CMPとは？ Webサイト制作・CMS運用から考えるプライバシー対応

Webサイトのリニューアルでは、CMS、サーバー、セキュリティ、アクセシビリティ、SEO、アクセス解析など、さまざまな要件を整理します。

では、プライバシー対応はどうでしょうか。

例えば、日本の企業や研究機関が英語サイトを運営し、欧州を含む海外との取引や研究活動、職員の採用などを行っている場合、Webサイトでどのような情報を取得しているのか、対象となる地域のプライバシー規制を踏まえてどのような対応が必要なのかを確認する必要があります。

ところが実際のサイト制作では、「Cookie規制にどう対応するか」「GDPRへの対応が必要か」という議論以前に、プライバシー対応そのものが要件定義の検討項目に入っていないことがあります。

CMP（Consent Management Platform）は、こうしたWebサイト上のプライバシー対応を実装・運用するために使われる仕組みの一つです。

この記事ではCMPの基本的な役割と、日本国内・海外向けサイトでCMPを検討するときの違い、導入時・導入後に考えるべきことを、Webサイト制作とCMS運用の観点から解説します。

この記事の要点

• CMPは、Cookieバナーを表示するだけでなく、Webサイト上の情報取得について透明性を確保し、利用者に同意・拒否の選択肢を提供するための仕組みです。
• 日本では欧州と同じCookie規制があるわけではありませんが、透明性や本人関与、企業のプライバシー方針を実装する手段としてCMPが利用されています。
• 海外向けサイトでは、対象地域や事業活動によってGDPR等を含むプライバシー対応を要件定義から検討する必要があります。
• CMPは導入して終わりではなく、CMSから追加される外部サービスやCMPの動作状態を含め、Webサイトの変更に合わせて継続的に管理する必要があります。

CMPとは

CMPは「Consent Management Platform」の略で、WebサイトやアプリにおけるCookieなどの各種追跡技術について、利用者への情報提供や同意・拒否の選択、その選択に応じた制御などを行うための仕組みです。

Webサイトを開いたときに表示されるCookieバナーはCMPの目に見える部分の一つですが、CMPの役割はバナーを表示することだけではありません。

Webサイトで利用しているサービスやCookie等を把握し、

• どのようなサービスを利用しているか
• どのような目的で情報を取得しているか
• どの第三者サービスへ情報が送信されるか
• 利用者が同意または拒否できるか
• その選択に応じて対象サービスを動作させるか

といった情報の開示と制御を行います。

日本では、なぜCMPを導入するのか

日本と欧州では、Cookie等を取り巻く法規制が同じではありません。

日本では、欧州のようにCookie等の追跡技術について広く事前同意を取得することが一律に求められているわけではありません。

一方で、Cookie等を通じて取得される情報が個人情報保護法上の「個人関連情報」に該当する場合があるほか、その提供・利用方法によっては法令上の対応が必要になります。

こうした法的義務への対応とは別に、日本国内におけるCMPには、大きく二つの役割があります。

一つは、Webサイトでどのような情報取得が行われているのかを利用者に示す「透明性」の確保です。

もう一つは、Cookieをはじめとする各種追跡技術について、利用者自身が同意・拒否を選択できる「本人関与の機会」の提供です。

企業としてプライバシーを重視する姿勢を利用者に示すことや、将来的な規制やプライバシー要求の変化を見据えることも、CMPを導入する理由になります。

そのため日本語サイトでは、すべてのCookieについて事前のオプトインを求めるのではなく、利用目的などを開示した上で、利用者が必要に応じて拒否できるオプトアウト型の運用が採用されることもあります。

海外向けサイトでは事情が変わる

日本企業や国内の組織が運営するWebサイトであっても、対象が日本国内だけとは限りません。

例えば、

• 海外向けに商品やサービスを提供している
• 欧州を含む海外から問い合わせを受け付けている
• 海外の企業・研究機関と活動している
• 海外から研究者や職員を採用している

といった事業活動にWebサイトが利用されている場合があります。

英語サイトが存在するという事実だけでGDPRへの対応要否が決まるわけではありません。

重要なのは、Webサイトが誰を対象としており、どのような個人データを取得・処理しているのかを確認することです。

必要に応じて法務担当者やプライバシーの専門家と連携し、対象地域の規制を踏まえた対応を検討します。

大規模なWebサイトでは、こうした海外向けサイトへの対応を契機としてCMPを導入し、ガバナンスや運用統一の観点から日本語サイトにも同じCMP基盤を展開することがあります。

その場合でも、すべての地域で同じ同意方式を採用する必要があるとは限りません。

海外向けサイトでは対象地域の規制に応じた同意管理を行い、日本語サイトでは透明性や本人関与を目的とした運用を行うなど、対象地域に応じて設計することができます。

CMPの導入では何をするのか

CMP導入は、WebサイトにCookieバナーを追加するだけの作業ではありません。

まず、Webサイトでどのようなタグや外部サービスが利用され、それらがどのような情報を取得・送信しているのかを把握する必要があります。

弊社ではCMPを導入する際、主に次のような工程を行います。

1. Webサイトで使用されているタグや外部サービスを棚卸しする
2. Cookie等の利用目的や対象サービスを整理する
3. CMPを設定する
4. WebサイトやCMSへCMPを組み込む
5. 同意・拒否に応じて対象サービスが適切に制御されることを確認する

つまりCMP導入は、Webサイト上で行われている情報取得を把握し、利用者への説明と実際の制御を対応させる作業でもあります。

CMPを導入した後もWebサイトは変わる

CMPを導入して公開すれば、それで状態が固定されるわけではありません。

特にCMSを利用したWebサイトでは、公開後も担当者によってページやコンテンツが追加されます。

例えば、動画、SNS投稿、地図、外部フォームなど、新しい外部サービスがCMSから追加されることがあります。

そのサービスがCookie等を利用していれば、Webサイト上では新しい情報取得が始まる可能性があります。

しかし、その変更がプライバシー管理側に共有されなければ、

• CMPにサービスが登録されていない
• Cookieポリシーのサービス一覧に掲載されていない
• プライバシーポリシーの利用目的と実態が一致していない
• サービス側で行われるデータ利用を把握していない

という状態が発生します。

シャドーAIになぞらえるなら、管理側が十分に把握しないまま外部サービスがWebサイトへ追加される「シャドー埋め込み」とも呼べる状態です。

これはCMSで外部サービスを利用できること自体が問題なのではありません。

Webサイトの変更と、CMPやプライバシー関連文書の管理をどのように同期させるかという運用上の問題です。

CMPを導入して終わりではない

もう一つ注意したいのが、CMPそのものの動作です。

弊社がCMP導入後のWebサイトを確認する中では、ページ内のJavaScriptとの衝突によってCMPが正常に発火していなかったり、一部のページにCMPが導入されていないにもかかわらず、Cookie等を利用する外部サービスが動作していたりする状態を確認することがありました。

CMPの管理画面で正しく設定されていても、実際のWebサイトがその設定どおりに動作しているとは限りません。

利用者に拒否する選択肢を表示していても、拒否したサービスが実際には停止しなければ、本人関与の機会を実質的に提供できているとはいえません。

同様に、Webサイトで何が動作しているのかを把握できていなければ、十分な透明性を確保することもできません。

そのためCMPは、導入時に一度設定して完了するものではなく、

把握 → 説明 → 選択 → 制御 → 確認

をWebサイトの変更に合わせて継続していく仕組みとして考える必要があります。

CMP導入・運用

IIJが提供するCMP「STRIGHT」の導入を取り扱っています。

STRIGHTは、日本国内のプライバシー対応に加え、海外のプライバシー規制への対応を含め、日本語で専門的な支援を受けながら導入・運用できるCMPです。

弊社では、IIJの専門的な知見とCMPを利用しながら、Webサイト側のタグ・外部サービスの棚卸し、STRIGHTの設定、CMSへの導入、実装・動作確認を行います。

また、CMP導入後のWebサイトで意図しないCookie等の発火を確認してきた経験から、Movable Type / Movable Type Premium / PowerCMSを利用するWebサイトでは、CMPだけに制御を依存させず、CMS側にも制御手段を持たせる「CMPガバナンスパック」を提供しています。

CMPを導入すること自体をゴールにするのではなく、Webサイトで実際に行われている情報取得を把握し、利用者への説明と選択肢、実際の制御を一致させ、その状態を継続的に維持する。

そこまでをWebサイトにおけるCMP導入・運用として考えています。