2つの法的根拠、1つのバナー

IAB TCFの同意文字列にある各ベンダーは、目的ごとに、同意と正当な利益のどちらを法的根拠にするかを宣言しています。どちらもGDPR第6条に基づく適法な根拠ですが、バナー上でも、TC stringでも、広告スタックでも、挙動はまったく異なります。両者を同じものとして扱うパブリッシャーは、たいてい痛い目に遭って違いを知ります。入札を止めるベンダーが出たり、ユーザーが拒否したつもりでいた目的について苦情が来たりするのです。

この記事では両者を目的ごとに並べて比較します。CMPをどう設定すべきか、需要パートナーに何を期待できるかを判断する材料にしてください。

それぞれの仕組み

同意はオプトインです。ユーザーが明確な肯定的行動を取る必要があり、それまでベンダーはその目的でデータを処理できません。同意の撤回は、同意を与えるのと同じくらい簡単でなければなりません。TC stringでは、同意は目的の同意とベンダーの同意のセクションに記録されます。

正当な利益は事実上オプトアウトです。ベンダー（またはパブリッシャー）が、バランステストを行ったうえで、ユーザーの権利に優越されない正当な利益があると主張します。ユーザーには情報が提供され、異議を申し立てる手段が用意されなければなりません。TC stringでは、目的の正当な利益とベンダーの正当な利益のセクションに記録され、異議が出されると該当するビットがクリアされます。

比較早見表

• 初期状態 — 同意：ユーザーが同意するまでオフ。正当な利益：ユーザーが異議を述べるまでオン。
• 必要なユーザー操作 — 同意：明示的な選択。正当な利益：不要。ただし異議を述べられることが必要。
• 表示される場所 — 同意は通常、第1階層で目立つ位置に表示されます。正当な利益は通常、第2階層で説明され、異議を述べられるようになっています。
• 文書化 — 同意には、同意が与えられたことの証拠が必要です。正当な利益には、文書化されたバランステスト（正当な利益評価）が必要です。
• デバイスへの保存 — Cookieや同様の識別子の読み書きはePrivacyルールの対象で、例外に当たらない限り同意が必要です。正当な利益はこれに代わることができません。

どの目的でどの根拠が認められるか

TCFでは、ベンダーがすべての目的について根拠を自由に選べるわけではありません。知っておくべき主なルールは次のとおりです。

• 目的1（デバイス上の情報の保存および/またはアクセス）は同意のみです。これはデバイスへの保存に関するePrivacyの要件を反映しています。
• 目的3～6（パーソナライズ広告やパーソナライズコンテンツのためのプロファイルの作成と利用）は、TCF v2.2で正当な利益という選択肢が削除されて以来、同意のみです。
• 目的2（広告選択のための限定的なデータ）、7（広告パフォーマンスの測定）、8、9、10などは、ベンダーが望めば引き続き正当な利益で宣言できます。多くの広告テクノロジーベンダーが、測定や基本的な広告選択についてそうしています。
• 特別な目的（セキュリティや不正防止、広告の技術的な配信など）は正当な利益に基づいて処理され、ユーザーはバナー上で異議を述べることができません。ただし開示は必要です。

各ベンダーはグローバルベンダーリストで自らの根拠を宣言するため、同じことをしている2つのベンダーが異なる根拠に立っていることもあります。CMPはその宣言を読み取るだけで、ベンダーに代わってパブリッシャーが設定するものではありません。

パブリッシャーにとっての実務上の影響

収益

正当な利益があれば、バナーを操作しないユーザーに対しても、一部の測定や基本的な広告選択を維持できる場合があります。しかしパーソナライズ広告は目的1、3、4の同意に依存するため、正当な利益は健全な同意率の代わりにはなりません。それを前提に収益計画を立てないでください。

自社の処理

TCFでは、パブリッシャーが自社の目的と法的根拠を宣言することもできます。自社のアナリティクスやコンテンツ測定で正当な利益に依拠するなら、ベンダーと同じバランステストと異議申し立ての仕組みが必要です。それらの目的にCookieが関わる場合は、デバイスへの保存に同意が必要という要件が引き続き適用されます。

規制当局の監視

監督機関や裁判所は、オンライン広告で正当な利益がどう使われているかを繰り返し審査してきました。2024年3月、EU司法裁判所はTCFに関する事案で、識別子に紐付けられる場合にはTC stringが個人データになり得ることを確認しました。スタック内のすべての正当な利益の主張は、説明を求められる可能性があるものとして扱ってください。

CMPの設定方法

1. ベンダーリストを見直し、どのベンダーがどの目的で正当な利益を宣言しているかを把握します。実際に取引していないベンダーは削除します。
2. 異議を述べやすくします。第2階層では正当な利益の目的をわかりやすく表示し、目的ごと・ベンダーごとに機能する異議のトグルを用意します。
3. 自社の目的を決めます。特定のパブリッシャー目的について法務チームが正当な利益に納得できない場合は、同意を使うか、その目的をやめます。
4. 文字列を確認します。異議の後でTC stringをデコードし、正当な利益のビットが実際にクリアされていることを確かめます。
5. パートナーに挙動を確認します。正当な利益に異議が出た場合や同意がない場合にどう振る舞うかを尋ね、収益の変動に不意を突かれないようにします。

FlexyConsentの位置づけ

FlexyConsentは、Google認定のCMPであり、IAB EuropeおよびIAB Canadaの認定を受け、IAB TCF 2.4をサポートしています。グローバルベンダーリストから各ベンダーが宣言した法的根拠を読み取り、第2階層で異議申し立てのコントロールとともに正当な利益の目的を表示し、同意と異議の両方をパートナーに渡されるTC stringにエンコードします。

重要なポイント

• 同意はオプトイン、正当な利益は異議を述べる権利が必須のオプトアウトです。
• TCFでは、目的1とプロファイリング関連の目的3～6は同意のみです。
• 正当な利益は、Cookieやパーソナライズ広告における同意の代わりにはなりません。
• ベンダーはグローバルベンダーリストで自ら根拠を選び、CMPはそれを表示し尊重しなければなりません。
• 異議はトグルを信じるのではなく、TC stringをデコードして検証してください。