台湾の個人情報保護法：パブリッシャー向けCookie同意ガイド
プライバシーマップの中の台湾
台湾はゲームやユーティリティアプリへの需要が強い、モバイルファーストの大規模市場であり、多くのパブリッシャーがそこからのトラフィックを収益化しています。主要なプライバシー法は個人情報保護法（PDPA）で、現在の形では2012年から施行されています。GDPRとは異なり、Cookie専用に書かれた規定はないため、パブリッシャーは個人データに該当するCookieや広告識別子に一般原則を適用します。
基本原則
PDPAは、他の制度でもおなじみのいくつかの考え方に基づいています。
- 特定の目的。個人データは、特定された正当な目的のために、必要な範囲内でのみ収集・利用できます。
- 通知。個人データを収集する際は、一般に、自分が誰であるか、目的、データの種類、利用期間と場所、そして本人の権利を伝える必要があります。
- 同意またはその他の適法な根拠。非政府機関の場合、収集と利用には適法な根拠が必要です。同意はその一つであり、当初の目的を超えてデータを利用するには、通常、新たな根拠または同意が必要です。
- 個人の権利。本人は、データの閲覧、訂正、利用の停止、削除を求めることができます。
CookieおよびAdIDにとっての意味
特定のCookieやデバイス識別子が個人データかどうかは、それ単独で、または他のデータと組み合わせて個人を識別できるかどうかによります。永続的な識別子に結び付いた行動ターゲティング広告のプロファイルは、実務上、通常そのように扱われます。慎重なアプローチは、広告やサイト横断のトラッキング識別子には事前の通知と明確なオプトインが必要であるとみなし、厳密に必要なCookieは開示のみで足りるとすることです。
越境移転
PDPAは、特定の状況、たとえば受領国に十分な保護がない場合や、移転が法の回避に利用される場合などに、当局が国際移転を制限することを認めています。広告ベンダーが台湾のユーザーのデータを台湾国外で処理している場合は、プライバシー通知にそれらを記載し、契約上何が求められているかを確認してください。
執行と変化する環境
執行はこれまで、業種ごとの規制当局と地方政府が分担してきましたが、近年の改正は専門のデータ保護機関の設立を目指しています。制度上の詳細が変化しているため、どの機関がすべての案件を扱うと決めつけず、現地の弁護士に現在の状況を確認してください。
実践的な設定
- 台湾の訪問者には繁体字中国語でバナーを表示し、目的を平易な言葉で説明します。
- ユーザーがオプトインするまで必須ではないタグをブロックしたままにします。
- 広告ネットワークや測定ツールを含め、通知でベンダーの名称を明示します。
- 同意を与えるのと同じくらい簡単な撤回の手段を提供します。
- 各訪問者が何を見て何を選んだかの記録を保管します。
- 広告目的で子どものデータの収集を避けます。オーディエンスに未成年者が含まれる場合は、より厳格なデフォルトを適用します。
広告収益に関する考慮事項
台湾にはTCF型の制度がないため、グローバルな広告ネットワークからの需要の大半は、各社独自のポリシーに依存します。多くのGoogle広告プロダクトは、規制対象として扱うトラフィックについて、クリーンな同意シグナルを引き続き求めます。そのため、選択を記録して広告スタックに渡すバナーは、ユーザーの選択を尊重しながら収益化を続けるのに役立ちます。
FlexyConsentの役割
FlexyConsentのバナーは58言語で利用でき、Google Consent Mode v2に対応しているため、ローカライズされたバナーを表示し、同意状態をGoogleタグに渡すことができます。この市場に適したバナーの設定については、法律顧問に確認してください。
重要なポイント
- 台湾のPDPAにはCookie専用の規定はなく、通知、目的、同意に関する一般原則が適用されます。
- 広告やサイト横断の識別子には、通知と明確なオプトインが必要なものとして扱います。
- ベンダーによる越境処理は開示し、契約でカバーします。
- 執行体制は変化しているため、現在の状況は現地で確認してください。
- 選択があるまでタグをブロックするローカライズ済みのバナーは、堅実な基本設定です。