売上2,500万米ドル
年間売上が2,500万米ドル以上であることです。この条件がなければ、トラフィックがどれほど多くても、法律は適用されません。
ガイド · 米国の州法
ユタ州は、米国の州のプライバシー法の中でも特に軽い部類で、大きな企業にしか適用されません。それでも、対象となる企業は、ターゲティング広告を説明し、簡単な拒否の方法を提供する必要があります。自分のサイトにいつ適用されるのか、Googleがシグナルをどう扱うかを説明します。
概要
Utah Consumer Privacy Act(UCPA)は、ユタ州法典の第13編第61章にあります。2022年に可決され、2023年12月31日に施行されました。
UCPAはバージニア州法の構造に従っていますが、より軽い内容です。データ保護評価を求めず、サイトにブラウザの自動シグナルの尊重を義務づけず、機微なデータの処理も、事前の同意ではなく、通知と拒否の選択肢で認めています。
このグループの法律の中で、最低売上を求めている唯一の法律でもあります。年間売上が2,500万米ドル以上で、さらにユタ州の消費者が相当数いる企業だけが対象です。
対象となる企業にとって、中心となるルールは変わりません。サイトは、ターゲティング広告を行っていることを知らせ、訪問者が拒否するための分かりやすい経路を提供する必要があります。
チェックリスト
年間収益が2,500万米ドル以上で、さらに量に関する基準のいずれかを超える企業だけが対象です。
データを販売する、またはターゲティング広告を行う場合は、訪問者がどうオプトアウトするかを、明確で見やすく示す必要があります。法律は、リンクの文言を定めていません。
フッター: Do Not Sell or Share My Personal Information
通知には、データのカテゴリ、目的、権利の行使方法、第三者に渡すデータ、第三者の種類を載せます。
広告を表示するために閲覧データを使っています。このデータは広告ネットワークと共有します。オプトアウトするには、フッターのリンクを使ってください。
機微データを処理する前に、サイトは明確な通知とオプトアウトの機会を提供します。子どもとわかっている場合は、COPPAが適用されます。
依頼には45日以内に回答します。さらに45日が必要な場合は、サイトが訪問者に知らせ、どれだけ長くかかるかを伝えます。
2026年7月1日から、訪問者は誤ったデータの訂正も依頼できます。
GoogleはGPP文字列のユタ州のセクションに対応していません。ユタ州については、CMPがUS Nationalを送るか、サイトがタグで直接RDPをオンにする必要があります。
// GPT: liga o processamento restrito de dados (RDP)
// para quem recusou a venda ou a publicidade direcionada
googletag.cmd.push(function () {
googletag.pubads().setPrivacySettings({
restrictDataProcessing: true
});
});司法長官は書面で通知し、是正のために30日を与えます。違反が続くと、1件の違反につき最大7,500米ドルの罰金が科されます。
実例
公式ツール
Googleはユタ州にGoogle認定CMPを求めていません。GoogleのU.S. states向けメッセージはユタ州に対応しており、選択をUS Nationalセクションに記録します。以下が公式リンクです。
対象となる人
この法律は、ユタ州で事業を行う、または州の住民に商品やサービスを提供し、売上の条件と、量の条件のいずれかを満たす事業者に適用されます。
年間売上が2,500万米ドル以上であることです。この条件がなければ、トラフィックがどれほど多くても、法律は適用されません。
売上に加えて、1暦年にユタ州の消費者100,000人以上のデータを管理または処理していることです。
または、消費者25,000人のデータを処理し、総収益の50%超を個人データの販売から得ていることです。
公的機関、非営利団体、高等教育機関、そして連邦の金融法や医療法の対象となるデータです。
用語の定義
ユタ州は、バージニア州に似た、狭い定義を使っています。
特定された、または特定可能な個人に結びついている、または合理的に結びつけられる情報です。匿名化されたデータと公開データは含まれません。
人種や民族的出身、宗教、性的指向、在留資格、病歴や健康に関する履歴、遺伝データ、生体データ、正確な位置情報です。
個人データを、金銭と引き換えに第三者とやり取りすることです。バージニア州と同じく、金銭による支払いだけが対象です。
他社のサイトやアプリでの、時間をかけた個人の行動から得られたデータに基づいて選ばれる広告です。コンテキスト広告は含まれません。
権利
企業には45日以内に回答する期間があり、延長もできます。権利の一覧は、他の州より短くなっています。
企業が自分のデータを処理しているかを確認し、そのデータにアクセスすること。
自分が提供したデータを削除し、他のサービスに移せる形式でコピーを受け取ること。
2025年に可決された改正により、元の法律にはなかった、誤ったデータの訂正を求める権利が加わりました。
データをターゲティング広告に使わない、個人データを販売しないよう求めること。
サイトの義務
企業には、アクセスしやすく分かりやすいプライバシー通知が必要です。処理するデータのカテゴリ、目的、権利の行使方法、第三者に渡すデータのカテゴリ、その第三者のカテゴリを記載する必要があります。
サイトがデータを販売している、またはターゲティング広告を行っている場合は、訪問者が拒否できる方法を、分かりやすく見える形で示す必要があります。法律はリンクの文言を定めていませんが、フッターなど、見つけやすい場所にある必要があります。
機微なデータは、明確な通知と拒否の機会のあとにのみ処理できます。知っている子どものデータには、連邦法のCOPPAが適用され、保護者の同意が必要です。
ユタ州は、サイトにGlobal Privacy Controlやその他のブラウザの自動シグナルの尊重を求めておらず、データ保護評価も求めていません。だからといって、企業が自らの判断でGPCを尊重することを妨げるものではなく、むしろ複数の州での運用が簡単になります。
年表
UCPAは、施行以来、ほとんど変わっていません。
ユタ州が、包括的な消費者プライバシー法であるSB 227を可決しました。
権利、プライバシー通知、ターゲティング広告と販売のオプトアウトが有効になります。
訂正の権利を加える改正を、ユタ州議会が可決しました。
訪問者は、誤ったデータの訂正を求められるようになります。
執行と罰金
ユタ州では、司法長官だけが法律を執行する権限を持っています。州の消費者保護部門は、苦情を受け付けて調査し、事案を司法長官に回すことができます。市民がUCPAを根拠に企業を訴えることはできません。
訴訟を起こす前に、司法長官は少なくとも30日前までに、問題点をひとつずつ示した書面の通知を送る必要があります。企業がその期間内に是正し、是正したこと、今後は繰り返さないことを書面で宣言すれば、訴訟は起こされません。この是正期間には、終了日が設けられていません。
問題が続く場合や繰り返された場合、司法長官は、消費者の実際の損害と、違反1件につき最大7,500米ドルの罰金を請求できます。
実際には、30日の猶予は2度目のチャンスになりますが、通知を読んですぐに是正した場合に限られます。最初から通知と拒否の仕組みを動かしておけば、問題を避けられます。
AdSenseとAd Manager
IAB Tech Labは、GPP stringにユタ州専用のセクションを作りましたが、Googleはそれを受け付けていません。AdSenseのサポートページでは、ユタ州のセクションはサポート対象外のstringとして挙げられています。
ユタ州については、GoogleはUS Nationalセクションを読み取ります。そこに、販売、共有、ターゲティング広告の拒否が示されていると、Googleは制限付きデータ処理(RDP)を有効にし、パーソナライズされない広告だけを表示します。
AdSenseとAd Managerにある、米国の州向けのプライバシーとメッセージには、ユタ州が含まれていて、選択はUS Nationalセクションに記録されます。別のCMPを使っている場合は、州のセクションだけでなく、ユタ州の訪問者にUS Nationalも送られているかを確認してください。
もうひとつの方法は、拒否した人に対して、広告タグでRDPを直接有効にすることです。たとえばGPTでrestrictDataProcessingを使います。拒否の内容は、ヘッダー入札、動画、ピクセルのパートナーにも伝えるようにしてください。
実例
法律の基準を超えている、広告付きサイトの例です。
よくあるエラー
法律はシンプルですが、技術面でつまずくことが多いです。
CMPがGoogleの受け付けないユタ州のセクションだけを送っていて、広告リクエストはRDPなしのまま送られます。
ポリシーにCookieの記載はあっても、ターゲティング広告があることや、拒否の方法が書かれていません。
企業の売上が2,500万米ドルを超え、ユタ州の訪問者も10万人を超えているのに、拒否の手段がまったくありません。
2026年7月1日から有効な訂正の権利が、ポリシーに記載されていません。
ConsentModeでは
いいえ。この法律が適用されるのは、年間売上が2,500万米ドル以上で、さらに消費者数のいずれかの基準を超える事業者だけです。それでも、広告パートナーが拒否のシグナルを求めることはあります。
UCPAでは義務ではありません。ただ、カリフォルニア、コロラド、コネチカット、オレゴンなどの州では必須のため、多くのサイトが尊重しています。
ユタ州が求めるのは、処理の前の明確な通知と拒否の機会であり、事前の同意ではありません。子どもについては、連邦法のCOPPAが適用されます。
Googleに対しては、US Nationalです。AdSenseは、ユタ州のセクションを受け付けないとしています。
いいえ。ConsentModeはCMPではなく、サイトを変更しません。どのセクションが送られているか、何を調整すべきかを示します。
ライブラリ
このガイドは、次の公式ページをもとに作成しました。情報源を直接お読みください:
監査では、ユタ州の訪問者としてサイトを開き、広告に送られているstringを、何も変更せずに表示します。