ワークスペースへ

ガイド · 米国の州法

TIPA:むずかしい言葉なしで読むテネシー州のプライバシー法

Tennessee Information Protection Actは2025年7月1日から施行されており、対象は大企業だけです。このガイドでは、誰が対応する必要があるか、訪問者にどんな権利が加わったか、NISTに基づく抗弁の仕組み、AdSenseやAd Managerを使うサイトで何が変わるかを説明します。

米国向けにサイトを監査するガイドを読む
  • ✓法律の条文と、テネシー州司法長官の概要に基づいています
  • ✓広告サイトのための実践的な例
  • ✓サイトを変更しない読み取り専用の監査
2,500万米ドル年間売上:これを下回る企業は、法律の対象外
175,000テネシー州の消費者(年間):主な量の基準
60日司法長官の通知後に是正するための期間。終了する日付はありません
45日消費者の請求に回答する期間。拒否する場合は説明と異議申立ての手段を提供します

概要

大企業を対象とした州のプライバシー法

TIPAは、米国テネシー州の包括的なプライバシー法です。2023年に可決され、2025年7月1日に施行されました。この法律は、州の住民に自分のデータに関する権利を与え、そのデータを利用する企業に義務を課しています。

モデルはバージニア州とコロラド州の法律に従っています。訪問者は、データへのアクセス、訂正、削除を請求でき、データの販売、ターゲティング広告、特定の自動プロファイリングを拒否できます。機微なデータは、同意がある場合にのみ利用できます。

TIPAを特徴づける点は2つあります。1つ目は高い基準です。年間売上が2,500万米ドルを超える企業だけが法律の対象になります。2つ目はNISTに基づく抗弁です。NISTのPrivacy Frameworkに沿った、書面のプライバシープログラムを維持している企業は、訴訟でそれを抗弁として使えます。

米国に訪問者がいるブラジルのサイト運営者にとっての実際的な問いは、シンプルです。自分の事業は基準を超えているか? 超えているなら、サイトには完全なプライバシー通知、分かりやすいオプトアウトの経路、広告パートナーがデータをどう扱うかへの注意が必要です。

チェックリスト

満たすべきこと

企業がTIPAの基準を超える場合、次の点が機能している必要があります。

  1. 販売と広告をオプトアウトする道筋

    テネシー州の住民は、ターゲティング広告、データの販売、一部のプロファイリングをオプトアウトできます。サイトはその道筋を用意し、オプトアウトによって広告リクエストが変わるようにする必要があります。

    例

    Googleの州の規制メッセージは、テネシー州の訪問者に Do Not Sell or Share My Personal Information リンクを表示します。

    <!-- AdSense: anúncio sem dados de comportamento -->
<ins class="adsbygoogle" ...
     data-restrict-data-processing="1"></ins>

// GPT (Ad Manager)
googletag.pubads().setPrivacySettings({
  'restrictDataProcessing': true
});

  2. アクセスしやすいプライバシー通知

    企業には、合理的にアクセスしやすいプライバシー通知が必要です。訪問者が権利を行使する方法と、否定的な回答に不服を申し立てる方法を説明します。

    例

    全ページのフッターにある「プライバシー」リンクから、完全な通知につながる。

  3. Googleが求める文言を入れたポリシー

    AdSenseでは、プライバシーポリシーで、Googleや他のベンダーの広告用Cookieについて知らせることが求められます。パーソナライズ広告を訪問者がオプトアウトする方法も書く必要があります。

    例

    Googleを含む第三者のベンダーは、ユーザーがこれまでにサイトや他のサイトを訪問した履歴に基づいて広告を表示するためにCookieを使用します。パーソナライズ広告は、Googleの広告設定で無効にできます。

  4. 45日以内の回答

    アクセス、訂正、削除、ポータビリティ、オプトアウトの依頼には、受け取ってから45日以内に回答する必要があります。

    例

    プライバシー用のメールアドレスで、各依頼の到着日を管理する。

  5. 機密データには同意

    機微データは、訪問者の同意がある場合にのみ処理できます。

    例

    健康サイトが、読まれたテーマを広告選びに使う前に尋ねる: 同意しますか？はい または いいえ。

実例

正しい例と間違った例

公式ツール

認定CMPと公式リンク

GoogleはテネシーにGoogle認定CMPもGPPも求めていないため、Google自身のメッセージ、またはGPP対応のCMPを使えます。

対応が必要な人

TIPAの対象になる事業者の基準

この法律は、テネシー州で事業を行う、または州の住民を対象とした商品やサービスを提供する事業者に適用されます。ただし、企業が次の2つのフィルタを通過した場合に限ります。

売上が2,500万米ドル超

最初のフィルタで、必須です。年間売上がこれより少ない企業は、テネシー州の訪問者が多くても、TIPAの対象外です。

消費者175,000人

売上に加えて、企業は、1暦年のうちにテネシー州の消費者175,000人以上のデータを管理または処理している必要があります。

または25,000人とデータの販売

もう一つの入口は、消費者25,000人以上のデータを扱い、総収益の半分以上が個人情報の販売によるものである場合です。

対象外となる人

公的機関、金融機関、HIPAAの対象となる医療機関、非営利団体、高等教育機関は適用除外です。

用語の定義

法律の用語を、サイト運営者の言葉で

TIPAは、「個人データ」ではなく「個人情報」という用語を使います。意味は他の州法と同じですが、販売の定義に重要な違いがあります。

個人情報

特定された、または特定可能な個人に結びついている、または結びつけられる可能性のあるすべての情報です。サイトの日常では、Cookie、広告識別子、IPアドレス、ニュースレターのメールアドレスなどが含まれます。

機微な情報

人種や民族的出身、宗教的信条、健康上の診断、性的指向、在留資格、遺伝データ、生体データ、子どものデータ、半径1,750フィート以内の正確な位置情報です。

販売

TIPAでいう販売とは、個人情報を、金銭と引き換えに第三者とやり取りすることです。デラウェア州やモンタナ州のように、その他の価値ある対価には触れていません。

ターゲティング広告

他社のサイトやアプリでの、時間をかけた訪問者の行動に基づいて選ばれる広告です。ページの文脈による広告は、この定義に含まれません。

個人の権利

テネシー州の住民がサイトに請求できること

請求には、45日以内に回答する必要があります。企業が拒否する場合は、理由を説明し、異議申立ての手段を提供する必要があります。

確認とアクセス

企業が自分のデータを処理しているかを知り、そのデータにアクセスすること。

修正する

データの種類と利用目的を考慮して、誤ったデータの訂正を求めること。

削除

本人が提供した、または本人について得られたデータの削除を求めること。集計データや匿名化されたデータは含まれません。

ポータビリティ

技術的に可能な場合に、他のサービスへ移せる形式で、データのコピーを受け取ること。

ターゲティング広告と販売のオプトアウト

データをターゲティング広告に使わない、販売しないよう求めること。広告のあるサイトに最も影響する権利です。

自動プロファイリングの拒否

信用、住居、雇用など、法的効果または同様の影響を及ぼす決定につながるプロファイリングへのデータ利用を拒否すること。

サイトの義務

対象事業者が整えておくべきこと

  1. 完全なプライバシー通知通知には、データを何のために使うか、どのカテゴリを処理するか、どのカテゴリを第三者に販売するか、権利の行使方法、否定的な回答への異議申立て方法を記載する必要があります。販売を拒否する権利も説明しなければなりません。
  2. 必要なものだけを収集する収集は、伝えた目的に対して合理的に必要な範囲に限る必要があります。別の目的でデータを使うには、同意が必要です。
  3. 機密データには同意機微なデータは、同意がある場合のみ処理できます。13歳未満の子どものデータには、連邦法のCOPPAのルールが適用されます。
  4. データ保護評価ターゲティング広告、販売、リスクのあるプロファイリング、機微なデータにデータを使う前に、企業はリスクと利益の評価を記録する必要があります。このルールは、2024年7月1日以降に作られた、または生成された活動に適用されます。
  5. 処理者との契約企業に代わってデータを処理する業者には、守秘義務、データの返却または削除、評価への協力、下請け業者への同じルールを定めた書面の契約が必要です。
  6. 合理的なセキュリティ企業は、データの量と機微さに見合ったセキュリティの慣行を維持する必要があり、差別禁止法に違反する形でデータを処理してはなりません。

執行とNISTによる抗弁

誰が執行し、是正期間はどうなり、抗弁になりうるプログラムとは

TIPAを執行できるのはテネシー州司法長官だけで、消費者がこの法律に基づいて企業を訴えることはできません。司法長官は、訴訟を起こす前に書面で通知し、企業に60日間の是正期間を与える必要があります。企業が是正して書面で報告すれば、不備が繰り返されない限り、事案は止まります。他の州と違い、この期間には終了する日付がありません。

期限内に不備が是正されない場合、司法長官は事案を裁判所に持ち込み、法律で定められた民事上の制裁を求めることができます。司法長官は、独自の調査や、サイト、メール、郵便で提出できる消費者の苦情に基づいて動くことがあります。罰金の正確な金額は法律の条文に載っているので、弁護士と確認してください。

TIPAには、積極的抗弁もあります。米国の標準技術研究所であるNISTのPrivacy Framework、または同等のモデルに合理的に沿った、書面のプライバシープログラムを維持し、それに従っている企業は、それを抗弁として使えます。プログラムは、消費者に法律上の権利を与え、フレームワークの新しいバージョンが出てから2年以内に更新される必要があります。Global CBPR認証も考慮されることがあります。

書類を引き出しにしまっておくだけでは足りません。プログラムの規模は、企業の大きさ、活動の種類、データの機微さで測られます。広告で収益を得ている人にとっては、サイトがどのデータを収集し、どのパートナーがそれを受け取り、オプトアウトがどう機能するかを文書にすることが、このプログラムの出発点になります。

年表

TIPAの日程

この法律には長い準備期間がありました。2026年11月時点で、施行から1年以上が経っています。

  1. 2023

    法律の可決

    テネシー州がTennessee Information Protection Actを可決し、包括的なプライバシー法のある州のリストに加わります。

  2. 2024年7月1日

    評価の基準日

    この日以降に作られた、または生成された処理活動は、データ保護評価のルールの対象になります。それ以前の活動は対象外です。

  3. 2025年7月1日

    施行

    TIPAが有効になります。対象企業は、請求に応じ、オプトアウトを提供し、完全なプライバシー通知を維持する必要があります。

  4. 2025

    司法長官の資料

    司法長官が、法律の概要、消費者と企業向けのよくある質問、プライバシーに関する苦情の窓口を公開しました。

AdSenseとAd Managerを使うサイト

テネシー州のオプトアウトがGoogleに届くまで

TIPAは、一部のブラウザが送るGlobal Privacy Control(GPC)のような、ユニバーサルなオプトアウトのシグナルを認識することを企業に義務づけていません。訪問者は、サイトが提供する経路を使う必要があります。それでも、GPCを尊重するのは良い慣行であり、義務づけている州との問題を避けられます。

GoogleはAdSenseとAd Managerの「プライバシーとメッセージ」に、米国の州の規制向けメッセージを用意しています。対象の州にテネシー州が含まれ、「Do Not Sell or Share」リンクが表示されます。訪問者が拒否すると、Googleは制限付きデータ処理(RDP)を有効にし、行動履歴を使わない広告を配信するようになります。

独自のCMPを使う場合は、IAB Tech Labのプロトコルである、GPPで選択を伝えることができます。GPPにはテネシー州専用のセクションがありますが、Googleが受け付けるセクションの一覧には入っていません。Googleに対しては、US Nationalセクションを使います。このセクションで販売、共有、ターゲティング広告を拒否すると、RDPがオンになります。

また、オプトアウトを求めた人に限って、GPTのrestrictDataProcessingパラメータやAdSenseのdata-restrict-data-processing属性を使い、タグで直接RDPをオンにすることもできます。大切なのは、訪問者の拒否が広告リクエストを実際に変えることです。

実例

TIPAで「できること」と「できないこと」

法律の基準を超え、プログラマティック広告でサイトを収益化している企業の例です。

してよいこと

  • オプトアウトを求めた人に、ページのテーマで選ばれたコンテキスト広告を表示する
  • Googleの州規制向けメッセージを使って、「Do Not Sell or Share」リンクを提供する
  • TIPAが求める内容を網羅していれば、すべての州に共通のプライバシー通知を1つにまとめる
  • 他の州法向けに行ったリスク評価が同等のものであれば、それを活用する
  • NISTに基づくプライバシープログラムが、文書化され、更新されていれば、それを抗弁として使う

してはいけないこと

  • 訪問者が拒否したあとも、パーソナライズ広告のためのデータを送り続ける
  • 同意なしに、広告のために正確な位置情報を収集する
  • 拒否された請求への異議申立て方法を、プライバシーのページに載せない
  • 削除やオプトアウトを求める訪問者に、アカウントの作成を要求する
  • NISTをお墨付きのように扱う:実際に従ったプログラムがなければ、抗弁にはならない

よくあるエラー

サイトがTIPAでつまずきやすい点

こうした問題は、すでにGDPRとカリフォルニア州に対応しているのに、テネシー州を忘れているサイトでよく見られます。

カリフォルニア州向けだけのメッセージ

オプトアウトのメッセージが、何年も前に、カリフォルニア州向けにだけ設定されたままです。テネシー州の訪問者には、リンクが一切表示されません。

何もしないリンク

フッターにオプトアウトのリンクがありますが、文章のページにつながるだけです。クリックしたあとも、広告リクエストは変わりません。

販売と広告に触れない通知

プライバシーポリシーはCookieについて触れていますが、データがターゲティング広告に使われていることも、拒否の方法も書いていません。

US Nationalセクションのないドメイン

CMPがGoogleの読み取らない州のセクションしか生成しません。オプトアウトはありますが、Googleの広告には届きません。

一度も行われていない評価

企業は2024年からターゲティング広告にデータを使っているのに、記録されたデータ保護評価が1つもありません。

自分は小さすぎると考える

グループ全体では複数のサイトを合わせて2,500万米ドルを超えているのに、各サイトが法律の対象外であるかのように扱われています。

ConsentModeでは

テネシー州について監査が確認すること

  • 米国の訪問者としてサイトを開き、フッター、メニュー、プライバシーのメッセージの中でオプトアウトのリンクを探します。
  • ページのコードから、CMPまたはGoogleのメッセージを特定します。
  • 広告リクエストのGPP stringを読み取り、US Nationalセクションがあるか、オプトアウトのあとで変わるかを確認します。
  • 監査用ブラウザでGPCシグナルをオンにし、ページと広告リクエストの動作が変わるかを表示します。
  • プライバシーのページに、販売、ターゲティング広告、権利、異議申立て、連絡方法が記載されているかを確認します。
監査を実行する確認する項目をすべて見る

よくある質問

ブラジルのサイトにテネシー州の訪問者がいます。TIPAを守る必要がありますか?

企業が基準を超える場合に限ります。年間売上が2,500万米ドルを超え、かつ州の消費者175,000人以上のデータがある、または、消費者25,000人で収益の半分以上がデータの販売によるものである場合です。小規模なサイトの大半は対象外です。それでも、デラウェア州、メリーランド州、ネブラスカ州のように、基準が低い州が事業に及ぶ可能性があるため、米国のすべてのトラフィックにオプトアウトを提供するのがよいでしょう。

TIPAはGPCの尊重を義務づけていますか?

いいえ。この法律は、ユニバーサルなオプトアウトのシグナルの認識を求めていません。ただし、義務づけている州は多いため、ほとんどのCMPはすでに、米国のすべてのトラフィックでGPCを扱っています。

訪問者が拒否すると、収益はどうなりますか?

Googleは制限付きデータ処理を使い、訪問者の履歴を使わない広告を配信します。この層の1,000インプレッションあたりの収益は低くなるのが普通ですが、広告は引き続き表示されます。

TIPAではCookieバナーが必要ですか?

いいえ。この法律はオプトアウト方式で、訪問者が拒否するまで、サイトは広告のためにデータを使えます。例外は機微なデータで、事前の同意が必要です。

法律を守るために、NISTのプログラムは必要ですか?

いいえ。NISTに基づくプログラムは、任意の抗弁です。調査があった場合に役立ちますが、企業はどのみち法律を守る必要があります。

ConsentModeを使えば、TIPAに対応できますか?

ConsentModeは法律事務所でもCMPでもありません。監査では、サイトがオプトアウト、GPP、プライバシーのページに対して実際に何をしているかが分かるので、ベンダーや弁護士と一緒に修正してください。

ライブラリ

公式の情報源

このガイドは、次の公式ページをもとに作成しました。情報源を直接お読みください:

自分のサイトのオプトアウトが広告に届いているか確認しましょう

監査は、米国の訪問者としてサイトを開き、何も変更せずに、直すべき点を示します。

監査を始める