同意管理：GDPRと個人情報保護法の対応方法

GDPRや改正個人情報保護法への対応で求められる「同意管理機能」。その実装は、多くの開発プロジェクトにとって、見過ごされがちな複雑さとコスト増大が大きな要因となっています。

同意管理は単なるBoolean型のフラグのみではGDPRの要件を満たすことはできません。利用規約のバージョン管理、目的別の同意取得、そして「いつ、誰が、どのバージョンに同意したか」を追跡する監査証跡が必要となります。これらを自前で設計・実装し、その堅牢性を担保するのは大変な作業となります。

本稿では、この「同意管理」の解決策として、SAP CIAMが提供するConsent Management機能に焦点を当てます。SAP CIAMが、国や地域をまたぐ複雑な法規制にどう対応し、API経由でそのライフサイクルを管理するのか。そのアーキテクチャと実装を、技術的な観点から説明していきます。

同意管理の主要な機能

Consent Management機能の主要な機能として下記機能が用意されております。

同意記録の管理

GDPR第7条で求められる「事業者が同意を得たことを証明する責任」について、「いつ、誰が、どのバージョンの、どの規約に、どのデバイスから同意したか」を法的な証拠として記録・保持する機能を提供しています。

誰が：利用者の識別情報（ユーザーID）
いつ：同意した正確な日時（タイムスタンプ）
何に：同意の対象となった具体的な規約バージョンと言語
どのように：同意を取得した方法（チェックボックスへのチェック）
どのような情報に基づいて：同意時に提示された利用規約やプライバシーポリシーの具体的な内容

また、一度記録されたデータは変更・削除ができないため、高い証跡能力を誇ります。

目的別同意管理機能

「すべての規約に同意する」といった一括りの同意ではなく、「何のために個人情報を利用するのか」という目的ごとに、同意を個別に取得・管理する機能です。GDPRの「目的の限定」の原則や、個人情報保護法の「利用目的の明示」といった要件に対応し、ユーザーが自身のデータコントロールを実感でき、透明性と信頼性の向上に繋がります。SAP CIAMでは下記3種類の規約同意を管理することができ、それぞれ複数の設定が可能となります。

利用規約（Term of Service）
プライバシーポリシー（Privacy Policy）
他の同意管理（Other Consent）

サービス別同意管理機能

SAP CIAMでは、Webサイトやアプリケーションの単位をサイトとして管理し、それぞれに一意の「API Key」を割り当てます。この仕組みを利用し、サービスごとに異なる「API Key」を作成します。

サービスAサイト（API Key A）
サービスBサイト（API Key B）
サービスCサイト（API Key C）

それぞれのサイトのConsent Management設定画面で、そのサービスで管理が必要な同意項目（利用規約、プライバシーポリシーなど）を個別に設定します。上記設定によって他サービスに影響を与えないため、ポリシーの管理が非常に明確になります。

また、この仕組みを利用し、国や地域ごとに異なる「API Key」を作成することで、その管轄の法律（個人情報保護法、GDPRなど）に準拠した必須の同意項目（利用規約、プライバシーポリシーなど）を個別に設定することができ、各地域の法務要件が他の地域に影響を与えない設定が可能です。
ユーザーはアクセスしたサイト（例: example.co.jp, example.de）に紐づく、適切な同意管理フローを自動的に行います。

日本向けサイト（API Key A）
欧州向けサイト（API Key B）
米国向けサイト（API Key C）

＜Consent Statement設定画面＞
サービスAサイト（API Key）のみ同意必須設定する場合の画面イメージ。

バージョン管理機能

利用規約やプライバシーポリシーが改訂された際に、新旧のバージョンを管理し、ユーザーに再同意を求めるプロセスを自動化する機能です。規約の変更後に、古いバージョンの同意に依存し続けるリスクを回避します。APIのレスポンスで、必須規約への同意が完了しているかを判定できるため、次回のログイン時などに再同意を促す画面へリダイレクトさせるといった制御が容易になります。

＜Consent Statement設定画面＞

再同意の管理

再同意実装フローについて説明します。規約バージョン更新はConsent Management機能とUI構築ツール「Screen-Set」を利用します。「Screen-Set」は必須項目不足した際に表示されるRegistration Completion 画面が用意されており、バージョン更新時にこの画面が自動で表示されます。

バージョン更新フロー

手順1：更新対象となる規約（プライバシーポリシー）文書の用意
利用者に表示すWEBサイトとConsent Statement設定画面に設定するファイルの二種類を用意します。
手順2：Screen-Sets（Registration Completion 画面）の改修
Registration Completion 画面は必須項目不足した際に表示される共有画面であり、再同意専用の画面ではないため、必須項目が多数存在する場合は複数の項目が表示されます。
再同意項目のみ設定することは可能ですが、毎回改修が必要となることから、Screen-SetsのJavaScriptとCSSで不足している必須項目のみ表示する制御を行います。
手順3：WEBサイトの更新とConsent Statementの設定
WEBサイトの更新と併せて、Consent Statement設定画面で下記設定を行います。
- ・バージョン更新
- ・規約（プライバシーポリシー）文書の登録（手順1のファイル設定）

利用者の再同意フロー

手順1：ログイン認証
手順2：再同意を求める画面（Registration Completion 画面）が表示されます。
手順1のログイン認証のレスポンスとしてエラーコード「206001」がレスポンスされ、自動で画面表示されます。ログインしたユーザーには自動でこの画面が表示され、同意しない限り先に進めなくなります。
手順3：チェックボックスへのチェックし登録ボタンを押下する。
再同意が完了しログイン済みステイタスとなります。

＜利用者再同意フローのイメージ＞

同意の撤回

統合ID導入済みサービスでサービスを退会する場合、退会するサービスのみで利用している同意情報を撤回する必要があります。プライバシーポリシーなどは全サービス共通で同意している同意については撤回対象外となるため、退会するサービスでのみ取得している同意を撤回するAPI (accounts.resetSitePreferences) をコールして同意を撤回します。
上記APIは、同意状況を未同意（false）と更新日時を登録します。

プリファレンスセンター

ユーザー自身が、自らの同意内容を一覧表示し、いつでも変更できるマイページのような機能です。GDPRや個人情報保護法で保障された「同意を撤回する権利」や「開示・訂正・利用停止を求める権利」をユーザーに提供します。プリファレンスセンターはSAP CIAMが提供する画面テンプレート（Screen-Sets）やAPIを利用して、比較的容易に構築できます。ユーザーはログイン後、参照API(accounts.getAccountInfo)をコールしどの規約に同意しているかを確認し、チェックボックスのON/OFFなどで簡単に設定を変更できます。

下記イメージのとおり、APIレスポンスに同意した規約、ステイタス、バージョン、同意日時を取得することができるため、下記情報を元に画面表示します。