クロスコンテキスト行動ターゲティング広告とは？
別称: CCBA、クロスコンテキスト行動ターゲティング広告、クロスサイト行動ターゲティング広告、行動ターゲティング広告
California Consumer Privacy Act（CCPA）のもとで、クロスコンテキスト行動ターゲティング広告は、消費者が意図的にやり取りしている事業者やサービス以外の、事業者、別個のブランドのウェブサイト、アプリケーション、またはサービスをまたいだ消費者の活動から取得した個人情報を用いてターゲティングされる広告を中心に、具体的に定義されています。
この概念が重要なのは、CCPA が消費者に対し、クロスコンテキスト行動ターゲティング広告のための個人情報の共有をオプトアウトする権利を与えているからです。したがって CCPA の適用を受ける事業者は、該当するオプトアウトの選択やシグナルが、自社の広告技術やトラッキング技術によって実際に尊重されるようにしなければなりません。
クロスコンテキスト行動ターゲティング広告とは何を意味しますか？
クロスコンテキスト行動ターゲティング広告は、ある文脈における消費者の活動に関する情報が、別の文脈でその消費者に広告をターゲティングするために使われるときに生じます。
たとえば次のとおりです。
アクセス
消費者がウェブサイト A にアクセスします。
記録
トラッキング技術が、その消費者の活動に関する情報を記録します。
共有
その情報が、広告会社またはテクノロジー企業に提供されます。
移動
その後、消費者はウェブサイト B にアクセスします。
ターゲティング
こうした異なる文脈をまたいだ消費者の活動に関連づけられた情報にもとづいて、広告がターゲティングされます。
重要なのは、広告のターゲティングのために情報が文脈をまたいで利用されるという点です。
したがってこれは、一つのウェブサイト内だけで完結する活動にもとづいてパーソナライズされた広告を表示することよりも、広い概念です。
クロスコンテキスト行動ターゲティング広告の例にはどのようなものがありますか？
ある消費者が家具のオンライン販売サイトにアクセスし、いくつかのソファを閲覧したとします。
サードパーティの広告テクノロジーが、その活動に関する情報を記録します。
その後、その消費者が別のウェブサイトにアクセスすると、同じ家具販売事業者や関連商品の広告が表示されます。
その広告が、異なる事業者、ウェブサイト、アプリケーションまたはサービスをまたいだ活動から取得した消費者の個人情報を用いてターゲティングされている場合、その活動は CCPA のクロスコンテキスト行動ターゲティング広告の定義に該当する可能性があります。
特定の広告実務が法的にどのように位置づけられるかは、事実関係と適用される法律によって決まります。
クロスコンテキスト行動ターゲティング広告は CCPA のもとでなぜ重要なのですか？
クロスコンテキスト行動ターゲティング広告が CCPA のもとでとりわけ重要なのは、カリフォルニア州の消費者が、クロスコンテキスト行動ターゲティング広告のための個人情報の共有をオプトアウトする権利を有しているからです。
事業者にとってこれは、プライバシー対応がプライバシーポリシーの公開だけでは終わらないことを意味します。
消費者がオプトアウトした場合、組織は、該当する設定が広告やデータ共有に関わる技術に伝えられ、尊重されるようにする必要があります。
こうした技術には次のようなものが含まれます。
- 広告ピクセル
- リターゲティングスクリプト
- サードパーティ Cookie
- 広告 SDK
- ソーシャルメディアピクセル
- コンバージョン・オーディエンスタグ
- 顧客データの連携
- アドテクプラットフォーム
- クロスサイト識別子
クロスコンテキスト行動ターゲティング広告における「共有」とは何を意味しますか？
CCPA のもとで、共有には、クロスコンテキスト行動ターゲティング広告にとりわけ関係する、法律上の特定の意味があります。
この概念は、クロスコンテキスト行動ターゲティング広告のために消費者の個人情報をサードパーティに伝えることを対象としています。
そのため事業者は、自社の広告活動を従来型の個人情報の「販売」だとは考えていない場合であっても、CCPA 上の義務を負うことがあります。
CCPA は、個人情報の販売をオプトアウトする権利と、クロスコンテキスト行動ターゲティング広告のために個人情報を共有することをオプトアウトする権利とを、それぞれ別個に消費者に与えています。
クロスコンテキスト行動ターゲティング広告は、個人情報の販売と同じものですか？
いいえ。
CCPA のもとで、販売と共有は別個の概念です。
該当する活動が販売ではなく、クロスコンテキスト行動ターゲティング広告のための共有に分類される場合であっても、事業者は消費者のオプトアウトに従う義務を負うことがあります。
この区別はデジタル広告においてとりわけ重要です。当事者間で直接金銭のやり取りがなくても、個人情報が広告プラットフォームに移転され、または利用可能な状態に置かれることがあるからです。
したがって事業者は、CCPA 対応を評価する際に、販売と共有の両方の活動を検証すべきです。
クロスコンテキスト行動ターゲティング広告と Cookie
Cookie は、クロスコンテキスト行動ターゲティング広告を可能にし得る技術の一つですが、CCBA は Cookie に限られません。
その他の技術には次のようなものがあります。
- ピクセル
- JavaScript タグ
- SDK
- ローカルストレージ
- 広告 ID
- デバイス識別子
- サーバーサイドトラッキング
- アイデンティティ解決技術
- その他のトラッキングの仕組み
法的に問われるのは、単に次のことではありません。
「これは Cookie か？」
より有用な問いは次のとおりです。
「この技術はどのような個人情報を収集し、それはどこへ渡り、広告のためにどのように利用されるのか？」
だからこそウェブサイトは、自社の資産上で実際に動作しているスクリプトやサードパーティ技術を可視化しておくべきなのです。
クロスコンテキスト行動ターゲティング広告には同意が必要ですか？
CCPA のもとでは、消費者の中心的なコントロールは一般に、ターゲティング広告のあらゆる場面で事前の同意を得ることを求める GDPR 型の要件ではなく、販売または共有をオプトアウトする権利です。
この違いは重要です。
そのため CCPA の実装では、次のことが必要になる場合があります。
- 消費者のオプトアウトの選択を検知する。
- 該当するオプトアウトの意思表示シグナルを検知する。
- 該当する共有を停止する。
- オプトアウトの対象となる情報を広告技術が受け取らないようにする。
- 関係するシステム全体で一貫してその設定を適用する。
他のプライバシー法は、異なる要件を課している場合があります。
たとえば、EU のユーザーにサービスを提供するウェブサイトは、GDPR および ePrivacy の枠組みのもとで別個の義務を負うことがあります。
Global Privacy Control（GPC）とは何ですか？
Global Privacy Control（GPC）とは、消費者のオプトアウトの意思を伝える、ブラウザまたはユーザーエージェントのプライバシーシグナルです。
CCPA のもとでは、要件を満たすオプトアウトの意思表示シグナルにより、消費者は自身の個人情報の販売または共有をオプトアウトする権利を行使できます。
現行の CCPA 規則には、ブラウザ、アカウント、異なるデバイスが関わる状況を含め、事業者がオプトアウトの意思表示シグナルをどのように取り扱うべきかについて、詳細な例が示されています。
そのため GPC は、CCPA のプライバシー対応における重要な技術的要素となっています。
GPC はクロスコンテキスト行動ターゲティング広告にどのような影響を与えますか？
対象となる事業者が有効なオプトアウトの意思表示シグナルを受け取った場合、クロスコンテキスト行動ターゲティング広告のための個人情報の該当する販売または共有を停止する必要が生じることがあります。
たとえば現行の CCPA 規則は、オプトアウトのシグナルを受け取った事業者が、クロスコンテキスト行動ターゲティング広告のために、その消費者のブラウザ識別子に関連づけられた情報の販売または共有を停止しなければならない状況について説明しています。
事業者がアカウントやその他の識別子を通じてもその消費者を把握している場合、実装はより複雑になり得ます。
だからこそ GPC への対応は、ブラウザの装飾的な機能として扱うのではなく、実効性のあるプライバシー制御として実装すべきなのです。
クロスコンテキスト行動ターゲティング広告とサードパーティ
多くの広告エコシステムにおいて、サードパーティは重要な役割を果たしています。
事業者は、次のような目的でサードパーティの広告プラットフォームを利用することがあります。
- オーディエンスの構築・活用
- ターゲティング広告の表示
- キャンペーンの効果測定
- ウェブサイト訪問者へのリターゲティング
- 広告プロファイルの作成
- 識別子のマッチング
- パーソナライズされた広告の配信
CCPA の規則のもとでは、サービスプロバイダーまたは請負人は、クロスコンテキスト行動ターゲティング広告を提供する契約を事業者と締結することはできません。そのようなサービスを提供する当事者は、その活動については、CCBA サービスのサービスプロバイダーまたは請負人ではなく、サードパーティとして扱われます。
この区別は、事業者が自社の広告ベンダーやデータ共有の取決めを評価する際に重要になります。
クロスコンテキスト行動ターゲティング広告とファーストパーティ広告
ファーストパーティ広告
ファーストパーティ広告は一般に、その事業者自身の関係や文脈の中にある情報を利用するものです。
たとえば次のとおりです。
オンライン小売事業者が、その小売事業者自身のウェブサイトで顧客が以前に閲覧した商品にもとづいて商品を推奨する。
クロスコンテキスト行動ターゲティング広告
クロスコンテキスト行動ターゲティング広告は、異なる事業者、ウェブサイト、アプリケーションまたはサービスをまたいだ活動から取得した個人情報を用いて、広告をターゲティングするものです。
たとえば次のとおりです。
広告プラットフォームが、あるウェブサイトにおける消費者の活動に関する情報を用いて、別のウェブサイトでその消費者に広告をターゲティングする。
この区別が重要なのは、CCPA の法律上の定義が、異なる文脈をまたいだ活動に特に焦点を当てているからです。
クロスコンテキスト行動ターゲティング広告とコンテクスチュアル広告
| クロスコンテキスト行動ターゲティング広告 | コンテクスチュアル広告 |
|---|---|
| 異なる文脈をまたいだ活動に関する情報を利用する | 現在のページや環境の文脈を利用する |
| サードパーティの広告テクノロジーが関わり得る | クロスサイトの行動プロファイルがなくても機能し得る |
| 他の事業者やサービスから取得した個人情報が関わり得る | ページの内容にもとづいてターゲティングできる |
| CCPA の販売・共有のオプトアウト権に関係する | 自動的に CCBA になるわけではない |
| リターゲティングやオーディエンスターゲティングと結びつくことが多い | 一般にコンテンツにもとづく広告と結びつく |
同じ広告キャンペーンに複数の技術が関わることもあるため、事業者は広告戦略全体を一つのラベルで分類するのではなく、背後にあるデータの流れを検証すべきです。
消費者がオプトアウトした場合、事業者は何をすべきですか？
消費者が該当する販売または共有をオプトアウトした場合、事業者はそのプライバシー設定が技術的に実行されるようにすべきです。
実務的なワークフローは次のとおりです。
受領
オプトアウトの請求を受け取ります。
検知
該当する GPC その他のオプトアウトの意思表示シグナルを検知します。
記録
プライバシー設定を記録します。
更新
その消費者の該当するプライバシーの状態を更新します。
防止
該当するデータの共有を防止します。
制限
オプトアウトの影響を受ける広告技術を制限します。
反映
関係するシステムやベンダーにその設定を反映します。
証跡
その設定と実行に関する証跡を保持します。
テスト
実装を定期的にテストします。
重要なのは、オプトアウトが、プライバシー設定ページの見た目を変えるだけでなく、背後にあるデータの流れに影響を与えるべきだという点です。
オプトアウト後もトラッキングが続くとどうなりますか？
消費者がオプトアウトを行使した後も、ウェブサイトが該当する個人情報を広告技術に送り続けている場合、消費者が表明したプライバシー上の意思と、ウェブサイトの技術的な挙動との間にずれが生じることがあります。
たとえば、ウェブサイトが次のようになっていることがあります。
- 「Do Not Sell or Share」のリンクを表示する。
- 消費者のオプトアウトを受け取る。
- その設定をデータベースに保存する。
- それにもかかわらず広告ピクセルを発火させ続ける。
そのような実装は、消費者の選択を実質的に実行できていない可能性があります。
CCPA の枠組みは、事業者が該当する消費者のプライバシーの権利に従うことを重視しており、技術的な実行をプライバシープログラムの重要な一部としています。
事業者はどのようにクロスコンテキスト行動ターゲティング広告を検知できますか？
事業者はまず、自社のウェブサイトやアプリケーション上で動作している技術を特定することから始められます。
プライバシーの技術インベントリでは、次の点を確認すべきです。
- Cookie
- スクリプト
- ピクセル
- SDK
- ネットワークリクエスト
- サードパーティのドメイン
- 広告プラットフォーム
- データの共有先
- サードパーティに渡される識別子
次のステップは、次の事項を判断することです。
- どのようなデータが収集されているか？
- 誰がそれを受け取るか？
- なぜそれを受け取るのか？
- それは広告のために利用されているか？
- その活動は、複数の事業者、ウェブサイト、アプリまたはサービスに及ぶか？
- 消費者がオプトアウトした場合はどうなるか？
ウェブサイトの自動スキャンは、想定外の広告技術や、サイトのトラッキング環境の変化を洗い出すのに役立ちます。
ConsentX はクロスコンテキスト行動ターゲティング広告への対応をどのように支援しますか
ConsentX は、広告やデータ共有のワークフローに関与し得るトラッキング技術を、組織が特定し制御できるよう支援します。
関係する機能には次のものがあります。
トラッカーと Cookie の検出
サードパーティ技術の検出
Global Privacy Control への対応
プライバシー設定の管理
オプトアウトの実行
事前スクリプトブロッキング
同意とプライバシーの記録
監査の証跡
現在の ConsentX の用語集ページは、クロスコンテキスト広告に関連するトラッカーの検出、GPC への対応、改ざん検知可能なオプトアウト記録の保持を中心に、このプラットフォームを位置づけています。
目的は、消費者のプライバシー上の選択を、ウェブサイトの実際の技術的な挙動と結びつけることです。
クロスコンテキスト行動ターゲティング広告と ConsentX
プライバシー設定は、背後にある技術がそれを尊重して初めて意味を持ちます。
ConsentX は、次のようなワークフローの構築を支援できます。
- 消費者の設定
- プライバシーの状態
- トラッカーの制御
- ベンダーへの実行
- 監査の証跡
これは、ウェブサイトにプライバシーのリンクを置くだけの場合よりも強固な実装です。
CCPA のユースケースにおける目的は、該当する販売・共有のオプトアウトが、クロスコンテキスト行動ターゲティング広告に関わる技術やサードパーティに反映されるようにすることです。
クロスコンテキスト行動ターゲティング広告は違法ですか？
いいえ。
クロスコンテキスト行動ターゲティング広告が、自動的に違法になるわけではありません。
CCPA は、クロスコンテキスト行動ターゲティング広告のための共有をオプトアウトする権利を含め、個人情報の収集・販売・共有に関する具体的な消費者の権利と義務を定めています。
コンプライアンス上問われるのは、その事業者の実務が適用される法的要件を満たしているか、そして消費者のプライバシー上の選択が適切に尊重されているか、という点です。
したがって事業者は、CCBA を本質的に禁止されたものとして扱うべきではありません。
そうではなく、次の事項を把握すべきです。
- どのような情報が収集されているか。
- それがどのように利用されているか。
- どの当事者がそれを受け取るか。
- その活動が販売または共有に該当するかどうか。
- どのような消費者の権利が適用されるか。
- オプトアウトの請求がどのように実装されているか。
- 該当するプライバシーシグナルが尊重されているかどうか。
クロスコンテキスト行動ターゲティング広告はカリフォルニア州外にも適用されますか？
この用語は、法律上の具体的な定義が置かれているカリフォルニア州の CCPA / CPRA の枠組みと最も強く結びついています。
米国の他州のプライバシー法は、ターゲティング広告といった関連する概念を用いており、消費者に同様のオプトアウト権を与えている場合があります。
もっとも、その定義や要件が必ずしも同一であるとは限りません。
したがって、米国の複数の州にまたがって事業を行う事業者は、CCPA の CCBA 対応の実装が他のすべての州のプライバシー法を自動的に満たすと考えるべきではありません。
クロスコンテキスト行動ターゲティング広告と米国の他のプライバシー法
米国のいくつかの州のプライバシーの枠組みは、ターゲティング広告または行動ターゲティング広告を規律しています。
用語は次のように異なり得ます。
- カリフォルニア州: クロスコンテキスト行動ターゲティング広告
- バージニア州: ターゲティング広告
- コロラド州: ターゲティング広告
- コネチカット州: ターゲティング広告
- その他の州も、類似または関連する用語を使っている場合があります
法律上の定義や実装上の要件は、法域によって異なり得ます。
したがって複数州に対応するプライバシープラットフォームは、すべての訪問者に一律のプライバシー設定を適用するのではなく、法域を判別するルールを使うべきです。
クロスコンテキスト行動ターゲティング広告のコンプライアンスチェックリスト
実務的なコンプライアンスの見直しには、次の事項を含めるべきです。
- 広告およびリターゲティングの技術を特定する。
- 消費者の情報を受け取っているサードパーティを特定する。
- Cookie、ピクセル、スクリプト、SDK をマッピングする。
- 個人情報がクロスコンテキスト行動ターゲティング広告のために利用されているかどうかを判断する。
- その活動が CCPA の「共有」に該当するかどうかを判断する。
- 必要なオプトアウトの仕組みを提供する。
- 該当する Global Privacy Control のシグナルに対応する。
- オプトアウト後は、該当する共有を停止する。
- プライバシー設定を関係するシステムに反映する。
- 広告ベンダーと契約を見直す。
- オプトアウト後のトラッキングの挙動をテストする。
- プライバシー設定の証跡を保持する。
- 広告技術が変更されたときは、ウェブサイトを再スキャンする。
- 他の州や法域の要件を評価する。
要点
クロスコンテキスト行動ターゲティング広告（CCBA）とは、異なる事業者、ウェブサイト、アプリケーションまたはサービスをまたいだ消費者の活動から取得した個人情報を用いてターゲティングされる広告です。
最も重要な点は次のとおりです。
- CCBA には、CCPA のもとで具体的な定義があります。
- これは、サードパーティ広告やクロスサイトでのデータ利用と密接に結びついています。
- リターゲティングは、事実関係によっては CCBA に該当し得ます。
- コンテクスチュアル広告は、文脈をまたいだ行動に関する情報ではなく、現在の環境の内容に依拠できる点で異なります。
- CCPA のもとで消費者は、CCBA のための個人情報の共有をオプトアウトする権利を有します。
- Global Privacy Control は、オプトアウトの意思を伝えるための重要な仕組みです。
- 事業者は、該当するオプトアウトを技術的に実行する必要があります。
- 広告ベンダーやサードパーティとの関係は、慎重に見直すべきです。
- CCBA が自動的に違法になるわけではありませんが、適用される CCPA の要件は満たさなければなりません。
- プライバシー設定は、ユーザーインターフェースだけでなく、背後にあるデータの流れに影響を与えるべきです。
広告のプライバシー設定を実効性のあるものにしましょう
関連用語
CPRA によって改正された、カリフォルニア州の包括的な消費者プライバシー法です。
消費者のプライバシー上の意思を伝える、ブラウザまたはユーザーエージェントのシグナルです。
個人情報の該当する販売または共有を消費者がオプトアウトできるようにする、CCPA のプライバシー上の選択です。
消費者の活動や関心に関する情報にもとづく広告について、米国のいくつかの州のプライバシー法が用いる、より広い用語です。
同意が必要な場合に、Cookie やトラッカーの利用について許諾を取得し管理するための仕組みです。
ウェブサイト全体で同意とプライバシー設定を管理するために使われるテクノロジーです。
必要な同意が得られるまで、該当する必須でない取り扱いを行わせないようにする実務です。
過去のやり取りにもとづいてユーザーをターゲティングする広告であり、状況によってはクロスコンテキスト行動ターゲティング広告に該当することがあります。
ユーザーがプライバシー上の選択を確認し、変更できるインターフェースです。