Sec-GPCヘッダー
ブラウザがリクエストのたびにサーバーに送る通知です。ユーザーがGPCをオンにしている場合、値はちょうど1になります。
ガイド · ブラウザのシグナル
GPCは、ブラウザがすべてのサイトに自動で送る通知で、その人がデータを販売・共有されたくないことを伝えます。米国のいくつかの州では、この通知を無視して罰金を科された例があります。対応のしかたとテスト方法を紹介します。
概要
Global Privacy Control(GPC)は、ブラウザの設定です。この設定をオンにすると、ブラウザは訪れるすべてのサイトに、個人データを販売・共有されたくないことを伝えます。
Cookieバナーとの大きな違いは、サイトで誰も何もクリックする必要がないことです。拒否は、ページが読み込まれる前から、すでに用意された状態で届きます。サイトは、その通知を読み取って従うだけです。
GPCは、BraveとDuckDuckGoには最初から入っていて初期設定でオンです。Firefoxでは、ユーザーが設定でオンにします。Privacy Badger、Disconnect、OptMeowtなどの拡張機能を使えば、他のブラウザでもシグナルを送れます。
この提案は2020年に、ウェブ標準を作る組織であるW3Cのグループで生まれました。2024年11月には、W3CのPrivacy Working Groupの正式な作業項目となり、標準化が進められています。
チェックリスト
これらの義務は、カリフォルニア州、コロラド州、コネチカット州など、法律でGPCが求められている場所で、各法律の基準内の企業に適用されます。
カリフォルニア州では、GPCは有効なオプトアウトの要求です。コロラド州では、2024年7月1日から、販売とターゲティング広告のオプトアウトとして有効です。コネチカット州では、2025年1月1日から義務になっています。
ブラウザは、値が1のSec-GPCヘッダーと、navigator.globalPrivacyControlプロパティで知らせます。GPCの公式ガイドでは、スクリプトをページのできるだけ早い位置に置くよう求めています。
// Lê o GPC antes das tags e liga o RDP na GPT
if (navigator.globalPrivacyControl === true) {
googletag.cmd.push(function () {
googletag.pubads().setPrivacySettings({
restrictDataProcessing: true
});
});
}コロラド州の規則は、シグナルを受け付けるためにログインを求めることや、本当に必要な量を超えるデータを求めることを禁じています。
コロラド州では、GPCなどのユニバーサルシグナルによるオプトアウトをどう処理するかを、ポリシーに書く必要があります。
当社はGlobal Privacy Controlを尊重します。お使いのブラウザがこのシグナルを送る場合、その訪問を販売とターゲティング広告のオプトアウトとして扱います。
Googleは、GPP文字列でオプトアウトが示された場合、またはタグがRDPを要求した場合に、RDPをオンにします。同じオプトアウトを、ヘッダー入札とピクセルにも届ける必要があります。
カリフォルニア州では、2026年から有効な規則により、サイトが訪問者に選択の状況を表示することが求められます。コロラド州では、シグナルが尊重されたことを表示することが認められています。
プライバシーパネル: GPCシグナルを受信しました。オプトアウトを適用しました。
実例
公式ツール
GPCには認定CMPの一覧がなく、Googleも米国では認定CMPを求めていません。お使いのCMPがGPCを読んで、オプトアウトをGPP文字列に記録するかを確認してください。
用語の定義
これらの用語は、法律、CMP、ブラウザの開発者ツールに出てきます。
ブラウザがリクエストのたびにサーバーに送る通知です。ユーザーがGPCをオンにしている場合、値はちょうど1になります。
同じ情報を、ページ上のスクリプトから参照できるものです。GPCがオンのときはtrue、オフのときはfalseになります。
サイトのwell-knownアドレスに置くオプションのファイルです。運営者が、GPCを尊重していることと最終更新日を宣言します。
カリフォルニア州で「共有」とは、異なるサイトをまたぐ行動ベースの広告にデータを使うことを指します。プログラマティック広告は、通常ここに含まれます。
コロラド州やコネチカット州などの法律で使われる用語で、その人が他のサイトで行ったことに基づいて選ばれる広告を指します。
GPCのような自動の通知を指す、法律上の一般的な名称です。どのシグナルを受け付けるかは、州ごとに定められています。
対象となる人
法律は、住民のデータ量など、各州の基準を満たす企業に適用されます。自分のサイトがその基準に該当するかどうかは、法務担当に確認してください。
州司法長官は、対象事業者はGPCを、データの販売や共有をやめるための有効な要求として受け付ける必要がある、としています。
2024年7月1日から、対象事業者はGPCを尊重する必要があります。現在、州が認めているユニバーサルシグナルはこれだけです。
2025年1月1日から、ブラウザのシグナルは、データの販売とターゲティング広告の拒否として有効です。
2026年1月1日から、住民はブラウザや拡張機能が送るユニバーサルな拒否シグナルを使えます。
米国の他の州法も、それぞれの日程で、ユニバーサルな拒否シグナルを扱っています。一覧は頻繁に変わります。
ブラジルや欧州では、GPCはバナーや同意の代わりにはなりません。それでも、シグナルを尊重することは、訪問者への配慮を示します。
訪問者の権利
法律上、GPCは、その人が「私の個人情報を販売・共有しない」のリンクをクリックしたのと同じ扱いです。違いは、サイトごとにそのリンクを探す必要がないことです。
拒否を受け取ったあとは、本人が改めて許可しない限り、サイトはその人のデータを販売も共有もできません。カリフォルニア州の公式ガイダンスでは、拒否の要求にはできるだけ早く、15営業日以内に対応することとされています。
コネチカット州では、そのシグナルが、本人の以前の選択やロイヤルティプログラムと食い違う場合でも有効です。サイトは食い違いを知らせて確認を求めることはできますが、単にシグナルを無視することはできません。
GPCは、サイトの動作を止めることや、広告を隠すことを求めていません。広告は引き続き表示されます。ただし、その人のデータを、販売、共有、ターゲティング広告に使うことはできません。
サイトの義務
// Lê o GPC antes das tags de anúncio
if (navigator.globalPrivacyControl === true) {
// trate como recusa de venda, compartilhamento
// e publicidade direcionada
// a CMP deve refletir isso na GPP string
}
// Opcional: /.well-known/gpc.json
{ "gpc": true, "lastUpdate": "2026-11-02" }AdSenseとAd Manager
GPCが伝えるのはサイトに対してであり、広告パートナー1社ごとに直接ではありません。そのため、最も確実なのは、CMPがシグナルをGPP stringに記録された拒否に変換することです。
Ad Managerは、米国全体のセクションと、カリフォルニア、コロラド、コネチカット、フロリダ、バージニアの各セクションを読み取ります。文字列に、販売、共有、ターゲティング広告の拒否が示されていると、Googleは制限付きデータ処理をオンにします。
これにより、広告は引き続き表示されますが、その訪問者のデータに基づくパーソナライズは行われません。訪問1回あたりの収益は多少下がるのが普通ですが、有効な拒否を無視するリスクはなくなります。
ヘッダー入札や追加のネットワークにも注意してください。Googleのタグだけが拒否を受け取っていると、オークションの他の購入者は、訪問者が拒否していないかのようにデータを使い続けます。
年表
わずか数年で、GPCは技術的な提案から、複数の州による共同執行の対象になりました。
GPCは、W3Cのプライバシーコミュニティグループで始まります。
カリフォルニア州司法長官が、120万米ドルの和解を発表しました。告発の一つは、GPCで送られた拒否を処理していなかったことです。
コロラド州法の対象事業者は、GPCを、販売とターゲティング広告の拒否として尊重するようになります。
GPCは、W3CのPrivacy Working Groupで標準化されることになります。
GPCのようなシグナルが、販売とターゲティング広告の拒否として有効になります。
カリフォルニア、コロラド、コネチカットが、GPCを尊重していないとみられる企業に書簡を送ります。
オレゴン州の住民が、ブラウザからユニバーサルな拒否シグナルを使えるようになります。
執行
執行するのは、各州の司法長官で、カリフォルニア州では州のプライバシー保護機関も担います。調査を行い、是正を求め、それぞれの法律で定められた罰則を科すことができます。
最初の大きな事例は、2022年のSephoraでした。カリフォルニア州司法長官は、同社がGPCで送られた拒否を処理しておらず、当時の法律が認めていた期間内に問題を修正しなかったと主張しました。和解金は120万米ドルでした。
2025年9月には、カリフォルニア、コロラド、コネチカットが共同調査を行い、GPCを尊重していないとみられる企業に書簡を送って、直ちに是正するよう求めました。
当局が行うテストは簡単です。ブラウザでGPCをオンにして、サイトが広告パートナーにデータを送り続けるかを確認します。誰でもこのテストを再現できます。
よくあるエラー
多くの場合、サイトの運営者は、バナーが表示されているので問題ないと考えています。
CMPにオプションはあるのに、オフになっています。シグナルは届いているのに、誰も読んでいません。
CMPがシグナルを読み取る前に、ピクセルや広告が読み込まれます。拒否が適用されるときには、最初のデータはすでに外へ出ています。
CMPは拒否を記録しますが、GPP stringを更新しません。パートナーには、そのことが伝わりません。
サイトが、拒否を適用する前に、本人に拒否の確認を求める通知を表示します。シグナルそのものがすでに拒否です。
拒否はGoogleには届きますが、オークションの他の購入者には届きません。
ある州ではシグナルを尊重しているのに、同じく義務のある他の州では無視しています。
実例
米国の訪問者がいるサイトの日常的な例です。
ConsentModeでは
いいえ。法律が通知や同意を求める地域では、バナーは引き続き必要です。GPCは自動的な拒否で、バナーがあってもなくても、サイトが尊重しなければなりません。
米国の訪問者がいて、事業が州法の基準に該当するなら、必要です。ブラジルのユーザーについては、LGPDにGPCの記載はありませんが、シグナルを尊重しても広告に支障はありません。
いいえ。広告は表示され続けます。ただし、その訪問者のデータを、販売、共有、ターゲティング広告に使うことはできません。
Firefoxでは、プライバシーの設定でオプションをオンにします。BraveとDuckDuckGoでは、最初からオンです。そのあと、コンソールにnavigator.globalPrivacyControlと入力します。結果がtrueになるはずです。
いいえ。仕様で定められたオプションの宣言です。法律上重要なのは、サイトが実際に拒否を適用することです。
当てにしないでください。確実なのは、CMPがシグナルをGPP stringの拒否に変換することです。Ad Managerはそれを読み取り、データ処理の制限に使います。
ライブラリ
このガイドは、次の公式ページをもとに作成しました。情報源を直接お読みください:
監査は、GPCあり・なしでサイトを訪問し、何も変更せずに、その違いを示します。