日本のブロガーがGDPRに対応すべき事は？

先月GDPRが施行された関係で、Google Adsenseに「EUユーザーの同意設定をご用意しました。」って表示が出るようになりました。これを操作しなければならないのですが、何のことやらさっぱり・・・今必死になって調べています。

パーソナライズド広告と、パーソナライズされていない広告と、どっちを選べばいいの？

GDPRとは

GDPR(General Data Protection Regulation)は、2018年5月25日に施行されました。

拾い集めた情報から要点をまとめると、

GDPRはEUを含む欧州経済領域（EEA）域内の個人情報を保護することが目的で、個人データを収集、処理する事業者に対して、多くの義務が課されます。個人データは氏名やEメールアドレス、クレジットカード番号などで、これらをEEA域外に移動することを禁止しています。また、日本からEU居住者に対して物・サービスを提供する場合もこの対象となります。法人が対象のようですが、これに違反すると、制裁金が最高で全世界の売上の4％か、2千万ユーロ（＝約26億円）課されるとのこと。

個人にはあまり関係無さそうですが、ブログなどのウェブサイトでGoogle AdsenseやGoogle アナリティクスなどCookie(クッキー)を利用している場合は注意したほうが良さそうです。GDPRに追加される形で示された『eプライバシー指令』では、EUからのサイト訪問者にはCookie(クッキー)を利用して情報収集している場合はそれを表示し、同意を得る必要があるということです。

私の対応方針

このサイト：自作☆改造☆修理の館（新館）の場合はEUからの訪問者は0.1％程度なので、ほとんど問題ないレベルかと思います。しかし、日本の法律がGDPRに追随する方向に厳しくなる可能性が無いとも言えないので、できる事はやっておこうと思います。

ある一定期間の大陸別当サイト訪問者数（Google アナリティクス調べ）

とりあえず私は

• Google Adsenseの操作は『パーソナライズされていない広告』を選択
• EUからのサイト訪問者のみに対してクッキー使用の同意ボタンを表示する

ようにしたいと思います。

Google Adsenseの操作

『パーソナライズド広告』/『パーソナライズされていない広告』のどちらも、表示されるのはEUからの訪問者に対してなので、PV数が少なければ、どちらを選んでも広告収入が激減することは無さそうです。また、色んなブログを読むと、（クッキーが使われないので）パーソナライズされていない広告を選べば良いと解説されているサイトが多いですね。

ということで、私も『パーソナライズされていない広告』を選びました。

しかし、『パーソナライズされていない広告』を選んだとしても、

「このような広告では、広告をパーソナライズするためではなく、フリークエンシー キャップの設定、広告レポートの集計、詐欺や不正使用の防止のために Cookie が使用されます。そのため、EU の e プライバシー指令の Cookie に関する条項が適用される国のユーザーから、こうした目的で Cookie を使用することについて同意を得る必要があります。」

とあるので、[同意する]のボタンは必要だと思うんですよね。

クッキー使用・同意ボタンの設置

Cookie Consent

『Cookie Consent』というプラグインを使って、EUからの訪問者にだけ、「クッキーを利用しているので、見るなら同意してね」のボタンを設置しようと考えました。

GDPR/CCPA Cookie Consent Banner

Termly's GDPR Cookie Consent Banner is one of the easiest, most effective, and popular cookie consent plugins available ...

wordpress.org

Cookie Consentをインストールし、[General]→[Exclude Zone]でEurope以外を選択（＝除外）すれば、EU以外の（99%の）訪問者には “鬱陶しい” 同意ボタンは表示されないはず。

『GeoIP Detection』というプラグインを追加すれば表示する大陸を指定できるみたい。

Geolocation IP Detection

Provides geographic information detected by an IP adress. This can be used in themes or other plugins, as a shortcode, o...

wordpress.org

プラグインをインストールし、データベースもインストール。

ブラウザでサイトを見てみると、上の方に[Okay, thanks]のボタンが出来ました。

そして”Find out more.”をクリックすると、自動的に作られた『Cookie Policy』のいう固定ページに移動します。

でも・・・

日本のIPからサイトを見る場合は、クッキー使用・同意のボタンは表示されないはずなんだけど？

Cookie Consent by Insitesという同様な機能のものも見つけたのですが、プラグインではなく、コードを書き加える形なので、ちょっと難しそうです。

クッキー使用・同意のボタンの設置は一旦中止し、もう少し調査・検討することにしました。

Slimstat

『Cookie Consent』を停止した翌日、ふと見たら下に”This website stores cookies on your computer. These cookies are…”とGDPRに対応したクッキー使用同意のメッセージ表示されているではありませんか。

最初は何故これが表示されているのか分からなかったのですが、調べてみると使っているアクセス解析プラグインのSlimstat Analyticsをアップデートしたことが原因と分かりました。

下部に表示されるCookie使用・同意のメッセージを表示させないようにするには[設定]→[解析]から[Allow Opt-out]をOFFにすれば良いみたい。

インストール直後はOFFになっていたのですが、何故か（バグなのか？）、クッキー同意のメッセージが出ていました。試しにONにして設定を保存しようとしたら、今度は403Errorで設定を保存出来ないというエラーが発生。氵

403エラーについては、サーバー（ロリポップ）のセキュリティ[WAF]が原因ということが分かりました。とりあえずコレを無効にすれば403Errorは現れません。

次から次から訳の分からないことが起こって、疲れます。

[Allow Opt-out]がOFFなのに下部にクッキー使用のメッセージが出ていたことについては、Slimstatを最新バージョンにアップしたら消えました。バグだったのかもしれません。

まとめ・感想

先月末頃、利用している海外サイトからPrivacy Policyがなんちゃらのメールが相次いで届いてましたが、後になって「GDPRに対応してという事だったのね」と分かった次第です。

日本の企業はGDPRについてはまだ手探り状態な雰囲気だし、個人のブロガーが大慌てする必要はないと思います。でも、Google Adsenseの操作を放置しておくわけにも行かないので、私としてはとりあえず『パーソナライズされていない広告』を選択しました。これは後から変更できるので、そう深く考える必要も無いと思います。

EU居住者に向けたクッキー利用・同意ボタンについては、思うように動作しなかったので、とりあえず設置を保留しましたが、Wordpress.orgのサポート掲示板にこの件に関するカキコミを見つけたので解決できそうな気がしてきました。

GeoIP Detection Not Working

Support » Plugin: GDPR/CCPA Cookie Consent Banner » GeoIP Detection Not Working GeoIP Detection Not Working bulletpointd...

wordpress.org

GDPRに絡めてか、Wordpressも4.9.6からプライバシーに関する項目が追加されています。

• [ツール]→[個人データのエクスポート]・[個人データの消去]
• [設定] → [プライバシー]からプライバシーポリシーページの指定

この辺りもチェックしておいたほうが良さそうです。

個人データの取り扱いに注意しなさいというのが世界の潮流のようです。プライバシーポリシーについては、当サイトでもチョロっと記載していますが、ちゃんと独立したページを作ったほうが良さそうです。この辺も今後手を加えて行こうと考えています。