消費者100,000人
1年間に、コロラド州の消費者100,000人以上の個人データを管理または処理した場合です。Cookieや広告識別子を持つ訪問者も数えます。
ガイド · 米国の州法
コロラド州は、カリフォルニア州の次に、サイトにブラウザの自動拒否シグナルの尊重を求めた州です。このガイドでは、法律が自分のサイトにいつ適用されるのか、GPCで何が変わるのか、司法長官がどのように執行するのかを説明します。
概要
Colorado Privacy Act(CPA)は、2021年7月7日に署名され、2023年7月1日に施行されました。バージニア州のモデルに従っており、消費者の権利、ターゲティング広告のオプトアウト、機微なデータへの同意があります。
違いは細部にあります。コロラド州司法長官は、4 CCR 904-3として知られる独自の規則を公表しており、プライバシー通知のあるべき姿、同意の求め方、ユニバーサルな拒否シグナルの認識方法を説明しています。
広告のあるサイトにとって最も重要な点は、ユニバーサルなオプトアウトの仕組みです。2024年7月1日から、対象企業は、Global Privacy Control(GPC)を、ターゲティング広告とデータの販売を拒否する有効な請求として扱う必要があります。
この法律は、広告についてはオプトアウト方式です。成人にパーソナライズ広告を表示する前に許可を求めることは義務づけていませんが、拒否は、簡単で、見えやすく、ブラウザが知らせたときには自動である必要があります。
チェックリスト
コロラド州法の基準のいずれかを超える場合が対象です。各項目の詳細は、司法長官の規則に定められています。
2024年7月1日から、基準を超える事業者は、GPCを販売とターゲティング広告のオプトアウトとして受け付ける必要があります。現在、州が認めているシグナルはこれだけです。
オプトアウトへの道筋は、プライバシーポリシーの外の、わかりやすく見つけやすい場所に置きます。リンクはオプトアウトに直接つながり、何のためのものかがはっきりわかるようにします。
フッター: Your Privacy Choices または Your Colorado Privacy Choices
ポリシーには、訪問者が権利を行使する方法、GPCによるオプトアウトの処理方法、最終更新日を載せます。
最終更新: 2026年3月。Global Privacy Controlを、販売とターゲティング広告のオプトアウトとして尊重します。
同意は、自由な意思で、具体的で、十分な説明を受けた、あいまいさのないものである必要があります。最初からチェック済みのボックスは無効で、本人が簡単に同意を撤回できなければなりません。
GPCを受け付けるために、ログインを求めたり、本当に必要な量を超えるデータを求めたりしてはいけません。
依頼には45日以内に回答します。訪問者に知らせれば、さらに45日延長できます。12か月以内の最初のアクセス依頼は無料です。
データの販売、機微データの処理、その他のリスクが高い処理を行う前に、事業者は評価を文書にまとめます。司法長官はその文書の提出を求めることができます。
GPP文字列のコロラドのセクションで、販売またはターゲティング広告のオプトアウトがあるとRDPがオンになります。タグで直接RDPをオンにすることもできます。
// GPT: liga o processamento restrito de dados (RDP)
// para quem recusou a venda ou a publicidade direcionada
googletag.cmd.push(function () {
googletag.pubads().setPrivacySettings({
restrictDataProcessing: true
});
});実例
公式ツール
GoogleはコロラドにGoogle認定のCMPを求めていません。GoogleのU.S. states向けメッセージ、またはGPCを読んでGPPを生成するCMPを使ってください。以下が公式リンクです。
対象となる人
CPAは、コロラド州で事業を行う、または州の住民を対象に商品やサービスを提供し、次の基準のいずれかに達した事業者に適用されます。売上の基準はありません。
1年間に、コロラド州の消費者100,000人以上の個人データを管理または処理した場合です。Cookieや広告識別子を持つ訪問者も数えます。
消費者25,000人以上のデータを処理し、データの販売から収益または割引を得ている場合です。収益はどんなものでも対象で、最低の割合はありません。
2025年7月1日から、改正によって、識別子と生体データに関する独自のルールが設けられました。生体データを収集する場合は、これらのルールを別に確認してください。
法律が保護するのは、個人的または家庭内の文脈で行動する住民です。従業員や取引先の連絡先のデータは対象外です。
用語の定義
コロラド州は、販売をバージニア州より広く定義しており、そのため法律が広告市場の実態に近づいています。
特定された、または特定可能な個人に結びついている、または合理的に結びつけられる情報です。匿名化されたデータと公開データは含まれません。
人種や民族的出身、宗教、健康状態、性生活と性的指向、市民権、遺伝データ、生体データ、13歳未満の子どものデータです。
個人データを、金銭またはその他の価値と引き換えに第三者とやり取りすることです。サービスと引き換えにパートナーにデータを収集させることも、この定義に含まれることがあります。
他社のサイトやアプリでの、時間をかけた個人の行動から得られたデータに基づいて選ばれる広告です。コンテキスト広告は含まれません。
ユニバーサルなオプトアウト
CPAは、ユニバーサルなオプトアウトの仕組みという概念を設けました。ブラウザや拡張機能が送るシグナルで、その人がターゲティング広告もデータの販売も望まないことを、すべてのサイトに伝えます。サイトごとに拒否をクリックする必要はなくなります。
司法長官は、2023年末に応募を受け付け、公式のリストを公表しました。これまでのところ、認められている仕組みはGlobal Privacy Controlだけです。州は、リストに将来、新しい名前が加わる可能性があるとしています。
2024年7月1日から、基準を超える企業はGPCを尊重する必要があります。実際には、サイトはシグナルを検出し、訪問者を拒否した人として扱い、追加のクリックを求めずに、その拒否をすべての広告パートナーに伝えなければなりません。
拒否のリンクは引き続き必要です。法律は、拒否の経路が、プライバシー通知の中で分かりやすく表示され、その外でも、サイトのフッターのような見える場所に表示されることを求めています。
権利と義務
コロラド州の訪問者は、ターゲティング広告、データの販売、特定のプロファイリングを拒否できるほか、データにアクセスし、訂正し、削除し、他のサービスに移すことができます。企業は45日以内に回答する必要があり、通知して理由を説明すれば、さらに45日延長できます。また、請求を拒否された人に異議申立ての手段を用意する必要があります。
プライバシー通知では、処理するデータのカテゴリ、目的、どのデータがどのカテゴリの第三者に渡るか、権利の行使方法を説明する必要があります。販売やターゲティング広告がある場合は、それを分かりやすく書き、拒否の方法も併せて示さなければなりません。
機微なデータは、同意がある場合のみ処理できます。コロラド州の規則は、積極的で、自由で、具体的で、十分な情報に基づく、明確な同意を求めています。あらかじめチェックの入ったボックス、黙っていること、紛らわしいパターンは有効ではありません。
2025年10月1日から、改正によって未成年者のデータが保護されています。未成年者本人(13歳未満の場合は保護者)の同意なしに、そのデータをターゲティング広告、販売、重要な決定に関わるプロファイリングに使うことはできません。
年表
コロラド州司法長官のページと、公表された改正で確認した日付です。
CPAがSB 21-190として署名されました。
司法長官が、通知、同意、オプトアウトを詳しく定めた規則4 CCR 904-3を登録しました。
権利、オプトアウト、データ保護評価が有効になります。
対象企業は、州が認めているユニバーサルなオプトアウトの仕組みを尊重する必要があります。
措置の前に、60日間の是正のための通知を義務づけていた規定が終わります。
識別子と生体データに関する独自のルールが施行されます。
未成年者のデータをターゲティング広告、販売、特定のプロファイリングに使う場合の同意の要件が有効になります。
評価、執行、罰金
CPAを執行できるのは、コロラド州司法長官と、州の地区検事です。住民がこの法律に基づいて企業を訴えることはできません。
2025年1月1日までは、不備を是正できる場合、司法長官や検事が通知を出し、是正のために60日間を与える必要がありました。この義務的な期間は終了しました。現在は、事前の通知なしに措置が取られることがあります。
CPA違反は、コロラド州の消費者保護法における不当な商慣行として扱われます。この法律では、民事上の罰金は1件の違反につき最大20,000米ドルで、被害者が高齢者の場合は50,000米ドルです。影響を受けた消費者1人ひとりが、1件の違反として数えられることがあります。
ターゲティング広告、データの販売、機微なデータの利用など、リスクの高い活動には、文書化されたデータ保護評価が必要です。司法長官は、調査の際にその文書の提出を求めることがあります。
AdSenseとAd Manager
AdSenseとAd Managerは、IAB Tech Labのプライバシーシグナル用形式である、GPP stringを読み取ります。コロラド州については、Googleは、州専用のセクションと、US Nationalセクションを受け付けます。stringが販売またはターゲティング広告の拒否を示していれば、Googleは制限付きデータ処理(RDP)を有効にし、パーソナライズされていない広告だけを表示します。
Googleは、GPCを直接読み取るとは述べていません。そのため、確実なのは、CMPがGPCを検出し、拒否をGPP stringに記録してから、広告タグを解放することです。別の方法として、シグナルを送った人に対して、タグでRDPを有効にすることもできます。たとえばGPTのrestrictDataProcessingを使います。
AdSenseとAd Managerの米国の州向けプライバシーメッセージには、コロラド州が含まれています。拒否のリンクを表示し、選択をGPPに記録します。法律を守る責任は、引き続きサイトにあります。
サイトでヘッダー入札、動画、SNSのピクセルを使っている場合は、拒否がそれらのパートナーにも届く必要があります。Googleだけをオフにしても足りません。
実例
コロラド州の訪問者がいる、広告サイトの日常的な例です。
よくあるエラー
問題の大半は、バナーが言っていることと、タグが行っていることの間のずれにあります。
CMPはカリフォルニア州ではGPCを尊重していますが、コロラド州の訪問者のシグナルは無視しています。
拒否のリンクはありますが、GPP stringは変わらず、広告はパーソナライズされたままです。
通知は「体験の向上」と述べているだけで、ターゲティング広告があることも、拒否の方法も書いていません。
2025年から、60日間の義務的な通知はありません。通知を待ってから動くのは危険です。
ConsentModeでは
成人へのパーソナライズ広告には不要です。法律が求めているのはオプトアウトです。同意が必要なのは機微なデータと、2025年10月からは、ターゲティング広告での未成年者のデータの利用です。
ブラウザや拡張機能の設定で、サイトに拒否の通知を送るものです。コロラド州はGPCをユニバーサルなオプトアウトの仕組みとして認めており、対象のサイトは2024年7月1日から尊重する必要があります。
州の消費者が年間100,000人を超える場合、または25,000人を超え、データの販売による収益が何らかある場合に限ります。それを下回れば、CPAの大半は適用されません。生体データを収集する場合は、2025年7月から有効なルールを別に確認してください。
義務的な60日間の期間は、2025年1月1日に終了しました。司法長官は、直接措置を取れます。
いいえ。ConsentModeはCMPではなく、サイトを変更しません。GPCありで訪問を再現し、シグナルが尊重されているかを示し、直す場所を示します。
ライブラリ
このガイドは、次の公式ページをもとに作成しました。情報源を直接お読みください:
監査は、コロラド州の訪問者としてサイトを開き、何も変更せずに、拒否が広告に届いているかを示します。