Consent Manager とは？

Digital Personal Data Protection Act, 2023 は Consent Manager を、Board に登録された者であって、Data Principal が利用しやすく透明で相互運用可能なプラットフォームを通じて同意を付与・管理・確認・撤回できるようにする単一の窓口として機能するものと定義しています。

DPDPA の Consent Manager は、Data Principal が同意を付与し、既存の同意を確認し、同意設定を管理し、同意を撤回し、どの同意が有効かを把握し、参加している Data Fiduciary とやり取りし、利用しやすいインターフェースを通じて同意を管理するための中心的な仕組みを提供し得ます。

いいえ。CMP とは、組織が同意を収集・管理・保存・反映するために利用するプライバシー技術のプラットフォームです。DPDPA における Consent Manager とは、Data Principal が同意を付与・管理・確認・撤回できる、登録済みで相互運用可能なプラットフォームに関わる、法律上の特定の概念です。両者は連携して機能し得ますが、同一の概念として扱うべきではありません。

DPDPA において、Consent Manager とは、Cookie バナーや同意ツールを提供している企業であれば誰でもよいというものではありません。同法は Consent Manager を Board に登録された者と定義し、この概念を相互運用可能な同意管理の仲介者として位置づけており、その運用・登録・技術に関する要件は、適用される DPDPA の枠組みと規則によって定められます。

一般的な CMP を導入すれば DPDPA の Consent Manager になる、とすべてのウェブサイトが考えるべきではありません。ウェブサイトやアプリは、それ自体が Consent Manager でない場合でも、しっかりとした同意管理が必要になることがあるため、企業は自社の取り扱い活動、同意の要件、Data Principal の権利、適用される DPDPA 上の義務を、それぞれ個別に評価すべきです。

相互運用性とは、同意情報が一つの組織の技術環境に閉じ込められるのではなく、参加しているシステムの間で機能し得ることを意味します。企業にとっては、適切なセキュリティ、真正性、監査可能性を維持しながら、同意情報を確実にやり取りし解釈するシステムが必要になる場合があります。

Consent Manager とは、Data Principal が同意を管理できるようにする事業体またはプラットフォームです。同意レシートは、どのような同意が、いつ与えられたか、その他の関連情報の証跡を記録します。これらの概念は連携して機能し得ますが、目的は異なります。

ConsentX は同意管理プラットフォームであり、同意管理機能を提供しているからといって、当然に法律上の DPDPA の Consent Manager になるわけではありません。この区別により、企業は ConsentX を組織の同意管理レイヤーとして利用しつつ、DPDPA における別個の Consent Manager の概念を明確に保つことができます。