ワークスペースへ

ガイド · 米国の州法

NJDPA:むずかしい言葉なしで読むニュージャージー州法

New Jersey Data Privacy Actは2025年1月15日から施行されており、2025年7月から、サイトにGPCの尊重を求めています。このガイドでは、誰が対応する必要があるか、何が機微なデータにあたるか、罰金、規則の状況、AdSenseやAd Managerを使うサイトで何が変わるかを説明します。

米国向けにサイトを監査するガイドを読む
  • ✓消費者問題局のよくある質問に基づいています
  • ✓広告サイトのための実践的な例
  • ✓サイトを変更しない読み取り専用の監査
100,000ニュージャージー州の消費者(年間):法律の主な基準
25,000データの販売で収益を得ている企業は、この数の消費者で対象
10,000米ドル最初の違反に対する罰金の上限
2万米ドル繰り返しの違反に対する罰金の上限

概要

非営利団体の適用除外がないプライバシー法

New Jersey Data Privacy Act(NJDPA)は、ニュージャージー州の包括的なプライバシー法です。2024年1月に署名され、2025年1月15日から施行されています。対象となる企業と、その代わりに働く処理者は、この日から法律を守る必要があります。

モデルはコネチカット州に従っており、より厳しい点もあります。金融データと、トランスジェンダーまたはノンバイナリーであることは、機微なデータです。非営利団体と小規模事業者は、基準を超えれば適用除外になりません。そして、サイトは2025年7月15日から、GPCのようなユニバーサルなオプトアウトのシグナルを尊重する必要があります。

法律は、消費者問題局に規則を作るよう定めており、規則案が公開コメントのために提示されたこともあります。しかし、法律を守る義務は、その規則に左右されません。企業と処理者は、2025年1月15日から守る必要があります。規則の細部に従う前に、局のサイトで、実際に何が施行されているかを確認してください。

米国の訪問者がいるサイトにとって、ニュージャージー州は利用者の規模が大きな意味を持ちます。人口の多い州なので、米国のトラフィックが多いポータルは、気づかないうちに100,000人の消費者を超えることがあります。

チェックリスト

満たすべきこと

サイトがNJDPAの基準を超える場合、次の点が機能している必要があります。

  1. GPCを尊重する

    2025年7月15日から、サイトはGPCなどのユニバーサルなオプトアウトシグナルを受け付ける必要があります。シグナルをオンにして来た人は、販売とターゲティング広告をオプトアウトした人として扱います。

    例

    GPCがオンの訪問者: サイトは、別のクリックを求めずに、その訪問者に対してのみ、Googleの制限付きデータ処理をオンにします。

    <!-- AdSense: anúncio sem dados de comportamento -->
<ins class="adsbygoogle" ...
     data-restrict-data-processing="1"></ins>

// GPT (Ad Manager)
googletag.pubads().setPrivacySettings({
  'restrictDataProcessing': true
});

  2. オプトアウトの明確な道筋を示す

    データを販売する、またはターゲティング広告を行う場合は、オプトアウトの明確な方法を用意する必要があります。プライバシー通知には、訪問者がその権利をどう使うかを説明します。

    例

    Googleの州の規制メッセージには、Do Not Sell or Share My Personal Information リンクが表示されます。

  3. 完全なプライバシー通知

    通知には、サイトがどのデータを何のために処理するか、誰と共有するか、訪問者がアクセス、訂正、削除をどう依頼するか、どう不服を申し立てるかを書きます。

    例

    データへのアクセス、訂正、削除を依頼するには、privacidade@seusite.com 宛にご連絡ください。

  4. Googleが求める文言を入れたポリシー

    AdSenseでは、プライバシーポリシーで、Googleや他のベンダーの広告用Cookieについて知らせることが求められます。パーソナライズ広告を訪問者がオプトアウトする方法も書く必要があります。

    例

    Googleを含む第三者のベンダーは、ユーザーがこれまでにサイトや他のサイトを訪問した履歴に基づいて広告を表示するためにCookieを使用します。パーソナライズ広告は、Googleの広告設定で無効にできます。

  5. 機密データには同意

    機微データは同意がある場合にのみ処理できます。ニュージャージー州では、金融情報もその一覧に含まれます。

    例

    ローンシミュレーターが先に尋ねる: 回答を使って提案を表示してもよいですか？はい または いいえ。

  6. 10代の同意

    訪問者が13歳から16歳であると知っている、または知っているべき場合、個人データを処理する前に本人の同意が必要だと、Divisionは述べています。

  7. データ保護評価

    機微データを処理する場合、またはリスクの高い活動を行う場合は、リスクと利益の評価を書面で記録します。

実例

正しい例と間違った例

公式ツール

認定CMPと公式リンク

GoogleはニュージャージーにGoogle認定CMPもGPPも求めていないため、Google自身のメッセージ、またはGPP対応のCMPを使えます。

対応が必要な人

サイトがNJDPAの対象になる基準

この法律は、ニュージャージー州で事業を行う、または州の住民を対象とした商品やサービスを提供し、1暦年に次のいずれかの基準を超えた事業者に適用されます。

消費者100,000人

年間を通じて、ニュージャージー州の消費者100,000人以上の個人データを管理または処理した場合です。

25,000人とデータの販売

消費者25,000人以上のデータを管理または処理し、消費者問題局の表現でいう、個人データの販売で収益を得ている場合です。

非営利団体も対象

非営利団体と小規模事業者も対象外ではありません。基準を超えれば、法律を守る必要があります。

処理者も対象

対象企業の代わりにデータを処理する業者にも、指示や契約に従うなどの義務があります。

用語の定義

法律の用語を、サイト運営者の言葉で

ニュージャージー州の定義は、コネチカット州のものに似ていますが、機微なデータのリストがより広くなっています。

個人データ

特定の個人を識別する、または識別できる情報です。サイトでは、Cookie、端末識別子、IP、ニュースレターのメールアドレスが該当します。

機密データ

人種や民族的出身、宗教的信条、健康状態、金融情報、性生活と性的指向、在留資格、トランスジェンダーまたはノンバイナリーであること、遺伝データや生体データ、正確な位置情報、子どものデータです。

販売

個人データを、金銭またはその他の価値ある対価と引き換えに第三者とやり取りすることです。処理者への受け渡しは含まれません。

ターゲティング広告

他社のサイトやアプリでの、時間をかけた訪問者の行動データで選ばれる広告です。ページの文脈による広告は含まれません。

個人の権利

ニュージャージー州の住民が請求できること

消費者がこの法律に基づいて企業を訴えることはできませんが、消費者問題局に苦情を申し立てられます。企業は請求に応じ、異議申立ての手段を提供する必要があります。

確認とアクセス

企業が自分のデータを処理しているかどうかを知り、そのデータにアクセスすること。

修正する

誤ったデータの訂正を求めること。

削除

個人データの削除を求めること。

ポータビリティ

他のサービスに移せる形式で、データのコピーを受け取ること。

ターゲティング広告と販売のオプトアウト

データをターゲティング広告に使わない、販売しないよう求めること。GPCのようなユニバーサルシグナルによるものも含みます。

自動プロファイリングの拒否

法的効果または同様の影響を及ぼす決定につながるプロファイリングを拒否すること。

サイトの義務

対象サイトが機能させておくべきこと

  1. 完全なプライバシー通知通知には、処理するデータのカテゴリ、目的、権利の行使と異議申立ての方法、第三者に渡るデータ、そのデータを受け取る第三者の種類を説明する必要があります。
  2. 明確なオプトアウトとGPCデータを販売する、またはターゲティング広告を行う場合は、拒否のための分かりやすい経路を示し、2025年7月15日から、GPCのようなユニバーサルなオプトアウトのシグナルを受け付ける必要があります。
  3. 機密データには同意金融情報を含む機微なデータは、訪問者の同意がある場合のみ処理できます。
  4. 10代の保護13歳から16歳の消費者については、データをターゲティング広告、販売、プロファイリングに使う前に同意が必要です。13歳未満には連邦法のCOPPAが適用されます。
  5. データ保護評価データの販売、機微なデータ、不当な扱いや損害を生じさせうるプロファイリングなど、リスクの高い処理の前に、企業は書面でリスクと利益を評価する必要があります。
  6. 処理者との契約企業に代わってデータを処理する業者は、企業の指示に従い、処理のルールを定めた契約を結びます。

執行と罰金

違反ごとの罰金と、是正期間の終了

この法律は、ニュージャージー州司法長官と消費者問題局が、州の消費者詐欺防止法の手段を使って執行します。

最初は1万米ドル

最初の違反の罰金は、最大1万米ドルになることがあります。

2回目以降は2万米ドル

繰り返しの違反は、1件につき最大2万米ドルになることがあります。司法長官は、裁判所の命令や被害者への賠償も求められます。

是正期間の終了

2026年7月1日まで、局は企業に通知し、是正できる不備について30日間の猶予を与えていました。この期間は終了しました。

消費者の苦情

消費者は、消費者問題局のサイトで苦情を申し立てます。この法律に基づいて企業を訴えることはできません。

年表

NJDPAの日程

2026年11月時点で、法律は施行されており、GPCは必須で、是正期間は終了し、規則については、局のサイトでの確認が引き続き必要です。

  1. 2024年1月

    署名

    ニュージャージー州が、包括的なプライバシー法を可決しました。

  2. 2025年1月15日

    施行

    対象企業と処理者が、法律を守るようになります。

  3. 2025

    規則案

    消費者問題局が、公開コメントのために規則案を提示しました。法律は、これとは関係なく、すでに有効です。

  4. 2025年7月15日

    GPCが必須に

    対象となるサイトは、Global Privacy Controlのようなユニバーサルなオプトアウトのシグナルを尊重する必要があります。

  5. 2026年7月1日

    是正期間の廃止

    局が、措置の前に30日間の是正期間を与えていた期間が終わります。

AdSenseとAd Managerを使うサイト

GPCは必須、Googleまでのオプトアウトの経路

2025年7月15日から、対象となるサイトは、ユニバーサルなオプトアウトのシグナルを尊重する必要があります。局のよくある質問自体が、例としてGlobal Privacy Control(GPC)を挙げています。GPCがオンの状態で訪れた訪問者に対して、サイトは、その人がオプトアウトのリンクをクリックしたかのように動作する必要があります。

GoogleはAdSenseとAd Managerの「プライバシーとメッセージ」に、米国の州の規制向けメッセージを用意しており、ニュージャージー州も対象の州に含まれます。メッセージには「Do Not Sell or Share」リンクが表示されます。拒否すると、制限付きデータ処理(RDP)がオンになり、Googleは広告選択に以前の行動を使わなくなります。

GPCについて、Googleは、シグナルを実装したパートナーは、オプトアウトのGPCを受け取ったときにRDPをオンにするよう選べる、としています。設定はサイトまたはCMPにあり、タグで、GPTのrestrictDataProcessingパラメータやAdSenseのdata-restrict-data-processing属性を使って行うこともできます。

GPPにはニュージャージー州専用のセクションがありますが、Googleが受け付けるセクションの一覧には入っていません。Googleに対しては、US Nationalセクションを使います。そこで販売、共有、ターゲティング広告の拒否が行われると、RDPがオンになります。

実例

ニュージャージー州で「できること」と「できないこと」

ニュージャージー州からのトラフィックがあり、プログラマティック広告で収益化しているサイトの例です。

してよいこと

  • 拒否した人、またはGPCがオンで来た人にも、コンテキスト広告は表示する
  • Googleの州規制向けメッセージを使って、オプトアウトのリンクを提供する
  • GPPのUS Nationalセクションで、オプトアウトをGoogleに伝える
  • 設定を簡単にするため、米国のすべてのトラフィックにGPCを適用する
  • 規則が採択されていなくても、法律の条文に基づいて、法律を守り続ける

してはいけないこと

  • GPCを無視して、そのユーザーにもパーソナライズ広告を求め続ける
  • ローンシミュレーターのデータなど、訪問者の金融情報を、同意なしで処理する
  • 13歳から16歳の10代のデータを、同意なしにターゲティング広告に使う
  • 非営利だからという理由だけで、自分のNGOや団体は対象外だと考える
  • 通知のあとに30日間の是正期間があると当てにする:この期間は2026年7月に終了しました

よくあるエラー

サイトがNJDPAでつまずきやすい点

こうした問題は、米国のプライバシー設定を、カリフォルニア州だけを見て行ったサイトで見られます。

金融データを忘れる

金融サイトは、フォームや計算ツールで収入や借金の情報を集め、パートナーに渡しています。ニュージャージー州では、これは機微なデータで、同意が必要です。

GPCがカリフォルニア州だけ

CMPがGPCをカリフォルニア州にだけ適用しており、ニュージャージー州の訪問者のシグナルは無視されます。

規則を待つ

企業は、最終的な規則を待って、調整を先延ばしにしました。法律は、規則があってもなくても、2025年1月から有効です。

広告が変わらないオプトアウト

訪問者は拒否しているのに、広告リクエストにRDPがなく、GPP stringにもオプトアウトがありません。

GPPに州のセクションだけがある

CMPが、Googleが読み取らないニュージャージー州のセクションだけを送っています。US Nationalがなければ、オプトアウトはGoogleに届きません。

第三者のないポリシー

プライバシーのページに、広告ネットワークや計測パートナーなど、データを受け取る第三者の種類が書かれていません。

ConsentModeでは

ニュージャージー州について監査が確認すること

  • 米国の訪問者としてサイトを開き、フッター、メニュー、プライバシーのメッセージの中でオプトアウトのリンクを探します。
  • 監査用ブラウザでGPCシグナルをオンにし、シグナルがある場合とない場合で、ページと広告リクエストを比較します。
  • GPPの文字列を読み取り、US Nationalセクションがあるか、オプトアウトが記録されているかを確認します。
  • ページのコードから、CMPまたはGoogleの州規制向けメッセージを特定します。
  • プライバシーのページに、データのカテゴリ、目的、第三者、権利、異議申立てが記載されているかを確認します。
監査を実行する確認する項目をすべて見る

よくある質問

ニュージャージー州の規則は、すでに有効ですか?

規則案が公開コメントのために提示されましたが、その細部に従う前に、消費者問題局のサイトで、最終的な規則が施行されているかを確認してください。法律自体は、規則があってもなくても、2025年1月15日から有効です。

GPCを尊重する義務はありますか?

はい、法律がサイトに適用される場合です。2025年7月15日から、GPCのようなユニバーサルなオプトアウトのシグナルを尊重する必要があります。

自分の団体は非営利です。対象外ですか?

いいえ。ニュージャージー州では、非営利団体と小規模事業者も、基準を超えれば法律を守る必要があります。

少量のデータを販売しただけでも、25,000人の基準に当たりますか?

当たる可能性があります。消費者問題局によると、2つ目の基準は、消費者25,000人以上のデータを処理し、個人データの販売で収益を得ている者に適用されます。局は収益の最低額に触れていないため、自分のケースについては弁護士に確認してください。

通知のあとも、是正のための猶予はありますか?

30日間の期間は、2026年7月1日まででした。それ以降は、局はこの猶予なしに措置を取れます。

ConsentModeを使えば、自分のサイトは法令に適合しますか?

ConsentModeはCMPでも法律事務所でもありません。監査では、サイトがオプトアウト、GPC、GPP、プライバシーのページに対して実際に何をしているかが分かるので、ベンダーや弁護士と一緒に修正してください。

ライブラリ

公式の情報源

このガイドは、次の公式ページをもとに作成しました。情報源を直接お読みください:

ニュージャージー州で、サイトがGPCを尊重しているか確認しましょう

監査は、GPCあり・なしの両方で米国の訪問者としてサイトを開き、何も変更せずに、直すべき点を示します。

監査を始める