企業がCMPを導入する必要性とは〜クッキー規制が迫りゆく環境への対応策〜

　
2021年6月1日、株式会社Legoliss主催のオンラインイベント「企業がCMPを導入する必要性とは〜クッキー規制が迫りゆく環境への対応策〜」が開催されました。

GDPRやCCPAなどプライバシー保護に関する法案改正が進み、日本でも個人情報保護法の改正によりCookieの取り扱いに関する規制が始まっています。その対策として注目されているのが、Cookieデータ利用時にユーザー本人の同意を取得・管理することができるCMP（Consent Management Platform）です。

そのCMPを提供する3社として、Priv Tech社中道氏（Trust360）、OneTrust社ロブ氏（OneTrust）、アンダーワークスからはプリンシパルの田口（Ensighten）がゲストスピーカーとして参加した他、弁護士の大井先生がアドバイザーを、Legoliss社の中嶋氏がモデレーターを務め、「CMPを導入する必要性」に関するパネルディスカッションが行われました。その様子を、レポートにてご紹介します。

>> 各登壇者のプロフィール等はこちら

Cookie利用に制限がかかる未来での、CMPの必要性について

ーロブ　今、同意管理は2つの意味で変化しています。ひとつは、新しいプラットフォーム、テクノロジーに対する制限への対応と、もうひとつは、法規制への同意管理等の対応です。CMPは、オプトアウトだったのがオプトインに変化しているので、お客様の信頼を得るためにも必要な措置となってきています。

ー田口　改正個人情報保護法の施行に伴い、データを活用する際の当たり前のアクションとして「CMPの導入」が必要になってくると考えます。顧客の信頼は、企業のブランドやビジネスの信用度に繋がってきますので、デジタルマーケティングのためにしぶしぶ同意管理のツールを導入するというよりかは、データを使うからCMPも使うのは当たり前だよね、という感覚にトレンドとして移っていくのではないでしょうか。

ー中嶋　改正個人情報保護法は、データ活用を制限するというよりも、データを正しく使っていこうという意味合いがありますよね。

ー中道　現状、国内でCMPを導入する企業は一部に限定されており、どこまで広がるのかが課題です。たとえば、UKの上場企業トップ350社を見ると90%近くの企業がCMPを導入しています。一方で、国内ではUllet業種別上位100位までの上場企業約2001社の中でも、CMPを導入している企業は約7%に留まります。CMPの導入は、将来の法規制への対応だけではなく企業のブランディングにも繋がっていくことを意識すべきと考えます。

ー大井　GDPRと日本の個人情報保護法の大きな違いは、日本では「Cookieは個人情報」と定義されていない点ですが、今回の改正個人情報保護法により、一部のユースケースに初めてCookie規制が入りました。しかし、日本では「Cookieの第三者提供」に焦点が当てられており、「収集」することに対しての規制ではありません。

海外では、Cookieを収集すること自体に一定の要件を立てていますが、日本法では収集に対しては、規制がありません。日本において同意が必要なのは、提供元からCookieの提供を受け、提供先において個人情報として収集するケースに限られています。そのため、CMPの機能を使う場合、日本の規制にどのように対応していくのかが論点になっています。日本と海外で求められている規制にギャップがある点が鍵です。
　

グローバル市場でのCMPの現状と今後の動向について

ーロブ　現在、日本でも顧客の情報利用に同意を得るために、CMPを導入し始めている流れがあります。顧客側もデータ利用について知識を溜めているので、企業は透明性を高めて、信頼されるブランドをつくっていく必要性が高まっています。

ー中嶋　日本企業のCMPに対する意識が高くなってきていると感じる瞬間などはありますか？

ーロブ　Cookie利用の様子から見て取れる部分もありますし、さらに、顧客データを収集してより良いデータを使っていきたいという要望が増えてきました。特に日本のグローバルカンパニーがそういう特徴を示していて、まずは海外で動いてみて、国内でもそれに追随している状況です。

ー田口　緩やかにトレンドが生まれつつあるので、CMP導入のプランニングにおいて、より専門性の高い知見が必要になってきています。たとえば日本のグローバル企業は、海外ともデータ連携したいとか、海外の展示会で得たデータも一緒に溜め込んでマーケ活動に使っていきたいなど、シナリオによって、どんな法律にどう準拠すべきか考える必要があります。一概にCMPを導入すればOKとはならないので、テクノロジー活用に留まらない、全体的な知見が求められています。

ー中道　方向性や手段に応じて、様々な検討が必要になってきます。そもそも海外と日本では法律の内容が違うので、フィットする仕組みも違ってきます。正直、欧米と比べても日本の法律は全然違うのでしんどいですね（笑）。でも、この時勢もあり、多くの企業が海外進出を考えているので、海外と日本の両方のレギュレーションに合う図を作っていく必要があります。そこをキャッチアップして吸収していく、というのをプロダクトベンダーとしては考えています。

日本市場におけるCMP普及の現状と課題について

ーロブ　現在、多くの日本企業がさまざまな規制対応を検討しています。なので私たちも、お客様がどのチャネルからどのデータをとりたいかを把握する必要があり、その要件を満たすためのプラン、実装計画をまとめていかないとなりません。

ー田口　規制への対応が必須になる時までわずかな時間しかありませんが、対応への責任、義務、ビジネスインパクトの理解が、企業側で追いついていないのが現状です。情報セキュリティの観点も、議論するまでに至っていません。僕たちが相談を受ける際にも、個人情報とプライバシーは何が違うのかは、それはマーケ部門がやるのか情報システム部門がやるのか、が問題になっているので、まずは企業の思想から変えていく必要があると思います。

グローバルでは、CMPのベンダーが100以上も登場しています。我々がCMPの販売を開始した3年前は、国産のものは存在しませんでした。これからPrivTechさんをはじめ、国産のCMPがますます盛り上がっていくことも、日本企業の意識を変えるきっかけになると思います。今後、ビジネスにおいて競争力を確保するには、Cookie規制への対応が必須になってきますし、そういう時代はすぐそこまで来ているという認識を持つことが大事ですね。

ー中道　一方で、個人情報保護委員会からのアナウンスのみでは、企業は対応を十分に用意できない現状もあります。たとえば、ツール系のベンダーは、事前にTCFに登録しますが、そもそも日本は法律が違うからTCFのスキームでいいんだっけ？という議論もなされていません。広告業界もガイドラインをまだ出しているわけではないので、理解を統一していくためにも、業界との足並みを揃えていくことも重要です。

ー大井　CMP普及については、ふたつの側面に分けて考えると良いと思います。ひとつは、個人情報保護法はGDPRに近づくのかということ。もうひとつは、デジタルマーケティングがGDPRに近づいていくのかということです。

日本の法規制が海外の個人情報保護法の水準になるにはまだ時間がかかるかもしれませんが、デジタルマーケティング業界の実務レベルでは、法律改正を待つことなく、同意をベースとして様々なデータを多面的に活用していく方向にあります。企業としては、法律に準拠するのは最低限のラインであり、個人データやCookieデータを組み合わせて多面的に分析し、利活用を行う企業は、ユーザにデータの利活用の形態を充分に説明し、ユーザの理解を得ることがポイントとなってきています。

Q&A抜粋

Q. 来年4月の改正個人情報保護法に向けて、日本企業はどのような動きをしていくのか？

ー田口　デジマケ分野では、法律の有無にかかわらず、実務ベースで仕組みの運用が始まっています。なので、データ活用や統合プラットフォーム整備などに重点的に取り組んでいる企業は。ユースケースを理解した上での取り組みが進んでいくのではないでしょうか。

一方で、理解はこれからという場合は、とりあえずCMPを入れてみようか、というスタンスでの導入になっていくと思います。もしくは、競合他社が入れ始めたら自社も取り組みを始めるなどといった、日本らしいトレンドになる気がしています。

ー中道　僕たちもプロダクトリリースから１年ほどが経つ中で、当初は法の施行まで待つといった声も多かったですが、最近は導入は決定しているのでプロダクトを選定中というステータスの企業がすごく増えています。問い合わせも増加していますね。

Q. グローバル企業ではルールの整備前にCMP導入を進めていたのか、整備後に進めたのか？

ーロブ　様子を見て決めようとする企業もあれば、法律制定前から準備を進めていたところもあります。これはアメリカに多いですが、さらにインドでは、法案可決前から企業が準備を始めている状況です。

Cookieや個人データの利用にまつわる状況は、天候が変わっていくのと同じなので、法律の施行を待つのではなく、天候の変化に対応できる準備を進めていくことが大事です。お客様のためにプライバシーを守り、企業として信頼してもらえるようになるには、事前の準備が必要と考えています。
　