こんにちは。プロダクトマネージャーの山本大起です。
プライバシー保護の目的で世界的に導入が進んでいる CMP（Concent Management Platform / 同意管理プラットフォーム）をご存知でしょうか。
国内でも CMP が利用されているウェブサービスを見る機会は増えたものの、まだまだ導入している企業は少ない印象です。まして読者の方には CMP ってなんのことかわからないという方も多いのではないでしょうか。
本記事では、フライウィールが CMP を開発した背景をもとに、CMP とは何か、そしてなぜ必要なのかを説明し、CMP を導入した先のデータ活用の未来の展望まで綴っていこうと思います。
サービス内で広告配信やレコメンド表示でパーソナライズを行い、最適なコンテンツを最適なタイミングで提供するためには、ユーザーの購買データや行動ログなどのデータを収集していく必要があります。一方で、プライバシー保護の観点から、近年は個人データ1 の取り扱いは厳しく取り締まられており、世界的にも法律や規則が新たに制定されている最中です。今のインターネット時代に生きている誰しもが、パーソナライズされた広告などを見て自分の個人データが思わぬ形で利用されているようで、不安や企業に対する不信感を抱いたことがあるのではないでしょうか。
フライウィールもデータ活用プラットフォーム Conata(コナタ)™ を通じてパーソナライズを推進する一方で、プライバシーガバナンスを非常に重要視しており、ユーザーに不安や不信感を与えるのではなく、よりよい顧客体験を提供するためのデータ活用を促進していきたいと考えています。
CMP とは何か
CMP とは、サービスを利用するユーザーの個人データの利用目的を明示し、その同意内容をソフトウェア上で一元管理するためのプラットフォームです。企業としては CMP を導入することによって、サービス内で個人データをどのように利用するか目的ごとに同意を得ることができ、その同意に対していつでもユーザーにオプトアウト（拒否）する機会を与えることができます。
ユーザーから個人データの活用に関して事前に同意を得ることで、企業はユーザーとの信頼関係を築くことができ、プライバシー面でも安全で先進的なデータ活用を推進することができます。同意取得の方法としては、画像のようにポップアップなどを通じて行うことが一般的です。
画像はイメージです
導入する目的
総じて「プライバシー中心なデータ活用をするため」と言えます。
しかし特に法律や規則の影響は大きいです。CMP の導入が一般的になった背景として、2018年にヨーロッパで施行された GDPR2 によって Cookie や IP アドレスなどのオンライン識別子も個人データとしてみなされ、規制の対象となったことが挙げられます。それにより、EEA3 域内でサービスを運営し個人データを利用するためには、ユーザーから事前に同意を得ることが必要となりました。これは日本国内で運営するサービスであっても、EEA 域内のユーザーに対して Cookie 情報を取得しターゲティング広告を配信する場合なども含みます。
GDPR の違反に対しては非常に重い罰金が伴っており、2000万ユーロ以下か全世界の年間総売上の4％以下の、いずれか高い方の金額が科せられます。過去にも Google や Amazon といった巨大テック企業が GDPR 違反で取り締まられた際には、5000万ユーロや7億4600万ユーロと容赦のない罰金を科されています。
一方で CMP の導入は、法令遵守という目的のみならず、企業のブランディング効果も見込めると考えられています。プライバシー保護の世間的なニーズの高まりに対して真摯に取り組む姿勢が、そのまま企業への信頼につながることも珍しくありません。ユーザーに対して個人データがどのように利用されるのかを丁寧に説明し、それがどのような体験に繋がるのかを事前に理解してもらうことで、サービスや企業のブランド力につながります。また実際に同意が得られた際には、その同意された範囲内で最大限の顧客一人ひとりに寄り添った体験を提供し、顧客満足度と収益性を同時に向上させます。その実現のために近年 CMP の導入が進んでいると言えます。
導入すべき企業
GDPR だけでなく CPRA4 をはじめ、個人データの利用に対しては国際的に厳しく取り締まられ始めており、特に欧米市場へ参入する企業にとっては今すぐ CMP 導入を考えるべきです。
一方で日本市場に特化している国内企業にとっては、どうでしょうか。
日本における個人情報保護法では、個人データの第三者提供をする企業に限り同意管理が原則必要とされています。個人データの第三者提供に関しては、国内企業でも今すぐに導入を考えるきっかけとなるパワフルなものだと考えており、最終章で丁寧に説明しています。
国内においては Cookie や IP アドレスは個人データとしてみなされてはおらず、利用にあたっての事前同意は法律上必要とされていません。そのため、Cookie 取得に関しては同意なしに自由に行われているケースが多い印象です。
個人情報保護法は3年ごとに検討を行い、必要に応じて改正されることになっています。直近では2022年4月に改正個人情報保護法が施行され、Cookie などのオンライン識別子は個人関連情報5 として解釈されることとなりました。ステップバイステップではありますが、プライバシー保護のニーズの高まりを踏まえると、次の2025年の改正時には欧米水準の規制レベルに引き上げられる可能性もあると思います。
同意管理はなぜ必要なのか
プライバシー保護には法令遵守はもちろんのこと、世間のニーズに合わせて柔軟に取り組んでいく必要があります。そのため、企業としては個人データの取り扱いに求められる考え方や理念を理解し、それに対して真摯に向き合うことが重要であると思っています。
世界的な模範ともなっている個人情報保護関連の規則 GDPR では 、「個人情報はそれぞれ個人のものであり、企業は個人から同意を得る等の法的根拠に基づく場合にのみそのデータの利用を可能とする」という姿勢が理念となっており、その姿勢を実現するために CMP の利用が強く推奨しています。
多くの国ではプライバシー保護関連の法律や規則はまだまだ整備中であり、世間の求めるレベルに達しているとはいえません。たとえ法律的に問題のない範囲ギリギリで個人データを利用していたとしても、それはレピュテーションリスクが伴い、場合によってはひどい損失を生む可能性もあります。以下で個人データの取り扱いによって、社会的に批判を受けた国内でのケースを紹介し、同意管理をしていた場合に防げた問題であったかどうかを考えてみたいと思います。
ケーススタディ: Suica 乗降履歴データ提供
2013年6月に JR 東日本は日立製作所へ Suica の乗降履歴を外部提供する旨を公表したところ、プライバシーへの配慮が足りていないと批判が相次ぎ、中止に追い込まれました。
批判の大きな要因となった言われているのが、本人申し立てでデータの販売、譲渡を止められるオプトアウトの窓口を告知していなかったことです。これはユーザー、プライバシー専門家、マスコミのいずれもが厳しく批判していた点です。JR 東日本は「個人情報保護の問い合わせ窓口で申請があれば、個別に対応していた」と主張していましたが、オプトアウト可能であることを周知はしていませんでした。
古い事例とはいえ、事前にデータの販売に関しての同意を管理し、CMP の基本機能でもあるオプトアウトの導線を明白に確保していれば、販売中止を防げた可能性は高いと思います。中止から8年経った2022年1月に JR 東日本は Suica の乗降履歴を活用した駅ごとの統計データを社外向けに販売すると再度公表しました。今回はプライバシーに十分配慮した形を取っており、批判の声も少ないことを考えると、ユーザーはプライバシー保護をある一定のレベルまで求めており、同意管理は一つ重要な取り組みと言えそうです。
ケーススタディ: リクナビ 内定辞退予測データ提供
2019年8月にリクルートキャリアの運営する就活情報サイト「リクナビ」が、本人からの同意なしに就活生の内定辞退率を予測し、そのデータを計38社に提供していたことで大きな騒動となりました。その後リクルートキャリアは同意取得に不備があったことを発表し、サービス廃止を決定しました。
リクルートキャリアはユーザー個人が特定されるかたちで内定辞退率を提供することについて、プライバシーポリシーによって同意を取得できていると判断していたようです。しかし実際のところその説明は不明瞭であり、同意の取り方自体もプライバシーポリシーに紛れ込ませる形で、同意せざるを得ないような状態だったと言えます。
本ケースは、情報自体が人生を左右する重大なものであったことや提供を受けた企業がその情報を選考には用いないということを誰も保証できないことなどが批判の大きな要因なため、同意の取り方を正すことでサービス廃止を防げたかは怪しいです。しかし明確に利用目的を示し、それに対してユーザーからの同意を管理していた場合にはニュースの受け取られ方は大きく変わっていたと思います。法的な観点でも行政指導を受けるほどにはならなかったと思います。
CMP の基本機能
ここまで同意管理の必要性について綴ってきましたが、ここからは CMP がどういうものなのかについて、実際にフライウィールが開発した CMP の画面イメージとともに具体的なイメージを持ってもらいたいと思います。（注: 画面イメージはあくまでデザイン上のものであり、実際のプロダクトとは異なる可能性があります。）
同意取得
同意取得は CMP の最も基本的な機能であり、ユーザーに対して個人データを利用することに同意または拒否してもらうためのものです。下の画像のようにポップアップを通じてユーザーに回答を促し、詳細に設定したいユーザーに向けては利用目的ごとのポリシーとそれぞれに対して同意状況を変更できる画面を表示します。
画像はイメージです
画像はイメージです
ポップアップやポリシーの文面は導入する企業ごとに自由にカスタマイズすることができ、ユーザーからの同意が必要となるさまざまなポリシーを全て CMP 上で一元管理することが可能です。越境 EC などの多言語対応したサービスを運営している場合には、一つのポリシーに対して複数の言語を登録することで、サービス内の言語に合わせた文面で同意取得することも可能にする予定です。また、法改正やポリシー改定のタイミングで文面を修正した際には、ポップアップを通じてユーザーに再度回答を促します。
近年では、Cookie 利用の同意取得のために CMP を導入するサービスが増えており、その背景は前述した通りです。個人情報保護法では Cookie 単体では個人データに該当せず、GDPR で求められるような規制はありません。そのため、国内ではポップアップを通じた同意取得はまだ一般的とは言えませんが、個人データの利用に関する同意については、利用規約など何かしら別の形で取っていることが多いです。一方で同意の取り方には多くの課題が散見され、その例を以下に挙げてみます。
- 本来拒否する権利があるべきポリシーに関しても、全て利用規約に盛り込まれおり、ユーザーは同意しないとサービスを利用すらできない
- ポップアップなどで個人データを利用することを通知はするが、拒否する選択肢がない
- 一定の条件を満たしたユーザーについて、利用規約の内容に同意したものとしてみなしてしまう（みなし同意）
プライバシーガバナンスを強化するためには、オプトイン方式と呼ばれるユーザーに何かしらのアクションを取らせて同意を得ることが重要で、それに合わせていつでもオプトアウトできる導線も明確に示すことが求められます。
タグマネージャー
先ほど Cookie を利用するにあたって事前にユーザーから同意を取るために CMP を利用すると書きました。そのためには同意管理だけでなく、 Cookie を保存する JavaScript タグなど（以下: タグ）を同意が得られた場合のみに動作するよう管理する必要があります。この技術はゼロクッキーロードと呼ばれ、Cookie 利用規約に同意を求めるポップアップを表示すると同時に、同意が得られる前にはあらゆる拒否可能な Cookie を利用するタグの読み込みを停止します。Cookie 利用に関するポップアップを設置していたとしても、実は回答前から全てのタグが動作しているようなケースもときどき散見されます。これは GDPR などではすでに禁止されているので注意が必要です。
同意を得られた内容に応じたタグのみを読み込むために、タグと同意項目をあらかじめ紐づけることでタグの動作を管理します。一般にウェブサービスが正しく機能するために必要なものや分析用にトラッキングするためのもの、広告用にターゲティングするためのものなど、利用目的ごとに埋め込むタグを事前に分類し、例えば分析用の Cookie 利用を同意をしてくれたユーザーに対してのみ Google アナリティクスタグを読み込むなどをします。
外部システム連携
ユーザーから個人データを利用することに同意を得られたら、あとはそれらのデータを余すことなく活用していくだけです。”だけ”と書きましたが、ここが最もチャレンジングなところであり、またフライウィールが強みにしているところでもあります。
ある特定のポリシーに対して同意が得られているユーザーをバルクで返す API から、マーケティングや広告に利用する外部システムと連携します。例えば CDP6 や DMP7 と連携して、同意ユーザーのみに対して DM をパーソナライズ配信するためのセグメントを生成したり、同意ユーザーのみの個人データを用いて広告配信やレコメンド表示をパーソナライズするための機械学習モデルを作成できます。
多くの企業において CMP の目的は、法令遵守で Cookie 利用の同意取得をするためと考えられがちであるものの、Cookie に限らず全ての個人データの利用に関する同意データを一元管理し、本機能からさまざまなデータ活用に展開していくことが理想です。弊社のプロダクト Conata は、クライアントのモバイルアプリやウェブアプリと連携し、ユーザーの同意管理からその後の広告配信やレコメンド表示までを一貫して行う機能を備えたプラットフォームとなっています。
CMP から大規模なデータ連携へ
CMP を導入するモチベーションとして、法令遵守やレピュテーションリスクという守りの姿勢とマーケティングなどにデータを活かしていくという攻めの姿勢の両面があることをここまで説明しました。
一方で、広告などの文脈でデータ活用するために事前に同意取得しようとすると、活用できるデータボリュームが少なくなり、パーソナライズの精度や広告事業自体の収益が下がる可能性があります。その問題を解決するために用いられる手段の一つとして、個人データの第三者提供があります。個人データの第三者提供とは「データを取得者以外の第三者に提供すること」で、グループ企業内でデータを共有する目的であったり、連携サービス間でデータを売買する目的で行われることが一般的です。
わかりやすい例で言うと、銀信証連携 (銀行・信託・証券の金融グループ内のデータ連携) が挙げられます。顧客のライフステージや資産データを連携させることで、ユーザーの将来のライフイベントに合わせた資産構築のための投資を提案できます。企業にとっては、必要なデータを別サービスから補うことで統計モデルの精度向上や多面的な視点で新たな価値構築が期待できます。ユーザーにとっても、全く関係のない広告やレコメンドをランダムに受けるのではなく、より価値のある情報を知ることができ、満足度は向上するはずです。
しかし、個人データの第三者提供をするためには、国際的にはもちろん国内であっても提供元がユーザーから事前に同意取得することが原則必須です。これは同グループ企業内のデータ連携であっても同様で、自由にデータを横流しできるわけではありません。また、個人関連情報の第三者提供についても、提供先で個人データとして利用することが想定される場合にはユーザーからの同意が必要です。その場合には、基本的には提供先の第三者がユーザーから同意を取得し、提供元は本人同意が得られていることを確認することが義務付けられています。個人関連情報を企業間でデータ連携するために CMP を利用して同意取得し、実際にレコメンドや広告にデータを活かすまでのアーキテクチャを簡易に描くと以下のようになります。
個人データの第三者提供はユーザーからの同意が必要とされるものの、データ活用において大きなポテンシャルを持っています。プライバシーガバナンスを重要視した先進的なデータ活用を推進していくにはデータボリュームに問題が出てしまうのですが、それらはグループ企業や連携サービス間でデータを連携させることで解決させます。これらを実現するには法律的にも評価的にも技術的にも CMP 導入が必要です。
おわりに
同意管理に関する入門的な内容から、CMP を導入しプライバシー中心で先進的なデータ活用を推進していくイメージまで共有させていただきました。プライバシー保護やユーザーの同意管理について悩みや疑問があり、今回 CMP に興味を持っていただけた場合には、ぜひ以下のフォームからご相談ください。
フライウィールへのご質問・お問い合わせはこちらのフォームからお願いします。
Notes
1. 個人データ 個人情報を容易に検索することができるように体系的に構成したもの。国内外で微妙に定義が異なるものの、本記事ではわかりやすさを重視するため表現を統一する。↩
2. GDPR (General Data Protection Regulation) 2018年5月に施行されたプライバシー保護が目的の法令で、個人データの取り扱いに関して詳細に定められた EEA 域内の各国に適用されている。↩
3. EEA (European Economic Area) ドイツなど EU 加盟国27ヵ国とノルウェー、アイスランドおよびリヒテンシュタインを加えた30ヵ国。↩
4. CPRA (California Privacy Rights Act) 米国カリフォルニア州で適用されるプライバシー関連法。2020年1月に施行されたカリフォルニア消費者プライバシー法（CCPA）を改正する法律。↩
5. 個人関連情報 2020年改正個人情報保護法第26条の2第1項で定義されており、具体的には Cookie、IP アドレス、端末 ID などの識別子情報などが該当する。↩
6. CDP (Customer Data Platform) 自社の複数のソースから顧客のデータを収集および統合して、一貫性のある顧客データベースを構築するデータ基盤。↩
7. DMP (Data Management Platform) 自社と外部の様々なデータを管理するデータ基盤。一般的に広告ターゲティングの精度改善をするのに特化した設計となっている。↩
