カリフォルニア州消費者プライバシー法（California Consumer Privacy Act：以下、CCPA）が2020年1月1日に施行されるのを前に、プログラマティック広告が不安定な立場に置かれています。同法の「データ販売」に関する定義が曖昧なためです。

CCPAには、消費者が企業に対して個人情報を販売しないことや販売した情報を削除することを要求できる条項があります。そのため、プログラマティック広告のエコシステムで広告ターゲティングにもっぱら利用されている情報が、完全に失われてしまうかもしれません。少なくとも、カリフォルニア州に住む4000万人近い人々を対象にしたターゲティングでは、そうなる可能性があります。データ販売に関するCCPAの定義がかなり幅広いことから、一部の業界専門家は、プログラマティックサプライチェーンにおける広告ターゲティングの効率化を目指したデータ利用にまで、その影響が及ぶ可能性があると考えています。

そこでアドテク業界は、CCPAのある条項に注目しています。この条項が、いまのプログラマティックの手法を継続できる根拠となりうるからです（ただし、これはCCPAの実際の運用方法が明らかになるまでの逃げ道であり、いくつかの制限があります）。この条項には、欧州の「一般データ保護規則」（General Data Protection Regulation：以下、GDPR）の「データ処理者（data processor）」に似た、「サービスプロバイダー（service provider）」という分類が定義されています。この定義の下では、企業がほかの企業によって収集された個人情報を処理しても、その情報を共有することがデータの販売とみなされない可能性があるのです。「業界中がこの解釈に飛びつくと思います」と、パブマティック（PubMatic）でゼネラルカウンシル兼秘書を務めるトーマス・チャウ氏は述べています。今回の「一問一答」シリーズでは、その部分を深めて行きましょう。

――サービスプロバイダーとはなんですか？



CCPAが定義するサービスプロバイダーとは、ほかの企業が収集した個人情報を、その企業と交わした契約書に記載された目的でのみ処理する企業を指します。消費者が自分の個人情報を販売しないよう企業に求めた場合でも（CCPAは個人がこのように要求する権利を認めています）、契約書に書かれたビジネス上の目的であれば、企業はその個人情報をサービスプロバイダーと共有できます。

――ほかの企業が収集したデータの取り扱いという点で、現行のやり方と何が違うのですか？



異なる点は、サービスプロバイダーの場合、入手した情報を使ってできることに制限があることです。たとえば、アドテク企業がパブリッシャーから提供されたデバイスIDを利用して、そのパブリッシャーのサイトで広告ターゲティングを行うことはできても、そのデバイスIDを使ってデバイスグラフを構築し、インターネット上の人々を追跡することはできません。

――では、アドテク企業がほかのアドテク企業とデータを共有して、プログラマティック広告を販売することはできなくなる？



必ずしもそうとはいえません。ただし、プログラマティック広告の取引に関わるアドテク企業は、サービスプロバイダーとして活動する必要があります。

――実にややこしい話ですね



そうですね。そこで、インタラクティブ広告協議会（Interactive Advertising Bureau：IAB）とIABのテックラボ（Tech Lab）はCCPAコンプライアンスフレームワークを策定して、サービスプロバイダーにまつわる複雑さを減らそうとしています。「我々のフレームワークでは、（プログラマティックサプライチェーンの）下流側の企業が、パブリッシャーに代わってサービスプロバイダーとして活動することを義務付けられるようになります」と、IABでシニアバイスプレジデント兼ゼネラルカウンシルを務めるマイケル・ハーン氏は説明しています。

IABでは、このフレームワークの下でアドテク企業がサービスプロバイダーとして活動できる条件を定めた限定サービスプロバイダー契約の雛形を、12月に公開する予定です。この草案を見たチャウ氏は、パブリッシャーが収集した個人情報を使ってサービスプロバイダーができることとできないことが、「私から見て論理的かつ納得できる形で」まとめられていたと話しています。簡単にいうと、この契約書はアドテク企業に対し、パブリッシャーから受け取った個人情報を隔離し、アドテク企業自身のデータセットを強化するためには使わないことを義務付けるものです。

――このような制限に、アドテク企業は納得しているのでしょうか？



決して歓迎しているわけではありません。しかし、連邦議会が各州のプライバシー法より優先される連邦法を可決するまで、アドテク企業はCCPAに準拠する方法を見つけ出すしか手はありません。何がデータの販売とみなされるのかという点でCCPAに曖昧さが残っていることを考えれば、サービスプロバイダーの条項はアドテク企業にとって、基本的な広告ビジネスを継続する名分を与えてくれるものです。その間に、カリフォルニア州の司法長官がCCPAをどのように適用するのかが、次第に明らかになるでしょう。

――では、プログラマティック広告は生き延びることになるのですね？



そうではありません。まず、IABのフレームワークは、このフレームワークを採用する企業にしか適用されません。このフレームワークとは別に、企業はビジネス目的でデータを処理する取引先ごとにサービスプロバイダー契約を結ぶ必要があります。次に、サービスプロバイダーが契約を遵守し、データ利用に関する制限事項に従うであろうという信頼感を確立する必要があります。カリフォルニア州の司法当局は、アドテク企業がサービスプロバイダーとして広告ターゲティング目的でデータを処理するという手法がCCPAに準拠するのかどうか、まだ見解を明らかにしていません。

Tim Peterson（原文 / 訳：ガリレオ）