ワークスペースへ

ガイド · 米国の州法

CTDPA:広告を出す人のためのコネチカット州法の解説

コネチカット州は2025年にプライバシー法を書き換え、変更は2026年7月1日から有効になりました。訪問者数の基準が大きく下がり、ティーンエイジャーはターゲティング広告から全面的に保護され、プライバシー通知の要件も厳しくなりました。広告付きサイトにとって何を意味するかを説明します。

コネチカット州向けに自分のサイトを監査するガイドを読む
  • ✓法律と、コネチカット州司法長官のページに基づいています
  • ✓AdSenseとAd Managerを使うサイトを想定した例
  • ✓サイトを変更しない読み取り専用の監査
35,000年間のコネチカット州の消費者数。2026年7月から有効な新しい基準
1813歳以上のティーンエイジャーに対して、同意があっても販売とターゲティング広告が禁止される年齢未満
5,000米ドル州の不公正な取引慣行法に基づく、違反1件あたりの民事制裁金の上限
8万5,000米ドル2025年7月に発表された、TicketNetworkと司法長官の和解金額

概要

バージニア州に似た形で始まり、だんだん厳しくなった法律

Connecticut Data Privacy Act(CTDPA)は、2022年5月10日に署名され、2023年7月1日から有効になりました。バージニア州とコロラド州のモデルに沿っています。消費者の権利、ターゲティング広告のオプトアウト、センシティブデータの同意、データ保護評価です。

その後、法律は何度か改正されました。2023年には、消費者の健康データと、未成年者向けのオンラインサービスについてのルールが加わりました。2025年には、SB 1295として成立した大きな改正で、適用の基準が下がり、センシティブデータが広がり、未成年者のルールが厳しくなりました。この改正は、2026年7月1日から有効です。

広告付きサイトにとっての要点は3つです。訪問者は、ターゲティング広告とデータの販売を拒否でき、サイトは2025年からブラウザの自動拒否シグナルを尊重する必要があり、13歳から17歳のティーンエイジャーには、ターゲティング広告を表示できません。

成人についてはオプトアウト型の法律です。パーソナライズ広告を表示する前に許可を求める必要はありませんが、拒否は簡単で、目立ち、実際に機能しなければなりません。

チェックリスト

満たすべきこと

コネチカット州法の対象になる場合に当てはまります。自社のサイトが対象かどうかは、法務担当者に確認してください。

  1. 見つけやすいリンクを用意する

    ターゲティング広告を行う、またはデータを販売する場合は、訪問者がオプトアウトできる、サイト上でアクセスしやすいリンクが必要です。

    例

    フッター: Do Not Sell or Share My Personal Information

  2. ブラウザのオプトアウトシグナルを尊重する

    2025年1月1日から、対象となるすべての管理者は、GPCなどのシグナルを尊重する必要があります。シグナルから、その人がコネチカット州に住んでいるかどうかがわかる必要があります。

  3. プライバシー通知ですべてを説明する

    通知には、どのデータを処理するか、その目的、第三者と共有するかどうか、訪問者が権利を行使する方法を書きます。

    例

    閲覧データをターゲティング広告のために広告パートナーと共有しています。フッターのリンクからオプトアウトできます。

  4. 機微データには同意を求める

    健康や正確な位置情報などの機微データを処理する前に、サイトは訪問者の同意を得る必要があります。

  5. 未成年者を守る

    16歳未満の場合、販売とターゲティング広告には事前の同意が必要です。18歳未満向けのオンラインサービスでは、法律でターゲティング広告とデータの販売が禁止されています。

  6. 期限内に回答する

    依頼には45日以内に回答します。さらに45日の延長が可能です。不服申し立てには60日以内に書面で回答します。

  7. リスク評価を文書にする

    ターゲティング広告、データの販売、プロファイリング、機微データは、開始前にデータ保護評価が必要です。

  8. オプトアウトをGoogleに伝える

    GPP文字列のコネチカットのセクションで、販売またはターゲティング広告のオプトアウトがあるとRDPがオンになります。AdSenseタグでは、オプトアウトした人に対してRDPをオンにすることもできます。

    <!-- AdSense: RDP no bloco de anúncio de quem recusou -->
<ins class="adsbygoogle"
     data-ad-client="ca-pub-XXXXXXXXXXXXXXXX"
     data-ad-slot="1234567890"
     data-restrict-data-processing="1"></ins>

実例

正しい例と間違った例

公式ツール

認定CMPと公式リンク

Googleはコネチカットに認定CMPを求めていません。GoogleのU.S. states向けメッセージ、またはGPCを読んでGPPを生成するCMPを使ってください。以下が公式リンクです。

対象となる人

2026年に基準が大きく下がった

この法律は、コネチカット州で事業を行う、または州の居住者に商品やサービスを向ける人に適用されます。2026年7月1日からは、前年に次の基準のどれか1つを満たせば対象です。

消費者35,000人

決済を完了するためだけに使うデータを除き、少なくとも3万5,000人のコネチカット州の消費者のデータを管理または処理していること。以前の基準は10万人でした。

あらゆるセンシティブデータ

消費者のセンシティブデータを、量にかかわらず管理または処理している場合も、法律の対象になります。

あらゆるデータの販売

個人データを、量にかかわらず販売している場合も、法律の対象になります。以前は、2万5,000人の消費者と、収益の25%超が販売によるものである必要がありました。

個人としての消費者のみ

この法律が保護するのは、仕事の場面ではなく、消費者として行動するコネチカット州の居住者です。

用語の定義

広告を販売する人にとって重要な用語

コネチカット州は、米国の州の中で、センシティブデータのリストが最も長い州のひとつです。

個人データ

特定された、または特定可能な個人に結びついている、または合理的に結びつけられる情報です。匿名化されたデータと公開データは含まれません。

機密データ

人種的出身、宗教、健康、障害、性的指向、トランスジェンダーまたはノンバイナリーのアイデンティティ、在留資格、書類、金融口座のログイン情報、神経データ、遺伝データ、生体データ、子どものデータ、半径1,750フィート以内の正確な位置情報です。

販売

第三者との間で、個人データを金銭やその他の価値のあるものと交換することです。サービスと引き換えに、広告パートナーにデータを渡すことも、この定義に当たる場合があります。

ターゲティング広告

他社のサイトやアプリでの、時間をかけた個人の行動から得られたデータに基づいて選ばれる広告です。コンテキスト広告は含まれません。

権利とオプトアウト

訪問者の権利、拒否のリンク、2025年からのGPC

コネチカット州の訪問者は、自分のデータ(そこから導き出された結論を含む)にアクセスし、訂正、削除、コピーの取得、自分のデータを購入した第三者のリストの請求、ターゲティング広告、販売、リスクのあるプロファイリングの拒否ができます。2026年からは、プロファイリングに基づく決定に異議を唱えることもできます。企業の回答期限は45日、異議申し立てへの回答期限は60日です。

ターゲティング広告を行う、またはデータを販売する場合は、サイトに、拒否できる分かりやすく目立つリンクが必要です。法律は正確な文言を定めていませんが、リンクは、新しいアカウントを作らせずに、簡単な経路につながっている必要があります。

2025年1月1日から、サイトはGlobal Privacy Control(GPC)のような自動拒否シグナルも受け入れなければなりません。法律は、このシグナルが、最初から有効になっている設定ではなく、消費者の積極的な選択を反映したものであるべきで、企業がその人がコネチカット州に住んでいるかどうかを把握できる必要があるとしています。

シグナルが、訪問者が以前にサイトで選んだ設定と矛盾する場合は、シグナルが優先されます。サイトは、矛盾を通知し、以前の選択を維持するオプションを提供できます。実際には、CMPがGPCを検出し、最初のリクエストの前に、拒否を広告パートナーに伝える必要があります。

通知、未成年者、評価

2026年にプライバシー通知がより詳細に

2025年の改正により、プライバシー通知には、トップページにある「プライバシー」という言葉を含むリンク、月と年を入れた更新日、第三者に販売されるデータのカテゴリ、ターゲティング広告と販売についての明確な説明が必要になります。また、データが大規模言語モデルの学習に使われるかどうかも示す必要があります。

センシティブデータは、同意がある場合にだけ処理できます。13歳未満の子どもについては、連邦法のCOPPAの形式による保護者の同意が適用されます。

13歳から17歳のティーンエイジャーについては、2025年の改正により、同意があっても、データの販売とターゲティング広告が禁止されます。未成年者に提供されるオンラインサービスでは、法律はプロファイリングと正確な位置情報の収集も制限しています。

ターゲティング広告、データの販売、センシティブデータ、リスクのあるプロファイリングには、文書化されたデータ保護評価が必要です。重要な決定に使われるプロファイリングについては、2025年の改正により、2026年8月1日以降に始まる活動について、影響評価も必要です。

年表

コネチカット州法の日付

法律の条文と、コネチカット州司法長官のページで確認した日付です。

  1. 2022年5月10日

    法律の署名

    CTDPAが、Senate Bill 6として署名されます。

  2. 2023年7月1日

    施行

    権利、オプトアウト、60日間の是正期間の義務が有効になります。

  3. 2025年1月1日

    GPCが必須に、是正期間の義務は終了

    サイトはユニバーサルな拒否シグナルを受け入れなければなりません。措置の前に是正の機会を与えるかどうかは、司法長官の判断になります。

  4. 2025年7月8日

    TicketNetworkとの和解

    TicketNetworkは、読みにくいプライバシー通知と、機能しなかった請求の仕組みについて、8万5,000米ドルを支払います。

  5. 2026年7月1日

    SB 1295の改正が有効に

    新しい基準、センシティブデータの拡大、13歳から17歳のティーンエイジャー向けのターゲティング広告の禁止、より充実したプライバシー通知が始まります。

執行と罰金

司法長官、公開レポート、違反ごとの制裁金

コネチカット州では、司法長官だけが法律を執行する権限を持っています。市民がCTDPAを根拠に企業を訴えることはできません。

2023年7月から2024年12月までは、問題を是正できる場合、司法長官は通知を出し、60日間の是正期間を与える必要がありました。2025年1月1日からは、この機会は司法長官の判断になり、違反の数、会社の規模、データの機密性、人為的か技術的なミスかが考慮されます。

CTDPAの違反は、不公正な取引慣行として扱われます。民事制裁金は違反1件につき最大5,000米ドルで、司法長官は、裁判所の命令、返還、利益の返還も求められます。

事務所は、年次の執行レポートを公開しています。2025年7月8日に発表された和解では、通知後もプライバシー通知が読みにくく、権利を行使する経路が壊れていたため、TicketNetworkが8万5,000米ドルを支払いました。

AdSenseとAd Manager

Googleがコネチカット州の訪問者をどう扱うか

AdSenseとAd Managerは、プライバシーシグナルのIAB Tech Lab形式であるGPP stringを読み取ります。コネチカット州については、Googleは州専用のセクションとUS Nationalセクションを受け付けます。stringが販売やターゲティング広告の拒否を示していると、Googleは制限付きデータ処理(RDP)を有効にし、パーソナライズされない広告だけを表示するようになります。

コネチカット州のセクションでは、Googleは未成年者のフィールドも読み取ります。13歳から15歳の販売やターゲティング広告への同意がない場合は、RDPを有効にします。子どもであることが分かっている人のセンシティブデータには、子ども向けの扱いを適用します。2026年のルールにより、CMPは、13歳から17歳のティーンエイジャーがターゲティング広告を受けられないことを反映する必要があります。

AdSenseとAd Managerにある、米国の州向けのプライバシーとメッセージには、コネチカット州が含まれます。拒否のリンクを表示し、選択をGPPに記録します。Googleは、法的な責任はサイトにあると注意しています。

ヘッダー入札、動画、ピクセル、他社のウィジェットにも、拒否を届ける必要があります。Googleだけをオフにしても解決しません。

実例

コネチカット州でできること、できないこと

コネチカット州の訪問者がいる広告付きサイトの、日々の例です。

してよいこと

  • 成人にはパーソナライズ広告を表示し、見やすい拒否のリンクを置く
  • GPCを拒否として扱い、以前の選択と矛盾する場合は訪問者に知らせる
  • 未成年者と、拒否した人にコンテキスト広告を表示する
  • トップページのフッターに、「プライバシー」という言葉を含むリンクを置く
  • 最後に見直した月と年を、ポリシーに記載する

してはいけないこと

  • 13歳から17歳とわかっているユーザーに、ターゲティング広告を表示する
  • 訪問者がバナーをクリックしていないからといって、GPCを無視する
  • どのカテゴリのデータが販売されているかを書かずに、ポリシーを公開する
  • エラーになる、または誰にも届かない権利のフォームを放置する
  • 同意なしに、健康データや正確な位置情報を処理する

よくあるエラー

司法長官がすでに指摘した不備

TicketNetworkとの和解とレポートは、基本的なことが多くのサイトでまだできていないことを示しています。

読めない通知

TicketNetworkの事例のように、長く分かりにくく、コネチカット州の消費者の権利が書かれていないポリシー。

壊れたフォーム

権利の請求リンクが、送信できないフォームや、誰も読まないメールにつながっている。

古い基準

訪問者が10万人未満なので対象外だと考えていたが、基準は2026年7月に3万5,000人に下がった。

効果のないGPC

バナーはGPCを認識しているが、広告に送られるGPP stringには、拒否が反映されていない。

ConsentModeでは

CTDPAについて監査で確認すること

  • GPCをオフにした場合とオンにした場合の、コネチカット州の訪問者としてサイトを開き、広告リクエストを比べます。
  • GPP stringを読み取り、コネチカット州のセクションまたはUS Nationalが、拒否を示しているかを確認します。
  • トップページで、「プライバシー」という言葉を含むリンクと、目立つ拒否のリンクを探します。
  • ポリシーを読み、更新日、販売されるカテゴリ、ターゲティング広告、言語モデルの学習への利用が欠けていないかを指摘します。
  • CMPを特定し、広告タグがその応答を待っているかを確認します。
監査を実行する確認する項目をすべて見る

コネチカット州法に関するよくある質問

うちのサイトには、コネチカット州から年間4万人の訪問があります。法律は適用されますか?

2026年7月1日から、Cookieや広告の識別子など、その訪問者のデータを管理または処理していれば、適用されます。基準は10万人から3万5,000人の消費者に下がりました。

コネチカット州向けに同意バナーは必要ですか?

成人については、事前の許可ではなくオプトアウトが必要です。センシティブデータには同意が必要で、13歳から17歳のティーンエイジャーへのターゲティング広告は禁止されています。

訪問者が未成年かどうかは、どうすればわかりますか?

法律が見るのは、企業が訪問者の年齢について知っていることです。サイトが登録で年齢を尋ねる場合や、ティーンエイジャー向けのコンテンツがある場合は、広告の設定で考慮する必要があります。

制裁金の前に、是正する期間はまだありますか?

2025年1月1日から、義務ではなくなりました。司法長官はその機会を与えることもありますが、ケースごとに判断します。

ConsentModeは私のポリシーを更新してくれますか?

いいえ。ConsentModeはサイトを変更しません。ポリシーと送られるシグナルを読み取り、足りない点と直し方をレポートで提供します。

ライブラリ

公式の情報源

このガイドは、次の公式ページをもとに作成しました。情報源を直接お読みください:

2026年のルールでサイトを確認する

監査では、コネチカット州の訪問者としてサイトを開き、何も変更せずに、通知とシグナルで直すべき点を示します。

監査を始める