ネブラスカ州に関わる事業
ネブラスカ州で事業を行う、または州の住民が利用する商品やサービスを作っていることです。米国に読者がいるサイトは、ここに該当することが多いです。
ガイド · 米国の州法
Nebraska Data Privacy Actは2025年1月1日から施行されており、売上や消費者数の基準を使いません。このガイドでは、誰が対応する必要があるか、小規模な企業にまで及ぶルール、ブラウザの設定によるオプトアウト、AdSenseやAd Managerを使うサイトで何が変わるかを説明します。
概要
Nebraska Data Privacy Act(NDPA)は、ネブラスカ州の包括的なプライバシー法です。2024年にLB 1074法案として可決され、州法の87-1101条から87-1130条にあり、2025年1月1日から施行されています。
条文はテキサス州のモデルに従っています。消費者数を数えたり売上を見たりする代わりに、ネブラスカ州で事業を行う、または州内で利用される商品やサービスを提供し、個人データを処理または販売し、米国連邦の定義で小規模事業者に該当しない者に適用されます。
訪問者の権利は、より充実した法律と同じです。アクセス、訂正、削除、ポータビリティ、そしてターゲティング広告、販売、自動プロファイリングの拒否です。機微なデータには同意が必要です。
米国の訪問者がいるサイトにとって、ネブラスカ州のトラフィック量は、正しい問いではありません。問うべきは、企業の規模です。そして小規模事業者であっても、機微なデータを販売するには同意が必要です。
チェックリスト
連邦法で小規模事業者に当たらず、ネブラスカ州の訪問者がいる場合の基本リストです。
通知は明確で、見つけやすくなければなりません。処理するデータ、目的、権利の行使方法と不服申し立て、渡すデータ、第三者の種類を載せます。
全ページのフッターにプライバシーポリシーのリンクがあり、完全な通知につながる。
データを販売する、またはターゲティング広告を行う場合は、そのことを明確で見やすく示し、オプトアウトの方法を説明する必要があります。
フッターのリンク: Do Not Sell or Share My Personal Information。
機微データは同意がある場合にのみ扱えます。小規模事業者であっても、これらのデータを販売する前には同意が必要です。子どもの機微データはCOPPAに従います。
訪問者は、端末全体の設定を含め、認定された代理人を通じてオプトアウトできます。依頼を確認できる場合は、それに従ってください。設定が初期状態でオンになっていてはいけません。
GPCがオンの訪問者: オプトアウトをクリックしたものとして扱います。
安全な窓口を2つ以上用意し、新しいアカウントを求めないでください。45日以内に回答し、不服申し立てには60日以内に書面で回答します。
ターゲティング広告、データの販売、機微データには、記録された評価が必要です。評価は非公開ですが、司法長官は提出を求めることができます。
GoogleはU.S. statesの法律にCMPを求めていません。「プライバシーとメッセージ」の米国の州の規制メッセージを使うか、オプトアウトした人に対してタグで制限付きデータ処理(RDP)をオンにしてください。GPPを使う場合、GoogleはネブラスカについてUS Nationalセクションを読みます。
AdSenseまたはAd Manager: プライバシーとメッセージ、米国の州の規制カード、作成。そのあとサイトを選んで公開します。
// Só para o visitante que recusou
googletag.pubads().setPrivacySettings({
restrictDataProcessing: true,
});実例
公式ツール
GoogleはU.S. statesの法律に認定CMPもGPPも求めていません。Google自身のメッセージを使うか、タグでRDPをオンにできます。
対応が必要な人
法律が適用されるのは、次の3つの条件を同時に満たす場合です。サイトが受け取るネブラスカ州の訪問者の数は関係ありません。
ネブラスカ州で事業を行う、または州の住民が利用する商品やサービスを作っていることです。米国に読者がいるサイトは、ここに該当することが多いです。
個人データを処理する、またはそのデータの販売に関わることです。Cookieや広告識別子は個人データとして数えられます。
2024年1月1日時点の、米国の連邦中小企業法に基づく小規模事業者に当たらないことです。この法律の基準は、業種によって異なります。
小規模事業者であっても、消費者の事前の同意なしに機微なデータを販売することはできず、行えば罰金が科されることがあります。
用語の定義
定義はLB 1074の第2条にあり、テキサス州法とバージニア州法に沿っています。
特定された、または特定可能な個人に結びついている、または合理的に結びつけられる情報です。機微なデータを含みます。サイトでは、Cookie、端末識別子、IP、メールアドレスが該当します。
人種や民族的出身、宗教的信条、健康上の診断、性的指向、在留資格、個人を特定する遺伝データや生体データ、知っている子どものデータ、正確な位置情報です。
個人データを、金銭またはその他の価値ある対価と引き換えに第三者とやり取りすることです。処理者や同じグループ内の企業への受け渡しは含まれません。
他社のサイトやアプリでの訪問者の行動データで選ばれる広告です。検索や現在の訪問の文脈による広告は含まれません。
個人の権利
回答は45日以内に行う必要があり、最初の期限内に通知すれば、さらに45日延長できます。拒否に対する異議申立ては、60日以内に判断されなければなりません。
企業が自分のデータを処理しているかどうかを知り、そのデータにアクセスすること。
誤ったデータの訂正を求めること。
個人データの削除を求めること。
データのコピーを、持ち運べる形式で受け取ること。
データをターゲティング広告に使わない、販売しないよう求めること。認められた代理人を通じて求めることもできます。
法的効果または同様の影響を及ぼす決定につながるプロファイリングを拒否すること。
サイトの義務
執行と罰金
この法律を執行するのは、ネブラスカ州司法長官だけです。消費者は司法長官の窓口に苦情を申し立てられますが、NDPAに基づいて企業を訴えることはできません。
司法長官は、訴訟を起こす前に書面で通知し、是正のために30日間を与えます。法律には、この期間が終わる日付は定められていません。
事案を終えるために、企業は是正を行い、書面の声明と、是正を証明する書類を提出する必要があります。
不備が期限内に是正されない場合、または企業が是正の声明に違反した場合、民事上の罰金は1件の違反につき最大7,500米ドルになることがあります。
司法長官は、プライバシーに関する苦情を、オンラインフォーム、メール、郵便、電話で受け付けています。
年表
ネブラスカ州は法律を可決し、準備のための期間を数か月だけ設けました。
ネブラスカ州議会が、Data Privacy Actを創設するLB 1074法案を可決しました。
法律は、この日に存在した連邦の小規模事業者の定義を使います。
法律が有効になり、司法長官による執行と、30日間の是正期間が始まります。
Googleが、GPPのUS Nationalセクションのバージョン2を受け付けるようになります。ネブラスカ州のような州のオプトアウトを読み取る経路です。
AdSenseとAd Managerを使うサイト
ネブラスカ州は、ユニバーサルシグナルを独自の方法で扱います。消費者は、リンク、ブラウザの設定や拡張機能、端末全体の設定といった技術を使って、ターゲティング広告と販売を拒否するための代理人を指定できます。この技術は、初期設定でオンになっていてはならず、消費者の能動的な選択が必要です。
企業は、商業的に合理的な努力で請求を確認できる場合は、対応しなければなりません。法律には例外もあり、たとえば、消費者がネブラスカ州に住んでいることを確認できない場合や、企業が他の州の似た請求にも対応していない場合です。Global Privacy Control(GPC)はこの種のシグナルなので、米国のトラフィックについて尊重するのが最も確実です。
GoogleはAdSenseとAd Managerの「プライバシーとメッセージ」に、米国の州の規制向けメッセージを用意しており、ネブラスカ州も対象の州に含まれます。訪問者が拒否すると、制限付きデータ処理(RDP)がオンになります。Googleは、パートナーがオプトアウトのGPCを受け取ったときにRDPをオンにできる、とも述べています。
GPPにはネブラスカ州専用のセクションがありますが、Googleが受け付けるセクションの一覧には入っていません。Googleに対しては、US Nationalセクションを使うか、GPTのrestrictDataProcessingパラメータやAdSenseのdata-restrict-data-processing属性を使って、タグで直接RDPを使います。
実例
ネブラスカ州の訪問者がいて、プログラマティック広告で収益化しているサイトの例です。
よくあるエラー
法律に数字の基準がないことは、州ごとに訪問者を数えることに慣れた人を混乱させます。
サイトのネブラスカ州の訪問者が少ないので、対象外だと考えています。しかし、この法律に量の基準はありません。大切なのは、小規模事業者でないことです。
企業は小規模ですが、訪問者の正確な位置情報を購入するパートナーを使っています。この販売には同意が必要です。
リンクはありますが、Googleへのリクエストには、RDPもGPPのオプトアウトもないままです。
CMPが、Googleが読み取らないネブラスカ州のセクションだけを送っています。US Nationalがなければ、Googleは拒否を受け取りません。
CMPがGPCをカリフォルニア州にだけ適用しており、ネブラスカ州の訪問者が送るシグナルは無視されます。
プライバシーのページに、データのカテゴリ、第三者、販売、ターゲティング広告、異議申立ての方法が書かれていません。
ConsentModeでは
最低数はありません。この法律は、州内で事業を行う、または州内で利用される商品を提供し、個人データを処理または販売し、米国連邦の定義で小規模事業者に当たらない者に適用されます。
ほぼそうです。小規模事業者は法律の大部分から外れますが、消費者の事前の同意なしに機微なデータを販売することはできません。小規模事業者の基準は業種によって変わるため、弁護士に確認してください。
法律は、消費者がブラウザの設定を代理人として使い、ターゲティング広告と販売を拒否することを認めており、企業は請求を確認できる場合に対応しなければなりません。実際には、GPCを尊重するのが最も確実です。
ミネソタ州やニュージャージー州などと違い、法律にはこの期間が終わる日付は定められていません。
Googleが受け付けるセクションの一覧には、ネブラスカ州は入っていません。US Nationalセクション、Googleの州規制向けメッセージ、またはタグでのRDPを使ってください。
ConsentModeはCMPでも法律事務所でもありません。監査では、サイトがオプトアウト、GPC、GPP、プライバシーのページに対して実際に何をしているかが分かるので、ベンダーや弁護士と一緒に修正してください。
ライブラリ
このガイドは、次の公式ページをもとに作成しました。情報源を直接お読みください:
監査は、GPCあり・なしの両方で米国の訪問者としてサイトを開き、何も変更せずに、直すべき点を示します。