DPDPA における Consent Manager とは？
Consent Manager は Data Protection Board に登録されたプラットフォームで、複数の企業に対する同意の付与・確認・撤回を支援します。Cookie バナーや CMP とは異なります。別称: DPDPA の Consent Manager、インドの Consent Manager、同意管理の仲介者
DPDPA における Consent Manager とは何を意味しますか？
Digital Personal Data Protection Act, 2023 は Consent Manager を、Board に登録された者であって、Data Principal が利用しやすく透明で相互運用可能なプラットフォームを通じて同意を付与・管理・確認・撤回できるようにする単一の窓口として機能するものと定義しています。
平たく言えば、Consent Manager は、個人のための中心的な同意コントロールのレイヤーとして機能することが想定されています。
DPDPA のモデルは、サービスごとに個別に同意を管理するのではなく、Data Principal が該当する同意の判断を管理できる相互運用可能なプラットフォームを想定しています。
Consent Manager は何をするのですか？
DPDPA の Consent Manager は、Data Principal が次のことを行うための中心的な仕組みを提供し得ます。
同意を付与する
既存の同意を確認する
同意設定を管理する
同意を撤回する
どの同意が有効かを把握する
参加している Data Fiduciary とやり取りする
利用しやすいインターフェースを通じて同意を管理する
その目的は、同意管理の透明性を高め、個人データに関する選択について個人がより大きなコントロールを持てるようにすることです。
Consent Manager になれるのは誰ですか？
DPDPA において、Consent Manager とは、Cookie バナーや同意ツールを提供している企業であれば誰でもよいというものではありません。
同法は Consent Manager を Board に登録された者と定義し、この概念を相互運用可能な同意管理の仲介者として位置づけています。
詳細な運用要件、登録の枠組み、技術要件は、適用される DPDPA の枠組みと規則によって定められます。
この区別は企業にとって重要です。DPDPA における「Consent Manager」という用語を、ウェブサイト向け CMP の別名として当然に扱うべきではないからです。
Consent Manager と同意管理プラットフォームの違い
Consent Manager と同意管理プラットフォーム（CMP）は同じもののように聞こえるかもしれませんが、果たす役割は異なります。
| DPDPA の Consent Manager | 同意管理プラットフォーム |
|---|---|
| インドの DPDPA で定義されている | プライバシー技術の一般的なカテゴリー |
| Board に登録されている | 要件を満たす技術ベンダーであれば提供できる |
| 相互運用可能であるよう設計されている | 通常はウェブサイト、アプリ、組織ごとに設定される |
| Data Principal が同意を管理できるようにする | 同意を収集し反映する |
| Data Fiduciary をまたいで機能することが想定されている | 特定のプロパティの同意を管理することが多い |
| 同意の付与・管理・確認・撤回を含む | バナー、設定センター、ブロッキング、同意記録を含み得る |
したがって CMP は、Data Fiduciary が利用する技術的な同意レイヤーを支えることができますが、法律上の Consent Manager は DPDPA に固有の別個の概念です。
Consent Manager は Cookie 同意バナーとどう違うのですか？
Cookie 同意バナーとは、ウェブサイト上に表示され、訪問者に Cookie について知らせ、該当する同意を収集するユーザーインターフェースです。
同意管理プラットフォームはさらに踏み込み、設定の管理、トラッカーのブロック、同意の記録、ウェブサイトの各種技術への選択内容の伝達を行うことができます。
DPDPA の Consent Manager は、そのいずれとも異なります。DPDPA が定める特定の規制対象の仲介者であり、Data Principal が相互運用可能なプラットフォームを通じて同意を付与・管理・確認・撤回できるようにするものです。
言い換えると、次のようになります。
Cookie バナー
ウェブサイトの同意インターフェース
CMP
同意の収集と反映のための技術
DPDPA の Consent Manager
登録済みで相互運用可能な同意の仲介者
Consent Manager がプライバシーを守る仕組み
アプリや銀行、オンラインサービスごとに同意を個別に管理しなければならないことがあります。Consent Manager はこうした選択を一か所にまとめます。データを収集する企業ではなく、Data Principal のために動きます。利用者は有効な同意を確認し、選択を変更し、必要に応じて同意を撤回できます。
Consent Manager と Data Principal
Data Principal とは、その個人データが関係する本人です。
Consent Manager は、その本人に同意を管理するための仕組みを提供するよう設計されています。
たとえば次のようになります。
- Data Principal
- Consent Manager
- Data Fiduciary
Data Principal は Consent Manager を利用して同意の判断に関与でき、一方で Data Fiduciary は、自らが決定する取り扱い活動について引き続き責任を負います。
これにより、同意を管理する個人と、その個人の個人データを取り扱う組織とが切り分けられます。
Consent Manager と Data Fiduciary
Data Fiduciary は、個人データを取り扱う目的と方法を決定します。
Consent Manager は、DPDPA が想定する同意管理のインターフェースと相互運用性のレイヤーを提供します。
簡略化した関係は次のようになります。
- Data Principal
- Consent Manager
- Data Fiduciary
- Data Processor
Data Fiduciary は、自らに代わって個人データを取り扱わせるために Data Processor を利用することがありますが、Consent Manager は同意のエコシステムの中でそれとは異なる役割を担います。
相互運用可能な同意とは何ですか？
相互運用性とは、同意情報が一つの組織の技術環境に閉じ込められるのではなく、参加しているシステムの間で機能し得ることを意味します。
Data Principal にとっては、複数のサービスにわたって一貫した同意管理の仕組みを利用できる可能性があることを意味します。
企業にとっては、適切なセキュリティ、真正性、監査可能性を維持しながら、同意情報を確実にやり取りし解釈できるシステムが必要になる場合があります。
Consent Manager と同意の撤回
DPDPA の Consent Manager の重要な機能の一つは、Data Principal が同意を撤回できるようにすることです。
DPDPA は、Data Principal がいつでも同意を撤回する権利を有し、同意の撤回の容易さは同意を与える容易さに匹敵するものであるべきだと定めています。
これにより、同意の撤回は後回しにされるものではなく、同意のライフサイクルの重要な一部となります。
したがって企業は、同意の撤回が、その影響を受けるシステムと取り扱い活動に確実に伝わるようにすべきです。
Consent Manager と DPDPA 対応
Consent Manager という概念は、インドのより広いプライバシーと同意の枠組みの一部です。
DPDPA 対応を進める企業は、次の点を検討すべきです。
- どの個人データを取り扱っているか
- なぜそのデータを取り扱うのか
- 同意が適用される根拠かどうか
- 同意をどのように収集するか
- 同意をどのように記録するか
- 同意をどのように撤回できるか
- Data Principal の権利にどのように対応するか
- どの Data Processor が個人データを受け取るか
- 同意情報をシステム間でどのように伝達するか
- 同意の証跡をどのように保持するか
同意ツールを利用するだけで、組織が DPDPA に適合するわけではありません。コンプライアンスは、その組織の実際の取り扱い活動、通知、同意の運用、セキュリティ管理策、権利対応のプロセス、その他の適用される義務によって決まります。
DPDP Act における Consent Manager のルール
DPDP Act, 2023 の Section 2(g) が Consent Manager を定義し、Section 6(7)〜(9) がその役割の仕組みを定めています。
- 利用：Data Principal は Consent Manager を通じて同意の付与・管理・確認・撤回を行えます（Section 6(7)）。
- 責任：Consent Manager は Data Principal に対して責任を負い、その代理として行動します（Section 6(8)）。
- 登録：すべての Consent Manager は Data Protection Board に登録されなければなりません（Section 6(9)）。
DPDP Rules, 2025 は 2025 年 11 月 13 日に公布されました。すべてが同時に適用されるのではなく、段階的に適用されます。
- Consent Manager の登録と義務を定める Rule 4 は、2026 年 11 月 13 日から適用されます。
- 通知、同意、安全管理措置、個人データ侵害に関するものを含むその他の大半の Rules は、2027 年 5 月 13 日から適用されます。
- Data Protection Board の設置に関する規定など、一部の規定は公布と同時に施行されました。
企業は、すべての義務がすでに適用されていると考えるのではなく、これらの日付に沿って準備を進めるべきです。
Consent Manager は CMP と同じものですか？
いいえ。
これは理解しておくべき最も重要な区別の一つです。
CMP とは、組織が同意を収集・管理・保存・反映するために利用するプライバシー技術のプラットフォームです。
DPDPA における Consent Manager とは、Data Principal が同意を付与・管理・確認・撤回できる、登録済みで相互運用可能なプラットフォームに関わる、法律上の特定の概念です。
両者は連携して機能し得ますが、同一の概念として扱うべきではありません。
ウェブサイトに Consent Manager は必要ですか？
一般的な CMP を導入すれば DPDPA の Consent Manager になる、とすべてのウェブサイトが考えるべきではありません。
DPDPA は Consent Manager を特定の登録済み事業体として定義し、その役割に関する要件を定めています。
ただし、ウェブサイトやアプリは、それ自体が Consent Manager でない場合でも、しっかりとした同意管理が必要になることがあります。
企業は、自社の取り扱い活動、同意の要件、Data Principal の権利、適用される DPDPA 上の義務を、それぞれ個別に評価すべきです。
Consent Manager と同意レシートの違い
Consent Manager とは、Data Principal が同意を管理できるようにする事業体／プラットフォームです。
同意レシートとは、同意の判断の証跡または記録です。
たとえば次のようになります。
Consent Manager
同意を管理するための仕組みを提供します。
同意レシート
どのような同意が、いつ与えられたか、その他の関連情報の証跡を記録します。
これらの概念は連携して機能し得ますが、目的は異なります。
ConsentX における Consent Manager
ConsentX は、企業が DPDPA の同意を取り巻く技術的なレイヤーを構築するのに役立つ同意管理技術を提供します。
ConsentX は組織が次のことを行うのを支援します。
目的別の同意通知を提示する
積極的な同意を取得する
同意設定を管理する
同意の撤回に対応する
改ざん検知可能な同意記録を保持する
対象となるトラッカーを同意前にブロックする
Data Principal からの請求を管理する
DPDPA 固有の同意フローに対応する
監査に耐える証跡を保持する
地域ごとのプライバシールールを適用する
ConsentX は同意管理プラットフォームであり、同意管理機能を提供しているからといって、当然に法律上の DPDPA の Consent Manager になるわけではありません。
この区別により、企業は ConsentX を組織の同意管理レイヤーとして利用しつつ、DPDPA における別個の Consent Manager の概念を明確に保つことができます。
関連用語
デジタル個人データの取り扱いと、それに関連するプライバシーの権利と義務を規律するインドの枠組みです。
DPDPA において、その個人データが関係する本人です。
個人データを取り扱う目的と方法を決定する者です。
Data Fiduciary に代わって個人データを取り扱う者です。
組織がユーザーの同意とプライバシー設定を収集・管理・反映・記録することを支援する技術です。
DPDPA の要件のもとでの個人データの取り扱いに関する同意です。
ユーザーの同意の判断の証跡と、関連する同意情報を含む記録です。
DPDPA が個人に認める権利で、アクセス、訂正、消去、苦情の救済、指名、同意の撤回に関する該当する権利を含みます。
必要な許諾が得られるまで、対象となる必須でない取り扱いやトラッキングを行わせない同意のアプローチです。