EU圏の同意画面(UMP)を実装しないまま、広告付きアプリを177か国に配信していた

広告を入れたアプリを、EEA(EU加盟国)・英国・スイスを含む177か国に配信していた。

そこにUMP(User Messaging Platform、AdMobの同意管理ツール)を一切実装していなかった。

ConsentInformationもConsentFormも、コードのどこにも出てこない。広告を読み込む処理は、素のAdRequest()を呼んでいるだけだった。

何がまずいのか

AdMobの広告を配信するには、EEA・英国・スイスのユーザーから同意を取ることがGoogleの規約で義務づけられている。個人データを広告目的で使っていいかを、ユーザーに選ばせる画面のことだ。

これをやっていないまま該当地域に配信し続けると、最悪の場合AdMobアカウントが停止される。厄介なのは、複数アプリを同じAdMobアカウントで運用していると、違反していないアプリまで巻き添えになることだ。自分はアプリを3本、同じアカウントで運用していた。

利用規約への同意と広告の同意(CMP)を、同じものだと思い込んでいた。

自分のアプリには、起動時に利用規約とプライバシーポリシーへの同意を求める画面が既にあった。位置情報の利用許可を取る画面もあった。「同意まわりは対応済み」という認識でいた。

だが、この2つは全くの別物だ。

前者をやっていても、後者の代わりにはならない。この勘違いに気づいたのが、たまたま複数アプリを並行運用していて、あるアプリの実装を別のアプリと見比べたときだった。一つのアプリだけを見ていたら、おそらくずっと気づかなかった。

一瞬そう思ったが、自分のケースでは選べなかった。

あるアプリは海外の開発コンテストに提出していて、審査員が実機にアプリをインストールして評価する規約になっていた。審査員の所在地はコンテスト側の裁量なので、こちらではコントロールできない。EEAを配信対象から外すと、そこにいる審査員がインストールできなくなるリスクがあった。

つまり「配信を絞って回避する」という選択肢が使えない状況で、UMPを実装する以外の道がなかった。

Googleが配布しているUMP SDKを使い、次の構成にした。

方針は2つに絞った。

実装後、flutter analyzeはエラーゼロ、新しい依存パッケージも追加していない(SDKは既存のAdMob関連パッケージに含まれていた)。ビルドサイズの増加も8.73KB程度で、実用上は誤差の範囲だった。

リリースしてすぐには終わらない。審査に通るまでは、違反状態が技術的には続いている。 審査待ちの数日間、何もできることはない。

もう一つ、複数アプリを同時に運用していると、「対応が終わったアプリ」と「まだのアプリ」が同時に存在する期間ができる。 3本のうち1本を直しても、残り2本が同じ穴を抱えたままなら、リスクは消えていない。1本ずつ直すのではなく、見つかった時点で全アプリを横断して確認する必要がある。