consent-platform-eval

同意管理プラットフォームの評価

概要

同意管理プラットフォーム（CMP）は、Cookie の同意取得、設定の管理、同意記録の保存、および下流システムへのシグナル伝達を担うテクノロジー層です。適切な CMP を選択することは、GDPR、ePrivacy、CCPA/CPRA、LGPD、その他の規制への準拠に不可欠です。IAB Transparency and Consent Framework（TCF）v2.2 の認証は、EU の広告エコシステムで運用される CMP を見分ける重要な要素です。

評価基準

カテゴリー 1：規制への準拠（比重：30%）

基準	説明	評価
TCF v2.2 認証	CMP が IAB Europe に登録され、準拠性監査に合格している	EU の広告運用に必須
GDPR への準拠	第 7 条の同意要件、第 7 条 3 項の撤回、第 7 条 1 項の記録に対応している	EU での運用に必須
CCPA/CPRA への対応	「Do Not Sell」のオプトアウト、GPC シグナルの検出、CPRA の要件に対応している	米国での運用に必須
LGPD への対応	ブラジルのデータ保護法における同意要件に対応している	ブラジルでの運用に必須
GPC への対応	Global Privacy Control（Sec-GPC: 1）シグナルを検出し、尊重する	CA、CO、CT、MT、TX、OR で必須
CNIL への準拠	同意と拒否を同等に目立たせる、6 か月ごとの再同意、Cookie ウォールを設けない	フランスでの運用に必須
複数の法域への対応	ユーザーの所在地に応じて異なる同意ルールを適用できる	グローバルな運用に不可欠
Cookie スキャン	サイト上のすべての Cookie を自動でスキャンして検出・分類する	網羅性の確保に重要

カテゴリー 2：技術的機能（比重：25%）

基準	説明	評価
API 連携	バックエンドシステムから同意状態を照会するための RESTful API	サーバー側での適用に不可欠
タグマネージャー連携	Google Tag Manager、Tealium、Segment とのネイティブ連携	実装の手間を削減
SDK の提供	モバイル SDK（iOS、Android）およびサーバー側 SDK	モバイルアプリに必須
パフォーマンス	ページ読み込みへの影響（目標：追加レイテンシ <100ms）	UX に不可欠
カスタマイズ	UI（色、レイアウト、言語、ボタンのテキスト）をカスタマイズできる	ブランドの一貫性に重要
A/B テスト	同意バナーの実験機能を内蔵（準拠性の範囲内）	最適化に重要
ジオロケーション	法域ごとのルール適用に必要なユーザーの所在地を正確に検出する	複数地域での運用に不可欠
TC String の生成	アドテクエコシステムとの連携に必要な IAB TC String を生成する	広告に必須

カテゴリー 3：同意記録の管理（比重：20%）

基準	説明	評価
同意レシート	第 7 条 1 項に準拠した、監査に利用できる同意レシートを生成する	準拠性の確保に不可欠
バージョン管理	変更履歴とともに同意文のバージョンを追跡する	監査証跡に重要
同意履歴	ユーザーごとの完全な履歴（同意、撤回、再同意）	DSAR への対応に不可欠
データのエクスポート	同意記録を標準形式（JSON、CSV）でエクスポートする	データの可搬性に重要
保持期間の制御	同意記録の保持期間を設定できる	データ最小化に重要
検索と照会	ユーザー、目的、期間で同意記録を検索する	DPA からの照会への対応に重要
同意の証明	規制当局からの照会に備えた証拠一式を生成できる	法執行への防御に不可欠

カテゴリ 4：レポートと分析（重み：15%）

基準	説明	評価
同意率ダッシュボード	目的および地域ごとの同意率／オプトアウト率をリアルタイムで表示	モニタリングに重要
傾向分析	同意率の過去から現在までの推移	戦略立案に重要
コンプライアンスレポート	GDPR、CCPA の要件に準拠した事前作成済みレポート	DPO にとって重要
カスタムレポート	カスタムレポートとダッシュボードを作成する機能	あると便利
アラート	異常な同意パターン（急激な低下や急増）に関するアラート	インシデントの検知に重要
GPC レポート	GPC シグナルの検出率と実施した措置に関するレポート	CPRA 準拠に必須

カテゴリ 5：ベンダーとサポート（重み：10%）

基準	説明	評価
データ処理契約	GDPR に準拠した DPA を利用可能	必須
データの保管場所	EU でのデータホスティングが可能（同意記録用）	EU での業務に必須
サブプロセッサー	サブプロセッサーの一覧が公開されている	第 28 条により必須
SLA	稼働率 SLA（目標：99.9% 以上）	可用性にとって重要
サポート	専任サポート、プライバシーに関する専門知識、導入ガイダンス	重要
料金モデル	明確な料金体系（ページビュー単位、ドメイン単位、定額制）	予算策定に重要

ベンダー比較表

機能	OneTrust	Cookiebot	Usercentrics	Didomi	Quantcast Choice
TCF v2.2 認証済み	はい	はい	はい	はい	はい
GDPR 準拠	完全	完全	完全	完全	完全
CCPA/CPRA サポート	はい	はい	はい	はい	はい
GPC 検出	はい	はい	はい	はい	はい
LGPD サポート	はい	限定的	はい	はい	限定的
CNIL 準拠	はい	はい	はい	はい	はい
複数の管轄区域に対応	100 か国以上	50 か国以上	50 か国以上	40 か国以上	30 か国以上
Cookie スキャナー	自動	自動	自動	自動	自動
API	REST + GraphQL	REST	REST	REST + GraphQL	REST
モバイル SDK	iOS + Android	限定的	iOS + Android	iOS + Android	限定的
GTM 統合	ネイティブ	ネイティブ	ネイティブ	ネイティブ	ネイティブ
A/B テスト	組み込み	API 経由	組み込み	組み込み	限定的
パフォーマンス	約 80ms	約 60ms	約 70ms	約 75ms	約 50ms
同意レシート	Kantara 準拠	基本	詳細	詳細	基本
バージョン管理	はい	はい	はい	はい	はい
データのエクスポート	JSON、CSV、API	CSV	JSON、CSV、API	JSON、CSV	CSV
同意ダッシュボード	高度	基本	高度	高度	基本
EU データホスティング	はい（フランクフルト）	はい（コペンハーゲン）	はい（ミュンヘン）	はい（パリ）	はい（アムステルダム）
DPA の提供	標準	標準	標準	標準	標準
SLA	99.99%	99.9%	99.95%	99.9%	99.9%
料金モデル	セッション単位	ドメイン単位	セッション単位	ページビュー単位	無料（基本）
開始価格	約 300 EUR/月	約 9 EUR/月	約 50 EUR/月	約 50 EUR/月	無料プラン

選定プロセス

ステップ 1：要件の収集

以下に基づいて、必須要件を特定します。

• 組織が事業を展開する管轄区域
• ドメインおよびモバイルアプリの数
• 広告エコシステムへの参加状況（TCF v2.2 が必要ですか？）
• バックエンドとの統合ニーズ（API 要件）
• 予算上の制約

ステップ 2：候補の絞り込み（ベンダー 3～4 社）

必須基準をフィルターとして適用します。

• TCF v2.2 認証（EU の広告テクノロジー分野で事業を展開している場合）
• GPC サポート（米国の消費者にサービスを提供している場合）
• EU データホスティング（データ保管場所に関するポリシーで求められる場合）

ステップ 3：概念実証（ベンダーごとに 2 週間）

候補に絞った各ベンダーについて：

• ステージング環境に実装します
• すべての同意フロー（同意、拒否、管理、撤回）をテストします
• ページ読み込みへの影響を測定します
• バックエンドシステムとの API 統合をテストします
• 同意記録が Art. 7(1) の要件を満たしていることを確認します
• 複数の管轄区域に対応するロジック（EU と米国、ブラジル）をテストします

ステップ 4：採点と選定

重み付けされた基準に照らして各ベンダーを採点します。加重合計スコアを算出します。すべての必須要件を満たすベンダーのうち、スコアが最も高いベンダーを選定します。

CloudVault SaaS Inc. の選定

5 社のベンダーを評価した結果、CloudVault SaaS Inc. は次の理由から Usercentrics を選定しました：

• TCF v2.2 の認証を完全に取得している
• ネイティブの iOS および Android SDK（CloudVault のモバイルアプリに不可欠）
• CNIL のコンプライアンス要件の範囲内で A/B テスト機能を標準搭載
• サーバーサイドでの同意状態の照会に対応した強力な API
• ミュンヘンでの EU データホスティング（主要顧客と同じ管轄区域）
• ページビュー数に対して競争力のある価格設定

主な規制上の参照資料

• IAB TCF v2.2 Specification — CMP の認証と要件
• GDPR Article 7 — 同意の条件（CMP が対応する必要があります）
• GDPR Article 28 — 処理者の要件（処理者としての CMP）
• CPRA Section 1798.135(e) — GPC シグナルの認識
• CNIL Deliberation 2020-091 — Cookie の同意に関する技術要件
• LGPD (Lei 13.709/2018) — ブラジルの同意要件
• ePrivacy Directive Article 5(3) — Cookie の同意の根拠