「お客様に選択権を」。リコーのCookie同意管理を、現状把握から実装・運用まで支援

実は2021年から2022年にかけて、一度導入を検討したことがあります。

きっかけは、英国駐在時の経験でした。2017年から2021年まで現地にいたのですが、同僚がGDPRへの対応としてCMPの導入に取り組んでいるのを間近で見ていました。帰国後、日本本社でも対応が必要ではないかと考えたのです。

ただ、社内の法務や海外のベンダー数社と協議した結果、その時点では導入を見送りました。

Web業界の勉強会で、他社と情報交換をする機会があったことがきっかけです。

当時は、法規制への対応という観点では、すぐに導入する必要はないという認識でした。しかし、各社に導入理由を聞くと、法律への対応だけが目的ではなかったのです。

「お客様の個人情報の扱いについて、お客様自身に選択権をお渡しするべきだ」。そうした考え方で導入していると聞き、当社も同じようにすべきだと感じました。法律で求められているかどうかだけではなく、お客様に対してどうあるべきかという視点で捉え直したことが、改めて検討を進める後押しになりました。

どのツールをどう導入するのか、どのサイトまでを対象にするのか。そうしたことを判断する最初の段階で、まずは現状を把握することをご提案しました。

各URLで、どのサービスのCookieが使われているのかを確認できるリストをいただきました。それによって、対象サイトでどのようなCookieが使われているのか、具体的な状況を把握できました。

担当者として大きかったのは、「これらを管理するためにCMPを導入するのだ」と、管理する業務を具体的にイメージできるようになったことです。実際の利用状況を目の当たりにしたことで、ツールを導入する目的を改めて実感できました。

調査では、用途や発行元が特定できない「不明Cookie」として検出されたものもあり、一つひとつ確認していく作業が必要でした。ライセンス費用に加え、そうした対応にかかる工数も考える必要があります。

当初は、検討対象のサイトすべてに導入することも考えていました。ただ、すべてを対象とした場合の費用や作業負担を踏まえると、導入範囲を整理しなければならない。そのことが、アセスメントを通じて明確になりました。

調査の費用も抑えられていて、対応も迅速だったため、その後の検討を進めやすかったと感じています。

対象を絞り込む判断ができたのは、このアセスメントのおかげだと思っています。最終的には、グローバルサイトと国内向けの企業・IRサイトの2サイトに導入しました。

OneTrustと、もう1つの候補を比較検討しました。ここでも勉強会での情報交換が役立ちました。各社がどのツールを使っているのか、どの支援会社に依頼しているのかを聞いたうえで、OneTrustの導入支援について、貴社を含む2社に相談しました。

もう一方のツールは、ライセンス費用やサポート費用がOneTrustよりも高くなる見込みでした。中長期的に運用していくことを考え、費用面も踏まえてOneTrustを選びました。

理由は2つあります。

1つは、サポートプランの柔軟性です。必要最小限のサポートから始め、必要に応じて支援を追加できるプランだったことが、導入を判断しやすい要素でした。

もう1つは、OneTrustの実装に伴うGTMの設定まで相談できることです。今回の導入では、GTMの設定にも手を入れる必要がありました。一方、比較していた支援会社からは、その部分は別の会社に依頼してほしいという提案を受けていました。

実装を複数の会社に分けてお願いすると、当社側が間に入って調整しなければなりません。GTMも含めて対応いただけることは、パートナーを選ぶうえで大きな判断材料になりました。

OneTrustを利用するためには、すべてのHTMLでOneTrustのタグが読み込まれる必要があります。当時、OneTrust社から提供されていたのは、「HTML経由で発行されるCookieに対応する方法」と「GTM経由で発行されるCookieに対応する方法」でした。

リコーでは、HTML経由とGTM経由の両方でCookieが発行されていたため、両方に対応する方法が必要でしたが、その方法は提供されていませんでした。そこで貴社に相談し、OneTrust社へ問い合わせていただいた結果、両方に対応するための実装方法について回答を得ることができました。

追加されるのは、主に広告の計測タグです。GTMへの登録は、依頼を受けて私たちの部門が行っているため、追加されるタグを把握できる体制になっています。

貴社とはSlackを使って連携しています。サポート担当の方にもGTMのコンテナを確認いただけるため、登録したタグの内容を共有し、OneTrustへの登録や設定をお願いしています。日々のタグ追加に合わせて、必要な対応を相談する形です。

あわせて、この2年の間には、OneTrustの仕様について米国の本社へ問い合わせていただいたことも何度かありました。国内で判断がつかない内容も、間に入って確認していただけるのは助かっています。

GTMを経由せずにページ内に組み込まれるWebサービスについても、Cookieが使われているかを把握する必要があります。定期スキャンを実施いただいていますが、それだけでなく社内でも情報を集めるようにしています。

従来、社内からの依頼方法はメールやチャットなどに分かれており、統一されていませんでしたが、今後は申請方法を統一する仕組みを導入する計画です。単にツールを導入するだけでなく、新たなCookieの利用をどう把握するかという、社内の運用も見直していきたいと思っています。

導入後も、ボタンの配置やレイアウトについて検討を続けてきました。

きっかけの1つが、他社との情報交換です。同意率について話す機会があり、欧州で同じような事業を展開しているにもかかわらず、当社より拒否率が低い会社があることを知りました。その会社のバナーを見てみると、「×」ボタンが設置されていなかったのです。

当社の欧州向けバナーは、初期状態が拒否の設定です。そのため、「×」ボタンで閉じると、Cookieの利用に同意しない状態のままになります。そこで、欧州向けのバナーから「×」ボタンをなくし、同意するか拒否するかを選んでいただく形に変更したところ、同意いただける割合が10%ほど改善しました。

まずは、GTMを整理しておくことだと思います。

当社も事前に整理したいと考えていましたが、早く導入したいという思いを優先しました。振り返ると、GTMを整備してから導入していれば、もっと進めやすかったのではないかと感じています。

タグの申請の仕組みを整えることも含め、あらかじめ準備しておくと、その後の運用が楽になると思います。

Cookie管理という業務を具体的にイメージしておくことが重要だと感じています。

Webサイトがどのような構造になっているのか、GTMがどのように構成されているのか、タグをどのような体制で管理しているのか。アセスメントなども活用しながら、まずは現状を把握することが大切です。

また、当社では法務部門への相談も、導入のプロセスに組み込んできました。導入後も、必要に応じて相談する場面はあると思います。Webやシステムの担当部門だけで完結するものではないため、関係部門との連携も念頭に置いておくとよいのではないでしょうか。

オートブロッキング機能の影響で、更新・公開したコンテンツが想定とは異なる動作をしたことが何度かありました。そうした事態を防ぐためにも、事前にテストを行うことが重要だと考えています。

あわせて、社内への周知も必要です。JavaScriptやページの動作に異常があった場合は連絡してほしいと、あらかじめ共有しておくことが大切だと思います。

CMPの導入は、単に業務が1つ増えるというよりも、対応する領域が多岐にわたる取り組みだと捉えています。

CMPの導入は、ツールを設定すれば完了するものではありません。今回のプロジェクトでも、どのサイトを対象にするかという判断から、サイトの構造に合わせた実装方法の検討、そして導入後のタグ運用まで、検討すべき論点が続きました。

だからこそ、最初に現状を把握しておくことが効いてきます。どこにどのようなCookieがあるのかがわかれば、対象範囲もツールに求める要件も、具体的に決められるようになります。

当社では複数のCMPツールを取り扱っており、特定の製品を前提とせず、お客様のサイト環境や運用体制に合わせて比較・ご提案しています。導入後の運用までを含めてご支援できますので、これから検討される企業のご担当者は、まず現状の把握からご相談いただければと思います。