ワークスペースへ

ガイド · 米国の州法

MODPA:米国で最も厳しいメリーランド州の法律

Maryland Online Data Privacy Actは、2025年10月1日から有効で、米国で最も厳しい州法と考えられています。このガイドでは、データの厳格な最小化、センシティブデータの販売の禁止、18歳未満のルール、AdSenseやAd Managerのサイトに何が変わるかを説明します。

米国向けにサイトを監査するガイドを読む
  • ✓法律の条文と、メリーランド州司法長官のサイトに基づいています
  • ✓広告サイトのための実践的な例
  • ✓サイトを変更しない読み取り専用の監査
35,000年間のメリーランド州の消費者数。法律の主な基準
10,000総収益の20%超がデータの販売によるものであれば、消費者10,000人で対象
10,000米ドル違反1件あたりの制裁金の上限
2万5,000米ドル繰り返しの違反に対する罰金の上限

概要

「拒否できるか」から「収集する必要があるか」へ問いを変える法律

Maryland Online Data Privacy Act(MODPA)は、メリーランド州の包括的なプライバシー法です。2024年に成立し、2025年10月1日に施行されました。法律自体は、2026年4月1日より前のデータ処理活動には適用されないと定めており、この日から執行が強まります。

訪問者の権利は、ほかの州に似ています。アクセス、訂正、削除、ポータビリティ、そしてターゲティング広告、販売、プロファイリングの拒否です。違いは、企業の義務にあります。ほとんどの州では、訪問者が拒否するまで、サイトはデータを使えます。メリーランド州では、収集は、訪問者が求めたサービスに必要なものでなければなりません。

この法律は、同意があってもセンシティブデータの販売を禁止し、そのデータの処理を、厳密に必要なものに限っています。18歳未満の若者については、企業が年齢を知っていた、または知っているべきだった場合に、ターゲティング広告が禁止されます。

広告付きサイトにとって、メリーランド州は、最も見直しが必要な州です。サードパーティのスクリプト、それが受け取るデータ、健康、金融、コミュニティのサイトがセンシティブな情報をどう扱っているかを、注意深く見る必要があります。

チェックリスト

満たすべきこと

サイトがMODPAの基準を超える場合、次の点が機能している必要があります。

  1. 必要なものだけを収集する

    データの収集は、訪問者が求めた商品やサービスに対して、合理的に必要で、釣り合いが取れている必要があります。

    例

    広告スクリプトを入れる前に、そのスクリプトが受け取るデータと、サイトがそれを必要とする理由を書き留めてください。

  2. 機微データは絶対に販売しない

    機微データの販売は禁止されています。このデータの収集や共有は、求められたサービスに厳密に必要な場合にのみ認められます。

  3. 18歳未満にはターゲティング広告を出さない

    訪問者が13歳から17歳であると知っていた、または知っているべきだった場合、そのデータをターゲティング広告に使うことはできません。このデータの販売には同意が必要です。

  4. ユニバーサルなオプトアウトシグナルを尊重する

    2025年10月1日から、訪問者はGPCなどの設定シグナルでターゲティング広告をオプトアウトでき、サイトはそれを尊重する必要があります。

    例

    GPCがオンの訪問者: サイトは、その訪問者に対してのみ、Googleの制限付きデータ処理をオンにします。

    <!-- AdSense: anúncio sem dados de comportamento -->
<ins class="adsbygoogle" ...
     data-restrict-data-processing="1"></ins>

// GPT (Ad Manager)
googletag.pubads().setPrivacySettings({
  'restrictDataProcessing': true
});

  5. ターゲティング広告があることを明確に示す

    サイトがデータを販売する、またはターゲティング広告を行う場合は、そのことを明確で見やすく示し、オプトアウトの方法を説明する必要があります。

    例

    ターゲティング広告のためにデータを使っています。オプトアウトするには、Do Not Sell or Share My Personal Information をクリックしてください。

  6. Googleが求める文言を入れたポリシー

    AdSenseでは、プライバシーポリシーで、Googleや他のベンダーの広告用Cookieについて知らせることが求められます。パーソナライズ広告を訪問者がオプトアウトする方法も書く必要があります。

    例

    Googleを含む第三者のベンダーは、ユーザーがこれまでにサイトや他のサイトを訪問した履歴に基づいて広告を表示するためにCookieを使用します。パーソナライズ広告は、Googleの広告設定で無効にできます。

  7. 請求のための安全な窓口

    権利の行使を依頼するための、安全で信頼できる手段を用意してください。訪問者に新しいアカウントの作成を求めないでください。

  8. リスク評価

    ターゲティング広告、販売、機微データなど、リスクの高い処理の前に評価を行ってください。リスクのあるアルゴリズムも、1つずつ評価する必要があります。

実例

正しい例と間違った例

公式ツール

認定CMPと公式リンク

GoogleはメリーランドにGoogle認定CMPもGPPも求めていないため、Google自身のメッセージ、またはGPP対応のCMPを使えます。

適用対象と定義

MODPAの基準と、法律のキーワード

この法律は、メリーランド州で事業を行う、または州の居住者に向けて商品やサービスを提供し、前の暦年に次の基準のどれか1つを超えた人に適用されます。非営利団体には、一般的な免除はありません。対象の企業のために働く処理者にも義務があります。

消費者35,000人

少なくとも3万5,000人のメリーランド州の消費者のデータを管理または処理していること。決済を完了するためだけに使うデータは含まれません。

10,000人とデータの販売

消費者10,000人以上のデータを管理または処理し、総収益の20%超を個人データの販売から得た場合です。

機密データ

人種的または民族的出身、宗教的信条、消費者の健康データ、性生活と性的指向、トランスジェンダーまたはノンバイナリーであること、出身国、在留資格、遺伝データまたは生体データ、子どものデータ、正確な位置情報です。

消費者の健康データ

人の身体的または精神的な健康状態を特定するために使われる個人データです。性別適合ケアや、生殖や性の健康に関するデータも含みます。

販売

個人データを、金銭やその他の価値のある対価と交換することです。処理者への受け渡しや、消費者の依頼による受け渡しは含まれません。

ターゲティング広告

他の会社のサイトやアプリでの訪問者の活動から得た、または推測したデータで選ばれる広告です。コンテキスト広告、自社サイト内の広告、パフォーマンスの測定は含まれません。

厳格な最小化

訪問者が求めたことに必要なものだけ

MODPAの中心的なルールは、最小化です。企業が個人データを収集できるのは、消費者が求めた特定の商品やサービスを提供または維持するために、合理的に必要で、釣り合いのとれた範囲に限られます。ほかの州のように、プライバシーポリシーで目的を伝えるだけでは足りません。

センシティブデータについては、基準が上がります。センシティブデータの収集、処理、共有が認められるのは、求められた商品やサービスを提供または維持するために厳密に必要な場合だけです。また、センシティブデータの販売は、同意があっても禁止されています。メリーランド州司法長官も、法律に関するページで、この2つのルールを繰り返しています。

18歳未満については、企業が年齢を知っていた、または知っているべきだった場合、データのターゲティング広告への利用が禁止され、若者のデータの販売も制限されます。「知っているべきだった」というテストは、ほかの州で使われる実際の認識のテストより広いものです。

実際には、広告スクリプトに各記事のテーマを読み取らせてパートナーに渡している健康サイトや、シミュレーターの回答を渡している金融サイトは、そのデータの流れを見直す必要があります。コンテキスト広告と、プロファイルを作らない測定は、引き続き可能です。

個人の権利

メリーランド州の住民が求められること

回答は45日以内に出す必要があり、最初の期間内に通知すれば、さらに45日延長できます。12か月ごとの最初の請求は無料で、不服申し立てには60日以内に書面で回答する必要があります。

確認とアクセス

企業が自分のデータを処理しているかどうかを知り、そのデータにアクセスすること。

訂正と削除

誤ったデータの訂正と、法律上の例外を除く個人データの削除を求められます。

ポータビリティ

自動処理されたデータの、持ち出せるコピーを受け取れます。

第三者のリスト

自分のデータを受け取った第三者のカテゴリの一覧を受け取れます。企業が個人ごとに記録していない場合は、すべての消費者についての一覧です。

ターゲティング広告と販売のオプトアウト

ターゲティング広告に使わないこと、販売しないことを求められます。GPCのようなユニバーサルシグナルや、認定された代理人を通じても可能です。

プロファイルを拒否し、同意を撤回する

一部の自動化されたプロファイリングを拒否し、与えた同意を撤回できます。撤回後、企業が停止するまでの期間は最大30日です。

サイトの義務

対象サイトが機能させておくべきこと

  1. 完全なプライバシー通知通知には、処理するデータのカテゴリ(センシティブを含む)、目的、権利の行使、不服申し立て、同意の撤回の方法、第三者のカテゴリと各社の事業の種類、共有するデータのカテゴリ、有効なメールアドレスなどのオンライン連絡先を載せる必要があります。
  2. 販売とターゲティング広告の開示サイトがデータを販売する、ターゲティング広告を行う、または一部のプロファイリングを行う場合は、そのことを分かりやすく目立つ形で示し、拒否の方法を説明する必要があります。
  3. ユニバーサルシグナルを受け入れる2025年10月1日から、GPCのような設定シグナルで送られる、販売とターゲティング広告のオプトアウトを受け入れる必要があります。
  4. 請求のための安全な窓口企業は、請求のための安全で信頼できる手段を用意する必要があり、消費者に新しいアカウントの作成を求めることはできません。
  5. アルゴリズムごとの評価ターゲティング広告、販売、センシティブデータ、一部のプロファイリングなど、リスクの高い処理には、定期的な評価が必要です。法律は、使用する各アルゴリズムの評価も求めています。このルールは、2025年10月1日以降の処理に適用されます。
  6. 処理者との契約データを処理する取引先との間には、指示、データの種類、期間、機密保持、セキュリティ、削除または返却、評価への協力を定めた契約が必要です。

執行と罰金

誰が執行し、間違えるといくらかかるか

この法律を執行するのは、メリーランド州司法長官の消費者保護部門です。違反は、州の消費者保護法に基づき、不公正、不当、または欺瞞的な取引慣行として扱われます。

1件の違反につき最大10,000米ドル

制裁金は違反1件につき最大1万米ドルです。

繰り返した場合は最大2万5,000米ドル

繰り返された違反は、1件につき最大2万5,000米ドルになることがあります。司法長官は、裁判所の命令、返還、利益の返還も求められます。

任意の是正期間

2027年4月1日までの違反については、是正が可能であれば、部門が通知を出し、少なくとも60日の是正期間を与えることがあります。部門の判断であり、保証ではありません。

部門の判断基準

是正期間を判断するにあたり、部門は、違反の数、企業の規模、人為的なミスか技術的なミスかなどを考慮します。

年表

MODPAの日付

2026年11月の時点で、法律は施行されており、2026年4月以降の処理に及び、任意の是正期間も残っています。

  1. 2024

    法律の可決

    メリーランド州が、Online Data Privacy Actを成立させます。

  2. 2025年10月1日

    施行

    法律が有効になり、ユニバーサルシグナルが必須になり、この日以降に始まる処理に評価が必要になります。

  3. 2026年4月1日

    対象となる処理

    法律は、この日より前の処理活動には適用されません。この日が、執行の実質的な開始日です。

  4. 2027年4月1日

    任意の是正期間の終了

    部門が、措置の前に少なくとも60日の是正期間を与えられる期間が終わります。

AdSenseとAd Managerを使うサイト

GPCは必須、Googleまでのオプトアウトの経路

2025年10月1日から、対象のサイトは、Global Privacy Control(GPC)のような設定シグナルで送られる、販売とターゲティング広告のオプトアウトを受け入れる必要があります。この仕組みは、初期設定でオンになっていてはならず、訪問者が州の居住者であることを確認できる必要があります。

Googleは、AdSenseとAd Managerの「プライバシーとメッセージ」に、米国の州法向けのメッセージを用意しており、メリーランド州も対象の州に入っています。このメッセージには「Do Not Sell or Share」リンクが表示されます。拒否すると、制限付きデータ処理(RDP)がオンになり、Googleは過去の行動を広告の選択に使わなくなります。

GPCについて、Googleは、シグナルを実装したパートナーは、オプトアウトのGPCを受け取ったときにRDPをオンにするよう選べる、としています。設定はサイトまたはCMPにあり、タグで、GPTのrestrictDataProcessingパラメータやAdSenseのdata-restrict-data-processing属性を使って行うこともできます。

IAB Tech Labは、すでにメリーランド州専用のGPPセクションを公開していますが、Googleが受け付けるセクションの一覧には入っていません。Googleに対しては、US Nationalセクションを使います。オプトアウトは一部にすぎないことを忘れないでください。メリーランド州では、最小化とセンシティブデータの販売禁止は、一度も拒否していない人にも適用されます。

実例

メリーランド州でできること、できないこと

メリーランド州からのトラフィックがあり、プログラマティック広告で収益化しているサイトの例です。

してよいこと

  • ページのテーマに合わせて選ぶ、コンテキスト広告を表示する
  • 訪問者のブラウザがGPCを送ったら、オプトアウトを適用する
  • オプトアウトを、GPPのUS Nationalセクション、またはGoogleのメッセージでGoogleに届ける
  • 訪問者が提供した健康データを、求められたサービスの提供に厳密に必要な範囲で使う
  • ポリシーに、広告ネットワークや測定など、第三者のカテゴリごとの事業の種類を載せる

してはいけないこと

  • 同意があっても、正確な位置情報や健康データを販売する
  • 18歳未満だと知っている、または知っているべき人に、ターゲティング広告を表示する
  • 訪問者が読んだ健康のテーマを、広告パートナーに渡す
  • いつか役に立つかもしれないという理由だけで、フォームで余分なデータを集める
  • GPCを無視して、パーソナライズ広告のリクエストを続ける

よくあるエラー

MODPAでサイトがつまずく点

ほかの州なら十分な設定でも、メリーランド州では十分でない場合があります。

オプトアウトですべて解決すると思い込む

サイトはオプトアウトを提供していますが、求められたサービスに必要のないデータを収集し続けています。メリーランド州では、最小化がすべての人に適用されます。

健康ページのピクセル

広告や測定のスクリプトが、病気や妊娠に関する記事のURLを受け取っています。これが、消費者の健康データを明らかにすることがあります。

同意のあるセンシティブデータの販売

サイトが、正確な位置情報をパートナーに渡すために同意を求めています。メリーランド州では、この販売は同意があっても禁止されています。

年齢のシグナルを無視する

サイトにティーンエイジャー向けのコンテンツがあるのに、全員にターゲティング広告を表示しています。「知っているべきだった」というテストが不利に働くことがあります。

GPCがカリフォルニア州だけ

CMPがGPCをカリフォルニア州にだけ適用し、メリーランド州の訪問者のシグナルを無視しています。

GPPに州のセクションだけがある

CMPが、Googleが読み取らないメリーランド州のセクションだけを送っています。US Nationalがないと、オプトアウトはGoogleに届きません。

ConsentModeでは

メリーランド州について監査で確認すること

  • 米国の訪問者としてサイトを開き、フッター、メニュー、プライバシーのメッセージの中でオプトアウトのリンクを探します。
  • 監査用ブラウザでGPCシグナルをオンにし、シグナルがある場合とない場合で、ページと広告リクエストを比較します。
  • GPPの文字列を読み取り、US Nationalセクションがあるか、オプトアウトが記録されているかを確認します。
  • 健康や金融など、センシティブなテーマのページで読み込まれるスクリプトとパートナーを一覧にし、それらに何が送られているかを示します。
  • プライバシーのページに、データのカテゴリ、目的、第三者の種類、権利、不服申し立て、同意の撤回、連絡先が書かれているかを確認します。
監査を実行する確認する項目をすべて見る

よくある質問

なぜメリーランド州の法律は最も厳しいと言われるのですか?

オプトアウトに加えて、収集を求められたサービスに必要な範囲に限り、同意があってもセンシティブデータの販売を禁止し、企業が年齢を知っていた、または知っているべきだった場合に、18歳未満へのターゲティング広告を禁止しているためです。

メリーランド州でもパーソナライズ広告を続けられますか?

この法律は、成人向けのターゲティング広告を禁止していません。訪問者はGPCを含めて拒否でき、収集は最小化を守る必要があります。18歳未満については、企業が年齢を知っていた、または知っているべきだった場合、ターゲティング広告は禁止されています。

GPCを尊重する義務はありますか?

はい、法律がサイトに適用される場合です。2025年10月1日から、設定シグナルで送られるオプトアウトを受け入れる必要があります。

執行は実際にはいつ始まりましたか?

法律は2025年10月1日から有効ですが、2026年4月1日より前の処理活動には適用されません。2027年4月1日までは、部門が、望めば是正期間を設けることもできます。

自分の団体は非営利です。対象外ですか?

必ずしもそうではありません。メリーランド州が免除するのは、保険詐欺で警察を、または災害で救助隊員を助けるためだけにデータを処理する非営利団体だけです。

ConsentModeを使えば、自分のサイトは法令に適合しますか?

ConsentModeはCMPでも法律事務所でもありません。監査では、オプトアウト、GPC、GPP、サードパーティのスクリプト、プライバシーのページについて、サイトが実際に何をしているかを示すので、提供元や弁護士と一緒に修正してください。

ライブラリ

公式の情報源

このガイドは、次の公式ページをもとに作成しました。情報源を直接お読みください:

メリーランド州で、サイトがパートナーに何を渡しているかを確認する

監査は、GPCあり・なしの両方で米国の訪問者としてサイトを開き、何も変更せずに、直すべき点を示します。

監査を始める