米国のプライバシー:広告付きサイトが知っておくべきこと

概要

ひとつの法律ではなく、継ぎはぎの状態

米国には、GDPRやLGPDのような包括的な連邦のプライバシー法がありません。連邦レベルでは、業種や対象者ごとの法律があります。広告付きサイトにとって特に重要なのは、欺瞞的で不公正な行為を禁じる連邦取引委員会法(FTC Act)と、13歳未満の子どものデータを保護するCOPPAです。

実際には、プライバシーポリシーが事実を伝えている必要があるということです。データを共有しないと書きながら広告ネットワークに渡していると、FTCはそれを欺瞞的な行為とみなすことがあります。また、コンテンツが子ども向けなら、パーソナライズ広告は使えません。

連邦レベルが空けた部分は、各州が埋めました。カリフォルニア州がCCPAで先頭に立ち、2023年からは、包括的な消費者プライバシー法を成立させる州が増え続けています。法律ごとに適用の基準、期限、細部は違いますが、ほとんどが同じ設計に沿っています。

そのほかの州

すでに包括的な法律がある州

カリフォルニア州の次に施行されたのは、2023年1月1日のバージニア州と、2023年7月1日のコロラド州とコネチカット州の法律です。その後、より簡素な法律のユタ州が続きました。

その後、テキサス、オレゴン、モンタナ、アイオワ、デラウェア、ネブラスカ、ニューハンプシャー、ニュージャージー、テネシー、ミネソタ、メリーランドと続きました。インディアナ、ケンタッキー、ロードアイランドの法律は、2026年1月1日に施行されました。

基準は州ごとに違います。たとえば、バージニア州では、年間に10万人以上の消費者のデータを処理する事業者、または2万5,000人以上の消費者のデータを処理し、収益の半分超をデータの販売から得ている事業者に適用されます。コロラド州では、基準は10万人以上の消費者、またはデータの販売による収益があり、2万5,000人以上の場合です。

州ごとに細部が違うため、ConsentModeでは主な州ごとに別のガイドを用意しています。このページは全体像です。実践的な方針は、最も厳しいモデルに合わせてサイトを一度設定し、法律が施行されているすべての州にオプトアウトを適用することです。

シグナル

GPCとGPP:サイトが理解すべき2つのシグナル

Global Privacy Control(GPC)は、ブラウザ自身が送るシグナルで、Firefox、Brave、DuckDuckGoなどのブラウザや拡張機能で使えます。「私のデータの販売や共有をやめる」ボタンのように機能します。カリフォルニア州は、企業にこのシグナルを有効なオプトアウトの請求として尊重するよう求めています。

コロラド州では、ユニバーサルなオプトアウトの仕組みを受け入れることが、2024年7月1日から義務になり、州が最初に認めたのがGPCでした。コネチカット州では、2025年1月1日から義務です。つまり、GPCがオンの訪問者は、オプトアウトのリンクをクリックしたものとして扱う必要があります。

Global Privacy Platform(GPP)は別のものです。IAB Tech Labが作った形式で、CMPが訪問者の選択をすべての広告パートナーに伝えるためのもので、米国の州向けのセクションがあります。IABが2024年1月に廃止した、古いUS Privacy stringに代わるものです。

まとめ:GPCは、ブラウザから届くリクエストです。GPPは、CMPが訪問者の選択をGoogleやほかのネットワークに知らせるための形式です。

AdSenseとAd Manager

Googleが米国の州をどう扱うか

Googleは、2019年にCCPA向けに作った制限付きデータ処理(RDP)を提供しており、2023年1月に州法にも広げました。RDPがオンのとき、Googleは識別子の使用を制限し、その訪問には、パーソナライズされない広告だけを配信します。

RDPは3つの方法でオンにできます。GPPシグナルを送るCMPを使う方法、サイトのタグで広告リクエストごとに設定する方法、プライバシーとメッセージの設定で、該当する州のすべてのトラフィックに設定する方法です。リクエストごとの設定は、フッターのオプトアウトリンクと相性がよいです。

AdSenseとAd Managerには、「米国の州の規制」の中に、「広告パートナーを確認」というコントロールもあり、これらの州のユーザーに広告を配信できるバイヤーを選べます。Googleは、US Privacy stringからGPPへの移行を推奨していますが、互換性のために古いstringも引き続き読み取ります。

ヨーロッパと違い、Googleは米国に認定CMPを求めていません。ただし、州法が求めるオプトアウトの提供と、プライバシーポリシーを正しく保つ責任は、パブリッシャーにあります。