同意は永遠ではない

訪問者が選択をしたら、ページごとに何度も聞かれることのないよう、それを記憶しておくべきです。しかし、保存された選択が無期限に続くわけではありません。状況は変わり、ツールは追加され、ずっと前に下した決定が、今日の訪問者の選択を反映していないこともあります。このチェックリストは、適切な有効期限と再表示のルールを設定するのに役立ちます。

ルールが定めていること（そして定めていないこと）

GDPRは、同意の有効期限として固定の日付を定めていません。実際には、規制当局のガイダンスがそれを補っています。たとえばフランスのCNILは、再度確認するまで訪問者の選択を約6か月保持することを推奨し、トラッキングCookie自体の有効期間は13か月を超えるべきでないとしています。他の当局は、具体的な数値を定めていません。対象ユーザーに関係する当局を確認し、選んだ期間を文書化してください。

チェックリスト1：デフォルトの保存期間を設定する

• 同意の保存期間を決めて、書き留めておきましょう。6〜12か月が一般的な範囲です。規制当局が示している場合は、短いほうを選びましょう。
• 選択の内容だけでなく、選択が行われた日付も保存しましょう。
• 同意記録を保持するCookieやストレージ項目にも、同じ保存期間の考え方を適用しましょう。
• 保存された選択は、ブラウザ上だけでなく、サーバー側またはロジック側でも期限切れになるようにしましょう。

チェックリスト2：再表示のトリガーを定める

保存された選択の経過期間にかかわらず、次の場合は訪問者に再度確認してください。

• 新しい目的を追加したとき。データの新しい利用は、以前の選択ではカバーされていません。
• これまで開示していなかった方法でデータを処理する、新しいベンダーやパートナーを追加したとき。
• プライバシーポリシーやCookieポリシーが大きく変わったとき。
• 提示される選択肢が変わる形で、バナーのバージョンが変わったとき。
• 保存された選択が存在しない、破損している、または読み取れないとき。

これを、上記のいずれかが起きるたびに増やす同意バージョン番号と結びつけてください。古いバージョンの選択が保存されている場合、バナーが表示されます。

チェックリスト3：訪問者の体験を守る

• 1回のセッション内で、タイマーによって再表示しないでください。
• 拒否した訪問者を疲れさせるために何度も聞き直さないでください。本当のトリガーが発生しない限り、拒否は全期間にわたって尊重しましょう。
• 訪問者がいつでも考えを変えられるよう、有効期限を待たずに済む常設リンクをフッターに置きましょう。
• 同意の撤回を、同意の付与と同じくらい簡単にしましょう。

チェックリスト4：エッジケースに対処する

• Cookieの消去。バナーは再表示されます。それは想定どおりの動作であり、フィンガープリンティングで回避しようとしないでください。
• 複数のドメインやサブドメイン。選択をそれらの間で共有するかどうかを決め、動作を一貫させましょう。
• アプリ。選択とその日付をアプリのストレージに保存し、データの利用が増えるSDK更新の後には再度確認しましょう。
• 地域の変更。訪問者が別の法域に移動した場合は、ルールの適用が変わるべきかどうかを確認しましょう。

チェックリスト5：証拠を残す

• 同意ごとに、タイムスタンプ、バナーのバージョン、選択を記録しましょう。
• 保存期間やバージョン番号をいつ、なぜ変更したかの変更履歴を残しましょう。
• Cookieの棚卸しと併せて、四半期ごとに設定を見直しましょう。

FlexyConsentの位置づけ

FlexyConsentはIAB EuropeとIAB Canadaの認定を受けており、IAB TCF 2.4とGoogle Consent Mode v2に対応し、EU、EEA、英国、米国の州、カナダ、ケベックを含む地域をカバーしています。どのプラットフォームを使う場合でも、選択がどのように保存され、何が新たな表示のトリガーになるのかを確認し、上で書いたルールと照らし合わせてください。

重要ポイント

• 同意は期限切れになるべきです。唯一の法的な数値はないので、期間を選び、書き留め、規制当局のガイダンスを確認しましょう。
• 目的、ベンダー、ポリシー、バナーの選択肢が変わったときは、同意バージョン番号を使って再表示しましょう。
• 本当のトリガーがないのに、拒否した訪問者にしつこく聞かないでください。
• 同意をいつでも変更・撤回できる手段を常に用意しておきましょう。
• タイムスタンプ、バージョン、選択を記録し、四半期ごとにルールを見直しましょう。