「邪魔なバナー」にしないために。StudioとIIJが語る、ブランド体験を壊さないCookie同意設計
タイアップ
近年、WebにおけるCookieや個人情報の取り扱いへの対応は、ますます重要になっています。
特に2018年にEUでGDPR（一般データ保護規則）が施行されて以降、注目されるようになりました。また、日本でも法改正やプライバシー意識の高まりを背景に、Cookie等を通じたデータ取得について、透明性の高い情報提供や、利用方法に応じた適切な対応が求められるようになっています。個人情報保護とプライバシー尊重の観点から、同意を得ることは、本来サイト運営者・ユーザー双方にメリットをもたらすものです。
しかし、画面を塞ぐようなUIや不透明な設計によっては、ユーザーにストレスを与え、離脱やブランド印象の悪化を招く「邪魔な存在」となってしまう恐れもあります。
こうした変化のなかで、Web制作者はどのようにCookie対応と向き合っていくべきなのでしょうか。Cookie同意取得を担う同意管理プラットフォーム（CMP）「STRIGHT」を開発・提供する株式会社インターネットイニシアティブ（以下、IIJ）で、STRIGHTの開発・運用をはじめ、マーケティングやパートナー施策まで事業全般を統括するビジネスリスクコンサルティング本部 副本部長の中西康介さん（写真中央）、同社の技術コンサルティング担当者（以下、技術担当者）とノーコードでWebサイトを制作・運用できるプラットフォーム「Studio」を開発・提供するStudio株式会社でCOO（最高執行責任者）を務める吉岡泰之さん（写真左）との鼎談を通じて、「ブランド体験を壊さない同意設計」について考えていきます。
STRIGHTとは？
STRIGHTは、Cookieなどの利用に関する同意の取得・管理に特化し、世界各国のプライバシー保護規制への対応を支援する同意管理プラットフォーム（CMP）です。
法令への対応に加え、ダークパターンに配慮したCookieバナーを、サイトのデザインやUXに合わせて柔軟に実装できます。訪問者の所在地に応じて必要な地域にのみバナーを表示し、それ以外ではフッターリンクなどから情報の確認や設定変更ができるようにすることで、透明性や本人関与の機会を確保しながら、ユーザー体験への影響を抑えます。
目次
プライバシー対応は「企業とユーザーとの誠実な関係構築」
──まずは、今回のテーマである「Cookie対応を含むWebサイトのプライバシー対応」をどのような課題として捉えているのか、それぞれの視点からお聞かせください。
吉岡 私たちが提供するStudioは、もともとはクリエイターや中小規模のWebサイトでの利用が中心でしたが、最近では上場企業や自治体での導入も増えています。それに伴って、アクセシビリティやセキュリティ、プライバシー対応にも力を入れて取り組んでいるところです。
Web制作の現場目線で言うと、プライバシー対応は単に法的な枠組みをクリアするだけでなく、「企業とユーザーとの誠実な関係構築」として捉えています。どのような理由でデータを取得するのか、どうやって同意を取るのかといった点について企業としてのスタンスを開示することが、信頼性やブランド価値に直結する時代になってきているのだと感じています。
中西 我々の部署は、主に国内外のプライバシーやデータ保護に関するコンサルティングを行っています。今回のテーマであるCookie対応についても取り組みを進めていて、「STRIGHT」というCMPツールを開発・提供することで、この領域の課題を解決しようとしています。
Webサイトで扱う個人データはどの国のデータを扱うかによって遵守すべき法律が異なり、必要な情報提供の内容にも差があります。各国の法規制に個別に対応すると管理が煩雑になるため、近年ではグローバルで統一的なポリシーを作成した上で国ごとの差分を明示するようになっています。
一方で、法律で決められた範囲だけを対応すればいいわけでもありません。たとえば日本では、Cookie取得時の事前同意が常に法的義務として課されているわけではなく、利用目的やデータの取り扱い方に応じて、情報提供やオプトアウトなどの対応が求められます。ですが、ユーザーは、自分が合理的に想定した範囲を超えるデータの使われ方をすると不快感を抱きますし、想定外のデータの使われ方が後から発覚すると大きな問題に発展する可能性もあります。
そのため、「法律違反をしているわけではないから問題ない」というスタンスではなく、最初から丁寧で透明性の高い情報提供を行い、納得を得た上でデータを取り扱う姿勢が企業に求められています。
──包括的な対応が求められているのですね。
中西 ええ。特にCookieをめぐっては、Cookieそのものに多くの個人情報が含まれていることよりも、Cookieなどの識別子によって同じブラウザを継続的に識別し、閲覧履歴やほかのデータと結び付けて分析できる点が問題となってきました。こうした情報から、個人の趣味嗜好や健康状態、家族構成、信条、経済状況などが推測される可能性があります。
さらに、こうしたデータが広告ネットワークなどを通じて複数の事業者間で共有・流通し、本人が把握しにくいところで広告配信や分析などに利用されるケースもあります。そのため、データの漏えいや不適切な利用が起きた場合の影響も大きくなり得ます。Cookieそのものが問題なのではなく、利用者から見えにくい形でデータが収集・結合・利用されることが、プライバシー上の重要な論点となっています。こうした背景から、世界中で法律面が強化されてきているのです。
──制作現場においても具体的な変化を感じられますか？
吉岡 はい。お客様からの質問が鋭くなってきていると感じます。たとえば、「どのようなファーストパーティデータを保持しているのか」「ローカルストレージには何が蓄積されているのか」といった具合です。特に大手企業のセキュリティ担当や法務部門の方からこういった質問をいただくケースが増えています。
中西 セキュリティチェックシートの質問粒度も年々細かくなっていますね。保管期間や暗号化方式、運用サイクルに至るまで、確認される項目はかなり具体的になってきています。STRIGHTではISO 27017への対応やSOC 2報告書の取得など、こうした要求に応えられるセキュリティ体制を整えていますが、質問内容そのものからも、お客様のプライバシーやセキュリティに対する意識が確実に高まっていると感じます。
一方で、企業自身のプライバシー保護への投資という観点では、まだ課題もあります。日本ではEUと比べて、法令違反時の制裁リスクが相対的に意識されにくく、プライバシー保護やそれを支えるセキュリティへの投資が、経営課題として優先されにくい面もあると感じています。
「出さないバナー」でユーザー体験を損なわずに同意を取得する
──サイト訪問時に突然表示されるCookieバナーの中には、ユーザー体験やブランド価値を損ねてしまっているケースも散見されます。この点についての課題感を伺えますか。
吉岡 アクセス解析や広告配信などの設定によっては、ユーザーがサイトを訪れた時点からデータ送信が始まるため、訪問時に同意を求めざるを得ません。ですが、ブランド体験の観点では、入り口でバナーやポップアップを表示させることが果たして正解なのかという葛藤があります。この課題を乗り越えてブランド体験と同意取得を両立し、適切なコミュニケーションができている企業は少ないのではないでしょうか。
中西 日本では、多くのWebサイトにおいて、サイト訪問時にCookieバナーを表示し、Cookieを発行する前にユーザーの同意を取得することまで求められているわけではありません。一方で、外部送信の内容などについて適切に情報提供することは必要です。
そのため、必ずしもサイトの入り口で一律にバナーを表示する必要はないと考えています。ただ、法令上必要な情報を掲載するだけではなく、ユーザーが自分の意思でいつでも容易に外部送信を停止できる仕組みまで提供することが、企業やブランドへの信頼につながるのではないでしょうか。
そこで私が考えているのが、フッターなどに「あなたのプライバシーについて」といった導線を設け、ユーザーがそこを選択するとポップアップが開き、どのような情報が外部送信されているのかを確認し、その場でオプトアウトできる仕組みです。 我々はこれを「出さないバナーの実装」と呼んでいます。サイト訪問時に突然バナーを表示するのではなく、必要なときにユーザー自身がプライバシー設定へアクセスできるようにすることで、ブランド体験を損なわずに、透明性とユーザーによるコントロールの双方を確保できると考えています。
──その一方、とりあえず設置しただけの「形式的なバナー」も増えているように感じます。
中西 情報の出し方にも注意が必要です。たとえば、「同意する」ボタンしか存在しない、「拒否するボタン」だけが目立たない色になっている、拒否する手順が複雑など、ユーザーの選択肢に恣意的な重み付けをした場合、不快感を与えるだけではなく、欧州では制裁対象となる可能性があります。
技術担当者 また、ユーザーが拒否したにもかかわらず、実は裏側ではデータ取得が止まっていないケースもあります。故意なのかどうかは判別が付きませんが、それは明らかによくないことですし、自社への信頼を損なう結果になりかねません。
──そういった実装は、ダークパターンに該当する恐れがありますね。
吉岡 そうですね。短期的なコンバージョンや開発のしやすさだけを優先した結果、意図せずダークパターンになってしまうケースがあります。ですが、自社のプレゼンスのあり方を考えると、ダークパターンのような形でのコミュニケーションは避けるべきだと理解できるはずです。
中長期的な視点に立ち、自分たちはどのような思考でビジネスを展開するのか、どのような体験を世の中に提示するのか。こういったことを考えながらユーザーとコミュニケーションを取れる企業が増えると、インターネットはより良いものになるはずですし、そんな世の中になってほしいとも思っています。
技術担当者 まさにその通りだと思います。また、規制の進展によって、より良い競争環境が生まれていくのではないでしょうか。
Cookie対応を支える、日系企業ならではの信頼とサポート
──今後企業が「理想的なCookie対応」を実現するには、どのようなアプローチが必要になるとお考えでしょうか。
吉岡 従来のWeb制作の現場では、Cookieをはじめとしたプライバシー対応に割かれる時間は少なく、実制作とは別物として捉えられているようなところがありました。「情報として載せておけばいいでしょう」と雑に扱われることも少なくありません。
対応が後手に回りがちな背景には、作り手側にCookieやプライバシー対応の専門知識を持っている人が少ないことが関係しています。こうした現状を踏まえると、作り手側のリテラシーを高め、適切な知識を広めていく取り組みが重要になってくるのではないでしょうか。
──制作会社の知識不足を補い、実装にかかる負担を軽減するには、CMSとCMPツールの連携が重要になりそうですね。
吉岡 両者が交わる前提で設計したものをユーザーに提示できれば、選択肢は広がると思います。現在Studioでは、
連携済みの一部外部サービスをドラッグ＆ドロップで簡単に配置できる「Studio.Design」という仕組みを構築しています。同様に今後、同意取得対応アプリケーションのような形で、数クリックで最適なCookie対応を設置できるような仕組みができれば、ユーザーの負担は軽減しますし、それだけでもリテラシーの向上に寄与できると思います。
中西 情報発信という観点では、当社には世界各国の法執行事例や法改正の動向を日々調査する専門チームがあります。そこで得られた知見は、速やかに社内のコンサルタントへ共有されるだけでなく、必要に応じてSTRIGHTの技術要件や機能にも反映されます。また、専門のオウンドメディアを通じた情報発信も行うなど、この分野におけるスペシャリストとして継続的に知見を蓄積・発信しています。
こうした体制に加え、STRIGHTは国内で開発・提供しているため、日本の法制度や規制動向を踏まえた対応を行いやすい点も大きな特徴です。
技術担当者 現時点でSTRIGHTは個別のCMSと連携しているわけではありませんが、今後簡単に、正しく実装できる仕組みが整っていくと、まさに吉岡さんがおっしゃるような方向性に向かっていけるのではないでしょうか。
吉岡 Studioでも国産ツールという点に誇りを持って活動しているのですが、中西さんのお話を伺っているとSTRIGHTも独自の哲学を持って開発に臨まれていると感じました。いろいろと共感する部分も多いですし、強い思いを持って開発に取り組んでいることが、ツールへの信頼感につながっているのではないでしょうか。
それに、STRIGHTは日本特有の法制度や慣習を理解した上で伴走支援をされていますので、現場の制作会社やWeb担当者にとってはとても価値の高いサービスになっているのだろうと実感しました。
人間対人間のコミュニケーションという本質は変わらない
──最後に、プライバシー対応やデータ保護に関して、今後の展望や、注目していきたいことについてお聞かせください。
吉岡 個人的に興味を持っているのは、AIの隆盛によってCookieやプライバシーを取り巻く環境がどのように変化していくかという点です。
現在、多くのAIはWeb上をクロールして情報を集め、集約した上で出力しています。そうした中で、たとえばCloudflareは、AIサービスなどによるWebコンテンツへのアクセスに対して対価を得る仕組みを提案するほか、AIクローラによる情報収集と、人間の操作に基づくアクセスを識別·制御するための手立てを模索しています。こうしたなかで、Webサイトはどのようにあるべきなのかというテーマに、広い視野を持ちながら向き合っていきたいと考えています。
中西 ユーザーも今や、「自分の知らないところでデータが取得・利用されているかもしれない」という違和感に気づき始めています。だからこそ、企業が隠すことなく透明性を持って正しい情報を提供し、利用者自身の選択を尊重できる仕組みを整えることが、企業やブランドへの信頼の基盤になると考えています。
今後、AIをはじめとする技術の進展によって、Webサイトのあり方や、企業と利用者とのコミュニケーションの方法は大きく変わっていくかもしれません。ただ、どのような技術が間に入ったとしても、最終的には利用者の意思が適切に反映されることが重要です。企業が何をしているのかを明らかにし、利用者の意思や選択を尊重するという本質は変わらないと考えています。
STRIGHTを通じて、法令遵守だけでなく、企業が利用者に対して透明性を持って情報を提供し、その選択を尊重できるプライバシー対応を支援していきたいと考えています。
取材・文：久我智也 写真：黒田彰、企画協力：株式会社インターネットイニシアティブ
※本記事は株式会社インターネットイニシアティブとのタイアップ企画です。