YouTubeの広告ブロッカー検出はEUのプライバシー法に違反すると考えられる

プライバシー活動家のアレクサンダー・ハンフ氏は、YouTube の新しい広告ブロッカー検出機能は欧州法では違法であると主張し、欧州委員会に訴えている。

11月6日、ドイツ海賊党の欧州議会議員パトリック・ブレイヤー氏は、ハンフ氏の主張について欧州委員会に報告し、「デバイスに保存された情報の保護（ePR第5条(3)）には、ユーザーのデバイスが特定のページ要素を非表示またはブロックしているかどうか、あるいはデバイスで広告ブロックソフトウェアが使用されているかどうかに関する情報も含まれるのか」、そして重要な点として、この種の検出が「YouTubeのようなサービスを提供するために絶対に必要なのか」について、正式に法的立場を求めた。

YouTubeは今年初めにヨーロッパで広告ブロック検出機能の展開を開始し、現在では広告ブロッカーを有効にしている一部のヨーロッパのユーザーによるコンテンツの視聴をブロックしています。EUのeプライバシー指令では、オンラインサービスプロバイダーは「加入者またはユーザーの端末機器に保存されている情報にアクセスする」ために明示的な許可を得る必要があるとされています。欧州データ保護委員会の専門アドバイザーであるハンフ氏は、YouTubeがユーザーのブラウザで表示される特定のHTMLページ要素を探すためにJavaScriptベースの検出スクリプトを使用していることはこの要件に該当し、YouTubeがこれを遵守していないと主張しています。

アイルランドのデータ保護コミッショナー（DPC）に提出した苦情の中で、ハンフ氏はDPCに対し「YouTubeに対し、この法律違反に対して措置を講じ、YouTubeに違法な広告ブロッカー検出ツールの導入をやめるよう要求する」よう求めた。

EUのePrivacy規制の次回改訂版の草案作成に協力したハンフ氏は、YouTubeのJavaScriptがEU市民のプライバシーを侵害していると考えていると述べている。

「[YouTube]が展開するスクリプトは、ユーザーが自分のマシンでどのようなソフトウェアを実行しているか、あるいはブラウザがプライベートな活動に関してどのような動作をしているかを検出しています。これは許されません。違法です」とハンフ氏は自身の訴えに同調して主張した。私たちは欧州基本権憲章第7条に基づき、プライバシーに関する基本的権利を有しています。また、第8条に基づき、データ保護に関する基本的権利も有しています。

YouTubeは2023年5月に広告ブロック対策の導入を開始したと報じられており、6月時点では広告ブロッカーの検出を「実験」と説明していました。欧州のユーザーからは、少なくとも10月中旬から検出メッセージが表示されるという報告が上がっています。すべてのユーザーが影響を受けるわけではなく、これらの広告ブロッカー対策メッセージはYouTubeアカウントにログインしている場合にのみ表示されます。

YouTube が広告ブロッカーや、機能の一部として広告をブロックするその他のプライバシーツールを検出すると、「広告ブロッカーは YouTube の利用規約に違反しています」または「YouTube では広告ブロッカーは使用できません」という警告が表示されます。このメッセージにはいくつかのバージョンがあり、動画の再生を完全に禁止するものもあれば、ブロッカーを有効にした状態で一定数の動画を視聴した後にストリーミングがブロックされるものもあります。

広告ブロッカーをオフにするように求めるポップアップは、インターネット上では珍しくありませんが、違法となる可能性はあるのでしょうか?

WIREDが把握しているYouTubeの広告ブロッカー検出のすべてのバージョンは、クライアントブラウザで実行されるJavaScriptプログラムを使用しているが、YouTubeは、ユーザーに配信された動画広告が再生されていないかどうかを判断するために、非侵入的なサーバー側の方法を使用できると述べている。

ハンフ氏の訴状は、YouTubeのクライアント側検出コードが、ePrivacy指令2002/58/EC第5条(3)に規定されている「加入者またはユーザーの端末機器に保存されている情報へのアクセス」に使用されるプロセスに該当すると主張している。もしそうであれば、ユーザーには、この情報の使用目的について「明確かつ包括的な情報」が提供され、「そのような処理を拒否する権利」が与えられなければならない。

このプロセスは、ウェブサイトがユーザーやブラウザに関する重要でない情報を収集しようとする際に表示されるCookie同意フォームからよく知られています。現在、YouTubeがユーザーのデバイスまたはネットワーク接続で広告ブロックツールがアクティブになっているかどうかに関するデータを取得する際に、明示的な通知やオプトアウトは表示されません。

YouTube代表のクリストファー・ロートン氏はWIREDに対し、「広告は世界中の多様なクリエイターのエコシステムを支え、何十億もの人々がYouTubeでお気に入りのコンテンツにアクセスできるようにしています。広告ブロッカーの使用はYouTubeの利用規約に違反します」と語った。

2022年1月5日に最終更新されたYouTubeの現在の利用規約では、広告ブロックツールの使用や検出手段については明示的に言及されていないが、「サービスを回避、無効化、不正に関与、またはその他の方法で妨害する」ユーザー活動を禁止する許可と制限の条項は、このシナリオをカバーしていると解釈できる。

しかし、マーストリヒト大学でプライバシー、サイバーセキュリティ、データ管理の法学上級修士号を取得しているハンフ氏は、「EU消費者保護法の下では、EU居住者の基本的権利と自由を侵害する契約条項を強制することは法的に認められていません」と主張している。クッキー同意フォームがこれほどまでに押し付けがましいのは、デバイスへのアクセスに関する同意を他の利用規約と一括して提示できないためだ。

ドイツの欧州議会議員ブレイヤー氏もハンフ氏の考えに賛同し、WIREDの取材に対し「広告ブロッカーは、私たちのオンライン生活の違法な追跡やオンライン上の危害から私たちを守ってくれます。YouTubeの利用規約はEU法に違反している可能性が高いです。YouTubeは監視のない広告を提供し、反広告ブロックキャンペーンを今すぐ中止すべきです」と語った。

YouTubeが収益を上げようとしているのは明らかです。サーバー帯域幅は採算が取れないでしょう。2022年には、広告なしのYouTube MusicとYouTube Premiumの登録者数は8,000万人に達し、YouTubeは2023年第3四半期だけで79億5,000万ドルの広告収入を報告しました。

13.99ドル（ヨーロッパでは12.99ユーロ）のYouTube Premiumの主なメリットは、広告なしの動画と音楽のストリーミング再生です。しかし、広告ブロッカーを使えば有料プランのメリットのほとんどを享受できるのであれば、有料プランに支払うメリットはほとんどありません。

YouTubeは、コンテンツクリエイターがその努力に見合うだけの収益を上げられることも求めています。動画の広告を視聴せず、YouTube Premiumに加入していない場合、視聴している動画はアップロード者に収益をもたらしません。広告を有効にしているにもかかわらず、スキップ可能な広告が表示されたらすぐに「広告をスキップ」ボタンを押した場合も同様です。

YouTube は、YouTube パートナー プログラムに参加していない、または収益化契約を結んでいないクリエイターの動画に広告を配信する権利も留保しますが、その広告による収益を当該クリエイターと分配することはありません。

広告ブロックを支持する論拠は、帯域幅の消費量削減から心理的に有害な広告の回避まで多岐にわたります（例えば、YouTubeはアルコール、ダイエット、オンラインカジノの広告を掲載しています）。しかし、広告ブロックを支持する最も説得力のある論拠はオンラインセキュリティです。セキュリティ研究者は、オンライン広告ネットワークをサイバーセキュリティにおける主要な脅威ベクトルと見なしており、YouTubeの広告は過去にも、仮想通貨マイニングマルウェアや詐欺やポルノコンテンツへのリンクを提供していると指摘されています。

ほとんどの広告ブロック ブラウザ拡張機能は、ページ内から呼び出される特定のファイル パスとファイル名 (広告ブロック Easylist にあるものなど) を探し、ブラウザでレンダリングされるページのバージョンからそれらを削除します。

例えば、「clever_ads.js」というJavaScriptプログラム（Clever Adsという広告自動化サービスによって生成されたスクリプト名で、ページに広告を埋め込むもの）は、広告ブロッカーによって識別され、通常読み込まれるコンテンツと共に削除されます。YouTubeの場合、広告APIはJSONファイルを返し、広告ブロッカーはそれを置き換えます。

ユーザーが広告をブロックしているかどうかを検出する方法はいくつかありますが、そのほとんどは、レンダリングされたページから広告コンテンツが削除された証拠を探す別のJavaScriptプログラムを使用します。よくある方法としては、広告読み込みスクリプトに、チェック対象となるJavaScript変数またはHTML要素を挿入する方法があります。

もちろん、広告ブロッカーはアンチ広告ブロッカー スクリプトも検索して削除できます。これは、Adblock Plus や uBlock Origin などのブロッキング ツールの場合に発生しており、定期的に追加のフィルターをダウンロードしてブロッカーに追加することで、最新のスクリプトを削除できます。

しかし、YouTubeのアンチアドブロッカースクリプトがフィルターリストに追加されると、YouTubeはそれらのスクリプトのアップデート版をリリースします。そのため、現在、アドブロック検出をめぐる軍拡競争が繰り広げられています。その象徴が「Is YouTube Anti-Adblock Fixed」というウェブサイトです。このウェブサイトは、YouTubeのアンチアドブロッカースクリプトIDリストと、プラグインによってブロックされているスクリプトIDリストを比較することで、uBlock OriginブラウザプラグインがYouTubeのアドブロック検出を回避できているかどうかを監視しています。

基本的に、EUは、無作為のウェブサイトが許可なくユーザーのデータを漁ることは許可していないと定めています。これはほとんどの人が同意するところです。Google自身も、ユーザーがインストールしたアプリを「個人情報および機密情報」とみなし、Androidアプリ開発者によるQUERY_ALL_PACKAGES権限の使用を禁止しています。

DPC が直面している問題は、YouTube の広告ブロック検出スクリプトが侵入的であるほど適格であるかどうかです。JavaScript ルーチンをダウンロードして実行することは、Cookie をダウンロードして保存することと同等でしょうか?

YouTubeはそうではないと主張するつもりのようで、広告が配信されただけで再生されていないかどうかを特定しようとしているだけだと強調している。WIREDがYouTubeに対し、サーバー側の広告ブロッカー検出機能を使用またはテストしているかどうかを尋ねたところ、YouTubeのロートン氏は、現在、広告ブロッカー検出はYouTube内で行っており、ユーザーのデバイス上では行っていないと回答した。これは、ウェブサイト上のJavaScript検出ルーチンはブラウザで実行されて初めて機能するため、私たちの見解や広告ブロッカー開発者の見解とは一致しない。

ロートン氏は、YouTubeは「もちろんDPCからのあらゆる質問や問い合わせに全面的に協力する」と述べている。

アイルランドのデータ保護コミッショナー事務所は、この件についてコメントしなかったが、ハンフ氏は、DPCがこの件を調査中であることを確認したと述べている。