍奮闘している変な構図が、これで終わればいいと思う。
それを含めてどうなっていくか、今後も注視して、場合によってはこのアドカレに追加していきたい。