GDPRによって、個人のプライバシーを保護するための厳しい規則が制定されたことは、Webマーケティングにも大きな影響を及ぼしています。
EUの法律には、5つの種類が存在し、①規則（Regulation）、②指令（Directive）、③決定（Decision）、④勧告（Recommendation）、⑤意見（Opinion）で構成されています。GDPRは日本語で「一般データ保護規則」と訳されますが、「規則」は加盟国の国内法として制定し直されることなく、すべての加盟国に直接適用されるため、法的に強力な拘束力を持っています。
企業が、自社のWebサイトやWebマーケティングをGDPRに対応させるにはどのようなアプローチをとればよいのでしょうか？この記事では、GDPRに対応するための方法やどのようなツールの種類や選択肢があるのかを解説します。
GDPR対応の負担は大きくなりやすい
Webを通じたマーケティングにおいて、GDPRへの対応は法令遵守やユーザのプライバシー保護の観点から重要な課題となっています。しかし、Webサイトの設計や構成によっては対応が必要となる範囲が多岐に渡り、非常に大きな負担となるケースもあります。
Cookie利用同意関連
GDPRではCookieの利用に際してユーザの同意を求めています。同意はいつでも撤回できることも義務としているため、企業はユーザごとに同意状況のステータス管理を行う必要があります。
Cookie利用の同意については、こちらの記事でも解説しています。併せてご覧ください。
【関連記事】：Cookieの利用には同意が必要！プライバシー保護を意識したWebサイト運営を
アクセス解析方法の変更
GDPRは、企業や個人、組織が行うデータ収集と処理、保管のプロセスに厳格な規則を設けています。保護の対象としている個人データには、CookieやIPアドレス、個人を識別するIDなどが含まれており、規則に従った管理が求められています。
これらのデータは、Webアクセス解析においては必須の収集対象となっており、多くの企業が活用しているGoogle Analyticsにおいても収集の対象になっています。そのため、Google Analyticsの継続利用にリスクが生じる懸念が出てきました。
【関連記事】：GDPRがgoogle analyticsの利用に与える影響とは？
GDPRは、EU圏内に適用される法制度であるため、EU居住者を保護対象としていますが、EU域内に拠点がある企業、EU向けにサービスを提供している企業、EU向けにWebサイトを公開している企業もGDPRの適用対象となるため、日本企業にも少なからず影響があります。
このような背景から、Webサイトのアクセス解析手法や利用しているツールについて、見直しを検討している企業も次第に増えてきています。個人データの匿名化、使用目的に限定したデータの収集や保管、ユーザの同意に基づくデータ収集や利用、管理の徹底など、データを収集する前にデータの使用目的を明確にすることがこれまで以上に重要になります。
IDごとのステータス管理方法の見直し
近年、Webマーケティングにおいては、複数のシステムやクラウド間でデータ連携を行い、マーケティングや施策の戦略策定や結果の評価・改善を実行する、データマーケティングを前提にしたデータ活用が広く企業に浸透しています。
GDPRとツールに関連して念頭におく必要があるのが、同意取得管理ツールで管理しているステータスを他システムにどのように連携するかという観点です。同意のあるCookieデータは、CDPやMA（マーケティングオートメーション）ツール、CRMやABM（アカウントベースマーケティング）ツールに連携できますが、同意のないCookieデータは連携対象にしてはならない、という点に十分留意する必要があります。
また、ユーザはいつでも同意を撤回し、データの削除を要求できるため、ID識別子に紐つく個人情報やCookieのステータスを管理し、データを連携している複数のシステム間ですみやかに共有し、ユーザの削除要求に対応できる仕組みや運用をどのように構築するかを検討する必要があります。
会員ID、Cookie、ログインID、メールアドレスなど、複数の異なる識別子はマスタ化し、ユーザからのデータ削除要求に対応できる準備を整えておく、あるいはデータの使用目的によっては、データの匿名化を選択し、GDPRが適用されないデータとするなどが考えられます。
データの使用目的に合わせたマスキングや匿名化、データの粒度など、事前設計とデータ連携後の運用設計を自社のポリシーに従って、一元的に実行することが望まれます。
ターゲティング広告等の機能改修
ターゲティング広告をはじめとする、ユーザの行動履歴や閲覧履歴を基にした機能についても、見直しや改修が必要となります。このような機能はサードパーティクッキーの利用が前提となっている経緯もあり、根本的に別の仕組みを検討することも選択肢になります。
サードパーティクッキーによるパーソナライズ化された広告や機能を提供している場合、どのような見直しが可能か、ポストクッキーのソリューションや各広告媒体の情報収集を行うとともに、広告代理店に最新情報を確認するのも有効でしょう。
GDPRへの対応は、Webサイトだけの問題ではありません。データ連携をしている場合は、データ連携の元データの各システム、データの種類やその内容、データを連携している先の各システムと利用目的など、データ連携の対象と範囲、データの利用目的を正確に把握しておきましょう。
たとえ、データ連携元の各システム側で正しく対応を行っていたとしても、CDP等のデータの連携先でGDPRの要求事項に基づく対応が正しく実行されていないなど、データ連携によってデータの管理主体があいまいになっていると、対応漏れが発生するリスクが高まります。
各システムの管理者とデータ活用を行っている部門間で密に連携し、管理主体と責任分界点を取り決めるなど、漏れなく対応できる仕組みを構築し、運用において改善し続ける取組みを実行することが重要です。
GDPRに準拠するツールの種類
自社開発でGDPR対応を進めるケースもありますが、求められる法令知識、ITスキルなどが必要になるため、対応が困難に感じる企業も多いでしょう。そのため、GDPR対応を推進するツールを活用することも有効な選択肢と言えます。
CMP(Cookie Management Platform)
Cookie同意管理ツール（CMP）は、ウェブサイト訪問者からCookieの使用に関する同意を取得し、記録するためのシステムです。ユーザから同意を得るコンタクトポイントを提供し、GDPRの規則に準拠する上で重要なツールと言えるでしょう。
CMPを使用することで、同意の取得、変更、撤回を効率的に管理し、ユーザ単位の最新のステータスを管理し、必要なエビデンスを生成することができます。
Cookieレスのアクセス解析ツール
GDPR準拠のアクセス解析ツールは、個人のプライバシーを保護しながらWebサイトのトラフィックやユーザ行動を追跡する仕組みを提供しています。ツールによって機能はさまざまですが、データの匿名化やユーザからの要求に基づくデータ削除、クッキーに依存しないアクセス解析などが代表的です。
このようなツールを利用することで、企業の負担を軽減しながらGDPRに対応したWebサイト構築・運営を行うことが可能となります。
データ匿名化ツール
個人を識別したり、特定することが可能な情報を取り除いたり、マスキングしたりすることで、個人データを匿名データに加工することができます。GDPRでは個人データの取り扱いに厳格な規制を設けていますが、匿名データはGDPRの規制を受けない点がポイントです。
特定の個人に関する詳細な分析は困難になりますが、統計的な処理や傾向の把握、分析やレポートの作成は十分可能です。データの使用目的を明確にした上で、目的を達成する上で影響を受けない範囲で匿名化を積極的に行うことは、リスク回避にも繋がります。
データ匿名化については以下の記事で詳解しています。併せてご覧ください。
【関連記事】：GDPR対策に有効、データの匿名化とは？仮名化との違いや注意点を解説！
GDPR対応の進捗状況のチェックツール
各ツールの導入をひととおり検討した後、法的な要件に合わせてGDPR対応に必要な要件が網羅されているか、再確認しましょう。チェックリストやチェックツールを活用して、振り返りを行うことも有効な手段となるでしょう。
【出典】：GDPR checklist for data controllers
自社にマッチするツールを適切に組み合わせて活用することで、GDPR対応における企業の負担軽減やリスクヘッジに繋がります。
包括的にGDPR対応を支援するツール
GDPR（一般データ保護規則）の厳格な要件に対応するため、多くの企業は包括的なGDPR対応サービスの利用を検討しています。これらのサービスは、データ保護、同意管理、データの匿名化や仮名化など、GDPRに関連する様々な側面をカバーしています。
しかし、これらの包括的なツールを選択する際には、そのメリットとデメリットを理解しておくことが重要です。
包括的なツールのメリット
包括的なGDPR対応ツールの最大のメリットは、GDPRの多岐にわたる要件に対して一元的に対応できる点です。データ保護、同意管理、データアクセスの要請対応など、さまざまなプロセスを一つのプラットフォームで管理できるため、Webサイトの運営をシンプル化してトラブルを防止する効果も期待できます。
また、専門知識を持つプロフェッショナルによって設計されているため、法律遵守のリスクを軽減し、運用の効率化を図ることができます。
包括的なツールのデメリット
包括的なツールは様々な機能を搭載しているため、既に対応済みの要素や既存の運用ルールと衝突してしまうケースもあります。また、個別の機能特化のツールと比較して、単純な利用料金は高額になりやすいです。
ただし、選定したツールが運用にマッチすれば、個別にシステム改修や運用策定を行うよりもコストを抑えることも可能です。
包括的なGDPR対応サービスは、一つのソリューションで多くの要件に対応できる、効率的かつ効果的な選択肢と言えます。自社のニーズにマッチしたツールを選定することができれば、負担を抑えながら長期的な運用を見込めるでしょう。
GDPR対応は柔軟なツール活用も視野に入れよう
従来のWebサイトはGDPRを意識せずに設計・構築されているケースも多く、その環境をGDPRに対応させるためには多くの改修作業を余儀なくされることも珍しくありません。
データに関して言えば、これまでは「とりあえず取っておいて、後で必要になった時に使えるようにしておこう」と多くのマーケティング担当者が当たり前にやっていたことが、GDPRの要求事項に対応するためにアプローチを変えなければならなくなった、という状況もありえるでしょう。
設計段階で取得するデータのプライバシー関連法の法的要件を担保し、構築に移行する、といったプロセスは従来は求められることはありませんでした。今ある仕組みの改修にかかるコストや難易度が上がっている面は否定できません。場合によっては、自社単独で改修を進めるよりも、適宜外部ツールを活用して中長期的な予算計画で全体コストを抑える考え方も必要となるでしょう。
RTmetricsは、既存のWebサイトへの統合が行いやすく設計されている包括的なアクセス解析ツールです。SEOやリスティング広告、アクセス解析、CRMなどWebサイト運営に必要な機能を数多く搭載しています。
GDPR対応でシステム改修や対策を計画中の方は、ぜひRTmetricsをご検討ください。
