ドコモやヤフーが取り組む、データ提供への「同意」管理とは

2019年9月19日付の日経産業新聞は「個人情報を含むデータの外部提供にあたって、利用者からの同意取得を厳格にする動きが広がり始めた。」と報じました。
（2019年9月19日　日経産業新聞「ヤフーなど、個人データ「提供せず」を初期設定に」）
記事では、NTTドコモやヤフーが個人データの外部提供に際してユーザーからの「同意」をより厳格に取得・管理することが報じられています。

NTTドコモ社は、ユーザーが個人データの第三者提供に関する自身の同意の状態を確認・変更できるサイトを2019年12月に開設する予定と報じられています。
（2019年9月2日　日経クロストレンド「ドコモが個人データ保護に本気　提供範囲を決められるように」）
記事によれば、dアカウントを中心とする戦略を推進する中でパートナー企業との連携が加速しており、個人データの第三者（パートナー企業）への提供について、「安心して情報を提供してもらうため、丁寧な説明が不可欠と考えた」とのことです。
特に、過去に同意した個人データに関する契約内容を一覧で確認できるようにするとともに、個人データの第三者提供に関しての同意を変更できるようにする「パーソナルデータダッシュボード」の提供を準備していることが注目されます。
一方、ヤフーは、2019年10月からグループ企業への個人データの提供を開始するのに合わせ、初期設定では提供に「同意しない」設定とするとともに、ユーザーからの同意を得た場合でも提供先企業を個別に選べるようにすることでユーザーの不安を取り除く方針と伝えられています。
（2019年9月7日　日本経済新聞「ヤフー、データ提供の同意取得を厳格に」）

NTTドコモやヤフーといった日本を代表する企業が相次いで個人データの取り扱いに関するユーザーからの「同意」を重視する姿勢を見せ始めていることが注目されます。この背景には、大きく2つの要因があると考えられます。
まず一つは、企業による個人データの利用について不信感を抱かせるような事例が相次いで報じられていることでしょう。SNS運営企業ばかりでなく、人材関連企業などにおいても個人データの取り扱いに疑念を生じさせるような事例が相次いで明らかになっていることもこの傾向に拍車をかけているものと考えられます。
もう一つは、EUで施行された一般データ保護規則（GDPR）に代表される、個人情報保護法制度の強化の流れです。GDPRでは、個人データの取得・利用に際して、ユーザーから明確な目的に特定された明らかな同意の証拠 (clear and specific proof of consent) の保持が求められています。世界各国の個人情報保護法制度も、このGDPRの趣旨を踏襲する形で強化の方向に進みつつあります。

ユーザーからの「同意」を適切に管理するためには、以下の要件が求められるでしょう。

• 同意の記録
  ユーザーごとに、どの規約に「同意」を与えているのかについて正確な記録を保持します。「同意」が与えられている規約文書のバージョンや、「同意」が与えられた日時の記録も必要です。
• バージョン管理と「再同意」の取得
  規約文書は、例えば個人データの利用目的を追加したい場合など、変更を加える必要が生じることがあります。この場合、既に「同意」しているユーザーからも、改めて「同意」を取得する必要があります。
• 監査への対応
  内部監査や当局などからの外部監査に速やかに対応するために、適切なログデータ等を速やかに提出できる必要があります。ログデータ等の改ざんを防ぐ仕組みも必要です。
• ユーザー自身による「同意」状況の確認と修正
  上記の要件のもとに構築されたデータをもとに、ユーザーが自身でどのような規約に「同意」を与えているかについて確認し、必要に応じて「同意」を撤回できる機能を提供する必要があります。「同意」が撤回された場合には、撤回された「同意」に基づいて配信れていたメールなどを止めるために、関連するシステムに速やかに反映させる必要があります。

SAP Customer Data Cloudは、単一のカスタマー・プロフィールにユーザーの同意やプリファレンスに関する様々なデータを格納し、これらのデータを「シングル・カスタマー・ビュー」として一元的に管理したうえで、マーケティング・オートメーションなどの他システムに反映させる優れた機能を有しています。Registration-as-a-Service (RaaS) 機能による登録・ログイン画面において利用規約やメール配信への「同意」を取得するだけでなく、それらの文書を変更した場合、次回のログイン時に「再同意」を促す画面を表示することが可能です。
また、セルフサービス型のプリファレンス・センターを提供する機能も備えています。このプリファレンス・センターにおいて、ユーザーがどの規約文書について「同意」しているかを確認し、その「同意」を撤回する操作を行うことが出来ます。「同意」が撤回された場合には、SAP Customer Data Cloudは接続されているシステムに対してそのことを反映させることが出来ます。

日本の大手企業からも注目が高まっているユーザーからの「同意」の管理において、SAP Customer Data Cloud はGDPRへの対応などグローバルのベストプラクティスに基づいた価値を提供します。