ワークスペースへ

ガイド · 米国の州法

MCDPA:ミネソタ州の法律と、新しい権利

ミネソタ州消費者データプライバシー法は、2025年7月31日に施行され、自動化されたプロファイリングの結果に異議を唱える権利など、他の州にはなかった権利を加えました。このガイドでは、誰が対象か、データの棚卸し、義務となるGPC、そしてAdSenseやAd Managerのサイトで何が変わるかを説明します。

米国向けにサイトを監査するガイドを読む
  • ✓ミネソタ州法の第325M章と、州の司法長官に基づいています
  • ✓広告サイトのための実践的な例
  • ✓サイトを変更しない読み取り専用の監査
100,000年間のミネソタ州の消費者数:法律の主な基準
25%データの販売による収益の割合:その場合は、2万5,000人の消費者で足ります
45日請求に答え、オプトアウトを適用するまでの期間
1件の違反につき、民事上の罰金の上限1件の違反につき、民事上の罰金の上限

概要

オプトアウトを超える権利を持つプライバシー法

ミネソタ州消費者データプライバシー法(MCDPA)は、ミネソタ州の包括的なプライバシー法です。2024年5月19日に署名され、州法の第325M章に置かれ、2025年7月31日に施行されました。州が規制する高等教育機関は、2029年7月31日から適用されます。

基本は、コネチカット州やコロラド州の法律と同じです。アクセス、訂正、削除、ポータビリティ、そしてターゲティング広告、販売、自動化されたプロファイリングの拒否です。対象のサイトは、GPCのような汎用のオプトアウトシグナルも尊重する必要があります。

ミネソタ州は、2点でさらに進みました。消費者は、自分に関する重要な決定につながった自動化されたプロファイリングの結果に、異議を唱えられます。そして事業者は、処理するデータの棚卸しを維持し、プライバシーポリシーを、責任者の名前とともに文書化する必要があります。

広告付きのサイトにとって、重いのはいつもの部分です。機能するオプトアウト、尊重されるGPC、完全なプライバシーページです。しかし新しい社内の義務は、ミネソタ州が、大量にデータを扱う事業者に、より高い整理を期待していることを示しています。

チェックリスト

満たすべきこと

サイトがMCDPAの基準を超える場合、次の点が機能している必要があります。

  1. ユニバーサルなオプトアウトシグナルを尊重する

    サイトは、訪問者自身がオンにしたGPCなどの設定シグナルで送られるオプトアウトを受け付ける必要があります。シグナルが初期設定でオンになっていてはいけません。

    例

    GPCがオンの訪問者: サイトは、その訪問者に対してのみ、Googleの制限付きデータ処理をオンにします。

    <!-- AdSense: anúncio sem dados de comportamento -->
<ins class="adsbygoogle" ...
     data-restrict-data-processing="1"></ins>

// GPT (Ad Manager)
googletag.pubads().setPrivacySettings({
  'restrictDataProcessing': true
});

  2. プライバシー通知の外にオプトアウトを置く

    データを販売する、ターゲティング広告を行う、またはプロファイリングを行う場合は、通知の文章の外に、明確で見やすいオプトアウトの方法が必要です。

    例

    フッターの Your Opt-Out Rights または Your Privacy Rights というリンク。

  3. 「privacy」の語を含むリンク

    プライバシー通知は、トップページから、privacyという単語を含む見やすいリンクで開ける必要があります。

    例

    トップページのフッターに Privacy Policy のリンク。

  4. Googleが求める文言を入れたポリシー

    AdSenseでは、プライバシーポリシーで、Googleや他のベンダーの広告用Cookieについて知らせることが求められます。パーソナライズ広告を訪問者がオプトアウトする方法も書く必要があります。

    例

    Googleを含む第三者のベンダーは、ユーザーがこれまでにサイトや他のサイトを訪問した履歴に基づいて広告を表示するためにCookieを使用します。パーソナライズ広告は、Googleの広告設定で無効にできます。

  5. 45日の期限

    オプトアウトはできるだけ早く、遅くとも45日以内に有効にします。その他の依頼も45日で、延長は1回可能です。

  6. 機密データには同意

    機微データは同意がある場合にのみ処理できます。訪問者が同意を撤回したら、15日以内に利用を止めます。

    例

    同意の撤回は、同意するのと同じくらい簡単でなければなりません。たとえば、同じ場所の同じボタンで行えるようにします。

  7. 13歳から16歳の10代

    訪問者が13歳から16歳であるとわかっている場合、そのデータをターゲティング広告に使ったり販売したりするには、本人の同意が必要です。

  8. インベントリと文書化されたポリシー

    サイトが処理するデータのインベントリを維持してください。プライバシーポリシーを文書化し、責任者の氏名と連絡先を載せてください。

実例

正しい例と間違った例

公式ツール

認定CMPと公式リンク

GoogleはミネソタにGoogle認定CMPもGPPも求めていないため、Google自身のメッセージ、またはGPP対応のCMPを使えます。

適用対象と定義

MCDPAの基準と、法律のキーワード

この法律は、ミネソタ州で事業を行う、または州の住民に向けた商品やサービスを提供する事業者のうち、暦年中に下記の基準のどれかを超える場合に適用されます。非営利団体に対する一般的な免除はありません。個人データとは、人に結び付く、または結び付けられる情報すべてで、Cookieや広告識別子も含みます。

消費者100,000人

ミネソタ州の消費者10万人以上のデータを管理または処理する場合。支払いを完了するためだけに使うデータは数えません。

25,000人とデータの販売

消費者2万5,000人以上のデータを管理または処理し、総収益の25%超を個人データの販売から得ている場合。

小規模事業者

米国連邦の定義による小規模事業者は、法律の大部分から除外されますが、事前の同意なしにセンシティブデータを販売することはできません。

機密データ

人種または民族的出身、宗教的信条、健康、性的指向、移民としての地位、個人を特定する生体データや遺伝データ、既知の子どものデータ、特定の位置情報。

販売

個人データを、金銭またはほかの価値のある対価と交換すること。処理者への受け渡し、同じグループの企業への受け渡し、合併に伴う受け渡しは含まれません。

ターゲティング広告

他社のサイトやアプリでの、訪問者の活動に関する時間をまたいだデータで選ばれる広告。自社の広告、コンテキスト広告、成果の測定は含まれません。

個人の権利

ミネソタ州の住民が請求できること

応答は45日以内にする必要があり、最初の期間内に通知すれば、さらに45日延長できます。年に2回の請求は無料です。オプトアウトには、本人確認は求められません。

確認とアクセス

事業者が自分のデータを処理しているかを知り、処理されるデータのカテゴリを知ること。

訂正、削除、持ち出し

誤ったデータを訂正し、削除を請求し、持ち運べる形のデータのコピーを受け取ること。

ターゲティング広告と販売のオプトアウト

データをターゲティング広告に使わない、販売しないよう求めること。GPCのようなユニバーサルシグナルによるものも含みます。

自動プロファイリングの拒否

住宅、保険、教育、雇用、医療、金融サービスなど、法的な効果または同様に重大な影響のある決定に使われるプロファイリングを拒否すること。

プロファイルに異議を唱える

重要な決定につながったプロファイリングの結果に異議を唱え、理由を理解し、使われたデータを見直すこと。

第三者のリスト

自分のデータを受け取った特定の第三者のリスト、または事業者が個人ごとに記録していない場合は、すべての第三者のリストを受け取ること。

ミネソタ州の違い

プロファイルへの異議と、データの棚卸しの維持

プロファイルに異議を唱える権利は、この法律で最大の新しい点です。自動化されたプロファイリングが、法的な効果または同様に重大な影響のある決定につながった場合、消費者はその結果に異議を唱え、理由を知り、可能な場合は、別の決定を得るために何ができたかを知ることができます。また、使われたデータを見直し、誤っていれば、訂正と再評価を求めることもできます。

ミネソタ州の司法長官は、これらの権利が、人工知能の有無にかかわらず適用されると強調しました。ほとんどのコンテンツサイトでは、この権利が表に出ることはあまりありませんが、与信の事前審査、保険の見積もり、求人の選考を行うサイトには重要です。

2つ目の新しい点は、社内向けです。法律は、事業者が処理するデータの棚卸しを含む、合理的なセキュリティを求めています。また、プライバシーのポリシーと手順を文書化し、主たる責任者の名前と連絡先(プライバシー担当者がいる場合はその人)を記載することも求めています。

広告で収益を得ている場合、棚卸しはよい練習になります。サイトで動いているスクリプトと広告パートナー、それぞれが受け取るデータ、そしてその送り先を一覧にします。これは、消費者が請求できる第三者のリストに答えるのにも役立つ、同じ地図です。

サイトの義務

対象サイトが機能させておくべきこと

  1. 完全なプライバシー通知通知には、データのカテゴリと目的、権利の行使と不服申し立ての方法、販売または共有するデータのカテゴリと受け取り側、メールまたはオンラインの連絡先、保持ポリシー、最終更新日を含める必要があります。
  2. 「privacy」の語を含むリンク通知は、ホームページ上のprivacyという言葉を含む目立つリンクでつなぎ、アプリでは設定にも置く必要があります。
  3. 通知の外にあるオプトアウトデータの販売、ターゲティング広告、プロファイリングを行う場合は、ポリシーの文章とは別に、たとえばYour Opt-Out RightsやYour Privacy Rightsというリンクで、オプトアウトを提供する必要があります。
  4. だまさない同意センシティブデータは同意がある場合だけで、その同意は、誤解を招くデフォルトや一般的な利用規約の承諾で得たものでは無効です。消費者が同意を撤回した場合、利用は15日以内に止める必要があります。
  5. 10代の保護消費者が13歳から16歳だと知っている場合は、同意なしに、そのデータをターゲティング広告に使うことも、販売することもできません。
  6. データ保護評価ターゲティング広告、販売、センシティブデータ、リスクのあるプロファイリングには、記録された評価が必要で、司法長官は調査でそれを求めることがあります。

執行と罰金

誰が執行し、間違えるといくらかかるか

法律を執行できるのは、ミネソタ州の司法長官だけです。不服申し立てが却下された消費者は、司法長官に苦情を申し立てられます。

是正期間の終了

最初の6か月間、司法長官は通知を送り、是正のために30日を与える必要がありました。この規則は、2026年1月31日に失効しました。

1件の違反につき最大7,500米ドル

民事の制裁金は、違反1件につき最大7,500米ドルで、その行為を止める裁判所の命令も加わります。

訴訟の費用

州が勝訴した場合、裁判官は、訴訟費用の一部または全部を事業者に負担させることができます。

記録される不服申し立て

事業者は、不服申し立てを45日以内に判断します(さらに60日延長できます)。不服申し立ての記録は、少なくとも24か月間保管します。

年表

MCDPAの日程

2026年11月の時点で、法律は施行から1年以上が経ち、是正のための猶予期間はすでに終わっています。

  1. 2024年5月19日

    署名

    ミネソタ州が、消費者データプライバシー法を可決します。

  2. 2025年7月31日

    施行

    法律が適用されるようになり、GPCが義務となり、30日間の是正期間が設けられます。

  3. 2026年1月31日

    是正期間の廃止

    行動する前に是正のための30日を司法長官に与えることを義務づけていた規則が失効します。

  4. 2029年7月31日

    高等教育機関

    州が規制する高等教育機関にも、法律の遵守が求められるようになります。

AdSenseとAd Managerを使うサイト

GPCは必須、Googleまでのオプトアウトの経路

ミネソタ州では、対象のサイトは、訪問者の同意のもとで送られる汎用のオプトアウトシグナル(Global Privacy Control、つまりGPCなど)を尊重する必要があります。法律は、訪問者が州に住んでいるかどうかを知るにはIPアドレスで足りるとしています。シグナルがロイヤルティプログラムと矛盾する場合はシグナルが優先され、サイトは確認を求めることができます。

GoogleはAdSenseとAd Managerで、「プライバシーとメッセージ」に米国の州規制のメッセージを用意しており、ミネソタ州も対象の州に含まれます。このメッセージには、Do Not Sell or Shareのリンクが表示されます。拒否すると制限付きデータ処理(RDP)がオンになり、Googleは過去の行動を広告の選択に使わなくなります。

GPCについて、Googleは、シグナルを実装したパートナーは、オプトアウトのGPCを受け取ったときにRDPをオンにするよう選べる、としています。設定はサイトまたはCMPにあり、タグで、GPTのrestrictDataProcessingパラメータやAdSenseのdata-restrict-data-processing属性を使って行うこともできます。

IAB Tech Labは、ミネソタ州専用のGPPセクションをすでに公開していますが、Googleが対応するセクションのリストには入っていません。Googleでは、販売、共有、ターゲティング広告の拒否でRDPがオンになる、US Nationalセクションを使います。

実例

ミネソタ州でできることとできないこと

プログラマティック広告で収益化し、ミネソタ州からのトラフィックがあるサイトの例です。

してよいこと

  • IPアドレスでミネソタ州の訪問者を特定し、GPCを適用する
  • 拒否した人、またはGPCがオンで来た人にも、コンテキスト広告は表示する
  • フッターに、オプトアウト用のYour Privacy Rightsというリンクを置く
  • サイトが個人ごとに記録していない場合は、すべての第三者のリストを消費者に渡す
  • 同じ処理をカバーしているなら、ほかの州向けに行った評価を使う

してはいけないこと

  • オプトアウトを受け付けるために、身分証明書を求める
  • だますボタンを使って、センシティブデータの同意を引き出す
  • 13歳から16歳の10代のデータを、同意なしにターゲティング広告に使う
  • 保持ポリシーと更新日のないポリシーを公開する
  • オプトアウトの請求を適用するまでに、45日より長くかかる

よくあるエラー

サイトがミネソタ州の法律でつまずく点

ミネソタ州は、ほとんどの州より多くの項目をポリシーに求め、社内の整理も求めています。

不完全なポリシー

プライバシーのページに、データの保持について書かれておらず、最終更新日もありません。どちらもミネソタ州が求める項目です。

データの棚卸しがない

サイトでどの広告スクリプトが動いていて、それぞれが何を受け取るかを、誰も説明できません。第三者のリストに答えることが、できなくなります。

GPCがカリフォルニア州だけ

CMPが、GPCをカリフォルニア州にだけ適用し、ミネソタ州の訪問者のシグナルを無視している。

手間のかかるオプトアウト

オプトアウトのフォームに、ログインや書類が必要です。法律は、オプトアウトに認証は不要としています。

GPPに州のセクションだけがある

CMPがミネソタ州のセクションだけを送っていますが、Googleはこれを読みません。US Nationalがなければ、オプトアウトはGoogleに届きません。

広告が変わらないオプトアウト

訪問者は拒否しているのに、広告リクエストにRDPがなく、GPP stringにもオプトアウトがありません。

ConsentModeでは

ミネソタ州について監査が確認すること

  • 米国の訪問者としてサイトを開き、オプトアウトのリンクと、トップページにある「privacy」の語を含むリンクを探します。
  • 監査用ブラウザでGPCシグナルをオンにし、シグナルがある場合とない場合で、ページと広告リクエストを比較します。
  • GPPの文字列を読み取り、US Nationalセクションがあるか、オプトアウトが記録されているかを確認します。
  • ページで読み込まれるスクリプトと広告パートナーを一覧にします。データの棚卸しの出発点になります。
  • プライバシーのページに、カテゴリ、目的、第三者、権利、不服申し立て、連絡先、保持、更新日が含まれているかを確認します。
監査を実行する確認する項目をすべて見る

よくある質問

プロファイルに異議を唱える権利は、コンテンツサイトに影響しますか?

ほとんどの場合、ほとんど影響しません。この権利は、与信、保険、住宅、雇用など、法的な効果または同様の効果のある決定につながるプロファイリングに適用されます。広告の選択は、通常はそのような決定ではありませんが、与信の事前審査や求人の選考を行うサイトは備える必要があります。

ミネソタ州では、GPCを尊重する義務がありますか?

はい、法律があなたのサイトに適用される場合は義務です。法律は汎用のオプトアウトシグナルの尊重を求めており、訪問者が州に住んでいるかを知るのに、IPアドレスを認めています。

データの棚卸しとは何ですか?

事業者が処理するデータについて、事業者自身が維持する一覧です。法律は、この棚卸しを、合理的なセキュリティ対策の一部としています。

自分の企業は小規模です。対象外ですか?

ほぼ、そのとおりです。米国連邦の定義による小規模事業者は、法律の大部分から除外されますが、事前の同意なしにセンシティブデータを販売することはできません。

通知の後に、是正のための期間はまだありますか?

いいえ。30日間の期間は、2026年1月31日までの規定でした。それ以降、司法長官は、その期間を与えずに行動できます。

ConsentModeを使えば、自分のサイトは法令に適合しますか?

ConsentModeはCMPでも法律事務所でもありません。監査では、サイトがオプトアウト、GPC、GPP、プライバシーのページに対して実際に何をしているかが分かるので、ベンダーや弁護士と一緒に修正してください。

ライブラリ

公式の情報源

このガイドは、次の公式ページをもとに作成しました。情報源を直接お読みください:

あなたのサイトがミネソタ州に対応しているかを確認する

監査は、GPCあり・なしの両方で米国の訪問者としてサイトを開き、何も変更せずに、直すべき点を示します。

監査を始める