セミナーレポート前編：改正個人情報保護法、データ活用への影響は？どう変わる？改正個人情報保護法を見据えたプライバシー×データ活用のポイント

中道

会社のプライバシーポリシーやデータガバナンスの管理、従業員の教育も僕のミッションです。あとはプライバシーに関するKPIの策定や運用もCPOの役割です。直近では個人情報保護法の改正の動きもあるので、その対応もCPOがメインで動いている状況です。
海外ではGoogleのようなユーザーのデータを多く取り扱う大手企業には大体CPOが設置されていますが、国内ではまだまだ少ないのが現状です。

中道　

日本のCDOの役割として『データを活用していく』こと以外に、実は『データを守る』というミッションもあります。このどっちつかずなところが日本のCDOの課題だと思っています。

中道　

罰金刑の最高額が30万円から1億円に引き上げられたことが大きなポイントです。あとは個人関連情報の創設が、CookieやWebデジタルマーケティングに一番影響があると思います。

中道　

これは個人情報保護委員会が発表したものです。A社とB社があり、A社がDMPベンダーとしましょう。A社が独自に集めたデータをCookieを介し、B社がデータを受け取ります。最終的にそのデータが個人情報と紐づく場合は、事前にB社がユーザーから同意をとる必要が出てくる...というのが今回の改正のポイントです。もう少しわかりやすく言うと、パブリックDMPのようなデータ提供元と、データ提供先に広告主やクライアントがあり、その先にエンドユーザーがいるイメージです。3rd party cookieを介してCRMと紐づける場合は、クライアントとユーザー間でしっかり同意を取得する必要がある、ということです。

中道　

解析ツールやCDP、広告など、それぞれでCookieの使用許可をとる必要があります。けれど各ベンダー単位でCookieの同意を取るというのは難しいですよね。
タグも広告運用のなかで追加したり削除したりというケースが多く、さらにCookieポリシーも頻度高く更新される。そこが、同意を取る難しさかなと思っています。

中道　

CMPを間に挟むことによって、分断されがちだった各ベンダーの同意情報を一元的に取得し管理できるようになります。メリットは法律を守れること、パーソナルデータの取り扱いに関する企業のブランディングの維持・向上。デメリットは費用がかかること、取得できないCookieが一部出てくるのでマーケティングに利用可能なCookie数が減少する可能性があることです。

中道　

海外でのCMPの導入率として、UKとUSの2018年以降のデータが出ています。
UKのPublishers Only（広告枠を受け入れているようなメディア）の場合、CMP導入率は現時点で39％です。Publishersに拘らず上位1万社で見ると、23%がCMPを導入しています。
2018年のGDPR施行後のデータで見ると、直近まで右肩上がりで増加しています。海外では大手WebサイトにCMPが導入済みである、というのが大きな流れかなと思います。

中道　

これは弊社の調査データで、コーポレートサイトを対象に上場企業の各業種売上高上位40位と100位をリサーチしています。上位40位の企業だと、6.45%の企業が導入しています。それが上位100位まで見ていくと4.70％になります。このデータから『大手企業から順次同意バナーの導入が進んでいる』というのがわかります。
また、タグをたくさん入れないであろうコーポレートサイトでも同意バナーが入っていることから、法律を守るというより『レピュテーションリスクの回避』が目的であろうということがわかります。

中道　

施行は2022年で、もう少し先ではありますが、同意取得の蓄積とUI/UX改善が重要です。設置テキストやボタンの配置が変更可能なので、どれだけ同意の取得ができるかのPDCAを回すためにも、なるべく早い導入が求められていると思います。

中道　

なるべく早めにご検討いただくのがよいかと思います。国内上位40位で6.45%、上位100位までいくと4.70%でまだまだ低い状況かと思いますが、これから施行に向けて伸びていくんじゃないでしょうか。

中道　

海外はCookie単体で個人情報に該当しますが日本は該当しないので、最終的に個人情報と紐づく場合のみ同意取得が必要です。ターゲティング広告やDMPのデータコピーと、CRMや個人情報と紐づく場合のみです。海外ほど必要でもないけどユースケースによって必要になってきます。あとはレピュテーションリスクをどう考えるかが肝になりますね。

中道　

そうですね。これは我々のレンタルCPOみたいな感じで、コンサルティングサービス領域から携わります。プライバシーポリシーの改修の相談、データの取り扱いの提案もさせていただきます。

梁島　

プライバシーポリシーの改修は結構時間がかかるイメージですが、実際に今から検討しても実は1年ぐらいかかっちゃう会社もあるんじゃないかな。待ったなしな感じがしますよね。

中道　

半年～1年はかかりますね。

梁島　

そうなんですよね。だから、個人情報保護法が施行されてから始めると結構遅いってのはあるんじゃないかな。危機感を持ってる会社が周りで増えています。

中道　

今、相談多いですね。

梁島　

入れるCMPによります 。海外のCMPツールは、そのCookieが何の役割かをひとつひとつ人間が制御するケースが多いのですが、日本のツールはカバーされてないケースもあります。『同意しない』を選択した場合にCookie制御が担保できるかといわれると、ツールによっては担保できない領域も多いんじゃないかなと。使用ツールとCMPの相性を見ていただくとよいと思います。

中道　

これもCMPでポップアップを出すツールでしょ、という感じがしますけど、裏側で動いてる仕組みは各社若干違ったりします。意外と意図した挙動にならないケースはあるのかなと思っています。

中道　

おそらく今後、同意情報の統合管理が必要になってきます。オンラインとオフラインをまたぐ場合は、IDの一気通貫でユーザーに紐付いたIDラインを同意取得していく必要があります。

梁島　

本来(オフラインでも）個人情報の取り扱いは元からきちんと目的や利用用途などを明示するはずなので、ここは今後もきちんとやっていかなければという認識ですね。

中道　

オフラインは紙で同意を取ったりするので、そもそもデータ化されてないところが課題だったりしますね。