CNIL フィッシュ n°16 を読み解く：フランスにおける同意不要のアクセス解析

これはデータ保護に関する調査研究であり、法的アドバイスではありません。完全な免責事項は末尾をご参照ください。

TL;DR

フランスの CNIL はフィッシュ n°16 の累積条件のもとでバナーなしのアクセス解析を認めています — 単一サイト、3イベントタイプ以下、IP 切り捨て、13か月のトラッカー、25か月の保持期間、ホスト名のみのリファラー、最寄りの10への集計。
2026年1月1日の期限はすでに過ぎました。 旧来の評価プログラムは廃止され、自己評価制度が運用されています。プロバイダーは日付入りの宣誓書を公表し、運営者は展開した設定を文書化します。
GA4 は免除の対象外です — 米国への越境転送、顧客間プーリング、永続識別子、単一発行者ではない、という理由によります。sGTM 経由でルーティングしても解決しません。
**Statnive Live は consent-free モードと FR 管轄プリセットでフィッシュ n°16 アーキテクチャをデフォルトで提供します。**イベント監査エンドポイントにより、CNIL の3イベント上限チェックがワンクリックで可視化されます。
文言が重要です — 正しい法的姿勢は、*「LIA と CNIL 自己評価に従って展開された場合に CNIL の視聴者測定免除の要件を満たすよう設定可能」*であり、「CNIL 認証済み」や「CNIL 免除取得済み」と断定してはなりません。

CNIL は10年以上をかけて、Loi n° 78-17 第82条 — フランスの ePrivacy 国内転置法 — を EU で最も詳細な視聴者測定の同意免除に育て上げてきました。ドイツの TDDDG § 25 がアクセス解析に対して同意不要の経路を一切提供せず、ベルギーの APD が明示的に免除の存在を認めず、英国の ICO が法的な免除ではなく「執行優先度が低い」とだけ述べているのに対して、CNIL は運営者向けのガイダンス、自己評価ツール、そして満たせばフランスで Cookie バナーなしにアクセス解析を運用できる詳細な条件リストを公表しています。

この免除は実在し、狭く、最近更新されました。現行の CNIL ガイダンスは 2025年7月4日に改訂され、コンプライアンス期限は2026年1月1日でした。旧来の CNIL 評価プログラムリスト — 2026年以前にツールを適格化する方法 — は廃止されつつあります：「Au 1er Janvier 2026, cette page sera supprimée. La période de soumission à ce programme est terminée.」 その日付以降、運営者は CNIL の事前承認ではなく、文書化された自己評価に依拠します。

本稿はフィッシュ n°16 を運営者の視点から読み解くものです。条件を一つひとつ、自己評価と期限、GA4 がテストに失敗する箇所、3イベント上限とその監査方法、そして Statnive Live をフィッシュ n°16 免除向けに設定する方法を扱います。

フィッシュ n°16 を一項目ずつ

CNIL のフィッシュ n°16 は7項目からなる基本免除です。2025年7月の CNIL 自己評価 PDF（outil_d_auto-evaluation_mesure_d_audience.pdf）が、各項目を検証可能な基準として運用化しています。免除が適用されるためには、以下のすべての累積条件を満たす必要があります。

認められた目的。 自己評価から逐語引用：「les mesures des performances ; la détection de problèmes de navigation ; l’optimisation des performances techniques ou de son ergonomie ; l’estimation de la puissance des serveurs nécessaires ; l’analyse des contenus consultés.」パフォーマンス測定、ナビゲーション上の問題の検出、技術的パフォーマンスとエルゴノミクスの最適化、必要なサーバー処理能力の見積もり、閲覧コンテンツの分析。**広告は含まれません。**リターゲティングも、ユーザーレベルのプロファイリングも含まれません。

最大3つのイベントタイプ。 逐語引用：「La solution collecte au plus trois type d’évènements : • La simple présence d’une personne sur une page et les informations associée à cette page (nom, type, etc.) • L’utilisation par cette personne d’une fonctionnalité (clic bouton, clic lien) et les information associées (destination, label, etc.) • Les statistiques de temps de chargement, de défilement ou de temps passé sur une page.」 — ページ存在、機能インタラクション（ボタン／リンクのクリック）、タイミング統計（読み込み、スクロール、滞在時間）。これが上限です。EC のコンバージョンイベント、フォーム送信イベント、または「資料をダウンロードした」というカスタムイベントは、それぞれ4つ目のイベントタイプとしてカウントされ — デプロイメントは免除対象から外れます。

IP 切り捨て。 逐語引用：「L’IP si elle est utilisée, permet la localisation à l’échelle de la ville puis est pseudonymisée en enlevant au moins le dernier octet.」 IP が使用される場合、位置情報は都市レベルにとどめ、IP は少なくとも最後のオクテットを削除して仮名化する必要があります。Statnive Live はインジェスト時点でこれを実行し、永続的な書き込みの前に生の IP を破棄します。

ヘッダーの最小化。 逐語引用：「Si des données provenant des champs d’en-tête (« headers ») HTTP sont collectées (version de navigateur, système d’exploitation, matériel, taille d’écran), ces données sont minimisées (version majeure système d’exploitation/navigateur par exemple).」 User-Agent はメジャーブラウザバージョン＋メジャー OS バージョンに縮小されます。「Chrome 126」であり、「Chrome/126.0.6478.127 Mobile Safari/537.36」ではありません。Statnive Live はインジェスト時点でサーバー側で User-Agent を解析し、生の文字列を破棄します。

単一サイト範囲。 逐語引用：「Aucun identifiant permettant un suivi à travers plusieurs domaines n’est utilisé … Si l’identifiant utilisé est un cookie, celui-ci est déposé en interne (ou « first-party ») afin d’empêcher un suivi global de la navigation.」クロスドメイン識別子なし、ファーストパーティのみの展開。さらに：「Le référent (« referrer »), s’il est collecté, se limite au domaine (« host »).」 リファラーはホスト名のみに縮小されます。Statnive Live のホスト名のみのリファラー変換はインジェスト時点でサーバー側で実行されます。

集計。 逐語引用：「Agrégation et la présentation à la dizaine la plus proche. A défaut, une analyse est menée pour justifier du caractère anonyme des données (voir l’avis du G29 sur le sujet).」 最寄りの10に集計するか、WP29／EDPB の匿名化意見書を引用して匿名性分析を文書化する必要があります。

厳格な禁止事項。 逐語引用：「Aucun suivi de la navigation d’un utilisateur unique n’est possible … Désactivation de toute fonctionnalités du type rejeu de session (« session replay ») … Toute fonctionnalité visant à croiser, dédoubler ou mesurer un taux de couverture (« reach ») unifié d’un contenu est exclue.」単一ユーザーの遷移の追跡型ログ取得は不可；セッションリプレイは無効；統合リーチを相互参照、重複排除、または測定することを意図した機能は除外されます。

有効期間と保持期間。 CNIL のメインページから：トラッカーは*「durée de treize mois」、収集データは「durée maximale de vingt-cinq mois」*、定期的な見直しが必要です。トラッカーの有効期間は13か月以下；生データの保持期間は25か月以下。Statnive Live のロールアップ（hourly_visitors、daily_pages、daily_sources）に対する750日 TTL は24.6か月で、上限内に余裕を持って収まります。

サービスプロバイダーの役割。 プロバイダーは*「sous le régime de la sous-traitance」（GDPR 第28条の処理者）として運営しなければなりません。逐語引用：「Aucune mise en commun par le prestataire de données brutes de mesure d’audience provenant de plusieurs de ses clients n’est mise en œuvre」 … 「Aucune réutilisation des données pour le propre compte du prestataire et quelle que soit la finalité (amélioration de son service, lutte contre la fraude, etc.) n’est mise en œuvre.」* プロバイダーの顧客間で生データをプールしないこと；サービス改善や不正検出を含む、いかなる目的のためにもプロバイダー側で再利用しないこと。

異議申し立て権。 逐語引用：「Opposition disponible sous la forme d’un bouton ou lien cliquable au sein de la politique de confidentialité du site ou application visité.」 サイトのプライバシーポリシー内にクリック可能なオプトアウトボタンまたはリンク。Statnive Live はこれを POST /api/privacy/opt-out として公開します。

推奨される宣誓文言。 逐語引用：「D’après notre auto-évaluation, la solution XXX est conforme aux critères établis par la CNIL [mettre un lien vers la page officielle], et peut-être mise en œuvre sans requérir le consentement des utilisateurs si elle est correctement configurée.」当社の自己評価によれば、ソリューション XXX は CNIL が定める基準に適合しており、適切に設定されればユーザーの同意を必要とせず展開可能であるとの趣旨です。プロバイダーは自身のツールを*「CNIL 認証済み」*と表現したり、CNIL ロゴを使用したりしてはなりません。

2026年1月1日の移行（すでに通過）

CNIL 評価プログラム — 2026年以前にアクセス解析プロバイダーがツールを CNIL の評価に提出し、公開リストに掲載される仕組み — は廃止されました。2025年7月のガイダンスから逐語引用：「Au 1er Janvier 2026, cette page sera supprimée. La période de soumission à ce programme est terminée.」 2026年1月1日にページは削除され、提出は2025年に終了しました。移行は完了し、自己評価制度が現在運用されています。

それを置き換えたもの：自己評価姿勢です。プロバイダーは CNIL の自己評価を実施し、結果を文書化し、CNIL の推奨文言パターンを用いて宣誓書を公表します。表示すべき CNIL のお墨付きはなく、使用するロゴもなく、正式な事前承認もありません。ツールを展開する運営者は、自サイトでの設定が条件を満たしていることを確保する第一義的な責任を負い続けます。

2026年1月16日、CNIL は統合 Cookie 勧告（recommandation_cookies_consolidee.pdf）を公表し、2020-091／2020-092審議、2025年7月4日の視聴者測定更新、およびより広範な Cookie 枠組みを単一文書に統合しました。フィッシュ n°16 の実質的条件は統合において変更されておらず、本ページの逐語条件は引き続き権威を持ちます。

2026年4月14日、CNIL はトラッキングピクセルに関する最終勧告を公表し、狭い「到達可能性測定」免除を導入しました — メールリスト抑制目的に厳密に限定して、同意なしにピクセルが非アクティブな購読者を識別することを認めるものです。到達可能性免除はフィッシュ n°16 の視聴者測定免除の範囲外にあり、本ページの条件には影響しません。

実務上、2026年にフランスでアクセス解析を展開する運営者にとって：

プロバイダーは日付入りの自己評価宣誓書を公表すべきです。Matomo の公表自己評価が標準的な参照例です：「the Matomo Cloud and Matomo On-Premise solutions comply with the criteria established by the CNIL … and may be implemented without requiring user consent if properly configured.」
運営者は、フィッシュ n°16 の条件に照らした自身の設定を文書化し、その文書を保持すべきです。CNIL はマーケティング資料ではなく、展開された設定に基づいて監査します。
いずれにせよ、EDPB ガイドライン1/2024に基づく正当利益評価（LIA）が必要です。フィッシュ n°16 免除は端末機器アクセスに関する ePrivacy 第5条第3項の同意に適用されます；後続の個人データ処理に関する GDPR 第6条の根拠は別問題であり、第6条第1項f号の正当利益が現実的な答えです。

GA4 がテストに失敗する箇所

CNIL はこの点について珍しく直接的です。フィッシュ n°16 から逐語引用：「Most large audience measurement offerings do not fall within the scope of the exemption, regardless of their configuration. In order to benefit from this exemption, please contact your solution provider or use open source software such as Matomo that you can configure yourself.」

GA4 は特にフィッシュ n°16 の複数の条件で失敗します：

米国インフラへの越境転送。 CNIL の2022年2月10日の正式通告は、GA の EU→US 転送を GDPR 第5章の下で違法と認定しました。2023年の EU-US データプライバシーフレームワークは暫定的なカバーを提供しますが、CJEU で係争中です — 2025年10月31日の Latombe 控訴、加えて並行する noyb の異議申し立てがあります。
顧客間のデータプーリング。 Google のアクセス解析インフラは顧客ベース全体でデータをプールし、Google の広告エコシステムに紐づけます。フィッシュ n°16 の条件 — 「Aucune mise en commun par le prestataire de données brutes de mesure d’audience provenant de plusieurs de ses clients」 — はこれを認めません。
永続的なクライアント識別子。 GA4 のクライアント ID は、ブラウザのストレージから読み込まれ書き込まれる永続識別子です。ePrivacy 第5条第3項がトリガーされ；実装がフィッシュ n°16 の3イベント分類を超えて読み取るため、視聴者測定免除は適用されません。
設計上「単一発行者」ツールではない。 GA4 が構築されている目的であるクロスプロパティのリーチ、デモグラフィック付加、広告プラットフォーム統合は、まさにフィッシュ n°16 が除外する機能です。

GA4 をサーバーサイドエンドポイント（sGTM）経由でルーティングしてもこれは解決しません。CNIL は、同じ永続識別子が使用されている、データが最終的に Google US に流れる、または Google が管理者相当の権利を保持している場合、サーバーサイドプロキシは部分的な緩和に過ぎないと述べています。

適切に設定されたファーストパーティの代替手段 — CNIL 免除モードの Matomo（Cloud または On-Premise）、Plausible、Fathom、Simple Analytics、および Statnive Live — はすべてフィッシュ n°16 の条件内にあり、運営者の自己評価により適格となります。CNIL の適切に設定されたファーストパーティ・EU ホスト型プライバシーアクセス解析に対する執行記録は、2026年5月時点では空白です。

3イベント上限とその監査方法

フィッシュ n°16 の3つのイベントタイプの上限 — ページ存在、機能インタラクション（クリック）、タイミング — は、実際の展開で最も違反されている条件です。運営者は EC コンバージョンイベント、フォーム送信トラッカー、「資料をダウンロードした」イベント、または「動画を視聴した」イベントを追加し、その結果デプロイメントが免除対象から静かに外れます。

Statnive Live はこのためのサイトごとのイベント分類監査エンドポイントを公開しています：

GET /api/admin/event-audit?site_id=N

レスポンスは以下を返します：

event_names — 監査ウィンドウ内でサイト上で観測された個別のイベント名
distinct_count — その基数
cnil_cap — 3に固定（フィッシュ n°16 の上限）
cap_status — distinct_count ≤ 3 の場合は ok、そうでない場合は over
window_from / window_to — 監査ウィンドウのタイムスタンプ

cap_status: ok は、デプロイメントが設定上フィッシュ n°16 の3イベント上限内にあることを意味します — イベントタイプが蓄積される長期運用において、フィッシュ n°16 の中でも満たすのが難しい条件のひとつです。cap_status: over は、デプロイメントが免除から逸脱しており、イベント分類を整理するか、同意バナーを採用する必要があることを意味します。監査は運営者向けで、レスポンスは CNIL の調査回答へスクリーンショット添付されるよう設計された JSON オブジェクトです。

推奨される実施頻度は月次です。機能を継続的に提供するサイトは自然にイベントタイプを蓄積していくため、監査エンドポイントは逸脱を捕捉するための安価な仕組みです。

Statnive Live をフィッシュ n°16 向けに設定する

Statnive Live はフィッシュ n°16 の条件をデフォルトで満たす設定を提供します。運営者の手順：

FR 管轄を選択する。 Statnive Live のサイトポリシーパネルは11管轄の列挙型を公開しています。FR を選択するとサイトポリシーがフランスの期待に整合します。ハードルールバリデーターは FR に対して permissive を禁止しません（ハードルールがあるのは DE のみ）が、デフォルトは consent-free で、初日からフィッシュ n°16 アーキテクチャが適用されます。
consent-free モードを確認する。 これによりトラッカーの Cookie、localStorage、フィンガープリンティングが無効化されます；サーバーサイドで日次回転する BLAKE3-HMAC 訪問者署名が有効化されます；ホスト名のみのリファラー変換が有効化されます；IP 切り捨てが有効化されます；User-Agent の最小化が有効化されます。設定は本稿で先に列挙したフィッシュ n°16 の「すべきこと」と一致します。
イベント分類を制約する。 イベント監査エンドポイントを月次で実行します。cap_status: ok を目指します。特定のマーケティング目的で4つ目のイベントタイプが必要な場合、その目的はフィッシュ n°16 免除の外に出て、同意モードのワークフローに移行します。
自己評価宣誓書を公表する。 サイトのプライバシーポリシーに短い段落を掲載：「D’après notre auto-évaluation, la solution Statnive Live, configurée en mode consent-free, est conforme aux critères établis par la CNIL [link to https://www.cnil.fr/fr/cookies-solutions-pour-les-outils-de-mesure-daudience], et peut-être mise en œuvre sans requérir le consentement des utilisateurs si elle est correctement configurée.」「CNIL 認証済み」という主張は禁止；CNIL ロゴの使用も禁止です。
第21条のオプトアウトリンクを公表する。 Statnive Live は POST /api/privacy/opt-out を公開し、/privacy でデフォルトのオプトアウトページを提供します。サイトのプライバシーポリシーがそれにリンクします。オプトアウトの永続化は、ユーザーの選択を表現する厳密に必要な Cookie として実装されています — これはユーザーの明示的拒否を実装するため、ePrivacy 第5条第3項の下で許容されます。
正当利益評価（LIA）を文書化する。 Statnive Live の /legal/lia ルートは、EDPB ガイドライン1/2024 に整合したテンプレート — 利益の特定 → 必要性 → 均衡 — を提供します。運営者固有の処理コンテキストに合わせてテンプレートをカスタマイズし、文書化された版を保持し、年次で更新します。
第28条 DPA に署名する。 運営者が Statnive Live のホスティング（SaaS）版を使用する場合、Statnive は GDPR 第28条に基づく処理者です。DPA は /legal/dpa で公開され、営業電話なしでダウンロード可能です。運営者がセルフホストする場合、Statnive は処理者ではありません — 運営者が唯一の管理者であり、Statnive ↔ 運営者の DPA に署名する必要はありません。

その結果、フィッシュ n°16 の条件を累積的に満たし、かつデジタルオムニバス第88a条第3項c号提案にも前方互換となる設定が得られます。今日これを展開する運営者は、欧州委員会のテキストが法律になった場合でも、再アーキテクチャ化する必要がありません。

FAQ — フィッシュ n°16 は EC コンバージョンイベントをカバーしますか？

**いいえ。**コンバージョンイベントはフィッシュ n°16 の3イベント上限を超える4つ目のイベントタイプです。購入を「機能インタラクション」（つまり「注文確定」ボタンのクリック）として扱っても免除は救えません。なぜなら運営者は購入の金額、商品リスト、しばしば新規対リピート顧客のアトリビューションも欲しがり — それぞれがイベント分類をフィッシュ n°16 の境界を超えて拡張するからです。

堅牢なデプロイは分割モードです。視聴者測定はフィッシュ n°16 の下で consent-free モードで動作します。EC アトリビューションは別の同意制御ワークフローとして動作します — 同じ Statnive Live デプロイメントへの同意モード追加として、または完全に同意制御された別のアクセス解析パスとして。視聴者測定指標（訪問者、セッション、ページ）は同意不要のまま；EC 指標（売上、注文、顧客生涯価値）はバナーを必要とします。

これは CNIL がフィッシュ n°16 で広告目的の Cookie に対して説明している分割と同じです。フィッシュ n°16 は意図的に狭く設計されており；EC アトリビューションを望む運営者は別の規制枠組みにいます。

これが運営者にもたらすもの

フィッシュ n°16 で設定されたデプロイメントから得られる実務的な運営者の成果：

視聴者測定ワークフローに Cookie バナーが不要となります。条件が累積的に満たされている場合です。CNIL は免除が実在し、適切に設定されたツールが適格となることを明確にしています。
**CNIL が査察した際に指し示すことのできる文書化された根拠。**自己評価宣誓書 + LIA + サイトごとのイベント監査ログが、運営者の対応パックです。
**EU 全域で通用する設定。**厳格なフィッシュ n°16 アーキテクチャは、構造上イタリアの Garante、スペインの AEPD、オランダの AP の免除も満たすからです。国別マップは差分を順に説明します。
**現実より55.6%小さくない測定スタック。**Plausible の Cookie バナー調査は、バナーを拒否または閉じてアクセス解析から外れる訪問者の割合に関する標準的な参照例です。同意不要のアーキテクチャはそれらの訪問者を捕捉します。

それが提供しないもの：EC アトリビューション、行動ターゲティング広告、リターゲティング、クロスデバイス重複排除、セッションリプレイ、ヒートマップ、またはユーザー識別による A/B テストバリアントのアトリビューション。これらにはそれぞれ別の同意フローが必要です。CNIL はフィッシュ n°16 が視聴者測定の免除であり、汎用のマーケティングアクセス解析の免除ではないことを明示しています。

トレードオフは単純です：運営者は日常的な製品判断を駆動する指標への遮蔽されない可視性を得る代わりに、同じコードパスでマーケティングアトリビューションフローを構築しないことを引き受けます。ほとんどの運営者にとってそれは正しい交換であり — フィッシュ n°16 が利用可能にするよう設計されたものです。

すべきこと・避けること

すべきこと	避けること
トラッカーをイベントタイプ3つ以下（ページ存在 + 機能インタラクション + タイミング）に制限し、月次で `GET /api/admin/event-audit` 経由で監査する。	同意不要デプロイメントの内側で EC コンバージョン用に4つ目のイベントタイプを追加すること — フィッシュ n°16 免除の適格性を失う。
CNIL の逐語文言（「D’après notre auto-évaluation … peut-être mise en œuvre sans requérir le consentement des utilisateurs si elle est correctement configurée」）を用いて、日付入りの自己評価宣誓書を公表する。	「CNIL 認証済み」を主張したり、CNIL ロゴを使用したりすること。CNIL は2026年1月1日に評価プログラムを廃止 — 運営者は自己評価する。
Statnive Live で FR 管轄を設定し、`consent-free` モードをデフォルトにし、ホスト名のみのリファラー + IP 切り捨てがインジェスト時点で有効であることを確認する。	Google Analytics 4（または sGTM 経由の GA4）を運用し、それをフィッシュ n°16 互換と呼ぶこと。CNIL は明言済み：GA4 はテストに失敗する。
EC アトリビューション用に並列の同意モードフローを実行し；視聴者測定層は同意不要のままにする。	視聴者測定と EC アトリビューションを混同すること。フィッシュ n°16 は視聴者測定の免除であり、汎用マーケティングアクセス解析の免除ではない。
フィッシュ n°16 後の個人データ処理に関する第6条の根拠をカバーする、EDPB ガイドライン1/2024 に基づく LIA を維持する。	フィッシュ n°16 適合を全体の GDPR 分析として扱うこと。免除は ePrivacy 第5条第3項の同意のみをカバー；第6条の適法根拠は別問題。

結論

フランスの CNIL は EU で最も詳細で、最も運営者向けの視聴者測定の同意免除を構築してきました。累積条件は狭く、期限は2026年1月1日、自己評価姿勢が旧来の評価プログラムを置き換えており、フランスで適格となる設定は構造上イタリア、スペイン、オランダでも適格となります。ドイツは依然として例外 — § 25 TDDDG の詳解を参照 — であり、ドイツ向けに設定する運営者はフランス向けにも設定されています。

Statnive Live は consent-free モードでフィッシュ n°16 アーキテクチャをデフォルトで提供します。11管轄の列挙型、4つの同意モード、日次回転ソルト、保管時のハッシュ化された Cookie ID、ホスト名のみのリファラー、25か月のロールアップ保持、そしてイベント監査エンドポイント — すべてが箱の中にあります。CNIL 自己評価宣誓書、LIA テンプレート、プライバシーポリシー条項、第28条 DPA は /legal/* のバイナリから提供されます。デプロイ作業は運営者のもの；アーキテクチャは完成しています。

より広範な運用指針については、2026年 EU 同意不要アクセス解析ガイドを参照ください。ニュース観点と提案されている EU 全体の調和については、デジタルオムニバス記事を参照ください。ドイツがなぜ異なるかについては、TDDDG 記事を参照ください。そして同じアーキテクチャがアクセス権・削除要求をどのように扱うかについては、DSAR 記事を参照ください。

これはデータ保護に関する調査研究であり、法的アドバイスではありません。 Statnive Live は、FR 管轄に対して consent-free モードで設定された場合、文書化された正当利益評価および CNIL 自己評価に従って展開されれば、CNIL の視聴者測定免除の要件を満たすよう設定可能です。これは CNIL の認証ではありません。Statnive の各顧客はデータ管理者のままであり、自身の設定と DPIA に対する責任を負います。公開前にフランスの適格な法律顧問にご相談ください。

規制参照の状況（2026年5月13日現在）：CNIL フィッシュ n°16；CNIL「Cookies: solutions for audience measurement tools」2025年7月4日付け（2026年1月1日のコンプライアンス期限はすでに通過；旧来の評価プログラムは同日廃止；自己評価制度はそれ以降運用中）；2026年1月16日付け CNIL 統合 Cookie 勧告（実質的なフィッシュ n°16 の条件は統合において変更なし）；2026年4月14日付け CNIL トラッキングピクセル最終勧告（到達可能性測定免除；フィッシュ n°16 の範囲外）；CNIL 自己評価 PDF（2025年7月）；CNIL 審議 SAN-2020-013（Amazon、2020年12月7日）；2020年12月7日の CNIL Google 決定（1億ユーロ）；2022年1月6日の CNIL 決定（Google 1.5億ユーロ、Facebook 6,000万ユーロ）；2022年2月10日の CNIL 正式通告（Google Analytics、第5章）；2025年9月1日付け CNIL 審議 SAN-2025-005（INFINITE STYLES SERVICES CO. LIMITED — Shein に対する1.5億ユーロ）；2025年9月1日付け CNIL 審議 SAN-2025-006（Google LLC および Google Ireland Ltd に対する合計3.25億ユーロ）；2026年1月22日公表の CNIL 350万ユーロの Cookie／ソーシャルネットワークへの送信に関する制裁（2025年12月30日決定、16の欧州 DPA カウンターパートと協力して採択）；2024年10月7日付け EDPB ガイドライン2/2023 v2.0；2024年10月8日付け EDPB ガイドライン1/2024。CNIL 2026年執行優先事項（2026年1月発表）：採用、単一選挙人登録（REU）、スポーツ連盟 — Cookie は明示された優先重点ではないが、執行は継続。