ワークスペースへ

ガイド · ブラウザのシグナル

Global Privacy Control:ブラウザがあなたの代わりに「いいえ」と伝えるとき

GPCは、ブラウザがすべてのサイトに自動で送る通知で、その人がデータを販売・共有されたくないことを伝えます。米国のいくつかの州では、この通知を無視して罰金を科された例があります。対応のしかたとテスト方法を紹介します。

  • ✓GPCの仕様と各州の公式情報に基づいています
  • ✓誰でもブラウザでできるテスト
  • ✓サイトを変更せずに読み取ります
3GPCを標準搭載しているブラウザ:Brave、DuckDuckGo、Firefox
120万米ドル2022年、GPCを無視したとしてカリフォルニア州で成立したSephoraの和解金
2024コロラド州が、7月1日からGPCを義務づけるようになった年
32025年9月の共同調査の対象州:カリフォルニア、コロラド、コネチカット

概要

訪問のたびに送られるプライバシーの通知

Global Privacy Control(GPC)は、ブラウザの設定です。この設定をオンにすると、ブラウザは訪れるすべてのサイトに、個人データを販売・共有されたくないことを伝えます。

Cookieバナーとの大きな違いは、サイトで誰も何もクリックする必要がないことです。拒否は、ページが読み込まれる前から、すでに用意された状態で届きます。サイトは、その通知を読み取って従うだけです。

GPCは、BraveとDuckDuckGoには最初から入っていて初期設定でオンです。Firefoxでは、ユーザーが設定でオンにします。Privacy Badger、Disconnect、OptMeowtなどの拡張機能を使えば、他のブラウザでもシグナルを送れます。

この提案は2020年に、ウェブ標準を作る組織であるW3Cのグループで生まれました。2024年11月には、W3CのPrivacy Working Groupの正式な作業項目となり、標準化が進められています。

チェックリスト

満たすべきこと

これらの義務は、カリフォルニア州、コロラド州、コネチカット州など、法律でGPCが求められている場所で、各法律の基準内の企業に適用されます。

  1. シグナルを有効なオプトアウトとして扱う

    カリフォルニア州では、GPCは有効なオプトアウトの要求です。コロラド州では、2024年7月1日から、販売とターゲティング広告のオプトアウトとして有効です。コネチカット州では、2025年1月1日から義務になっています。

  2. タグより先にシグナルを読む

    ブラウザは、値が1のSec-GPCヘッダーと、navigator.globalPrivacyControlプロパティで知らせます。GPCの公式ガイドでは、スクリプトをページのできるだけ早い位置に置くよう求めています。

    // Lê o GPC antes das tags e liga o RDP na GPT
    if (navigator.globalPrivacyControl === true) {
      googletag.cmd.push(function () {
        googletag.pubads().setPrivacySettings({
          restrictDataProcessing: true
        });
      });
    }
  3. ログインや追加のデータを求めない

    コロラド州の規則は、シグナルを受け付けるためにログインを求めることや、本当に必要な量を超えるデータを求めることを禁じています。

  4. プライバシーポリシーでGPCを説明する

    コロラド州では、GPCなどのユニバーサルシグナルによるオプトアウトをどう処理するかを、ポリシーに書く必要があります。

    例

    当社はGlobal Privacy Controlを尊重します。お使いのブラウザがこのシグナルを送る場合、その訪問を販売とターゲティング広告のオプトアウトとして扱います。

  5. オプトアウトをすべてのパートナーに伝える

    Googleは、GPP文字列でオプトアウトが示された場合、またはタグがRDPを要求した場合に、RDPをオンにします。同じオプトアウトを、ヘッダー入札とピクセルにも届ける必要があります。

  6. 選択の状況を表示する

    カリフォルニア州では、2026年から有効な規則により、サイトが訪問者に選択の状況を表示することが求められます。コロラド州では、シグナルが尊重されたことを表示することが認められています。

    例

    プライバシーパネル: GPCシグナルを受信しました。オプトアウトを適用しました。

実例

正しい例と間違った例

公式ツール

認定CMPと公式リンク

GPCには認定CMPの一覧がなく、Googleも米国では認定CMPを求めていません。お使いのCMPがGPCを読んで、オプトアウトをGPP文字列に記録するかを確認してください。

用語の定義

専門用語を、むずかしくなく

これらの用語は、法律、CMP、ブラウザの開発者ツールに出てきます。

Sec-GPCヘッダー

ブラウザがリクエストのたびにサーバーに送る通知です。ユーザーがGPCをオンにしている場合、値はちょうど1になります。

navigator.globalPrivacyControl

同じ情報を、ページ上のスクリプトから参照できるものです。GPCがオンのときはtrue、オフのときはfalseになります。

gpc.jsonファイル

サイトのwell-knownアドレスに置くオプションのファイルです。運営者が、GPCを尊重していることと最終更新日を宣言します。

販売と共有

カリフォルニア州で「共有」とは、異なるサイトをまたぐ行動ベースの広告にデータを使うことを指します。プログラマティック広告は、通常ここに含まれます。

ターゲティング広告

コロラド州やコネチカット州などの法律で使われる用語で、その人が他のサイトで行ったことに基づいて選ばれる広告を指します。

ユニバーサルな拒否シグナル

GPCのような自動の通知を指す、法律上の一般的な名称です。どのシグナルを受け付けるかは、州ごとに定められています。

対象となる人

GPCの尊重がすでに義務になっている地域

法律は、住民のデータ量など、各州の基準を満たす企業に適用されます。自分のサイトがその基準に該当するかどうかは、法務担当に確認してください。

カリフォルニア州

州司法長官は、対象事業者はGPCを、データの販売や共有をやめるための有効な要求として受け付ける必要がある、としています。

コロラド州

2024年7月1日から、対象事業者はGPCを尊重する必要があります。現在、州が認めているユニバーサルシグナルはこれだけです。

コネチカット州

2025年1月1日から、ブラウザのシグナルは、データの販売とターゲティング広告の拒否として有効です。

オレゴン州

2026年1月1日から、住民はブラウザや拡張機能が送るユニバーサルな拒否シグナルを使えます。

その他の州

米国の他の州法も、それぞれの日程で、ユニバーサルな拒否シグナルを扱っています。一覧は頻繁に変わります。

米国以外

ブラジルや欧州では、GPCはバナーや同意の代わりにはなりません。それでも、シグナルを尊重することは、訪問者への配慮を示します。

訪問者の権利

GPCをオンにした訪問者にとって変わること

法律上、GPCは、その人が「私の個人情報を販売・共有しない」のリンクをクリックしたのと同じ扱いです。違いは、サイトごとにそのリンクを探す必要がないことです。

拒否を受け取ったあとは、本人が改めて許可しない限り、サイトはその人のデータを販売も共有もできません。カリフォルニア州の公式ガイダンスでは、拒否の要求にはできるだけ早く、15営業日以内に対応することとされています。

コネチカット州では、そのシグナルが、本人の以前の選択やロイヤルティプログラムと食い違う場合でも有効です。サイトは食い違いを知らせて確認を求めることはできますが、単にシグナルを無視することはできません。

GPCは、サイトの動作を止めることや、広告を隠すことを求めていません。広告は引き続き表示されます。ただし、その人のデータを、販売、共有、ターゲティング広告に使うことはできません。

サイトの義務

サイトはGPCにどう対応すべきか

  1. シグナルを最初に検出するCMPまたはページの先頭にあるスクリプトが、広告タグやマーケティングタグが読み込まれる前にシグナルを読み取ります。
  2. 拒否をすぐに適用するクリックやフォームを求めずに、訪問者を、販売、共有、ターゲティング広告を拒否した状態にします。
  3. 拒否をパートナーに伝えるGPP stringを更新し、拒否と、全国向けセクションのGPCフィールドを含めて、Googleをはじめとするパートナーが同じ通知を受け取るようにします。
  4. シグナルを尊重したことを示す設定パネルに「プライバシーのシグナルを受け取りました」のような一文があると、訪問者のためになり、サイトの記録にもなります。
  5. GPCのあるブラウザでテストするFirefoxでGPCをオンにするか、Braveを使ってサイトを開き、コンソールとネットワークリクエストで、拒否が適用されているかを確認します。
ブラウザでのシグナルの読み取りと、オプションの宣言ファイル
// Lê o GPC antes das tags de anúncio
if (navigator.globalPrivacyControl === true) {
  // trate como recusa de venda, compartilhamento
  // e publicidade direcionada
  // a CMP deve refletir isso na GPP string
}

// Opcional: /.well-known/gpc.json
{ "gpc": true, "lastUpdate": "2026-11-02" }

AdSenseとAd Manager

GPCの拒否がGoogleの広告に届くまで

GPCが伝えるのはサイトに対してであり、広告パートナー1社ごとに直接ではありません。そのため、最も確実なのは、CMPがシグナルをGPP stringに記録された拒否に変換することです。

Ad Managerは、米国全体のセクションと、カリフォルニア、コロラド、コネチカット、フロリダ、バージニアの各セクションを読み取ります。文字列に、販売、共有、ターゲティング広告の拒否が示されていると、Googleは制限付きデータ処理をオンにします。

これにより、広告は引き続き表示されますが、その訪問者のデータに基づくパーソナライズは行われません。訪問1回あたりの収益は多少下がるのが普通ですが、有効な拒否を無視するリスクはなくなります。

ヘッダー入札や追加のネットワークにも注意してください。Googleのタグだけが拒否を受け取っていると、オークションの他の購入者は、訪問者が拒否していないかのようにデータを使い続けます。

年表

実験から執行まで

わずか数年で、GPCは技術的な提案から、複数の州による共同執行の対象になりました。

  1. 2020

    W3Cでの提案

    GPCは、W3Cのプライバシーコミュニティグループで始まります。

  2. 2022年8月24日

    Sephora事件

    カリフォルニア州司法長官が、120万米ドルの和解を発表しました。告発の一つは、GPCで送られた拒否を処理していなかったことです。

  3. 2024年7月1日

    コロラド州がGPCを義務づけ

    コロラド州法の対象事業者は、GPCを、販売とターゲティング広告の拒否として尊重するようになります。

  4. 2024年11月

    W3Cの正式な作業項目に

    GPCは、W3CのPrivacy Working Groupで標準化されることになります。

  5. 2025年1月1日

    コネチカット州がブラウザのシグナルを義務づけ

    GPCのようなシグナルが、販売とターゲティング広告の拒否として有効になります。

  6. 2025年9月9日

    共同調査

    カリフォルニア、コロラド、コネチカットが、GPCを尊重していないとみられる企業に書簡を送ります。

  7. 2026年1月1日

    オレゴン州がユニバーサルシグナルを採用

    オレゴン州の住民が、ブラウザからユニバーサルな拒否シグナルを使えるようになります。

執行

誰が取り締まり、これまでに何があったか

執行するのは、各州の司法長官で、カリフォルニア州では州のプライバシー保護機関も担います。調査を行い、是正を求め、それぞれの法律で定められた罰則を科すことができます。

最初の大きな事例は、2022年のSephoraでした。カリフォルニア州司法長官は、同社がGPCで送られた拒否を処理しておらず、当時の法律が認めていた期間内に問題を修正しなかったと主張しました。和解金は120万米ドルでした。

2025年9月には、カリフォルニア、コロラド、コネチカットが共同調査を行い、GPCを尊重していないとみられる企業に書簡を送って、直ちに是正するよう求めました。

当局が行うテストは簡単です。ブラウザでGPCをオンにして、サイトが広告パートナーにデータを送り続けるかを確認します。誰でもこのテストを再現できます。

よくあるエラー

気づかないうちにGPCを無視してしまう原因

多くの場合、サイトの運営者は、バナーが表示されているので問題ないと考えています。

GPCを読み取らないCMP

CMPにオプションはあるのに、オフになっています。シグナルは届いているのに、誰も読んでいません。

CMPより先にタグが動く

CMPがシグナルを読み取る前に、ピクセルや広告が読み込まれます。拒否が適用されるときには、最初のデータはすでに外へ出ています。

CMPのCookieにだけ拒否を記録する

CMPは拒否を記録しますが、GPP stringを更新しません。パートナーには、そのことが伝わりません。

確認のクリックを求める

サイトが、拒否を適用する前に、本人に拒否の確認を求める通知を表示します。シグナルそのものがすでに拒否です。

外部のヘッダー入札

拒否はGoogleには届きますが、オークションの他の購入者には届きません。

カリフォルニア州向けだけ

ある州ではシグナルを尊重しているのに、同じく義務のある他の州では無視しています。

実例

GPCに対して「できること」と「できないこと」

米国の訪問者がいるサイトの日常的な例です。

してよいこと

  • 広告は引き続き表示する。ただし、その人のデータを使ったパーソナライズはしない
  • 設定パネルに、シグナルを受け取ったことを表示する
  • 以前の選択と食い違う場合は、そのことを知らせて確認を求める
  • サイトがシグナルを尊重していることを宣言するgpc.jsonファイルを公開する
  • オークションのすべてのパートナーに、同じ拒否を適用する

してはいけないこと

  • 訪問者がバナーをクリックしていないからと、シグナルを無視する
  • 拒否を受け付ける条件として、ログイン、メールアドレス、フォームを求める
  • シグナルを読み取る前にマーケティングピクセルを読み込む
  • GPCを使っている人のコンテンツをブロックする
  • 次回の訪問で、新たな許可なしに拒否を取り消す

ConsentModeでは

GPCについて監査で確認すること

  • 米国の訪問者として、GPCシグナルあり・なしの2回、サイトを開きます。
  • それぞれの訪問で発火するタグと広告リクエストを比較します。
  • GPP stringを読み取り、シグナルがオンのときに拒否とGPCのフィールドがあるかを確認します。
  • gpc.jsonファイルがあるか、設定パネルにシグナルが表示されるかを確認します。
  • それぞれの訪問のスクリーンショットと、CMPやタグで行う調整をお渡しします。

よくある質問

GPCはCookieバナーの代わりになりますか?

いいえ。法律が通知や同意を求める地域では、バナーは引き続き必要です。GPCは自動的な拒否で、バナーがあってもなくても、サイトが尊重しなければなりません。

自分のサイトはブラジルのサイトです。気にする必要がありますか?

米国の訪問者がいて、事業が州法の基準に該当するなら、必要です。ブラジルのユーザーについては、LGPDにGPCの記載はありませんが、シグナルを尊重しても広告に支障はありません。

GPCを尊重すると、ページから広告がなくなりますか?

いいえ。広告は表示され続けます。ただし、その訪問者のデータを、販売、共有、ターゲティング広告に使うことはできません。

テストのためにGPCをオンにするには?

Firefoxでは、プライバシーの設定でオプションをオンにします。BraveとDuckDuckGoでは、最初からオンです。そのあと、コンソールにnavigator.globalPrivacyControlと入力します。結果がtrueになるはずです。

gpc.jsonファイルは必須ですか?

いいえ。仕様で定められたオプションの宣言です。法律上重要なのは、サイトが実際に拒否を適用することです。

Googleは自動でGPCを読み取りますか?

当てにしないでください。確実なのは、CMPがシグナルをGPP stringの拒否に変換することです。Ad Managerはそれを読み取り、データ処理の制限に使います。

ライブラリ

公式の情報源

このガイドは、次の公式ページをもとに作成しました。情報源を直接お読みください:

ブラウザが「いいえ」と伝えたとき、サイトがどう動くか確認しましょう

監査は、GPCあり・なしでサイトを訪問し、何も変更せずに、その違いを示します。

監査を始める