ワークスペースへ

ガイド · 業界標準

GPPを解説:複数のプライバシー法に対応する1つのシグナル

GPPは、米国の州からカナダ、ヨーロッパまで、各法律が求めるプライバシーの選択を、1つのコードにまとめます。仕組み、Googleが読み取るもの、サイトでGPPが必要になる場面を説明します。

自分のサイトのGPPを監査するガイドを読む
  • ✓IAB Tech Labの仕様に基づいています
  • ✓Ad Managerが受け付けるものと無視するものを含みます
  • ✓サイトを変更せずに読み取ります
2022GPP stringのバージョン1.0が公開された年
20GPPの公式リストにある、米国の州のセクションの数
6Ad Managerが、GPPの中で読み取る米国のセクションの数
7米国の全国セクション、usnatの番号

概要

プライバシーシグナルのための、1つの箱

GPPは、広告業界の技術団体であるIAB Tech Labのプロトコルです。もともとはGlobal Privacy Platformという名前で、現在は公式サイトでGlobal Privacy Protocolと表示されています。略称は同じです。

考え方は簡単です。プライバシー法ごとに、求められる情報が違います。カリフォルニア州はデータの販売と共有について述べています。ほかの州はターゲティング広告について述べています。ヨーロッパは目的ごとの同意について述べています。GPPは、これらすべてを、セクションに分かれた1つのコード、GPP stringにまとめます。

サイトのプライバシーバナーであるCMPが、地域と訪問者の選択に応じて、このstringを作ります。そのあと、広告コードが広告プラットフォームにstringを送り、プラットフォームは、その訪問者に当てはまるセクションだけを読み取ります。

TCFと同じように、GPPは法律ではありません。訪問者の選択を、標準化された方法で広告パートナーに届けるための、技術的なツールです。

チェックリスト

満たすべきこと

GPPは法律ではないため、これらのポイントは、米国の州法と、Googleがシグナルを読み取るために求める内容に基づいています。

  1. 米国の訪問者に拒否リンクを表示する

    カリフォルニア州では、個人データを販売する事業者は、「Do Not Sell or Share My Personal Information」という分かりやすく目立つリンクを設ける必要があります。Googleの米国の州規制メッセージが、このリンクを作成します。

    例

    米国の訪問者向けのフッターに、Do Not Sell or Share My Personal Information のリンクがある。

  2. GPCをオプトアウトとして扱う

    カリフォルニア州では、ブラウザから送られるGlobal Privacy Controlのシグナルを、データの販売または共有を止める有効な要求として尊重する必要があります。

    例

    ブラウザがGPCを送ると、CMPはクリックなしでGPP stringに拒否を記録する。

  3. 拒否でGPP stringが変わるようにする

    Googleは、stringが販売、共有、またはターゲティング広告の拒否を示している場合に、制限付きデータ処理をオンにします。クリックしてもstringが変わらなければ、拒否はGoogleに届きません。

  4. Googleが読み取るセクションを使う

    GPPで、Googleは米国全体のセクションと、カリフォルニア、コロラド、コネチカット、フロリダ、バージニアのセクションに対応しています。ユタのセクション、カナダのTCF、GPPのバージョン1.0には対応していません。

  5. ヨーロッパ向けには独自のTCFを維持する

    EEA、英国、スイスの訪問者に対しては、Googleは引き続き、認定CMPを使ったIAB EuropeのTCFを使用します。GPPに含まれる欧州のTC stringは受け付けられません。

  6. すべてのリクエストでgppとgpp_sidを送る

    Googleは、stringをgppパラメータで、セクション番号をgpp_sidパラメータで受け取ります。ヘッダー入札のパートナーにも両方が渡されているか確認してください。

    例

    米国全体のセクションを持つ訪問者の広告リクエストでは、gpp_sidパラメータに番号7が入っている。

  7. GPPがない場合は、タグで拒否を設定する

    Googleは、米国の州についてGPPもCMPも必須としていません。独自の拒否リンクがある場合は、拒否した訪問者について、Ad Managerのタグで制限付きデータ処理を直接オンにできます。

    googletag.pubads().setPrivacySettings({
  restrictDataProcessing: true
});

  8. US Privacy StringをGPPに置き換える

    IABは2024年1月にUS Privacy Stringを廃止しました。Googleはまだこのシグナルを読み取りますが、GPPへの移行を推奨しています。

実例

正しい例と間違った例

公式ツール

認定CMPと公式リンク

Googleは、米国の州について認定CMPもGPPも必須としていません。そのため、シグナルの生成と拒否の表示には、以下の公式ページを使ってください。

用語の定義

ダッシュボードとレポートに出てくる用語

6つの概念で、サイトでのGPPに起こることのほとんどを説明できます。

GPP string

ヘッダーと、1つ以上のセクションを含む、完全なコードです。広告リクエストと一緒に送られます。

ヘッダー

stringの最初の部分です。どのセクションが含まれているかを示すので、各パートナーが必要なものを見つけられます。

セクション

米国の全国セクションや各州のセクションのような、ひとつの法域のブロックです。それぞれに番号と短い名前があります。

gpp_sid

そのリクエストに適用されるセクションの番号のリストです。パートナーがどれを読めばよいかを知れるよう、stringと一緒に送られます。

__gpp API

ページ上のCMPの標準コマンドです。広告スクリプトは、これを使って、stringの準備ができているか、その内容は何かを尋ねます。

MSPA

米国の広告取引のための、IABの複数州にまたがる契約です。全国セクションには、取引がこの契約の対象かどうかを示すフィールドがあります。

セクション

GPP stringに入るもの

セクションの公式リストはIAB Tech Labのリポジトリにあり、新しい法律が施行されるたびに増えます。

ヨーロッパのTCF(tcfeuv2)

GPPの中に、ヨーロッパのTC stringを入れます。GPPですべてを読み取るパートナーには便利ですが、Googleはヨーロッパの訪問者について、この経路を受け付けません。

カナダのTCF(tcfcav1)

IAB Canadaが、カナダの同意ルールのために作った、カナダ版のTCFです。

US Privacy(uspv1)

カリフォルニア州の古いシグナルで、4文字のstringとも呼ばれます。リストには残っていますが、IABによって廃止されています。

米国の全国(usnat)

州法を統一した形でカバーするセクションです。多くのCMPは、すべての州に対して、これだけを使っています。

州のセクション

カリフォルニア、バージニア、コロラド、コネチカット、テキサス、オレゴンなどの州専用のブロックです。公式リストには20あります。

GPCのサブセクション

全国セクションには、ブラウザがGlobal Privacy Control(自動拒否のシグナル)を送ったという情報を入れられます。

対象となる人

サイトでGPPが必要になる場面と、役に立たない場面

GPPが特に重要なのは、プログラマティック広告を表示し、米国の訪問者がいるサイトです。訪問者が、データの販売、共有、ターゲティング広告での利用をしないよう求めたかどうかを、プラットフォームが知るのは、これによってです。

訪問者のほとんどがブラジル人なら、GPPの影響は小さいです。LGPDはこの標準を使っておらず、Googleもブラジルの訪問者にGPPを求めていません。それでも、米国の訪問者に正しいシグナルが届くよう、CMPを地域ごとに設定するとよいでしょう。

ヨーロッパについては、GPPはGoogleでTCFの代わりになりません。Ad Managerは、EEA、英国、スイスの訪問者について、GPPの中に入れて送られたヨーロッパのTC stringを受け付けません。これらの地域では、パーソナライズ広告に、TCFに対応した認定CMPが引き続き必須です。

GPPの背後にある法律を執行するのは、各国または各州の当局で、米国の州の司法長官などです。GPP自体は制裁金を科しません。訪問者の選択が確実に伝えられたことを示す、技術的な証拠です。

訪問者の権利

米国の全国セクションが記録するもの

usnatセクションは、2種類の情報を保存します。1つ目は、サイトが訪問者に通知したかどうかです。共有の通知、販売の通知、ターゲティング広告の通知、センシティブデータについての通知です。

2つ目は、訪問者が決めたことです。データの販売の拒否、共有の拒否、ターゲティング広告の拒否、センシティブデータの利用、子どものデータへの同意のフィールドがあります。

これらのフィールドは、州法が人々に与える権利を反映しています。訪問者が「私の情報を販売または共有しない」をクリックすると、CMPが対応するフィールドを変更し、すべてのパートナーが、次の広告リクエストで拒否を受け取ります。

このセクションは、取引がMSPA契約の対象かどうかも示し、ブラウザが送ったGlobal Privacy Controlの値を含むことがあります。

実装の方法

サイトでGPPを機能させる5つのステップ

  1. GPPに対応したCMPを選ぶ商用CMPの多くと、Googleのプライバシーとメッセージは、米国の州向けのオプションを提供しています。お使いのCMPがどのセクションを生成するかを確認してください。
  2. 地域を定める米国の訪問者には、メッセージを表示し、米国のセクションを生成します。ヨーロッパには、独自のTCFを維持します。世界のその他の地域では、現地の法律に従います。
  3. 拒否のリンクを置くカリフォルニア州のような法律は、訪問者がデータの販売や共有を拒否できる、見やすいリンクを求めています。そのリンクは、GPP stringをその場で更新する必要があります。
  4. パートナーにstringを渡すGoogleのタグは、CMPのAPIからstringを読み取ります。ヘッダー入札や追加のネットワークでは、stringとgpp_sidがリクエストごとに送られていることを確認してください。
  5. 拒否ありと拒否なしでテストする米国の訪問者としてサイトを開き、販売を拒否して、stringが変わり、広告リクエストに拒否が付くようになるかを確認します。
GPPの標準APIを使った、ブラウザのコンソールでの簡単なテスト
// Pergunta à CMP se a GPP string está pronta
__gpp('ping', function (data, ok) {
  if (!ok) return;
  console.log('status:', data.signalStatus);         // 'ready' ou 'not ready'
  console.log('seções:', data.applicableSections);   // ex.: [7]
  console.log('string:', data.gppString);
});

AdSenseとAd Manager

GoogleがGPPを読み取る仕組み

Ad Managerは、stringを広告リクエストの2つのパラメータで受け取ります。stringを含むgppと、セクション番号を含むgpp_sidです。CMPが標準APIを公開していれば、Googleのタグが処理します。

GPPの中で、Ad Managerは、米国の全国セクションと、カリフォルニア、コロラド、コネチカット、フロリダ、バージニアのセクションを受け付けます。ヨーロッパのTCF、カナダのTCF、ユタ州のセクションには、GPPを使いません。

stringが拒否を示している場合、Googleは制限付きデータ処理をオンにします。全国セクションでは、販売、共有、ターゲティング広告の拒否がこれに当たります。広告は引き続き表示されますが、その訪問者のデータに基づくパーソナライズはされません。

Googleは、パブリッシャーにMSPAへの署名を求めていません。Ad Managerは、MSPAの認定パートナープログラムに参加しています。2025年9月から、Googleは全国セクションの第2版を受け付けており、第1版も引き続き受け付けています。

年表

GPPがここまで来た経緯

この標準は、新しい州法が施行されるたびに更新されます。

  1. 2022年9月28日

    バージョン1.0の公開

    IAB Tech Labが、GPP stringの最終仕様と、CMP APIの最初のバージョンを公開します。

  2. 2022年12月

    米国の全国セクションの誕生

    usnatセクションが、州法を1つのブロックにまとめるために始まります。

  3. 2023年6月

    CMP APIのバージョン1.1

    APIはコールバック関数で応答するようになり、古いコマンドの一部が削除されます。

  4. 2024年1月

    US Privacy Stringの廃止

    IABが、カリフォルニア州の古いシグナルを廃止します。Googleは引き続きこのシグナルを読み取りますが、推奨される経路はGPPになります。

  5. 2025年9月

    Googleが全国セクションv2に対応

    Ad Managerが、全国セクションの第2版を読み取るようになり、第1版にも引き続き対応します。

  6. 2025年末

    新しい州

    メリーランド、インディアナ、ケンタッキー、ロードアイランドのセクションが、意見募集の後に確定します。

  7. 2026年8月

    新しいMSPAへの更新

    仕様が、複数州にまたがる契約の最新バージョンに更新されます。

よくあるエラー

サイトでGPPを最も壊す原因

バナーは普通に表示され続けるため、ほとんどは気づかれません。

何も変えない拒否リンク

訪問者は「販売しない」をクリックしますが、GPP stringは変わりません。パートナーにとっては、拒否は一度もなかったことになります。

GPPの中だけにあるヨーロッパのTCF

CMPが、TC stringをGPP経由でしか送りません。Googleは、EEA、英国、スイスについて、この経路を受け付けず、広告は制限付きになります。

誤った、または空のgpp_sid

stringは届きますが、セクションのリストが内容と一致しません。パートナーは、どのブロックを読めばよいかわかりません。

stringより前に広告

CMPの準備ができる前に、広告コードが動作します。最初のリクエストは、プライバシーシグナルなしで送られます。

GPPのないヘッダー入札

Googleのタグはstringを受け取りますが、ヘッダー入札のパートナーは受け取りません。オークションの一部が、訪問者の拒否を無視します。

GPCを無視している

ブラウザはGlobal Privacy Controlを送りますが、CMPは拒否を記録しません。複数の州では、これは有効な拒否として扱われます。

実例

GPPでできること、できないこと

米国と他の国からのトラフィックがある人のための、実践的な例です。

してよいこと

  • CMPと取引先が対応している場合は、米国の全国セクションだけを使う
  • stringは米国の訪問者にだけ生成し、ヨーロッパにはTCFを維持する
  • フッターに、「販売または共有しない」の固定リンクを表示する
  • ブラウザのGPCを、string上の拒否として記録する
  • 拒否の後でstringが変わるかを、コンソールで確認する

してはいけないこと

  • ヨーロッパで、TCFに対応した認定CMPの代わりにGPPを使う
  • 拒否のリンクが、メールのフォームを開くだけになっている
  • 訪問者に対応しない州のセクションを送る
  • CMPが応答する前に広告を読み込む
  • 乗り換えの計画を立てずに、古いUS Privacy Stringだけを使い続ける

ConsentModeでは

GPPについて監査で確認すること

  • 米国と他の地域の訪問者としてサイトを開き、CMPがGPP stringを生成するかを確認します。
  • CMPと、stringに含まれるセクション(全国または州)を特定します。
  • ページの広告リクエストに、stringとgpp_sidが付いているかを確認します。
  • 拒否のリンクがあるか、クリックの後でstringが変わるかを確認します。
  • ヨーロッパがGPPだけに頼って、Googleが求めるTCFを使っていないかを指摘します。
監査を実行する確認する項目をすべて見る

よくある質問

GPPとTCFは競合するものですか?

いいえ。TCFはヨーロッパの同意の標準です。GPPは、TCFやほかの法律のシグナルを運べる封筒です。Googleでは、ヨーロッパは引き続きTCFを直接使い、GPPは主に米国向けです。

私のサイトはブラジルのものです。GPPは必要ですか?

米国の訪問者がいて、その拒否を広告パートナーに届けたい場合だけです。ブラジルの訪問者には、GoogleはGPPを求めていません。

GPPは、US Privacy Stringの代わりになりますか?

IABが示している経路で、IABは古いstringを2024年1月に廃止しました。Googleは古いstringもまだ読み取るので、乗り換えは余裕をもって計画できます。

GPPを使うのに、MSPAに署名する必要がありますか?

Googleは、パブリッシャーに署名を求めていません。ほかのパートナーが求める場合は、法務と検討してください。MSPAは契約であり、技術的な設定ではありません。

制限付きデータ処理で、広告は表示されなくなりますか?

いいえ。Googleは広告を表示し続けますが、その訪問者のデータをパーソナライズに使いません。訪問あたりの収益は低くなるのが普通です。

自分のサイトのGPP stringはどう確認しますか?

ブラウザのコンソールを開き、このガイドの例のように、__gpp APIのpingコマンドを使ってください。または、stringとセクションを表示する、ConsentModeの監査を実行してください。

ライブラリ

公式の情報源

このガイドは、次の公式ページをもとに作成しました。情報源を直接お読みください:

訪問者の拒否が広告に届いているかを確認する

監査では、米国の訪問者としてGPP stringを読み取り、何も変更せずに、直すべき点を示します。

監査を始める