ワークスペースへ

ガイド · 米国の州法

NDPA:量の基準がないネブラスカ州の法律

Nebraska Data Privacy Actは2025年1月1日から施行されており、売上や消費者数の基準を使いません。このガイドでは、誰が対応する必要があるか、小規模な企業にまで及ぶルール、ブラウザの設定によるオプトアウト、AdSenseやAd Managerを使うサイトで何が変わるかを説明します。

  • ✓LB 1074法とネブラスカ州司法長官のサイトに基づいています
  • ✓広告サイトのための実践的な例
  • ✓サイトを変更しない読み取り専用の監査
30日司法長官からの通知のあと、不備を是正するための期間
1件の違反につき、民事上の罰金の上限1件の違反につき、民事上の罰金の上限
45日請求に回答する期間。さらに45日延長できる
60日請求を拒否された消費者の異議申立てに回答する期間

概要

数字ではなく、企業の規模を基準にする州法

Nebraska Data Privacy Act(NDPA)は、ネブラスカ州の包括的なプライバシー法です。2024年にLB 1074法案として可決され、州法の87-1101条から87-1130条にあり、2025年1月1日から施行されています。

条文はテキサス州のモデルに従っています。消費者数を数えたり売上を見たりする代わりに、ネブラスカ州で事業を行う、または州内で利用される商品やサービスを提供し、個人データを処理または販売し、米国連邦の定義で小規模事業者に該当しない者に適用されます。

訪問者の権利は、より充実した法律と同じです。アクセス、訂正、削除、ポータビリティ、そしてターゲティング広告、販売、自動プロファイリングの拒否です。機微なデータには同意が必要です。

米国の訪問者がいるサイトにとって、ネブラスカ州のトラフィック量は、正しい問いではありません。問うべきは、企業の規模です。そして小規模事業者であっても、機微なデータを販売するには同意が必要です。

チェックリスト

満たすべきこと

連邦法で小規模事業者に当たらず、ネブラスカ州の訪問者がいる場合の基本リストです。

  1. 完全なプライバシー通知を公開する

    通知は明確で、見つけやすくなければなりません。処理するデータ、目的、権利の行使方法と不服申し立て、渡すデータ、第三者の種類を載せます。

    例

    全ページのフッターにプライバシーポリシーのリンクがあり、完全な通知につながる。

  2. ターゲティング広告があることと、オプトアウトの方法を示す

    データを販売する、またはターゲティング広告を行う場合は、そのことを明確で見やすく示し、オプトアウトの方法を説明する必要があります。

    例

    フッターのリンク: Do Not Sell or Share My Personal Information。

  3. 機微データには同意を求める

    機微データは同意がある場合にのみ扱えます。小規模事業者であっても、これらのデータを販売する前には同意が必要です。子どもの機微データはCOPPAに従います。

  4. ブラウザから送られるオプトアウトを受け付ける

    訪問者は、端末全体の設定を含め、認定された代理人を通じてオプトアウトできます。依頼を確認できる場合は、それに従ってください。設定が初期状態でオンになっていてはいけません。

    例

    GPCがオンの訪問者: オプトアウトをクリックしたものとして扱います。

  5. 新しいアカウントを求めずに依頼を受け付ける

    安全な窓口を2つ以上用意し、新しいアカウントを求めないでください。45日以内に回答し、不服申し立てには60日以内に書面で回答します。

  6. データ保護評価を行う

    ターゲティング広告、データの販売、機微データには、記録された評価が必要です。評価は非公開ですが、司法長官は提出を求めることができます。

  7. オプトアウトをGoogleに伝える

    GoogleはU.S. statesの法律にCMPを求めていません。「プライバシーとメッセージ」の米国の州の規制メッセージを使うか、オプトアウトした人に対してタグで制限付きデータ処理(RDP)をオンにしてください。GPPを使う場合、GoogleはネブラスカについてUS Nationalセクションを読みます。

    例

    AdSenseまたはAd Manager: プライバシーとメッセージ、米国の州の規制カード、作成。そのあとサイトを選んで公開します。

    // Só para o visitante que recusou
    googletag.pubads().setPrivacySettings({
      restrictDataProcessing: true,
    });

実例

正しい例と間違った例

公式ツール

認定CMPと公式リンク

GoogleはU.S. statesの法律に認定CMPもGPPも求めていません。Google自身のメッセージを使うか、タグでRDPをオンにできます。

対応が必要な人

売上の基準も、最小の消費者数もない

法律が適用されるのは、次の3つの条件を同時に満たす場合です。サイトが受け取るネブラスカ州の訪問者の数は関係ありません。

ネブラスカ州に関わる事業

ネブラスカ州で事業を行う、または州の住民が利用する商品やサービスを作っていることです。米国に読者がいるサイトは、ここに該当することが多いです。

データの処理または販売

個人データを処理する、またはそのデータの販売に関わることです。Cookieや広告識別子は個人データとして数えられます。

小規模事業者ではない

2024年1月1日時点の、米国の連邦中小企業法に基づく小規模事業者に当たらないことです。この法律の基準は、業種によって異なります。

小規模事業者にもルールがある

小規模事業者であっても、消費者の事前の同意なしに機微なデータを販売することはできず、行えば罰金が科されることがあります。

用語の定義

法律の用語を、サイト運営者の言葉で

定義はLB 1074の第2条にあり、テキサス州法とバージニア州法に沿っています。

個人データ

特定された、または特定可能な個人に結びついている、または合理的に結びつけられる情報です。機微なデータを含みます。サイトでは、Cookie、端末識別子、IP、メールアドレスが該当します。

機密データ

人種や民族的出身、宗教的信条、健康上の診断、性的指向、在留資格、個人を特定する遺伝データや生体データ、知っている子どものデータ、正確な位置情報です。

販売

個人データを、金銭またはその他の価値ある対価と引き換えに第三者とやり取りすることです。処理者や同じグループ内の企業への受け渡しは含まれません。

ターゲティング広告

他社のサイトやアプリでの訪問者の行動データで選ばれる広告です。検索や現在の訪問の文脈による広告は含まれません。

個人の権利

ネブラスカ州の住民が請求できること

回答は45日以内に行う必要があり、最初の期限内に通知すれば、さらに45日延長できます。拒否に対する異議申立ては、60日以内に判断されなければなりません。

確認とアクセス

企業が自分のデータを処理しているかどうかを知り、そのデータにアクセスすること。

修正する

誤ったデータの訂正を求めること。

削除

個人データの削除を求めること。

ポータビリティ

データのコピーを、持ち運べる形式で受け取ること。

ターゲティング広告と販売のオプトアウト

データをターゲティング広告に使わない、販売しないよう求めること。認められた代理人を通じて求めることもできます。

自動プロファイリングの拒否

法的効果または同様の影響を及ぼす決定につながるプロファイリングを拒否すること。

サイトの義務

対象事業者が整えておくべきこと

  1. プライバシー通知通知には、処理するデータのカテゴリ、目的、権利の行使と異議申立ての方法、第三者と共有するデータのカテゴリ、その第三者のカテゴリを記載する必要があります。
  2. 販売とターゲティング広告の開示サイトがデータを販売している、またはターゲティング広告を行っている場合は、それを分かりやすく見える形で伝え、訪問者が拒否する方法を説明する必要があります。
  3. 機密データには同意機微なデータは、同意がある場合のみ扱えます。小規模事業者の場合は、そのデータの販売にこのルールが適用されます。
  4. データ保護評価ターゲティング広告、販売、リスクのあるプロファイリング、機微なデータ、そのほかリスクの高い処理には、記録された評価が必要です。評価は非公開ですが、司法長官が提出を求めることがあります。
  5. 認められた代理人を受け入れる消費者は、ブラウザの設定を含め、ターゲティング広告と販売を拒否するための代理人を指定できます。企業は、商業的に合理的な努力で請求を確認できた場合は、対応しなければなりません。
  6. 処理者との契約企業に代わってデータを処理する業者は、企業の指示に従い、処理のルールを定めた契約を結びます。

執行と罰金

誰が執行し、間違えるといくらかかるか

この法律を執行するのは、ネブラスカ州司法長官だけです。消費者は司法長官の窓口に苦情を申し立てられますが、NDPAに基づいて企業を訴えることはできません。

是正のための30日間

司法長官は、訴訟を起こす前に書面で通知し、是正のために30日間を与えます。法律には、この期間が終わる日付は定められていません。

書面による声明

事案を終えるために、企業は是正を行い、書面の声明と、是正を証明する書類を提出する必要があります。

1件の違反につき最大7,500米ドル

不備が期限内に是正されない場合、または企業が是正の声明に違反した場合、民事上の罰金は1件の違反につき最大7,500米ドルになることがあります。

苦情の窓口

司法長官は、プライバシーに関する苦情を、オンラインフォーム、メール、郵便、電話で受け付けています。

年表

NDPAの日程

ネブラスカ州は法律を可決し、準備のための期間を数か月だけ設けました。

  1. 2024

    法律の可決

    ネブラスカ州議会が、Data Privacy Actを創設するLB 1074法案を可決しました。

  2. 2024年1月1日

    小規模事業者の基準日

    法律は、この日に存在した連邦の小規模事業者の定義を使います。

  3. 2025年1月1日

    施行

    法律が有効になり、司法長官による執行と、30日間の是正期間が始まります。

  4. 2025年9月

    GoogleがGPPを更新

    Googleが、GPPのUS Nationalセクションのバージョン2を受け付けるようになります。ネブラスカ州のような州のオプトアウトを読み取る経路です。

AdSenseとAd Managerを使うサイト

ブラウザによるオプトアウトと、Googleまでの経路

ネブラスカ州は、ユニバーサルシグナルを独自の方法で扱います。消費者は、リンク、ブラウザの設定や拡張機能、端末全体の設定といった技術を使って、ターゲティング広告と販売を拒否するための代理人を指定できます。この技術は、初期設定でオンになっていてはならず、消費者の能動的な選択が必要です。

企業は、商業的に合理的な努力で請求を確認できる場合は、対応しなければなりません。法律には例外もあり、たとえば、消費者がネブラスカ州に住んでいることを確認できない場合や、企業が他の州の似た請求にも対応していない場合です。Global Privacy Control(GPC)はこの種のシグナルなので、米国のトラフィックについて尊重するのが最も確実です。

GoogleはAdSenseとAd Managerの「プライバシーとメッセージ」に、米国の州の規制向けメッセージを用意しており、ネブラスカ州も対象の州に含まれます。訪問者が拒否すると、制限付きデータ処理(RDP)がオンになります。Googleは、パートナーがオプトアウトのGPCを受け取ったときにRDPをオンにできる、とも述べています。

GPPにはネブラスカ州専用のセクションがありますが、Googleが受け付けるセクションの一覧には入っていません。Googleに対しては、US Nationalセクションを使うか、GPTのrestrictDataProcessingパラメータやAdSenseのdata-restrict-data-processing属性を使って、タグで直接RDPを使います。

実例

ネブラスカ州で「できること」と「できないこと」

ネブラスカ州の訪問者がいて、プログラマティック広告で収益化しているサイトの例です。

してよいこと

  • ターゲティング広告を拒否した人には、コンテキスト広告を表示する
  • 訪問者のブラウザがGPCを送ったら、オプトアウトを適用する
  • Googleの州規制向けメッセージを使って、オプトアウトのリンクを提供する
  • GPPのUS Nationalセクションで、オプトアウトをGoogleに伝える
  • 同じ処理をカバーしているなら、他の州向けに行ったデータ保護評価を使う

してはいけないこと

  • ネブラスカ州のトラフィックが少ないからというだけで、法律の対象外だと結論づける
  • 小規模事業者であっても、同意なしに正確な位置情報やその他の機微なデータを販売する
  • 訪問者が拒否したあとも、パーソナライズ広告を続ける
  • プライバシーのページで、ターゲティング広告の拒否の方法を説明しない
  • 請求を拒否された消費者の異議申立てを無視する

よくあるエラー

サイトがネブラスカ州の法律でつまずきやすい点

法律に数字の基準がないことは、州ごとに訪問者を数えることに慣れた人を混乱させます。

規模を評価せず、訪問者を数える

サイトのネブラスカ州の訪問者が少ないので、対象外だと考えています。しかし、この法律に量の基準はありません。大切なのは、小規模事業者でないことです。

機微なデータのルールを忘れる

企業は小規模ですが、訪問者の正確な位置情報を購入するパートナーを使っています。この販売には同意が必要です。

広告に届かないオプトアウト

リンクはありますが、Googleへのリクエストには、RDPもGPPのオプトアウトもないままです。

GPPに州のセクションだけがある

CMPが、Googleが読み取らないネブラスカ州のセクションだけを送っています。US Nationalがなければ、Googleは拒否を受け取りません。

GPCをカリフォルニア州でしか扱わない

CMPがGPCをカリフォルニア州にだけ適用しており、ネブラスカ州の訪問者が送るシグナルは無視されます。

一般的なポリシー

プライバシーのページに、データのカテゴリ、第三者、販売、ターゲティング広告、異議申立ての方法が書かれていません。

ConsentModeでは

ネブラスカ州について監査が確認すること

  • 米国の訪問者としてサイトを開き、フッター、メニュー、プライバシーのメッセージの中でオプトアウトのリンクを探します。
  • 監査用ブラウザでGPCシグナルをオンにし、シグナルがある場合とない場合で、ページと広告リクエストを比較します。
  • GPPの文字列を読み取り、US Nationalセクションがあるか、オプトアウトが記録されているかを確認します。
  • ページのコードから、CMPまたはGoogleの州規制向けメッセージを特定します。
  • プライバシーのページに、データのカテゴリ、第三者、販売、ターゲティング広告、権利、異議申立てが記載されているかを確認します。

よくある質問

法律が適用されるには、ネブラスカ州の訪問者が何人必要ですか?

最低数はありません。この法律は、州内で事業を行う、または州内で利用される商品を提供し、個人データを処理または販売し、米国連邦の定義で小規模事業者に当たらない者に適用されます。

自分の企業は小規模です。対象外ですか?

ほぼそうです。小規模事業者は法律の大部分から外れますが、消費者の事前の同意なしに機微なデータを販売することはできません。小規模事業者の基準は業種によって変わるため、弁護士に確認してください。

ネブラスカ州はGPCの尊重を義務づけていますか?

法律は、消費者がブラウザの設定を代理人として使い、ターゲティング広告と販売を拒否することを認めており、企業は請求を確認できる場合に対応しなければなりません。実際には、GPCを尊重するのが最も確実です。

30日間の是正期間は終わりますか?

ミネソタ州やニュージャージー州などと違い、法律にはこの期間が終わる日付は定められていません。

GoogleはGPPのネブラスカ州セクションを読み取りますか?

Googleが受け付けるセクションの一覧には、ネブラスカ州は入っていません。US Nationalセクション、Googleの州規制向けメッセージ、またはタグでのRDPを使ってください。

ConsentModeを使えば、自分のサイトは法令に適合しますか?

ConsentModeはCMPでも法律事務所でもありません。監査では、サイトがオプトアウト、GPC、GPP、プライバシーのページに対して実際に何をしているかが分かるので、ベンダーや弁護士と一緒に修正してください。

ライブラリ

公式の情報源

このガイドは、次の公式ページをもとに作成しました。情報源を直接お読みください:

自分のサイトのオプトアウトがネブラスカ州で機能しているか確認しましょう

監査は、GPCあり・なしの両方で米国の訪問者としてサイトを開き、何も変更せずに、直すべき点を示します。

監査を始める