ワークスペースへ

ガイド · 米国の州法

MTCDPA:2025年に厳しくなったモンタナ州の法律

Montana Consumer Data Privacy Actは2024年10月1日から施行されており、2025年10月1日に発効した改正によって強化されました。このガイドでは、新しい基準、是正期間の廃止、ユニバーサルなオプトアウトのシグナル、AdSenseやAd Managerを使うサイトで何が変わるかを説明します。

  • ✓モンタナ州法典と州司法省に基づいています
  • ✓広告サイトのための実践的な例
  • ✓サイトを変更しない読み取り専用の監査
25,000モンタナ州の消費者(年間):2025年の改正後の基準
15,000総収益の25%超がデータの販売によるものであれば、消費者15,000人で対象
45日請求に回答する期間。さらに45日延長できる
1件の違反につき、民事上の罰金の上限1件の違反につき、民事上の罰金の上限。2025年の改正で盛り込まれた

概要

すでに一度、改正を経たプライバシー法

Montana Consumer Data Privacy Act(MTCDPA)は、モンタナ州の包括的なプライバシー法です。2023年に可決され、モンタナ州法典の第30編第14章第28部にあり、2024年10月1日に施行されました。

モデルはコネチカット州に従っています。訪問者は自分のデータにアクセスし、訂正し、削除し、持ち出すことができ、データの販売、ターゲティング広告、特定の自動プロファイリングを拒否できます。機微なデータは、同意がある場合にのみ利用できます。そして、対象となるサイトは、GPCのようなユニバーサルなオプトアウトのシグナルを受け付ける必要があります。

2025年に、州は改正法SB 297を可決しました。2025年5月に署名され、2025年10月1日から施行されています。適用の基準を引き下げ、執行前の是正期間をなくし、1件の違反につき最大7,500米ドルの罰金を定め、18歳未満に関する新しいルールを設けました。

米国の訪問者がいるサイトにとって、モンタナ州は注意すべき州になりました。年間25,000人の消費者がいれば、すでに法律の対象になる可能性があり、司法長官が措置を取る前の事前通知も保証されなくなりました。

チェックリスト

満たすべきこと

サイトがMTCDPAの基準を超える場合の基本リストです。緊急度の高いものから順に並べています。

  1. privacyという単語を使って、トップページに通知を表示する

    プライバシー通知には、トップページに、privacyという単語を使った見やすいリンクが必要です。

    例

    トップページのフッター: Privacy Policy。

  2. 通知の外にオプトアウトの道筋を用意する

    データを販売する、またはターゲティング広告を行う場合は、プライバシー通知の外に、明確なオプトアウトの道筋が必要です。

    例

    フッターのリンク: Your Opt-Out Rights または Your Privacy Rights。

  3. ブラウザの設定シグナルを受け付ける

    2025年1月1日から、サイトは設定シグナルによるオプトアウトを受け付ける必要があります。シグナルが以前の選択と矛盾する場合は、シグナルが優先されます。

    例

    GPCがオンの訪問者: その訪問者に対する販売とターゲティング広告を止めます。

  4. 機微データと10代には同意を求める

    機微データは同意がある場合にのみ扱えます。13歳から15歳であると知っている、または意図的に無視している場合は、ターゲティング広告と販売にも同意が必要です。

  5. 通知を完全に、最新に保つ

    通知には、データ、目的、第三者、権利、有効なメールアドレス、最終更新日を載せます。サイトがサービスを提供する言語ごとに用意する必要があります。

    例

    通知の冒頭: 最終更新日 2026年11月3日。

  6. アカウントを求めず、撤回を簡単にする

    権利を行使するために、訪問者に新しいアカウントの作成を強制してはいけません。同意の撤回は、同意するのと同じくらい簡単でなければなりません。

  7. データ保護評価を行う

    ターゲティング広告、販売、リスクのあるプロファイリング、機微データには、記録された評価が必要で、司法長官は提出を求めることができます。

  8. オプトアウトをGoogleに伝える

    GoogleはU.S. statesの法律にCMPを求めていません。「プライバシーとメッセージ」の米国の州の規制メッセージを使うか、オプトアウトした人に対してタグで制限付きデータ処理(RDP)をオンにしてください。GPPを使う場合、GoogleはモンタナについてUS Nationalセクションを読みます。

    例

    AdSenseまたはAd Manager: プライバシーとメッセージ、米国の州の規制カード、作成。そのあとサイトを選んで公開します。

    // Só para o visitante que recusou
    googletag.pubads().setPrivacySettings({
      restrictDataProcessing: true,
    });

実例

正しい例と間違った例

公式ツール

認定CMPと公式リンク

GoogleはU.S. statesの法律に認定CMPもGPPも求めていません。Google自身のメッセージを使うか、タグでRDPをオンにできます。

対応が必要な人

2025年の改正後の基準

この法律は、モンタナ州で事業を行う、または州の住民を対象とした商品やサービスを提供し、次のいずれかの基準を超えた事業者に適用されます。

消費者25,000人

モンタナ州の消費者25,000人以上のデータを管理または処理した場合です。支払いを完了するためだけに使うデータは含まれません。改正前の基準は50,000人でした。

15,000人とデータの販売

消費者15,000人以上のデータを管理または処理し、総収益の25%超を個人データの販売から得た場合です。以前は消費者25,000人でした。

基準のない未成年者のルール

未成年者の保護に関するルールは、モンタナ州で事業を行う、またはその住民を対象とするすべての企業に、最低数の要件なしで適用されます。

適用除外の絞り込み

改正により、非営利団体の適用除外は保険詐欺の防止に取り組む団体に限定され、金融機関の広い適用除外は、銀行、信用組合、保険会社の個別の適用除外に置き換えられました。

用語の定義

法律の用語を、サイト運営者の言葉で

定義はモンタナ州法典の30-14-2802条にあります。

消費者と未成年者

消費者は、商業活動や雇用の文脈以外のモンタナ州の住民です。成人は18歳以上の人です。未成年者は18歳未満の消費者です。

機密データ

人種や民族的出身、宗教、身体的または精神的な健康、性生活、性的指向、在留資格、個人を特定する遺伝データや生体データ、知っている子どものデータ、正確な位置情報です。

販売

個人データを、金銭またはその他の価値ある対価と引き換えに第三者とやり取りすることです。処理者、同じグループの企業、合併の際の受け渡しは含まれません。

ターゲティング広告

他社のサイトやアプリでの、訪問者の長期的な行動から得られた、または推測されたデータで選ばれる広告です。検索や訪問の文脈による広告は含まれません。

個人の権利

モンタナ州の住民が請求できること

回答は45日以内に行う必要があり、必要な場合は、最初の期限内に通知することで、さらに45日延長できます。拒否する場合、企業は異議申立ての手段を提供し、60日以内に書面で回答します。

確認とアクセス

企業が自分のデータを処理しているかを知り、そのデータにアクセスすること。ただし、企業が営業秘密を明かす必要はありません。

修正する

誤ったデータの訂正を求めること。

削除

自分に関する個人データの削除を求めること。

ポータビリティ

処理が自動化されている場合に、自分が提供したデータを持ち運べる形式で受け取ること。

ターゲティング広告と販売のオプトアウト

データをターゲティング広告に使わない、販売しないよう求めること。GPCのようなユニバーサルシグナルで行うこともできます。

自動プロファイリングの拒否

法的効果または同様の影響を及ぼす決定につながるプロファイリングを拒否すること。

サイトの義務

対象サイトが機能させておくべきこと

  1. 完全なプライバシー通知通知には、処理するデータのカテゴリ、目的、販売または共有するデータのカテゴリ、第三者のカテゴリ、有効なメールアドレスなどの連絡先、権利と異議申立ての説明、最終更新日を記載する必要があります。
  2. 「privacy」の語を含むリンク改正後は、通知を、「privacy」の語を含む目に見えるリンクでトップページからつなぎ、サイトがサービスを提供するすべての言語で用意する必要があります。
  3. 通知の外にあるオプトアウトデータを販売する、またはターゲティング広告を行う場合は、「your opt-out rights」や「your privacy rights」といった名前のリンクなど、プライバシー通知の外に、拒否のための分かりやすい経路を用意する必要があります。
  4. 機微なデータと10代への同意機微なデータは、同意がある場合のみ扱えます。訪問者が13歳から15歳であると企業が知っている、または故意に無視している場合も、ターゲティング広告と販売には同意が必要です。
  5. 18歳未満への配慮知っている未成年者が使うオンラインサービスは、高い損害リスクを避けるための合理的な注意と、そのリスクに特化した評価が必要です。
  6. データ保護評価ターゲティング広告、販売、リスクのあるプロファイリング、機微なデータには、記録された評価が必要で、司法長官が調査の際に提出を求めることがあります。

執行と罰金

2025年10月以降は是正期間なし

この法律を執行するのは、モンタナ州司法長官だけです。消費者は、この法律に基づいて企業を訴えることはできませんが、司法省の窓口に苦情を申し立てられます。

是正期間の廃止

元の法律では、措置を取る前に60日間の是正期間がありました。2025年の改正で、2026年に終了するはずだったこの保証がなくなりました。

1件の違反につき最大7,500米ドル

改正により、1件の違反につき最大7,500米ドルの民事上の罰金が定められました。司法長官は、裁判所の命令や費用の償還も求めることができます。

評価を伴う調査

調査の際、司法長官は書類と、企業のデータ保護評価の提出を求めることがあります。

苦情の窓口

法律は、司法長官に対し、企業の義務についての情報と、苦情を受け付けるオンラインの窓口を公開することを義務づけています。

年表

MTCDPAの日程

モンタナ州は、2年強の間に、自州の法律を可決し、施行し、改正しました。

  1. 2023

    法律の可決

    モンタナ州がConsumer Data Privacy Actを可決しました。

  2. 2024年10月1日

    施行

    法律が有効になります。基準は消費者50,000人(データの販売がある場合は25,000人)で、是正期間は60日です。

  3. 2025年1月1日

    ユニバーサルシグナルが必須に

    対象となるサイトは、GPCのような設定シグナルで送られた、販売とターゲティング広告のオプトアウトを受け付ける必要があります。

  4. 2025年5月

    改正の署名

    知事がSB 297に署名し、法律が改正されました。

  5. 2025年10月1日

    改正の施行

    25,000人と15,000人という基準、未成年者のルール、7,500米ドルの罰金、是正期間の廃止が有効になります。

AdSenseとAd Managerを使うサイト

GPCは必須、Googleまでのオプトアウトの経路

2025年1月1日から、対象となるサイトは、訪問者の同意のもとで設定シグナルによって送られた、販売とターゲティング広告のオプトアウトを受け付ける必要があります。最もよく知られている例は、Global Privacy Control(GPC)です。シグナルが訪問者の以前の設定と矛盾する場合は、シグナルが優先されます。

GoogleはAdSenseとAd Managerの「プライバシーとメッセージ」に、米国の州の規制向けメッセージを用意しており、モンタナ州も対象の州に含まれます。メッセージには「Do Not Sell or Share」リンクが表示され、拒否すると、以前の行動に基づく広告を止める制限付きデータ処理(RDP)がオンになります。

GPCについて、Googleは、シグナルを実装したパートナーは、オプトアウトのGPCを受け取ったときにRDPをオンにするよう選べる、としています。設定はサイトまたはCMPにあります。直接的な方法の一つはタグです。GPTのrestrictDataProcessingパラメータ、またはAdSenseのdata-restrict-data-processing属性です。

IAB Tech LabのGPPにはモンタナ州専用のセクションがありますが、Googleが受け付けるセクションの一覧には入っていません。Googleに対しては、US Nationalセクションを使います。そこで販売、共有、ターゲティング広告の拒否が行われると、RDPがオンになります。

実例

モンタナ州で「できること」と「できないこと」

モンタナ州からのトラフィックがあり、プログラマティック広告で収益化しているサイトの例です。

してよいこと

  • 拒否した人、またはGPCがオンで来た人にも、コンテキスト広告は表示する
  • オプトアウト用に、ポリシーとは別に、フッターに「your privacy rights」というリンクを置く
  • GPPのUS Nationalセクションを使って、オプトアウトをGoogleに伝える
  • 更新日が見える、米国向けのプライバシー通知を1つにまとめる
  • GPCが以前の選択と食い違う場合は、訪問者に確認を求めつつも、シグナルは適用し続ける

してはいけないこと

  • GPCを無視して、そのユーザーにもパーソナライズ広告を求め続ける
  • オプトアウトを、プライバシーポリシーの本文の中に隠す
  • 13歳から15歳の10代のデータを、同意なしにターゲティング広告に使う
  • サイトが別の言語でも提供されているのに、ポリシーを英語だけで公開する
  • 措置の前に60日間の通知を待つ:この保証は2025年10月に終了しました

よくあるエラー

サイトがモンタナ州の法律でつまずきやすい点

2025年の改正は、旧版の法律に合わせて設定していた多くのサイトに影響しました。

古い基準を使う

サイトは、モンタナ州の消費者が50,000人未満だから対象外だと考えていました。新しい25,000人の基準では、対象になっているかもしれません。

GPCを無視している

CMPがGPCをカリフォルニア州向けにしか読み取っていません。モンタナ州も、2025年1月から同じことを求めています。

日付のないポリシー

プライバシーのページに、いつ更新されたかが書かれていません。改正で必須になった項目です。

「privacy」の語がないリンク

ポリシーが、「利用規約」や「法的情報」のような一般的なリンクの陰に隠れていて、トップページに「privacy」の語がありません。

Googleが読まない州のセクション

CMPがGPPにモンタナ州のセクションだけを送り、US Nationalを入れていません。オプトアウトがGoogleに届きません。

広告が変わらないオプトアウト

訪問者は拒否しているのに、広告リクエストにRDPがなく、GPP stringにもオプトアウトがありません。

ConsentModeでは

モンタナ州について監査が確認すること

  • 米国の訪問者としてサイトを開き、オプトアウトのリンクと、トップページにある「privacy」の語を含むリンクを探します。
  • 監査用ブラウザでGPCシグナルをオンにし、シグナルがある場合とない場合で、ページと広告リクエストを比較します。
  • GPPの文字列を読み取り、US Nationalセクションがあるか、オプトアウトが記録されているかを確認します。
  • ページのコードから、CMPまたはGoogleの州規制向けメッセージを特定します。
  • プライバシーのページに、データのカテゴリ、第三者、権利、異議申立て、連絡先、最終更新日があるかを確認します。

よくある質問

2025年にモンタナ州で何が変わりましたか?

2025年10月1日から施行されている改正法SB 297は、基準を消費者25,000人(データ販売が総収益の25%超なら15,000人)に引き下げ、是正期間をなくし、1件の違反につき最大7,500米ドルの罰金を定め、プライバシー通知に必要な項目を増やし、18歳未満に関するルールを設けました。

モンタナ州でGPCを尊重する義務はありますか?

はい、法律がサイトに適用される場合です。2025年1月1日から、設定シグナルで送られた販売とターゲティング広告のオプトアウトを受け付ける必要があります。

通知を受けたあとも、是正のための60日間はありますか?

いいえ。改正により、司法長官が是正期間を与える義務はなくなりました。直接措置を取ることができます。

自分のサイトは子ども向けではありません。未成年者のルールは関係ありますか?

訪問者が未成年者だと知っている、または故意に無視している場合は、関係することがあります。13歳から15歳の10代には、ターゲティング広告と販売に同意が必要です。未成年者のルールは、量の基準なしで適用されます。

GoogleはGPPのモンタナ州セクションを読み取りますか?

Googleが受け付けるセクションの一覧には、モンタナ州は入っていません。オプトアウトをGoogleに伝えるには、US Nationalセクション、Googleの州規制向けメッセージ、またはタグでのRDPを使ってください。

ConsentModeを使えば、自分のサイトは法令に適合しますか?

ConsentModeはCMPでも法律事務所でもありません。監査では、サイトがオプトアウト、GPC、GPP、プライバシーのページに対して実際に何をしているかが分かるので、ベンダーや弁護士と一緒に修正してください。

ライブラリ

公式の情報源

このガイドは、次の公式ページをもとに作成しました。情報源を直接お読みください:

自分のサイトがモンタナ州の新しい法律に対応できているか確認しましょう

監査は、GPCあり・なしの両方で米国の訪問者としてサイトを開き、何も変更せずに、直すべき点を示します。

監査を始める