ワークスペースへ

ガイド · 米国の州法

ICDPA:米国で最も簡素な、アイオワ州のプライバシー法

Iowa Consumer Data Protection Actは、2025年1月1日から有効で、ほかの州法より与える権利が少ないことで知られています。このガイドでは、誰が従う必要があるか、訪問者が求められること、ターゲティング広告の扱い、AdSenseやAd Managerのサイトに何が変わるかを説明します。

米国向けにサイトを監査するガイドを読む
  • ✓アイオワ州法典第715D章に基づいています
  • ✓広告サイトのための実践的な例
  • ✓サイトを変更しない読み取り専用の監査
100,000年間のアイオワ州の消費者数。法律の主な基準
90日請求への回答期限。州法の中で最も長い
90日司法長官からの通知のあと、不備を是正するための期間
1件の違反につき、民事上の罰金の上限1件の違反につき、民事上の罰金の上限

概要

最小限の義務だけを定めたプライバシー法

Iowa Consumer Data Protection Act(ICDPA)は、アイオワ州の包括的なプライバシー法です。2023年に署名され、アイオワ州法典第715D章にあり、2025年1月1日に施行されました。

この法律はバージニア州のモデルに沿っていますが、多くの要素が削られています。データを訂正する権利はありません。データ保護評価の要件もありません。ユニバーサルなオプトアウトシグナルを受け入れる義務もありません。センシティブデータは、事前の同意ではなく、通知と拒否のモデルです。

だからといって、広告付きサイトにとって無害な法律というわけではありません。基準を超える場合は、データを販売する、またはターゲティング広告を行うかどうかを、分かりやすく目立つ形で示し、訪問者がそれらを拒否する方法を説明する必要があります。

複数の州から訪問者がいる場合、アイオワ州が最も厳しい州になることはまれです。それでも、違いを知っておくことは大切です。プライバシーのページで、自分の運用では実現できない権利を約束したり、法律が実際に求めることを忘れたりしないようにするためです。

チェックリスト

満たすべきこと

サイトがICDPAの基準を超える場合の基本リストです。アイオワ州は他の州より要求が少なめです。

  1. 販売またはターゲティング広告を行うことを示す

    データを販売する、またはターゲティング広告を行う場合は、そのことを明確で見やすく示し、訪問者がオプトアウトする方法を説明する必要があります。

    例

    フッターのリンク: Do Not Sell or Share My Personal Information、クリックするとオプトアウト画面が開く。

  2. 完全なプライバシー通知を公開する

    通知は明確で、見つけやすくなければなりません。処理するデータ、目的、権利、不服申し立ての方法、渡すデータ、第三者の種類を載せます。

    例

    通知には、フォームやメールアドレスなど、依頼の窓口を入れてください。

  3. 機微データを使う前に通知する

    アイオワ州は、機微データに同意を求めていません。明確な通知と、使う前にオプトアウトする機会を求めています。子どもの機微データはCOPPAに従います。

    例

    正確な位置情報を使う前に、「位置情報を使用しない」の選択肢を付けた通知を表示します。

  4. 依頼には90日以内に回答する

    90日以内に回答し、理由を知らせれば45日延長できます。依頼のために新しいアカウントを求めないでください。

  5. 不服申し立ての手続きを用意する

    依頼を拒否された人は、不服を申し立てることができます。不服申し立てには60日以内に書面で回答し、拒否する場合は、司法長官に連絡できるオンラインの手段を案内します。

  6. データのセキュリティを保つ

    法律は、個人データに対する、管理面、技術面、物理面で合理的なセキュリティ対策を求めています。

  7. オプトアウトをGoogleに伝える

    GoogleはU.S. statesの法律にCMPを求めていません。「プライバシーとメッセージ」の米国の州の規制メッセージを使うか、オプトアウトした人に対してタグで制限付きデータ処理(RDP)をオンにしてください。GPPを使う場合、GoogleはアイオワについてUS Nationalセクションを読みます。

    例

    AdSenseまたはAd Manager: プライバシーとメッセージ、米国の州の規制カード、作成。そのあとサイトを選んで公開します。

    // Só para o visitante que recusou
googletag.pubads().setPrivacySettings({
  restrictDataProcessing: true,
});

実例

正しい例と間違った例

公式ツール

認定CMPと公式リンク

GoogleはU.S. statesの法律に認定CMPもGPPも求めていません。Google自身のメッセージを使うか、タグでRDPをオンにできます。

適用対象と定義

ICDPAの基準と、法律のキーワード

この法律は、アイオワ州で事業を行う、または州の居住者に向けて商品やサービスを提供し、暦年に次の2つの基準のどちらかを超えた人に適用されます。消費者とは、商業や雇用の場面の外で、個人として行動するアイオワ州の居住者です。定義は715D.1条にあります。

消費者100,000人

少なくとも10万人のアイオワ州の消費者の個人データを管理または処理していること。

25,000人とデータの販売

少なくとも2万5,000人の消費者のデータを管理または処理し、総収益の50%超を個人データの販売から得ていること。

個人データ

特定された、または特定できる個人に結び付けられる、または合理的に結び付けられる情報です。匿名化されたデータ、集計されたデータ、公開されているデータは含まれません。

機密データ

人種や民族的出身、宗教的信条、健康上の診断、性的指向、在留資格、個人を特定する遺伝データや生体データ、知っている子どものデータ、正確な位置情報です。

販売

個人データを、金銭と引き換えに第三者に渡すことだけです。他の種類の対価は含まれず、処理者、同じグループの会社、または消費者の依頼による受け渡しは含まれません。

ターゲティング広告

他の会社のサイトやアプリでの、時間をかけた訪問者の活動のデータで選ばれる広告です。コンテキスト広告、自社の広告、パフォーマンスの測定は含まれません。

個人の権利

アイオワ州の住民が求められること、求められないこと

アイオワ州の権利のリストは、州法の中で最も短いものです。回答には最大90日かかることがあり、必要で、最初の期間内に通知すれば、さらに45日延長できます。年に2回の請求は無料です。

確認とアクセス

企業が自分のデータを処理しているかどうかを知り、そのデータにアクセスすること。

提供したデータの削除

消費者自身が提供したデータの削除を求められます。他の情報源から取得したデータは、この権利の条文に含まれません。

ポータビリティ

自動処理の場合に、提供したデータのコピーを、持ち出せる形式で受け取れます。

販売の拒否

データを販売しないよう求められます。法律の権利のリストに出てくる、唯一の拒否の権利です。

訂正の権利なし

ほとんどの州と違い、アイオワ州は、誤ったデータの訂正を求める権利を消費者に与えていません。

不服申し立て

請求が拒否された場合、消費者は不服を申し立てられます。企業は60日以内に書面で回答し、再び拒否する場合は、司法長官への苦情の申し立て方法を示します。

ターゲティング広告

権利のリストにはないが、オプトアウトは必要

アイオワ州についてよくある疑問は、訪問者がターゲティング広告を拒否できるかどうかです。715D.3条の権利のリストにあるのは、データの販売の拒否だけです。バージニア州やコロラド州のような、ターゲティング広告を拒否する別個の権利はありません。

ただし、715D.4条は、企業に義務を課しています。個人データを第三者に販売する、またはターゲティング広告を行う場合は、そのことと、消費者がその活動を拒否する方法を、分かりやすく目立つ形で開示しなければなりません。実際には、対象のサイトは、ターゲティング広告のオプトアウトの経路を示す必要があります。

センシティブデータも、通知と拒否という同じ考え方です。免除されない目的でセンシティブデータを処理する前に、企業は分かりやすい通知と拒否の機会を与えなければなりません。子どもであることが分かっている人のデータには、連邦法のCOPPAが適用されます。

そのため、広告付きサイトの実際の設定は、ほかの州に似たものになります。見やすいオプトアウトのリンク、広告へのデータ利用を説明するプライバシーのページ、そして、拒否によってパーソナライズが実際にオフになることです。

サイトの義務

対象事業者が整えておくべきこと

  1. プライバシー通知通知には、処理するデータのカテゴリ、目的、権利の行使と不服申し立ての方法、第三者と共有するデータのカテゴリ、その第三者のカテゴリを載せる必要があります。
  2. 販売とターゲティング広告の開示サイトがデータを販売している、またはターゲティング広告を行っている場合は、それを分かりやすく見える形で伝え、訪問者が拒否する方法を説明する必要があります。
  3. 請求のための安全な窓口企業は、請求のための安全で信頼できる手段を1つ以上用意する必要があり、消費者に新しいアカウントの作成を求めてはいけません。
  4. センシティブデータの前の通知センシティブデータの処理には、分かりやすい通知と拒否の機会が必要で、子どものデータにはCOPPAが適用されます。
  5. セキュリティと非差別企業は、合理的なセキュリティ対策を維持する必要があり、権利を行使した人を不利に扱ってはいけません。
  6. 処理者との契約企業に代わってデータを処理する業者は、企業の指示に従い、処理のルールを定めた契約を結びます。

執行と罰金

全国で最も長い是正期間

アイオワ州では、司法長官だけが法律を執行できます。消費者がこの法律に基づいて企業を訴えることはできません。

是正のための90日間

何らかの措置の前に、司法長官は違反を指摘した書面の通知を送ります。企業には是正のための90日間があります。

書面による声明

事案を終わらせるには、企業が是正し、是正したこと、不備を繰り返さないことを書面で宣言する必要があります。

1件の違反につき最大7,500米ドル

不備が続く場合、司法長官は、裁判所の命令と、違反1件につき最大7,500米ドルの民事制裁金を求められます。

調査

司法長官は、調査の間、企業に書類と情報の提出を求められます。

年表

ICDPAの日付

アイオワ州では、署名から施行まで、ほぼ2年の準備期間がありました。

  1. 2023

    署名

    アイオワ州は、カリフォルニア、バージニア、コロラド、ユタ、コネチカットに続いて、包括的なプライバシー法を成立させた最初の州のひとつになります。

  2. 2025年1月1日

    施行

    法律が有効になり、司法長官だけが執行します。

  3. 2025年9月

    GoogleがGPPを更新

    Googleは、GPPのUS Nationalセクションのバージョン2を受け付けるようになります。アイオワ州のような州のオプトアウトについて、Googleが読み取る経路です。

AdSenseとAd Managerを使うサイト

アイオワ州のオプトアウトがGoogleに届く仕組み

アイオワ州は、サイトに、Global Privacy Control(GPC)のようなユニバーサルなオプトアウトシグナルを認識することを義務付けていません。それでも、米国のすべてのトラフィックでGPCを尊重するのは、多くの州が義務付けており、CMPの設定も簡単になるため、よい慣行です。

Googleは、AdSenseとAd Managerの「プライバシーとメッセージ」に、米国の州法向けのメッセージを用意しており、アイオワ州も対象の州に入っています。このメッセージには「Do Not Sell or Share」リンクが表示されます。訪問者が拒否すると、Googleは制限付きデータ処理(RDP)をオンにし、過去の行動を広告の選択に使わなくなります。

IAB Tech LabのGPPには、アイオワ州専用のセクションがありますが、Googleが受け付けるセクションの一覧には入っていません。Googleに対しては、US Nationalセクションを使います。このセクションで販売、共有、ターゲティング広告が拒否されると、RDPがオンになります。

もうひとつの方法は、タグ自体でRDPをオンにすることです。GPTのrestrictDataProcessingパラメータ、またはAdSenseのdata-restrict-data-processing属性を、オプトアウトを求めた人にだけ使います。最終的な確認はいつも同じです。拒否のあとで、広告リクエストが変わっていなければなりません。

実例

アイオワ州でできること、できないこと

法律の基準を超え、プログラマティック広告で収益化している企業の例です。

してよいこと

  • 販売やターゲティング広告を拒否した人に、コンテキスト広告を表示する
  • Googleの州規制向けメッセージを使って、オプトアウトのリンクを提供する
  • 請求には90日以内に回答し、さらに45日必要な場合は事前に知らせる
  • 繰り返しの請求や、明らかに根拠のない請求に対して、乱用であることを証明したうえで料金を課す
  • 米国のすべてのトラフィックに、同じオプトアウトとGPCの方針を適用する

してはいけないこと

  • プライバシーのページに書かず、拒否の方法も説明せずに、ターゲティング広告を行う
  • 訪問者がアクセスや削除を請求するために、アカウントの作成を求める
  • 明確な通知と拒否の機会なしに、センシティブデータを処理する
  • 請求を拒否された消費者の異議申立てを無視する
  • アイオワ州が与えておらず、自社の運用でも対応できない権利を、ポリシーで約束する

よくあるエラー

アイオワ州の法律でサイトがつまずく点

最も簡素な法律にも落とし穴があり、特に権利のリストだけを読んだ人にとってはそうです。

広告のオプトアウトはないと思い込む

その権利がリストにないので、サイトがターゲティング広告の拒否を提供していません。しかし、開示し、拒否の方法を説明する義務はあります。

ターゲティング広告が書かれていないポリシー

プライバシーのページは、Cookie全般には触れていますが、データがターゲティング広告に使われることを書いていません。

カリフォルニア州向けだけのメッセージ

Googleのオプトアウトのメッセージがカリフォルニア州だけに設定されていて、アイオワ州のトラフィックにはリンクが一度も表示されません。

GPPにアイオワ州のセクションだけがある

CMPが、Googleが読み取らないアイオワ州の州セクションだけを送っています。US Nationalがないと、オプトアウトはGoogleの広告に届きません。

何も変えないオプトアウトのリンク

訪問者はクリックしますが、広告リクエストは変わらず、RDPも、GPPのオプトアウトもありません。

数え方を間違える

サイトが登録者だけを数えています。Cookieや広告の識別子も人を特定するので、カウントに含まれます。

ConsentModeでは

アイオワ州について監査で確認すること

  • 米国の訪問者としてサイトを開き、フッター、メニュー、プライバシーのメッセージの中でオプトアウトのリンクを探します。
  • ページのコードから、CMPまたはGoogleの州規制向けメッセージを特定します。
  • GPP stringを読み取り、US Nationalセクションがあって、クリックの後にオプトアウトが記録されるかを確認します。
  • 監査用ブラウザでGPCシグナルをオンにして、ページと広告リクエストが反応するかを示します。
  • プライバシーのページに、ターゲティング広告やデータの販売があること、拒否の方法が書かれているかを確認します。
監査を実行する確認する項目をすべて見る

よくある質問

アイオワ州では、訪問者はターゲティング広告を拒否できますか?

アイオワ州の権利のリストにあるのは、販売の拒否だけです。ただし、法律は、ターゲティング広告を行う場合、そのことを分かりやすく開示し、消費者がその活動を拒否する方法を説明することを求めています。実際には、対象のサイトは、その経路を用意する必要があります。

アイオワ州ではGPCを尊重する義務がありますか?

いいえ。法律はユニバーサルなオプトアウトシグナルを定めていません。ただ、ほかの州は求めており、ほとんどのCMPは、米国のすべてのトラフィックでGPCを処理します。

アイオワ州向けにデータ保護評価は必要ですか?

いいえ。アイオワ州の法律は、データ保護評価を求めていません。評価を求めるほかの州にもいる場合は、それらのために行った評価は引き続き必要です。

請求への回答に、どのくらいの時間がありますか?

最大90日で、必要で、最初の期間内に通知すれば、さらに45日延長できます。消費者ごとに、年2回の請求は無料でなければなりません。

アイオワ州では同意バナーが必要ですか?

いいえ。この法律は、センシティブデータについても、通知と拒否の機会によるオプトアウトのモデルを使っています。子どもについては、連邦法のCOPPAが適用されます。

ConsentModeで、アイオワ州への対応は完了しますか?

ConsentModeはCMPでも法律事務所でもありません。監査では、オプトアウトのリンク、GPP、プライバシーのページについて、サイトが実際に何をしているかを示すので、提供元や弁護士と一緒に修正してください。

ライブラリ

公式の情報源

このガイドは、次の公式ページをもとに作成しました。情報源を直接お読みください:

サイトのオプトアウトがアイオワ州で機能しているかを確認する

監査は、米国の訪問者としてサイトを開き、何も変更せずに、直すべき点を示します。

監査を始める