広告付きサイト向けのGDPRを、難しい法律用語なしで解説

EEA、英国、スイスからのトラフィックがあるパブリッシャーにとって、パーソナライズ広告の要件です。AdSenseとAd Managerのプライバシーとメッセージは、その選択肢の一つです。

2024年1月16日から、AdSenseとAd Managerでは、EEAでパーソナライズ広告を表示するために、Google認定でIAB TCFに対応したCMPが必須になっています。CMPがない場合、そのトラフィックには非パーソナライズ広告または制限付き広告しか配信できません。

広告用Cookieの前に同意を求める

必須ではないCookieは、訪問者がはっきり操作した後でなければ保存できません。EDPBによると、事前にチェックされたボックス、ページのスクロール、閲覧の継続は同意として認められません。

拒否も撤回も同じ簡単さにする

欧州の多くの監督当局は、同意ボタンと同じ階層に拒否の選択肢がないバナーを違反と見なしています。同意をあとで撤回するときも、同意するときと同じくらい簡単でなければなりません。

Consent Mode v2のシグナルをGoogleタグに送る

サイトでGoogleアナリティクスやGoogle広告を使っている場合、GoogleはEEAの訪問者から同意を取得し、ad_user_dataとad_personalizationのシグナルを送ることを求めています。データを送信するタグより前に、デフォルトのコマンドを実行する必要があります。

gtag('consent', 'default', {
  'ad_storage': 'denied',
  'ad_user_data': 'denied',
  'ad_personalization': 'denied',
  'analytics_storage': 'denied'
});

データの受け取り先を明示する

Googleの同意ポリシーでは、Googleのプロダクトによってデータを収集または使用する可能性のある企業を、サイトですべて明示することが求められています。また、各社がそのデータをどう使うかについての情報を、見つけやすい場所に載せることも求められています。

同意の証拠を保管する

GDPRでは、同意が得られたことを証明する責任はサイト側にあります。Googleのポリシーも、取得した同意の記録を保管することを求めています。

拒否した人にコンテンツを見せないようにしない

EDPBのガイドラインでは、サービスの利用はCookieの承諾に左右されるべきではないとされています。承諾をクリックするまですべてを隠すサイトは、自由な同意を得たことになりません。

リクエストには1か月以内に対応する

訪問者がデータへのアクセス、訂正、削除を求めた場合、原則として1か月以内に無料で回答する必要があります。個別のケースで迷うときは、法務担当に確認してください。