CMPツールとは？導入手順や選び方、改正個人情報保護法への対応ポイントも徹底解説

ここ数年、個人のプライバシー保護規制を強化する動きが世界的に見られ、遅れを取っていた日本でもついに個人情報保護法の改正が2022年4月に施行されました。

法令遵守のもと、企業のデジタルマーケティング活動を推進していくには、Web上で発生する個人データの取り扱いに関する「同意管理のあり方」を検討することが求められます。

しかしながら、同意管理の技術を提供する「CMPツール（Consent Management Platform＝同意管理プラットフォーム）」は、まだまだ国内で認知されはじめたばかりで、ツールの役割や仕組み、導入すべきかどうかが不明瞭なままなのが実情です。

そこで本記事では、CMPツールについて、同意管理の考え方から、求められる役割・機能をわかりやすく解説しています。また、ツールやサービスの比較検討時に押さえておきたいポイントも紹介していますのでぜひご参照ください。

代表的なデータウェアハウスの製品を知りたい方は、まずは「CMPツール（同意管理プラットフォーム）の比較表」からお読みください。各製品について特徴や機能性、料金プランをまとめています。

CMPツールとは

CMPツールとは、Webサイトやアプリを訪問するユーザーに対し、個人データを収集することを利用目的とともに明示し、その同意状況を管理する一連の仕組みを提供するツールです。下記の頭文字を取って、日本語では同意管理プラットフォームと訳されます。

• Consent＝同意（を）
• Management＝管理（する）
• Platform＝基盤／プラットフォーム

ユーザーがWebサイトに訪問した際に発生するデータは、そのユーザーに属するものであり、企業側（サービス提供者）によるデータの収集や保存、利用に対して、「同意」「拒否」の選択権を持っているのもユーザーです。

すなわち同意管理とは、「個人データを提供するユーザー」と「個人データを利用する企業」との間の約束ごとを表明し、それに対するユーザーの意思を正しく管理することを指します。尚、ユーザーはいつでもその意思を変更することが可能です。

CMPツール（同意管理プラットフォーム）の役割

企業がユーザーの個人データを、本人の同意を得たうえで適切に取り扱えるように、CMPツールは次のような役割を担います。

1. 個人情報取得のポリシーを表示し、同意状況を記録・管理する

CMPツールは、Webサイトやアプリに訪問したユーザーに対し、ポップアップなどで個人情報取得のポリシー（取得するデータ、利用目的など）を表示し、本人らの同意状況を記録・管理することができます。最も基本的で重要な機能であり、多くは、HTMLタグの埋め込みなどによって簡単にWebサイトに設置可能です。

この設置によって、まず訪問者（データ提供者）は、自身の個人データがどのような目的で、どの企業に収集・利用されているかを把握できるようになります。その利用目的や連携先ごとに提供するデータを選択したり、利用方法を制限したうえで同意するといったことも可能です。

また企業側は、データの連携先企業（サードパーティーベンダー）ごとに、収集データの種類とそれぞれの利用目的を設定することで、ユーザーの同意状況によってデータの取得や遮断を実行できます。

2. 同意情報に基づく各種タグの発火を制御する（ゼロクッキーロード）

CMPツールには、Cookieの使用に関してユーザーから同意を得るまで、連携するマーケティングツールでのCookie発行や各種タグの発火を停止する仕組みが備わっています。（ゼロクッキーロードと呼ばれます。）

GoogleアナリティクスやMAツールなどの連携ツールが、同意の取得以前にCookieを利用し始めると、「虚偽の同意取得（同意なしに個人データを利用している）」とみなされかねません。

こういった状況を避けるために、CMPツールは、ユーザーの同意情報に基づいてCookieの発行や各種タグの発火をコントロールする「ゼロクッキーロード」に対応しています。

CMPツール（同意管理プラットフォーム）の導入は必須か？

Cookie同意やCMPという言葉が認知されはじめたのは、2022年4月より全面施行された改正個人情報保護法によるものでしょう。個人データの取り扱い体制の見直しやツール導入の是非が議論されるようになります。

結論、CMPツールの導入は必須ではありません。ただし、改正個人情報保護法によって、「企業は、ユーザーから個人データに関する開示請求を受けた際、即座に対応すること」が義務付けられました。つまり、顧客の個人データの出入りや同意状況を一元的に管理しておく必要があります。（改正個人情報保護法で企業が取るべき対策は次章で詳しく解説しています。）

しかしながら、データ別・利用目的別といった同意状況を含めた顧客データを一元管理し、マーケティングや顧客体験の向上に活用できる仕組みを自社内製で構築するのは、ほとんどの企業にとって、時間的にも技術的にも現実的ではありません。

また、直近では日本の個人情報保護法がフォーカスされていますが、欧州のGDPRや米国カリフォルニア州のCCPAなど、各国規制への対応が求められることもあります。今後も変容し続ける外部環境へ柔軟に対応できる持続可能な運用体制を構築するには、CMPツールの導入を検討せざるを得ないといったところでしょう。

CMPツール（同意管理プラットフォーム）と個人情報保護法の関係

個人情報保護法は、企業規模や個人情報の数にかかわらず「個人情報を取り扱う全ての事業者」に適用されます。

まず、2022年4月施行の個人情報保護法改正について、以下にまとめた6つの変更ポイントをご確認ください。

	改正のポイント	内容
1	個人の権利保護の強化	・6ヶ月以内の短期保有データも保有個人データに含める ・保有個人データの開示方法（書面・デジタル）を本人が指定できる ・利用停止、消去、第三者への提供禁止に対する個人の請求権を拡充する ・個人データ授受に関する第三者提供記録を本人が開示請求できる ・オプトアウト規定で第三者に提供可能な個人データを限定する
2	事業者が守るべき責務の追加	・個人データ漏洩時の報告が義務化される ・不適正な個人情報利用の禁止が明文化された
3	企業の特定分野（特定部門）を対象とする認定団体制度の新設
4	データ利活用の促進	・「仮名加工情報」について事業者の義務が緩和される ・提供先で「個人データとなり得る情報」に対する本人同意の確認が義務化される
5	法令違反に対する罰則強化（※2020年12月12日より施行）
6	外国の事業者に対する法令適用、罰則追加

個人データに該当するものとは？

全体を通して大きな変化が見られたのは、以下のように「本人（個人データ提供者）が請求できる対象」と「本人への情報提供や同意取得をすべき対象」が拡大したことです。

• 本人が、個人データの利用記録や管理状況の開示をいつでも事業者に請求できる。
• 本人が、個人データの利用停止・消去・第三者への提供（※）の停止を請求できる条件が緩和される。
• 事業者は、個人データの収集や利用目的、第三者への提供について、本人同意を取得しなければならない。
• 提供元で「個人データに該当しないもの（※）」でも、提供先で個人データとなり得る情報の第三者への提供について、本人同意が得られていることを確認しなければならない。

ここで、旧法では明言されていなかったCookieの取り扱いについて、改正法では明確なルールが定められたことになります。Cookieは、ブラウザとサーバーとの間の通信状態を管理する実装技術であり、Cookieそのものは個人情報ではありません。

しかし、氏名やメールアドレスなどの個人を識別しうる情報に、Cookieで取得したブラウザIDが関係づけられれば、クッキーは識別され得る個人に関する情報、つまり「個人データとなり得る情報」となり、本人同意の確認義務が生じるのです。

改正個人情報保護法に対して企業が対応すべきこと

以上のような個人情報保護法の改正内容により、企業には、以下のような対策が求められています。

• 企業は、個人データの格納場所や利用状況を一元的に管理し、個人データに関する開示請求を受けた際には即応できる状態でなければならない。
• 企業は、Cookieを介して外部データを取得し個人情報と紐付ける場合、本人からの同意を事前に取得しなければならない。

新法では、個人の保護権利がより強化され、本人が請求可能な個人データの対象が拡大します。対する企業側は、第三者提供記録の開示や利用停止などの申し出に速やかに対応するための運用体制を整えておかなければなりません。

「そもそも現状でどのような個人情報を保有しているのか」「各部門で第三者提供時の記録は徹底されているのか」と、既存の個人データの棚卸から実施する必要があります。「複数部署を横断する連携体制や責任分界点が決まっていない」といった自社のプライバシーポリシーの改訂課題も出てくるでしょう。

CMPツール（同意管理プラットフォーム）の導入ステップ

CMPツールの導入には、要件に応じて事前準備や設計が必要になります。大まかには以下のステップで進めるのが一般的です。

1. プライバシーポリシーやCookieポリシーの策定
2. CMPツールの選定
3. CMPツールの導入・実装

国内ベンダーであれば、導入支援を行ってくれるケースが多いです。法規制や対応方針のコンサルティングから入ってもらえることもあります。

ステップ1. プライバシーポリシーやCookieポリシーの策定

まず、社内における個人情報・個人データの取得や利用目的などの現状を把握する必要があります。プライパシーポリシーやCookieポリシーに従い、適切な利用が行われていることを確認しましょう。

もし不適切な利用が行われているのであれば、その利用実態を正し、もしくはプライバシーポリシーを新たに策定しなければなりません。

ステップ2. CMPツールの選定

各国規制への対応やプライバシーポリシーに基づき、自社に導入するCMPツールを検討します。選び方・比較のポイントは次章で詳しく解説していますので、ぜひご参照ください。

ステップ3. CMPツールの導入・実装

ステップ1の現状を網羅した仕様を反映し、CMPの設定を行います。具体的には以下のような内容を実施します。

• サイトのスキャンとCookie情報の分析：各国別ポリシーWebサイトをスキャンし、使用されているCookieやその他のトラッキング技術を自動検出します。
• 導入前のテストや実装後の本番環境でのテスト
• HTMLタグの発行とWebサイトへの設置

CMPツールをスムーズに運用開始できるよう、できるかぎりプロへの相談を推奨します。

CMPツール（同意管理プラットフォーム）の選び方

CMPツールの選定時に押さえておくべきポイントは、以下の4点です。

1. 各国規制への対応（GDPR・CCPAなど）
2. Cookie同意取得バナーのカスタマイズ性
3. 同意データを連携できるマーケティングツール
4. 技術サポートや規制対応のコンサルティング

1. 各国規制への対応（GDPR・CCPAなど）

2018年にEUで施行されたGDPR、2020年にアメリカのカリフォルニア州で施行されたCCPAなどを筆頭に、ここ数年で、個人データの保護に関連する法規制が世界規模で強化されています。

同意管理をシステム化する上で最初の課題となるのは、各国で異なる法規制ではないでしょうか。たとえば、GDPRでは利用目的ごとの同意取得に対応しなければなりませんし、CCPAではオプトアウトの機会提供が求められます。

参考：GDPR（EU一般データ保護規則）とは？日本企業が対応すべきポイントを考える｜日立ソリューションズ
参考：カリフォルニア州消費者プライバシー法（CCPA）の概要｜NTT DATA

各国のプライバシー保護法に準拠した設定やカスタマイズが可能かどうか、将来的な事業展開も含めてベンダーに確認しておきましょう。

日本国内の個人情報保護法をはじめ、各国のプライバシー保護に関する法規制に改正があった場合、CPMツールの設定やシステムも改正後の同意取得方法に準拠するよう、ベンダーが随時アップデートを行います。

2. Cookie同意取得バナーのカスタマイズ性

ユーザーにCookie同意取得を求めるバナーのデザインや設置場所、表示方式はツールによって異なります。それぞれ自社のWebサイトやアプリケーションにマッチするか、あらかじめ確認しておきましょう。

特にサービスによって違いが出るのは、データの利用目的別に「同意・拒否」を選択可能なパネルのインターフェースです。許諾内容に必要項目が揃っているか、また項目のカスタマイズが可能かどうかも重要な比較ポイントとなります。

また、規制の異なる対象地域を横断して同意取得が求められるようなWebサイトでは、訪問者のアクセス元（国・地域）やデバイスに応じて、各規制に準拠するように作成された同意取得バナーを出し分けることができるかどうかも重要です。

3. 同意データを連携できるマーケティングツール

CMPツールは、タグマネージャーやCRMなどと連携した同意状況の管理も可能です。各マーケティングデータに同意状況を紐づけて管理することで、個人データの取り扱いを適正に保ちながら、顧客分析や広告運用などを行うことができます。

各ユーザーが選択した取得データや利用目的ごとの「同意・拒否」は、全ての社内システムで適用されなければなりません。同意状況によってはマーケティング施策そのものを変えなくてはならないケースもあるでしょう。

各ベンダーの提携状況はまだこれからといったところですので、連携先が多いことは、現時点では大きな差別的要因にはならないかもしれませんが、現状すでに、個人データを取り扱う広告運用ツールやMAツールを運用しているのであれば、データベースごとにバラバラで個人データを管理する手間を省くためにも、既存システムとの連携は確保したいところです。

4. 技術サポートや規制対応のコンサルティング

CMPツールの導入や運用には、個人情報保護法をはじめ、各国の法規制への技術的対応、同意取得・管理のシステム実装、各マーケティングツールとのデータ連携といったさまざまな分野の専門的な知見が必要とされます。

導入サポートやツールに関する質問などの技術的支援、規制ガイドラインや法務コンサルティングなど、自社の人材リソースやITリテラシーで運用しうるサポート体制が整っているかどうかは大きな差別化ポイントとなるでしょう。

海外サービスの場合は、問い合わせの手段や時間帯、担当者（技術者か法務専門か）、サポートを受けられる言語をあらかじめ確認しておくべきです。

CMPツール（同意管理プラットフォーム）の比較表

	個人情報保護法	GDPR	メーカー	フリープラン	月額費用
Sourcepoint	〇	〇	海外製	なし	問い合わせ
webtru	〇	〇	国産	あり	6,600円～
Trust 360	〇	〇	国産	なし	55,000円～
OneTrust	〇	〇	海外製	なし	6,300円
UniConsent	〇	〇	海外製	なし	20ポンド～
Osano	〇	〇	海外製	あり	199.99ユーロ～
CookiePro	〇	〇	海外製	あり	10ドル～
Ensighten	〇	〇	海外製	なし	問い合わせ
LiveRamp CMP	〇	〇	海外製	なし	問い合わせ

CMPツール（同意管理プラットフォーム）の比較9選【レビュー付き】

1. Sourcepoint

Sourcepointは、アメリカのアドテクノロジー業界に深く関わる創業者3⼈が設⽴したCMPソリューション専⾨企業によって提供されるCMPツールです。Sourcepointを取り扱うDACでは、CMP導入の与件整理から法対応の理解、導入後のサポートまでワンストップのコンサルティングサービスを提供しています。

Webだけでなく、アプリ（iOS/Android）、AMP（Accelerated Mobile Pages）、CTV（Connected TV）などのさまざまな環境形態での同意取得や同意状況の管理が可能です。またCDPと連携し、顧客ID単位での同意管理もできるため、Web/アプリ/AMPなど複数環境を横断して同意ステータスを維持できます。

さらに、PV数単位での課金形態のため、複数のドメインを利用している場合にはより検討しやすいでしょう。

Sourcepointの費用・料金プラン詳細

導入費用・運用費用についてはお問い合わせください。

Sourcepointを実際に利用した人の口コミ・評価

2. webtru

webtruは、企業のマーケティング・広報・Web担当者が頭を抱えるプライバシー対応を自動化できる同意管理ツールです。管理しているWebサイトのURLを登録すると、利用している外部サービスのプライバシーポリシー、オプトアウト先リンク一覧を自動的に検出します。

国内の個人情報保護法をはじめ、GDPRやCCPA、改正予定の電気通信事業法など、シンプルコードの埋め込みだけで、さまざまな国内外の法規制へ簡単に対応可能です。サイト訪問者のアクセス元を自動判別し、現地規制に適合した初期状態で同意管理ツールが動作します。

webtruの費用・料金プラン詳細

料金プラン	内容
フリー 0円	呼び出し上限回数1,000回/月
ベーシック 6,600円/月〜	呼び出し上限回数10,000回/月 デザイン・文言の変更可能
プラス 13,200円/月〜	呼び出し上限回数100,000回/月 デザイン・文言の変更可能 GDPR対応、地域別出し分け、アプリ対応あり

webtruを実際に利用した人の口コミ・評価

3. Trust 360

Trust 360は、「デジタルマーケティングの推進」と「プライバシーの尊重」を両立させる「プライバシーテックのリードカンパニーです。以下のような、クッキー同意管理に関する悩みや同意管理プラットフォームの導入課題を解消します。

• ゼロクッキーロードに対応できていない
• Web広告・SNS広告のカスタマーマッチ（カスタムオーディエンス）に必要な同意を取得できていない
• 同意管理と、利用中のシステムが連携できていない
• 海外法にも対応したいが、海外ツールは同意取得バナーがごちゃごちゃしていて分かりにくい
• 改正電気通信事業法、改正個人情報保護法に対応したい

設置する側とサイトを訪問するユーザーのどちらにもシンプルでわかりやすいバナー表示で、日本人スタッフによるベンダーサポートが受けられます。

Trust 360の費用・料金プラン詳細

料金プラン	内容
基本料金 50,000円/月～	月間500万PVまで定額（超過の場合は別途見積が必要です。）

Trust 360を実際に利用した人の口コミ・評価

4. OneTrust

OneTrustは、世界のプライバシー保護規制対応でトップクラスの実績を持つクッキー同意管理ツールです。 IIJのクッキー同意管理バナーの導入をフルサポート

OneTrustを取り扱うIIJでは、各国のプライバシー保護規制が求めるクッキー規制要件に対応するよう、専門技術要員・プライバシー専門コンサルタントが、クッキー同意管理バナーの導入を迅速・柔軟にサポートします。ライセンス購入から、導入・運用サポートまで日本語でのワンストップ対応が可能です。

また、無償で利用できるナレッジベース（サポートポータル）では、導入マニュアルや運用ガイドをはじめ、よくある技術的問い合わせ（FAQ）、プライバシー保護規制対応ガイドやCSSデザイン集などが公開されています。

導入マニュアルを参照して自社で導入・運用をスタートさせ、対応で困ったことがあれば専門家によるスポットサポートを受けるといったことも可能です。

OneTrustの費用・料金プラン詳細

料金プラン	内容
年額75,600円 （6,300円/月）	1ドメインあたりのライセンス料。 クッキーバナーのスクリプトを公開する単位でライセンスが必要となります。 日本語の導入マニュアル・運用ガイドが無料

OneTrustの利用レビュー・評価

5. UniConsent

UniConcentは、GDPR / CCPA / LGPDに対応するCMPツールです。PC・モバイル・タブレットを横断してインストールでき、IT知識がなくても1タグで簡単に導入できます。全てWebから操作を行い、同意状況のトラッキングや分析も一元化できます。

ただし、対応言語に日本語が含まれておらず、レファレンスやサポート体制も日本語には対応していないため、操作は簡単ですが使い慣れるまで翻訳に時間を要するかもしれません。

UniConsentの費用・料金プラン詳細

料金プラン	内容
Basic 20ポンド/月	3つのウェブサイトと、月間30万ユーザーまでのデータ取得ができるプランです。
Value 50ポンド/月	5つのウェブサイトと、月間50万ユーザーまでのデータ取得ができるプランです。
Enterprise 問い合わせ	他サービスからの移行サポートやAPIを利用できるプランです。

UniConsentの利用レビュー・評価

6. Osano

Osanoは、75万以上のサイトで利用され、月に30億以上もの同意取得を提供する人気のCMPツールです。サードパーティー製のスクリプトを自動検出し、許可されていないサードパーティによる情報の取得を防止したり、新しい検出に対して、自動アラートで即座に管理者へ通知したりします。

50カ国以上のデータプライバシーをカバーし、ベンダーによるポリシーの変更も常時監視しています。過去のバージョンとの比較で、細かな変更点もひと目で把握可能です。また、ツールは42ヶ国語に対応しており、さまざまな訪問者を特定して、瞬時に適切な言語での同意バナーを出し分けます。

Osanoの費用・料金プラン詳細

料金プラン	内容
FREE 無料	1ユーザー、1ドメイン、月間5,000セッションまで データ連携先：1
PLUS 199.99ユーロ/月	2ユーザー、2ドメイン、月間30,000セッションまで UKとGDPR対応
ENTERPRISE 549ユーロ～/月	ユーザー数・ドメイン数が無制限 データ連携先・月間セッションで価格が変動します。

7. CookiePro by OneTrust

CookieProは、OneTrust社が提供しているCMPツールです。Webサイトをスキャンし、地域ごとに最適化された同意取得バナーやCookieポリシーを簡単に生成・表示できます。

また、モバイルアプリ（iOS,Android）に組み込むことも可能です。モバイルアプリをスキャンし、ユーザデータの分析や広告表示に関するデータ集計、その他の追跡技術についてユーザーの同意を収集することができます。

また運用をスムーズに開始するための「クイックスタートサポート」というプランがオプションで利用可能です。初心者向けにCookieに関する知識や具体的なツール活用方法を解説する「ウェビナー」や「1対1のオンラインセッション」などが含まれます。

CookiePro by OneTrustの費用・料金プラン詳細

料金プラン	内容
Starter 10ドル/月	クッキーバナーのカスタマイズが可能
Standard 30ドル/月	GDPR & CCPA対応など、グローバル規制に対応
Enterprise 44ドル/月	同意の要件カスタマイズ、高性能Cookieスキャンなど

UniConsentの利用レビュー・評価

8. Ensighten

 Ensightenは、クライアントサイドへのセキュリティ攻撃を保護し、不正タグの侵入や個人情報漏洩を抑制するWebセキュリティツールです。クッキー同意取得管理機能も含まれており、各国のプライバシー保護規制対策にEUのGDPR、米国CCPAをはじめ、タイのPDPAや日本の個人情報保護法にも1ツールで対応できます。

クライアントサイドでの個人情報の保護やWebサイトのセキュリティ分野におけるグローバルリーダー企業であり、そのソリューションは大手航空会社（国内ではJAL、ANA）やECサイトをはじめ、全世界の大手企業に採用されています。

Ensightenの費用・プラン詳細

導入費用や料金プランについてはお問い合わせください。

9. LiveRamp CMP

LiveRamp CMPは、LiveRamp CMPは、LiveRamp Japan株式会社が提供するデータ接続プラットフォームです。グローバルな規制要件を満たし、ユーザー、パブリッシャー、マーケターそれぞれが、データを的確に収集・管理できます。

消費者においては個人データ制御を可能にし、ビジネスにおいては収益を持続的に向上させる仕組みを提供。個人情報保護法、GDPR、CCPAのほか、サードパーティクッキーの廃止などにも対応しており、グローバル基準のコンプライアンスを準拠・維持できます。

LiveRamp CMPの費用・料金プラン詳細

導入費用や料金プランについてはお問い合わせください。

まとめ｜持続可能な体制構築へ向けてプライバシーテックを活用しましょう

本記事では、CMPツールについて、個人データの利用に対する同意管理の在り方から、ツールに求められる機能・役割をわかりやすく解説し、最後に国内外のCMPツール10製品を、それぞれの特徴や価格、利用レビューとともにご紹介しました。

CMPツールは、個人データの取り扱いにおける企業と顧客との信頼関係構築をテクノロジーでサポートするツールです。

サービス訪問時に発生する全てのデータとその取り扱いは個人に属するものであり、いくら企業側が「顧客体験の向上のためのデータ活用」と主張したところで、何の信頼関係もなく自発的に個人データを利用して欲しいと思う人は稀でしょう。

顧客が同意することによって顧客自身にもメリットがあるのか、進んで同意したくなるような価値提供ができるのか、といった観点を大切にしながらCMPツールの導入検討を進めてみてください。

よくある質問と回答