消費者25,000人
モンタナ州の消費者25,000人以上のデータを管理または処理した場合です。支払いを完了するためだけに使うデータは含まれません。改正前の基準は50,000人でした。
ガイド · 米国の州法
Montana Consumer Data Privacy Actは2024年10月1日から施行されており、2025年10月1日に発効した改正によって強化されました。このガイドでは、新しい基準、是正期間の廃止、ユニバーサルなオプトアウトのシグナル、AdSenseやAd Managerを使うサイトで何が変わるかを説明します。
概要
Montana Consumer Data Privacy Act(MTCDPA)は、モンタナ州の包括的なプライバシー法です。2023年に可決され、モンタナ州法典の第30編第14章第28部にあり、2024年10月1日に施行されました。
モデルはコネチカット州に従っています。訪問者は自分のデータにアクセスし、訂正し、削除し、持ち出すことができ、データの販売、ターゲティング広告、特定の自動プロファイリングを拒否できます。機微なデータは、同意がある場合にのみ利用できます。そして、対象となるサイトは、GPCのようなユニバーサルなオプトアウトのシグナルを受け付ける必要があります。
2025年に、州は改正法SB 297を可決しました。2025年5月に署名され、2025年10月1日から施行されています。適用の基準を引き下げ、執行前の是正期間をなくし、1件の違反につき最大7,500米ドルの罰金を定め、18歳未満に関する新しいルールを設けました。
米国の訪問者がいるサイトにとって、モンタナ州は注意すべき州になりました。年間25,000人の消費者がいれば、すでに法律の対象になる可能性があり、司法長官が措置を取る前の事前通知も保証されなくなりました。
チェックリスト
サイトがMTCDPAの基準を超える場合の基本リストです。緊急度の高いものから順に並べています。
プライバシー通知には、トップページに、privacyという単語を使った見やすいリンクが必要です。
トップページのフッター: Privacy Policy。
データを販売する、またはターゲティング広告を行う場合は、プライバシー通知の外に、明確なオプトアウトの道筋が必要です。
フッターのリンク: Your Opt-Out Rights または Your Privacy Rights。
2025年1月1日から、サイトは設定シグナルによるオプトアウトを受け付ける必要があります。シグナルが以前の選択と矛盾する場合は、シグナルが優先されます。
GPCがオンの訪問者: その訪問者に対する販売とターゲティング広告を止めます。
機微データは同意がある場合にのみ扱えます。13歳から15歳であると知っている、または意図的に無視している場合は、ターゲティング広告と販売にも同意が必要です。
通知には、データ、目的、第三者、権利、有効なメールアドレス、最終更新日を載せます。サイトがサービスを提供する言語ごとに用意する必要があります。
通知の冒頭: 最終更新日 2026年11月3日。
権利を行使するために、訪問者に新しいアカウントの作成を強制してはいけません。同意の撤回は、同意するのと同じくらい簡単でなければなりません。
ターゲティング広告、販売、リスクのあるプロファイリング、機微データには、記録された評価が必要で、司法長官は提出を求めることができます。
GoogleはU.S. statesの法律にCMPを求めていません。「プライバシーとメッセージ」の米国の州の規制メッセージを使うか、オプトアウトした人に対してタグで制限付きデータ処理(RDP)をオンにしてください。GPPを使う場合、GoogleはモンタナについてUS Nationalセクションを読みます。
AdSenseまたはAd Manager: プライバシーとメッセージ、米国の州の規制カード、作成。そのあとサイトを選んで公開します。
// Só para o visitante que recusou
googletag.pubads().setPrivacySettings({
restrictDataProcessing: true,
});実例
公式ツール
GoogleはU.S. statesの法律に認定CMPもGPPも求めていません。Google自身のメッセージを使うか、タグでRDPをオンにできます。
対応が必要な人
この法律は、モンタナ州で事業を行う、または州の住民を対象とした商品やサービスを提供し、次のいずれかの基準を超えた事業者に適用されます。
モンタナ州の消費者25,000人以上のデータを管理または処理した場合です。支払いを完了するためだけに使うデータは含まれません。改正前の基準は50,000人でした。
消費者15,000人以上のデータを管理または処理し、総収益の25%超を個人データの販売から得た場合です。以前は消費者25,000人でした。
未成年者の保護に関するルールは、モンタナ州で事業を行う、またはその住民を対象とするすべての企業に、最低数の要件なしで適用されます。
改正により、非営利団体の適用除外は保険詐欺の防止に取り組む団体に限定され、金融機関の広い適用除外は、銀行、信用組合、保険会社の個別の適用除外に置き換えられました。
用語の定義
定義はモンタナ州法典の30-14-2802条にあります。
消費者は、商業活動や雇用の文脈以外のモンタナ州の住民です。成人は18歳以上の人です。未成年者は18歳未満の消費者です。
人種や民族的出身、宗教、身体的または精神的な健康、性生活、性的指向、在留資格、個人を特定する遺伝データや生体データ、知っている子どものデータ、正確な位置情報です。
個人データを、金銭またはその他の価値ある対価と引き換えに第三者とやり取りすることです。処理者、同じグループの企業、合併の際の受け渡しは含まれません。
他社のサイトやアプリでの、訪問者の長期的な行動から得られた、または推測されたデータで選ばれる広告です。検索や訪問の文脈による広告は含まれません。
個人の権利
回答は45日以内に行う必要があり、必要な場合は、最初の期限内に通知することで、さらに45日延長できます。拒否する場合、企業は異議申立ての手段を提供し、60日以内に書面で回答します。
企業が自分のデータを処理しているかを知り、そのデータにアクセスすること。ただし、企業が営業秘密を明かす必要はありません。
誤ったデータの訂正を求めること。
自分に関する個人データの削除を求めること。
処理が自動化されている場合に、自分が提供したデータを持ち運べる形式で受け取ること。
データをターゲティング広告に使わない、販売しないよう求めること。GPCのようなユニバーサルシグナルで行うこともできます。
法的効果または同様の影響を及ぼす決定につながるプロファイリングを拒否すること。
サイトの義務
執行と罰金
この法律を執行するのは、モンタナ州司法長官だけです。消費者は、この法律に基づいて企業を訴えることはできませんが、司法省の窓口に苦情を申し立てられます。
元の法律では、措置を取る前に60日間の是正期間がありました。2025年の改正で、2026年に終了するはずだったこの保証がなくなりました。
改正により、1件の違反につき最大7,500米ドルの民事上の罰金が定められました。司法長官は、裁判所の命令や費用の償還も求めることができます。
調査の際、司法長官は書類と、企業のデータ保護評価の提出を求めることがあります。
法律は、司法長官に対し、企業の義務についての情報と、苦情を受け付けるオンラインの窓口を公開することを義務づけています。
年表
モンタナ州は、2年強の間に、自州の法律を可決し、施行し、改正しました。
モンタナ州がConsumer Data Privacy Actを可決しました。
法律が有効になります。基準は消費者50,000人(データの販売がある場合は25,000人)で、是正期間は60日です。
対象となるサイトは、GPCのような設定シグナルで送られた、販売とターゲティング広告のオプトアウトを受け付ける必要があります。
知事がSB 297に署名し、法律が改正されました。
25,000人と15,000人という基準、未成年者のルール、7,500米ドルの罰金、是正期間の廃止が有効になります。
AdSenseとAd Managerを使うサイト
2025年1月1日から、対象となるサイトは、訪問者の同意のもとで設定シグナルによって送られた、販売とターゲティング広告のオプトアウトを受け付ける必要があります。最もよく知られている例は、Global Privacy Control(GPC)です。シグナルが訪問者の以前の設定と矛盾する場合は、シグナルが優先されます。
GoogleはAdSenseとAd Managerの「プライバシーとメッセージ」に、米国の州の規制向けメッセージを用意しており、モンタナ州も対象の州に含まれます。メッセージには「Do Not Sell or Share」リンクが表示され、拒否すると、以前の行動に基づく広告を止める制限付きデータ処理(RDP)がオンになります。
GPCについて、Googleは、シグナルを実装したパートナーは、オプトアウトのGPCを受け取ったときにRDPをオンにするよう選べる、としています。設定はサイトまたはCMPにあります。直接的な方法の一つはタグです。GPTのrestrictDataProcessingパラメータ、またはAdSenseのdata-restrict-data-processing属性です。
IAB Tech LabのGPPにはモンタナ州専用のセクションがありますが、Googleが受け付けるセクションの一覧には入っていません。Googleに対しては、US Nationalセクションを使います。そこで販売、共有、ターゲティング広告の拒否が行われると、RDPがオンになります。
実例
モンタナ州からのトラフィックがあり、プログラマティック広告で収益化しているサイトの例です。
よくあるエラー
2025年の改正は、旧版の法律に合わせて設定していた多くのサイトに影響しました。
サイトは、モンタナ州の消費者が50,000人未満だから対象外だと考えていました。新しい25,000人の基準では、対象になっているかもしれません。
CMPがGPCをカリフォルニア州向けにしか読み取っていません。モンタナ州も、2025年1月から同じことを求めています。
プライバシーのページに、いつ更新されたかが書かれていません。改正で必須になった項目です。
ポリシーが、「利用規約」や「法的情報」のような一般的なリンクの陰に隠れていて、トップページに「privacy」の語がありません。
CMPがGPPにモンタナ州のセクションだけを送り、US Nationalを入れていません。オプトアウトがGoogleに届きません。
訪問者は拒否しているのに、広告リクエストにRDPがなく、GPP stringにもオプトアウトがありません。
ConsentModeでは
2025年10月1日から施行されている改正法SB 297は、基準を消費者25,000人(データ販売が総収益の25%超なら15,000人)に引き下げ、是正期間をなくし、1件の違反につき最大7,500米ドルの罰金を定め、プライバシー通知に必要な項目を増やし、18歳未満に関するルールを設けました。
はい、法律がサイトに適用される場合です。2025年1月1日から、設定シグナルで送られた販売とターゲティング広告のオプトアウトを受け付ける必要があります。
いいえ。改正により、司法長官が是正期間を与える義務はなくなりました。直接措置を取ることができます。
訪問者が未成年者だと知っている、または故意に無視している場合は、関係することがあります。13歳から15歳の10代には、ターゲティング広告と販売に同意が必要です。未成年者のルールは、量の基準なしで適用されます。
Googleが受け付けるセクションの一覧には、モンタナ州は入っていません。オプトアウトをGoogleに伝えるには、US Nationalセクション、Googleの州規制向けメッセージ、またはタグでのRDPを使ってください。
ConsentModeはCMPでも法律事務所でもありません。監査では、サイトがオプトアウト、GPC、GPP、プライバシーのページに対して実際に何をしているかが分かるので、ベンダーや弁護士と一緒に修正してください。
ライブラリ
このガイドは、次の公式ページをもとに作成しました。情報源を直接お読みください:
監査は、GPCあり・なしの両方で米国の訪問者としてサイトを開き、何も変更せずに、直すべき点を示します。