ワークスペースへ

ガイド · 米国の州法

広告で収益を得る人のためのColorado Privacy Actの解説

コロラド州は、カリフォルニア州の次に、サイトにブラウザの自動拒否シグナルの尊重を求めた州です。このガイドでは、法律が自分のサイトにいつ適用されるのか、GPCで何が変わるのか、司法長官がどのように執行するのかを説明します。

  • ✓法律、規則、コロラド州司法長官のページに基づいています
  • ✓AdSenseとAd Managerを使うサイトを想定した例
  • ✓サイトを変更しない読み取り専用の監査
100,000年間のコロラド州の消費者:法律が適用される主な基準
1これまでに州が認めているユニバーサルなオプトアウトの仕組み:Global Privacy Control
2万米ドルコロラド州の消費者保護法に基づく、1件の違反あたりの民事上の罰金の上限
45日消費者の請求に回答する期間。1回に限り、さらに45日延長できる

概要

簡潔な法律と、司法長官による詳細な規則

Colorado Privacy Act(CPA)は、2021年7月7日に署名され、2023年7月1日に施行されました。バージニア州のモデルに従っており、消費者の権利、ターゲティング広告のオプトアウト、機微なデータへの同意があります。

違いは細部にあります。コロラド州司法長官は、4 CCR 904-3として知られる独自の規則を公表しており、プライバシー通知のあるべき姿、同意の求め方、ユニバーサルな拒否シグナルの認識方法を説明しています。

広告のあるサイトにとって最も重要な点は、ユニバーサルなオプトアウトの仕組みです。2024年7月1日から、対象企業は、Global Privacy Control(GPC)を、ターゲティング広告とデータの販売を拒否する有効な請求として扱う必要があります。

この法律は、広告についてはオプトアウト方式です。成人にパーソナライズ広告を表示する前に許可を求めることは義務づけていませんが、拒否は、簡単で、見えやすく、ブラウザが知らせたときには自動である必要があります。

チェックリスト

満たすべきこと

コロラド州法の基準のいずれかを超える場合が対象です。各項目の詳細は、司法長官の規則に定められています。

  1. GPCを尊重する

    2024年7月1日から、基準を超える事業者は、GPCを販売とターゲティング広告のオプトアウトとして受け付ける必要があります。現在、州が認めているシグナルはこれだけです。

  2. オプトアウトのリンクはポリシーの外に置く

    オプトアウトへの道筋は、プライバシーポリシーの外の、わかりやすく見つけやすい場所に置きます。リンクはオプトアウトに直接つながり、何のためのものかがはっきりわかるようにします。

    例

    フッター: Your Privacy Choices または Your Colorado Privacy Choices

  3. プライバシーポリシーを充実させる

    ポリシーには、訪問者が権利を行使する方法、GPCによるオプトアウトの処理方法、最終更新日を載せます。

    例

    最終更新: 2026年3月。Global Privacy Controlを、販売とターゲティング広告のオプトアウトとして尊重します。

  4. 機微データには積極的な同意を求める

    同意は、自由な意思で、具体的で、十分な説明を受けた、あいまいさのないものである必要があります。最初からチェック済みのボックスは無効で、本人が簡単に同意を撤回できなければなりません。

  5. ログインや過剰なデータを求めない

    GPCを受け付けるために、ログインを求めたり、本当に必要な量を超えるデータを求めたりしてはいけません。

  6. 45日以内に回答する

    依頼には45日以内に回答します。訪問者に知らせれば、さらに45日延長できます。12か月以内の最初のアクセス依頼は無料です。

  7. データ保護評価を行う

    データの販売、機微データの処理、その他のリスクが高い処理を行う前に、事業者は評価を文書にまとめます。司法長官はその文書の提出を求めることができます。

  8. オプトアウトをGoogleに伝える

    GPP文字列のコロラドのセクションで、販売またはターゲティング広告のオプトアウトがあるとRDPがオンになります。タグで直接RDPをオンにすることもできます。

    // GPT: liga o processamento restrito de dados (RDP)
    // para quem recusou a venda ou a publicidade direcionada
    googletag.cmd.push(function () {
      googletag.pubads().setPrivacySettings({
        restrictDataProcessing: true
      });
    });

実例

正しい例と間違った例

公式ツール

認定CMPと公式リンク

GoogleはコロラドにGoogle認定のCMPを求めていません。GoogleのU.S. states向けメッセージ、またはGPCを読んでGPPを生成するCMPを使ってください。以下が公式リンクです。

対象となる人

2つの基準があり、売上の金額はない

CPAは、コロラド州で事業を行う、または州の住民を対象に商品やサービスを提供し、次の基準のいずれかに達した事業者に適用されます。売上の基準はありません。

消費者100,000人

1年間に、コロラド州の消費者100,000人以上の個人データを管理または処理した場合です。Cookieや広告識別子を持つ訪問者も数えます。

25,000人と販売による収益

消費者25,000人以上のデータを処理し、データの販売から収益または割引を得ている場合です。収益はどんなものでも対象で、最低の割合はありません。

生体データのルール

2025年7月1日から、改正によって、識別子と生体データに関する独自のルールが設けられました。生体データを収集する場合は、これらのルールを別に確認してください。

個人としての消費者のみ

法律が保護するのは、個人的または家庭内の文脈で行動する住民です。従業員や取引先の連絡先のデータは対象外です。

用語の定義

広告を販売する人にとって重要な用語

コロラド州は、販売をバージニア州より広く定義しており、そのため法律が広告市場の実態に近づいています。

個人データ

特定された、または特定可能な個人に結びついている、または合理的に結びつけられる情報です。匿名化されたデータと公開データは含まれません。

機密データ

人種や民族的出身、宗教、健康状態、性生活と性的指向、市民権、遺伝データ、生体データ、13歳未満の子どものデータです。

販売

個人データを、金銭またはその他の価値と引き換えに第三者とやり取りすることです。サービスと引き換えにパートナーにデータを収集させることも、この定義に含まれることがあります。

ターゲティング広告

他社のサイトやアプリでの、時間をかけた個人の行動から得られたデータに基づいて選ばれる広告です。コンテキスト広告は含まれません。

ユニバーサルなオプトアウト

GPCは2024年7月1日に義務になりました

CPAは、ユニバーサルなオプトアウトの仕組みという概念を設けました。ブラウザや拡張機能が送るシグナルで、その人がターゲティング広告もデータの販売も望まないことを、すべてのサイトに伝えます。サイトごとに拒否をクリックする必要はなくなります。

司法長官は、2023年末に応募を受け付け、公式のリストを公表しました。これまでのところ、認められている仕組みはGlobal Privacy Controlだけです。州は、リストに将来、新しい名前が加わる可能性があるとしています。

2024年7月1日から、基準を超える企業はGPCを尊重する必要があります。実際には、サイトはシグナルを検出し、訪問者を拒否した人として扱い、追加のクリックを求めずに、その拒否をすべての広告パートナーに伝えなければなりません。

拒否のリンクは引き続き必要です。法律は、拒否の経路が、プライバシー通知の中で分かりやすく表示され、その外でも、サイトのフッターのような見える場所に表示されることを求めています。

権利と義務

訪問者の権利、プライバシー通知、同意

コロラド州の訪問者は、ターゲティング広告、データの販売、特定のプロファイリングを拒否できるほか、データにアクセスし、訂正し、削除し、他のサービスに移すことができます。企業は45日以内に回答する必要があり、通知して理由を説明すれば、さらに45日延長できます。また、請求を拒否された人に異議申立ての手段を用意する必要があります。

プライバシー通知では、処理するデータのカテゴリ、目的、どのデータがどのカテゴリの第三者に渡るか、権利の行使方法を説明する必要があります。販売やターゲティング広告がある場合は、それを分かりやすく書き、拒否の方法も併せて示さなければなりません。

機微なデータは、同意がある場合のみ処理できます。コロラド州の規則は、積極的で、自由で、具体的で、十分な情報に基づく、明確な同意を求めています。あらかじめチェックの入ったボックス、黙っていること、紛らわしいパターンは有効ではありません。

2025年10月1日から、改正によって未成年者のデータが保護されています。未成年者本人(13歳未満の場合は保護者)の同意なしに、そのデータをターゲティング広告、販売、重要な決定に関わるプロファイリングに使うことはできません。

年表

コロラド州法の日程

コロラド州司法長官のページと、公表された改正で確認した日付です。

  1. 2021年7月7日

    法律の署名

    CPAがSB 21-190として署名されました。

  2. 2023年3月15日

    最終規則

    司法長官が、通知、同意、オプトアウトを詳しく定めた規則4 CCR 904-3を登録しました。

  3. 2023年7月1日

    施行

    権利、オプトアウト、データ保護評価が有効になります。

  4. 2024年7月1日

    GPCが必須に

    対象企業は、州が認めているユニバーサルなオプトアウトの仕組みを尊重する必要があります。

  5. 2025年1月1日

    義務的な是正期間の終了

    措置の前に、60日間の是正のための通知を義務づけていた規定が終わります。

  6. 2025年7月1日

    生体データ

    識別子と生体データに関する独自のルールが施行されます。

  7. 2025年10月1日

    18歳未満

    未成年者のデータをターゲティング広告、販売、特定のプロファイリングに使う場合の同意の要件が有効になります。

評価、執行、罰金

司法長官、検事、最大20,000米ドルの罰金

CPAを執行できるのは、コロラド州司法長官と、州の地区検事です。住民がこの法律に基づいて企業を訴えることはできません。

2025年1月1日までは、不備を是正できる場合、司法長官や検事が通知を出し、是正のために60日間を与える必要がありました。この義務的な期間は終了しました。現在は、事前の通知なしに措置が取られることがあります。

CPA違反は、コロラド州の消費者保護法における不当な商慣行として扱われます。この法律では、民事上の罰金は1件の違反につき最大20,000米ドルで、被害者が高齢者の場合は50,000米ドルです。影響を受けた消費者1人ひとりが、1件の違反として数えられることがあります。

ターゲティング広告、データの販売、機微なデータの利用など、リスクの高い活動には、文書化されたデータ保護評価が必要です。司法長官は、調査の際にその文書の提出を求めることがあります。

AdSenseとAd Manager

Googleがコロラド州の訪問者をどう扱うか

AdSenseとAd Managerは、IAB Tech Labのプライバシーシグナル用形式である、GPP stringを読み取ります。コロラド州については、Googleは、州専用のセクションと、US Nationalセクションを受け付けます。stringが販売またはターゲティング広告の拒否を示していれば、Googleは制限付きデータ処理(RDP)を有効にし、パーソナライズされていない広告だけを表示します。

Googleは、GPCを直接読み取るとは述べていません。そのため、確実なのは、CMPがGPCを検出し、拒否をGPP stringに記録してから、広告タグを解放することです。別の方法として、シグナルを送った人に対して、タグでRDPを有効にすることもできます。たとえばGPTのrestrictDataProcessingを使います。

AdSenseとAd Managerの米国の州向けプライバシーメッセージには、コロラド州が含まれています。拒否のリンクを表示し、選択をGPPに記録します。法律を守る責任は、引き続きサイトにあります。

サイトでヘッダー入札、動画、SNSのピクセルを使っている場合は、拒否がそれらのパートナーにも届く必要があります。Googleだけをオフにしても足りません。

実例

コロラド州で「できること」と「できないこと」

コロラド州の訪問者がいる、広告サイトの日常的な例です。

してよいこと

  • 成人にあらかじめ許可を求めずにパーソナライズ広告を表示し、オプトアウトを提供する
  • GPCがオンの人の訪問を、自動的に拒否として扱う
  • プライバシー通知の外の、フッターに、拒否のリンクを置く
  • 拒否した人には、コンテキスト広告を表示する
  • Googleの米国の州向けプライバシーメッセージを出発点として使う

してはいけないこと

  • GPCがオンの訪問者に、拒否を確認するために改めてクリックするよう求める
  • 拒否を、プライバシーポリシーの中にだけ隠しておく
  • 機微なデータの同意を得るために、あらかじめチェックの入ったボックスを使う
  • 同意なしに、未成年者のデータをターゲティング広告に使う
  • 拒否のあとに、ヘッダー入札のパートナーにデータを渡す

よくあるエラー

コロラド州の訪問者がいるサイトでよくある不備

問題の大半は、バナーが言っていることと、タグが行っていることの間のずれにあります。

GPCがカリフォルニア州だけ

CMPはカリフォルニア州ではGPCを尊重していますが、コロラド州の訪問者のシグナルは無視しています。

形だけの拒否

拒否のリンクはありますが、GPP stringは変わらず、広告はパーソナライズされたままです。

一般的なポリシー

通知は「体験の向上」と述べているだけで、ターゲティング広告があることも、拒否の方法も書いていません。

是正期間を当てにする

2025年から、60日間の義務的な通知はありません。通知を待ってから動くのは危険です。

ConsentModeでは

CPAについて監査が確認すること

  • GPCをオフにした場合とオンにした場合で、コロラド州の訪問者としてサイトを開き、ページと広告リクエストで何が変わるかを比較します。
  • GPP stringを読み取り、GPCがオンのときに、コロラド州のセクションまたはUS Nationalが拒否を示しているかを表示します。
  • プライバシーポリシーの外の、見える場所に、拒否のリンクがあるかを探します。
  • CMPを特定し、広告タグとヘッダー入札のタグが、その応答を待っているかを確認します。
  • プライバシーポリシーを読み、目的、第三者、権利、異議申立て、拒否の方法が足りないかを指摘します。

コロラド州法についてのよくある質問

コロラド州向けに同意バナーは必要ですか?

成人へのパーソナライズ広告には不要です。法律が求めているのはオプトアウトです。同意が必要なのは機微なデータと、2025年10月からは、ターゲティング広告での未成年者のデータの利用です。

GPCとは何ですか?

ブラウザや拡張機能の設定で、サイトに拒否の通知を送るものです。コロラド州はGPCをユニバーサルなオプトアウトの仕組みとして認めており、対象のサイトは2024年7月1日から尊重する必要があります。

自分のサイトはコロラド州の訪問者が少ないです。法律は適用されますか?

州の消費者が年間100,000人を超える場合、または25,000人を超え、データの販売による収益が何らかある場合に限ります。それを下回れば、CPAの大半は適用されません。生体データを収集する場合は、2025年7月から有効なルールを別に確認してください。

罰金の前に、是正のための猶予はありますか?

義務的な60日間の期間は、2025年1月1日に終了しました。司法長官は、直接措置を取れます。

ConsentModeは、自分のサイトでGPCをオンにしてくれますか?

いいえ。ConsentModeはCMPではなく、サイトを変更しません。GPCありで訪問を再現し、シグナルが尊重されているかを示し、直す場所を示します。

ライブラリ

公式の情報源

このガイドは、次の公式ページをもとに作成しました。情報源を直接お読みください:

GPCをオンにして、自分のサイトをテストしましょう

監査は、コロラド州の訪問者としてサイトを開き、何も変更せずに、拒否が広告に届いているかを示します。

監査を始める