ワークスペースへ

ガイド · 米国の州法

広告で収益を得る人のためのFlorida Digital Bill of Rights解説

フロリダ州のプライバシー法は2024年7月1日から有効ですが、ルールの大部分は、巨大企業にしか及びません。このガイドでは、その狭い適用範囲、はるかに多くの企業に適用されるセンシティブデータのルール、フロリダ州から訪問する人のオプトアウトをGoogleがどう扱うかがわかります。

米国向けにサイトを監査するガイドを読む
  • ✓Florida Statutes 501.701条から501.722条の条文に基づいています
  • ✓広告サイトのための実践的な例
  • ✓サイトを変更しない読み取り専用の監査
10億米ドル年間の全世界総収益。この法律でコントローラーになるための基準額
50%以上が、オンライン広告の販売による収益であること。3つの入口のうちのひとつ
最大5万米ドル違反1件あたりの民事制裁金の上限。場合によっては3倍になることがある
45日消費者の請求に対応するための日数。15日の延長が可能

概要

最大手のテクノロジー企業のために作られたプライバシー法

Florida Digital Bill of Rights(FDBR)は、フロリダ州のプライバシー法です。2023年6月6日に署名され、2024年7月1日に施行されました。この法律は、Florida Statutes第501章のパートVの501.701条から501.722条にあります。

消費者に与えられる権利は、ほかの州と似ています。アクセス、訂正、削除、ポータビリティ、そしてターゲティング広告、販売、自動化されたプロファイリングの拒否です。フロリダ州は、音声認識や顔認識によるデータ収集を拒否する権利など、独自の権利も加えています。

この法律の特徴は、適用範囲です。義務の大部分は、全世界の収益が10億米ドルを超え、さらにごく限られた3つの類型のいずれかに当てはまるコントローラーにしか適用されません。実際には、大手の広告プラットフォーム、音声アシスタント、アプリストアが対象です。

それでも、小さなサイトがこの法律を無視してよいわけではありません。センシティブデータの販売に関するルールは、フロリダ州で事業を行い、データを収集する営利企業すべてに適用されます。また、あなたのサイトからデータを受け取る広告パートナーが、法律の対象になっている可能性もあります。

チェックリスト

満たすべきこと

法律の大部分は巨大な管理者だけが対象ですが、機微データのルールははるかに多くのサイトに及びます。

  1. 同意なしに機微データを販売しない

    このルールは、フロリダ州で事業を行いデータを集める営利企業に適用され、10億米ドルの基準はありません。機微データの販売には、事前の同意が必要です。

    例

    健康データをパートナーに渡す前に、許可と不許可の選択肢を付けて許可を求めます。

  2. 機微データを販売する場合は、決められた文言を公開する

    機微データを販売する場合は、決められた文言の通知を英語で公開する必要があります。

    例

    NOTICE: This website may sell your sensitive personal data.

  3. 未成年者の機微データを守る

    機微データが13歳から18歳の未成年者とわかっている人のものである場合、販売にはその本人の許可が必要です。13歳未満では、連邦法のCOPPAが適用され、保護者の同意が必要です。

  4. 管理者の場合: 通知を毎年見直す

    通知は明確で、データ、目的、第三者、権利、不服申し立て、依頼の窓口を載せる必要があります。少なくとも年1回更新します。

  5. 管理者の場合: 生体データの文言

    生体データを販売する場合も、決められた文言の通知を英語で公開します。

    例

    NOTICE: This website may sell your biometric personal data.

  6. 管理者の場合: オプトアウトの方法を示す

    データを販売する、またはターゲティング広告を行う場合は、そのことを明確で見やすく示し、オプトアウトの方法を説明する必要があります。

    例

    フッターのリンク: Do Not Sell or Share My Personal Information。

  7. オプトアウトをGoogleに伝える

    GoogleはU.S. statesの法律にCMPを求めていません。「プライバシーとメッセージ」の米国の州の規制メッセージを使うか、オプトアウトした人に対してタグで制限付きデータ処理(RDP)をオンにしてください。フロリダ州にはGPPに専用のセクションがあり、Googleはそのセクションに対応しています。

    例

    AdSenseまたはAd Manager: プライバシーとメッセージ、米国の州の規制カード、作成。そのあとサイトを選んで公開します。

    <!-- Só para o visitante que recusou -->
<ins class="adsbygoogle"
  data-ad-client="ca-pub-0000000000000000"
  data-ad-slot="0000000000"
  data-restrict-data-processing="1"></ins>

実例

正しい例と間違った例

公式ツール

認定CMPと公式リンク

GoogleはU.S. statesの法律に認定CMPもGPPも求めていません。Google自身のメッセージを使うか、タグでRDPをオンにできます。フロリダ州は、Googleが認めているGPPの専用セクションを持つ数少ない州の1つです。

対応が必要な人

フロリダ州でコントローラーに当たる範囲は狭い

コントローラーになるには、営利企業であること、フロリダ州で事業を行うこと、消費者のデータを収集すること、そのデータの使い方を決めること、全世界の収益が10億米ドルを超えること、そして次の類型のうち少なくとも1つに当てはまることが必要です。

広告による収益

全世界の年間総収益の半分以上が、ターゲティング広告を含むオンライン広告の販売によるものです。

音声アシスタント

クラウドに接続されたバーチャルアシスタントを備え、ハンズフリーで起動するスマートスピーカーや音声コマンドのサービスを運営しています。自動車メーカーのシステムは対象外です。

アプリストア

25万以上の異なるアプリを扱うアプリストアやデジタル配信プラットフォームを運営しています。

関連会社

コントローラーを支配する会社、またはコントローラーに支配されている会社も、定義に含まれます。

センシティブデータのルールは、より多くの人に適用される

同意なしにセンシティブデータを販売することの禁止は、10億米ドルの基準なしに、フロリダ州で事業を行いデータを収集するすべての営利企業に及びます。

消費者とは

フロリダ州の居住者または住所がある人で、個人として、または家庭の場面で行動している人です。商業や仕事の場面で行動する人は含まれません。

用語の定義

法律の用語を、サイト運営者の言葉で

定義は501.702条にあり、ほかの州法のモデルにほぼ沿っています。

個人データ

特定された、または特定できる人物に関連付けられている、または合理的に関連付けられる情報すべてです。追加の情報でその人物に結び付けられる場合は、仮名化されたデータも含みます。匿名化されたデータと公開されているデータは含まれません。

機密データ

人種や民族的出身、宗教的信条、健康上の診断、性的指向、在留資格、個人を特定する遺伝データや生体データ、知っている子どものデータ、正確な位置情報です。

販売

金銭、またはその他の価値のある対価と引き換えに、個人データを第三者に共有、開示、または移転することです。処理委託先への受け渡しや、消費者の依頼による受け渡しは含まれません。

ターゲティング広告

複数のサイトやアプリでの、時間をかけた消費者の活動に基づいて選ばれる広告です。そのサイト自体での検索の文脈に合わせた広告は含まれません。

個人の権利

フロリダ州の消費者が求められること

コントローラーは45日以内に回答し、最初の期間の中で消費者に伝えたうえで、一度だけ15日延長できます。不服申し立ての手段も用意しなければなりません。

アクセス

自分のデータを企業が処理しているかを知り、そのデータを見ることができます。

訂正と削除

誤ったデータの訂正と、個人データの一部またはすべての削除を求めることができます。

ポータビリティ

可能な場合に、別のサービスで使える形式で、データのコピーを受け取れます。

ターゲティング広告、販売、プロファイリングの拒否

ターゲティング広告、データの販売、法的な効果またはそれに類する効果をもたらす決定につながるプロファイリングを拒否できます。

センシティブデータの拒否

正確な位置情報を含むセンシティブデータの収集や処理を拒否できます。

音声と顔の拒否

音声認識や顔認識の機能によるデータの収集を拒否できます。

義務

コントローラーが整えておくべきこと

  1. 毎年見直すプライバシー通知通知は、アクセスしやすく、わかりやすくなければならず、処理するデータのカテゴリ(センシティブを含む)、目的、権利の行使方法と不服申し立て、共有するデータのカテゴリ、第三者のカテゴリ、請求を送るための窓口を示します。少なくとも年に1回は更新が必要です。
  2. 定型の販売通知センシティブデータを販売する場合は、「NOTICE: This website may sell your sensitive personal data.」という通知を掲載する必要があります。生体データを販売する場合は、「NOTICE: This website may sell your biometric personal data.」を掲載する必要があります。
  3. 販売とターゲティング広告の開示コントローラーがデータを販売する、またはターゲティング広告を行う場合は、そのことをわかりやすく目立つ形で示し、消費者が拒否する方法を説明しなければなりません。
  4. データ保護評価この法律は、ターゲティング広告、データの販売、プロファイリング、センシティブデータなど、リスクの高い処理については、記録に残した評価を求めています。
  5. 処理委託先との契約コントローラーに代わってデータを処理する事業者は、コントローラーの指示に従い、処理のルールを定めた契約が必要です。
  6. 機密データには同意このルールの対象となる企業は、消費者の事前の同意なしに、センシティブデータを販売してはいけません。子どもについては、独自のルールと、連邦法のCOPPAが適用されます。

執行と罰金

州法の中で最も高い制裁金

執行を担うのは、フロリダ州司法長官に属するDepartment of Legal Affairsです。この法律は、消費者による私的な訴訟を認めないと明確に定めています。

違反1件につき最大5万米ドル

民事制裁金の上限は違反1件につき5万米ドルで、ほかにフロリダ州の取引慣行法に定められた措置があります。

3倍の制裁金

金額が3倍になることがあるのは、子どもであることを知りながら関わった場合、有効な請求のあとにデータを削除または訂正しなかった場合、またはオプトアウト後もデータを販売し続けた場合です。

当局が望めば、45日の是正期間

当局は、企業が問題を是正するための45日を与えることがありますが、これは当局の判断であり、企業の権利ではありません。子どもが関わる違反には、この猶予はありません。

年次の公開レポート

毎年2月1日までに、当局は、受けた苦情、取った措置、科した制裁金についてのレポートを公開します。

年表

FDBRの日付

署名から施行までに、1年の準備期間がありました。

  1. 2023年6月6日

    署名

    知事が、Florida Digital Bill of Rightsを定めるSB 262法案に署名します。

  2. 2024年7月1日

    施行

    法律が有効になります。コントローラーは、請求に対応し、オプトアウトを提供し、プライバシー通知を公開する必要があります。

  3. 毎年2月1日

    執行レポート

    Department of Legal Affairsが、年間の苦情、措置、制裁金の集計を、自身のサイトに公開します。

  4. 2025年9月

    GoogleがGPPを更新

    Googleは、GPPのUS Nationalセクションのバージョン2を受け付けるようになり、フロリダ州専用のセクションも引き続き受け付けます。

AdSenseとAd Managerを使うサイト

フロリダ州のオプトアウトがGoogleに届く仕組み

FDBRは、サイトに、Global Privacy Control(GPC)のようなユニバーサルなオプトアウトシグナルを認識することを義務付けていません。訪問者は、サイトが用意した手段を使う必要があります。それでも、GPCを尊重することはよい慣行であり、義務付けている州にも対応できます。

Googleは、AdSenseとAd Managerの「プライバシーとメッセージ」に、米国の州法向けのメッセージを用意しています。フロリダ州は対応する州のリストに入っています。このメッセージには「Do Not Sell or Share」リンクが表示され、訪問者が拒否すると、制限付きデータ処理(RDP)がオンになり、過去の行動に基づく広告が表示されなくなります。

独自のCMPを使っている場合、フロリダ州は、Googleが受け付けるGPPの専用セクションがある、数少ない州のひとつです。このセクションで販売やターゲティング広告が拒否されると、RDPがオンになります。US Nationalセクションも受け付けられ、販売、共有、ターゲティング広告について同じように動作します。

タグを使う方法もあります。GPTのrestrictDataProcessingパラメータ、またはAdSenseのdata-restrict-data-processing属性を、オプトアウトを求めた人にだけ使います。どの方法でも、確認することは同じです。拒否のあとで、広告リクエストが変わっていなければなりません。

実例

フロリダ州でできること、できないこと

フロリダ州からの訪問者を受け入れ、プログラマティック広告で収益化しているサイトの例です。

してよいこと

  • ターゲティング広告を拒否した人には、コンテキスト広告を表示する
  • オプトアウトをGoogleに知らせるため、フロリダ州のセクション、またはGPPのUS Nationalセクションを使う
  • Googleの州規制向けメッセージを使って、オプトアウトのリンクを提供する
  • フロリダ州が求める内容を含んでいれば、米国向けに1つのプライバシー通知にまとめる
  • プライバシーのページを、少なくとも年に1回見直して更新する

してはいけないこと

  • 小さな企業でも、正確な位置情報などのセンシティブデータを、事前の同意なしに販売する
  • 法律が求める定型の通知を掲載せずに、センシティブデータを販売する
  • オプトアウトのあとも、データを販売または共有し続ける(制裁金が3倍になりうるケース)
  • 誰も見つけられないページに、オプトアウトのリンクを隠す
  • サイトが小さいからといって、広告パートナーも法律の対象外だと思い込む

よくあるエラー

フロリダ州の法律でサイトがつまずく点

法律の適用範囲が狭いため、何もしなくてよいと考える人が多くいます。よくあるミスは次のとおりです。

センシティブデータのルールを無視する

サイトが、正確な位置情報を収集してパートナーに渡すSDKやスクリプトを使っています。この販売には、10億米ドルの基準がなくても、同意が必要です。

更新されないプライバシーポリシー

プライバシーのページが何年も変わっていません。コントローラーには、少なくとも年に1回の更新が求められます。

フロリダ州が含まれていないメッセージ

Googleのオプトアウトメッセージがカリフォルニア州だけに設定されていて、フロリダ州のトラフィックにはリンクが一度も表示されません。

GPPの州セクションが違う

CMPがGoogleの受け付けないセクションを送っていて、フロリダ州とUS Nationalが含まれていません。オプトアウトが広告に届きません。

販売を止めないオプトアウト

訪問者はクリックしているのに、広告リクエストにはパーソナライズ用のデータが残ったままです。フロリダ州では、制裁金が3倍になることがあります。

未成年者を忘れる

子どもであることを知りながら関わった違反には、是正期間がなく、制裁金が3倍になることがあります。

ConsentModeでは

フロリダ州について監査で確認すること

  • 米国の訪問者としてサイトを開き、フッター、メニュー、プライバシーのメッセージの中でオプトアウトのリンクを探します。
  • ページのコードから、CMPまたはGoogleの州規制向けメッセージを特定します。
  • GPP stringを読み取り、フロリダ州のセクションまたはUS Nationalセクションが含まれているか、オプトアウトのあとで変わるかを示します。
  • 監査用ブラウザでGPCシグナルをオンにして、ページと広告リクエストが反応するかを示します。
  • プライバシーのページに、販売、ターゲティング広告、権利、不服申し立て、そして該当する場合はセンシティブデータの販売通知が書かれているかを確認します。
監査を実行する確認する項目をすべて見る

よくある質問

うちのサイトは小規模です。フロリダ州の法律は適用されますか?

義務の大部分は適用されません。コントローラーは、全世界の収益が10億米ドルを超え、法律が定める3つの類型のいずれかに当てはまる必要があるためです。ただし、同意なしにセンシティブデータを販売することを禁じるルールは、フロリダ州で事業を行いデータを収集する営利企業すべてに適用されます。

それなら、なぜフロリダ州のオプトアウトを気にする必要があるのですか?

サイトで広告を購入し配信するパートナーが、この法律のコントローラーに当たる可能性があるためです。また、基準がより低い他の州の法律が、あなたの事業に及ぶこともあります。米国のすべてのトラフィックにオプトアウトを提供すると、運用がシンプルになります。

フロリダ州ではGPCの尊重が必要ですか?

いいえ。この法律はユニバーサルなオプトアウトシグナルを定めていません。それでも、多くのCMPがすべての州でGPCを処理しており、義務付けている法律への対応に役立ちます。

GoogleはGPPのフロリダ州セクションを読み取りますか?

はい。フロリダ州は、US National、カリフォルニア、コロラド、コネチカット、バージニアとともに、Googleが受け付けるセクションの一覧に入っています。このセクションで販売やターゲティング広告が拒否されると、制限付きデータ処理がオンになります。

法律が求めるNOTICEの通知とは何ですか?

センシティブデータや生体データを販売する場合に掲載が必要な、英語の定型文です。サイトがその種のデータを販売する可能性があることを知らせます。広告を表示するサイトの多くは、この種のデータを販売しておらず、通知は不要です。

ConsentModeを使えば、サイトはフロリダ州の法律に適合しますか?

ConsentModeはCMPでも法律事務所でもありません。オプトアウト、GPP、プライバシーのページでサイトが何をしているかを、スクリーンショット付きで示すので、提供元や弁護士と一緒に修正してください。

ライブラリ

公式の情報源

このガイドは、次の公式ページをもとに作成しました。情報源を直接お読みください:

フロリダ州のオプトアウトが広告に届いているかを確認する

監査は、米国の訪問者としてサイトを開き、何も変更せずに、直すべき点を示します。

監査を始める