ワークスペースへ

ガイド · 米国の州法

広告を出す人のためのUCPAの解説:ユタ州の法律

ユタ州は、米国の州のプライバシー法の中でも特に軽い部類で、大きな企業にしか適用されません。それでも、対象となる企業は、ターゲティング広告を説明し、簡単な拒否の方法を提供する必要があります。自分のサイトにいつ適用されるのか、Googleがシグナルをどう扱うかを説明します。

  • ✓ユタ州法典の公式の条文に基づいています
  • ✓AdSenseとAd Managerを使うサイトを想定した例
  • ✓サイトを変更しない読み取り専用の監査
2,500万米ドル法律が適用される最低の年間売上。消費者数の基準と合わせて判断されます
100,000年間のユタ州の消費者。売上の基準を超えた企業に対する、量の基準
30日司法長官の書面の通知のあと、不備を是正するための期間
1件の違反につき、民事上の罰金の上限消費者への実損害に加えた、1件の違反あたりの罰金の上限

概要

小規模事業者の負担にならないよう考えられた、簡潔な法律

Utah Consumer Privacy Act(UCPA)は、ユタ州法典の第13編第61章にあります。2022年に可決され、2023年12月31日に施行されました。

UCPAはバージニア州法の構造に従っていますが、より軽い内容です。データ保護評価を求めず、サイトにブラウザの自動シグナルの尊重を義務づけず、機微なデータの処理も、事前の同意ではなく、通知と拒否の選択肢で認めています。

このグループの法律の中で、最低売上を求めている唯一の法律でもあります。年間売上が2,500万米ドル以上で、さらにユタ州の消費者が相当数いる企業だけが対象です。

対象となる企業にとって、中心となるルールは変わりません。サイトは、ターゲティング広告を行っていることを知らせ、訪問者が拒否するための分かりやすい経路を提供する必要があります。

チェックリスト

満たすべきこと

年間収益が2,500万米ドル以上で、さらに量に関する基準のいずれかを超える企業だけが対象です。

  1. オプトアウトの方法をわかりやすく示す

    データを販売する、またはターゲティング広告を行う場合は、訪問者がどうオプトアウトするかを、明確で見やすく示す必要があります。法律は、リンクの文言を定めていません。

    例

    フッター: Do Not Sell or Share My Personal Information

  2. 明確なプライバシー通知を公開する

    通知には、データのカテゴリ、目的、権利の行使方法、第三者に渡すデータ、第三者の種類を載せます。

    例

    広告を表示するために閲覧データを使っています。このデータは広告ネットワークと共有します。オプトアウトするには、フッターのリンクを使ってください。

  3. 機微データを使う前に知らせる

    機微データを処理する前に、サイトは明確な通知とオプトアウトの機会を提供します。子どもとわかっている場合は、COPPAが適用されます。

  4. 45日以内に回答する

    依頼には45日以内に回答します。さらに45日が必要な場合は、サイトが訪問者に知らせ、どれだけ長くかかるかを伝えます。

  5. 訂正の依頼に対応する

    2026年7月1日から、訪問者は誤ったデータの訂正も依頼できます。

  6. GoogleではUS Nationalセクションを使う

    GoogleはGPP文字列のユタ州のセクションに対応していません。ユタ州については、CMPがUS Nationalを送るか、サイトがタグで直接RDPをオンにする必要があります。

    // GPT: liga o processamento restrito de dados (RDP)
    // para quem recusou a venda ou a publicidade direcionada
    googletag.cmd.push(function () {
      googletag.pubads().setPrivacySettings({
        restrictDataProcessing: true
      });
    });
  7. 通知を受けたらすぐ是正する

    司法長官は書面で通知し、是正のために30日を与えます。違反が続くと、1件の違反につき最大7,500米ドルの罰金が科されます。

実例

正しい例と間違った例

公式ツール

認定CMPと公式リンク

Googleはユタ州にGoogle認定CMPを求めていません。GoogleのU.S. states向けメッセージはユタ州に対応しており、選択をUS Nationalセクションに記録します。以下が公式リンクです。

対象となる人

売上と量、両方を同時に満たす

この法律は、ユタ州で事業を行う、または州の住民に商品やサービスを提供し、売上の条件と、量の条件のいずれかを満たす事業者に適用されます。

売上2,500万米ドル

年間売上が2,500万米ドル以上であることです。この条件がなければ、トラフィックがどれほど多くても、法律は適用されません。

消費者100,000人

売上に加えて、1暦年にユタ州の消費者100,000人以上のデータを管理または処理していることです。

または25,000人とデータの販売

または、消費者25,000人のデータを処理し、総収益の50%超を個人データの販売から得ていることです。

対象外となる人

公的機関、非営利団体、高等教育機関、そして連邦の金融法や医療法の対象となるデータです。

用語の定義

広告を販売する人にとって重要な用語

ユタ州は、バージニア州に似た、狭い定義を使っています。

個人データ

特定された、または特定可能な個人に結びついている、または合理的に結びつけられる情報です。匿名化されたデータと公開データは含まれません。

機密データ

人種や民族的出身、宗教、性的指向、在留資格、病歴や健康に関する履歴、遺伝データ、生体データ、正確な位置情報です。

販売

個人データを、金銭と引き換えに第三者とやり取りすることです。バージニア州と同じく、金銭による支払いだけが対象です。

ターゲティング広告

他社のサイトやアプリでの、時間をかけた個人の行動から得られたデータに基づいて選ばれる広告です。コンテキスト広告は含まれません。

権利

ユタ州の訪問者が請求できること

企業には45日以内に回答する期間があり、延長もできます。権利の一覧は、他の州より短くなっています。

アクセス

企業が自分のデータを処理しているかを確認し、そのデータにアクセスすること。

削除とポータビリティ

自分が提供したデータを削除し、他のサービスに移せる形式でコピーを受け取ること。

2026年7月1日からの訂正

2025年に可決された改正により、元の法律にはなかった、誤ったデータの訂正を求める権利が加わりました。

オプトアウト

データをターゲティング広告に使わない、個人データを販売しないよう求めること。

サイトの義務

プライバシー通知、拒否、機微なデータ

企業には、アクセスしやすく分かりやすいプライバシー通知が必要です。処理するデータのカテゴリ、目的、権利の行使方法、第三者に渡すデータのカテゴリ、その第三者のカテゴリを記載する必要があります。

サイトがデータを販売している、またはターゲティング広告を行っている場合は、訪問者が拒否できる方法を、分かりやすく見える形で示す必要があります。法律はリンクの文言を定めていませんが、フッターなど、見つけやすい場所にある必要があります。

機微なデータは、明確な通知と拒否の機会のあとにのみ処理できます。知っている子どものデータには、連邦法のCOPPAが適用され、保護者の同意が必要です。

ユタ州は、サイトにGlobal Privacy Controlやその他のブラウザの自動シグナルの尊重を求めておらず、データ保護評価も求めていません。だからといって、企業が自らの判断でGPCを尊重することを妨げるものではなく、むしろ複数の州での運用が簡単になります。

年表

ユタ州法の日程

UCPAは、施行以来、ほとんど変わっていません。

  1. 2022

    法律の可決

    ユタ州が、包括的な消費者プライバシー法であるSB 227を可決しました。

  2. 2023年12月31日

    施行

    権利、プライバシー通知、ターゲティング広告と販売のオプトアウトが有効になります。

  3. 2025

    改正の可決

    訂正の権利を加える改正を、ユタ州議会が可決しました。

  4. 2026年7月1日

    訂正の権利が施行

    訪問者は、誤ったデータの訂正を求められるようになります。

執行と罰金

司法長官、消費者保護部門、30日間の猶予

ユタ州では、司法長官だけが法律を執行する権限を持っています。州の消費者保護部門は、苦情を受け付けて調査し、事案を司法長官に回すことができます。市民がUCPAを根拠に企業を訴えることはできません。

訴訟を起こす前に、司法長官は少なくとも30日前までに、問題点をひとつずつ示した書面の通知を送る必要があります。企業がその期間内に是正し、是正したこと、今後は繰り返さないことを書面で宣言すれば、訴訟は起こされません。この是正期間には、終了日が設けられていません。

問題が続く場合や繰り返された場合、司法長官は、消費者の実際の損害と、違反1件につき最大7,500米ドルの罰金を請求できます。

実際には、30日の猶予は2度目のチャンスになりますが、通知を読んですぐに是正した場合に限られます。最初から通知と拒否の仕組みを動かしておけば、問題を避けられます。

AdSenseとAd Manager

Googleがユタ州の訪問者をどう扱うか

IAB Tech Labは、GPP stringにユタ州専用のセクションを作りましたが、Googleはそれを受け付けていません。AdSenseのサポートページでは、ユタ州のセクションはサポート対象外のstringとして挙げられています。

ユタ州については、GoogleはUS Nationalセクションを読み取ります。そこに、販売、共有、ターゲティング広告の拒否が示されていると、Googleは制限付きデータ処理(RDP)を有効にし、パーソナライズされない広告だけを表示します。

AdSenseとAd Managerにある、米国の州向けのプライバシーとメッセージには、ユタ州が含まれていて、選択はUS Nationalセクションに記録されます。別のCMPを使っている場合は、州のセクションだけでなく、ユタ州の訪問者にUS Nationalも送られているかを確認してください。

もうひとつの方法は、拒否した人に対して、広告タグでRDPを直接有効にすることです。たとえばGPTでrestrictDataProcessingを使います。拒否の内容は、ヘッダー入札、動画、ピクセルのパートナーにも伝えるようにしてください。

実例

ユタ州でできること、できないこと

法律の基準を超えている、広告付きサイトの例です。

してよいこと

  • 事前に許可を求めずにパーソナライズ広告を表示し、見やすい拒否リンクを置く
  • ユタ州の訪問者の拒否を、GPPのUS Nationalセクションに記録する
  • 義務がなくても、自主的にGPCを尊重する
  • 明確な通知と拒否の選択肢を示したうえで、センシティブデータを処理する
  • 拒否した人には、コンテキスト広告を表示する

してはいけないこと

  • ユタ州のセクションだけを送って、Googleが読み取ってくれると思い込む
  • 拒否の方法を、プライバシーポリシーの途中に隠す
  • 通知も拒否の機会もなく、健康データや正確な位置情報を処理する
  • 司法長官からの通知を無視して、30日の期限を逃す
  • 2026年7月以降に、誤ったデータの訂正を拒否する

よくあるエラー

ユタ州でサイトがよく間違える点

法律はシンプルですが、技術面でつまずくことが多いです。

GPPのセクションが違う

CMPがGoogleの受け付けないユタ州のセクションだけを送っていて、広告リクエストはRDPなしのまま送られます。

広告について書かれていないポリシー

ポリシーにCookieの記載はあっても、ターゲティング広告があることや、拒否の方法が書かれていません。

ユタ州は関係ないと思い込む

企業の売上が2,500万米ドルを超え、ユタ州の訪問者も10万人を超えているのに、拒否の手段がまったくありません。

古い権利の記載

2026年7月1日から有効な訂正の権利が、ポリシーに記載されていません。

ConsentModeでは

UCPAについて監査で確認すること

  • ユタ州の訪問者としてサイトを開き、ターゲティング広告の拒否リンクが、見やすい場所にあるかを探します。
  • 広告リクエストのGPP stringを読み取り、Googleがユタ州で読むUS Nationalセクションが含まれているかを示します。
  • CMPを特定し、広告リクエストやヘッダー入札のリクエストの前に、拒否によってstringが変わるかを確認します。
  • サイトがGPCを尊重しているかを記録します。ユタ州では必須ではありませんが、ほかの州では必須です。
  • プライバシーポリシーを読み、目的、第三者、権利、拒否の方法が欠けていないかを指摘します。

ユタ州法に関するよくある質問

サイトの売上が2,500万米ドル未満です。UCPAは適用されますか?

いいえ。この法律が適用されるのは、年間売上が2,500万米ドル以上で、さらに消費者数のいずれかの基準を超える事業者だけです。それでも、広告パートナーが拒否のシグナルを求めることはあります。

ユタ州ではGPCを尊重する必要がありますか?

UCPAでは義務ではありません。ただ、カリフォルニア、コロラド、コネチカット、オレゴンなどの州では必須のため、多くのサイトが尊重しています。

センシティブデータには同意が必要ですか?

ユタ州が求めるのは、処理の前の明確な通知と拒否の機会であり、事前の同意ではありません。子どもについては、連邦法のCOPPAが適用されます。

ユタ州にはGPPのどのセクションを送ればよいですか?

Googleに対しては、US Nationalです。AdSenseは、ユタ州のセクションを受け付けないとしています。

ConsentModeは私のCMPを設定してくれますか?

いいえ。ConsentModeはCMPではなく、サイトを変更しません。どのセクションが送られているか、何を調整すべきかを示します。

ライブラリ

公式の情報源

このガイドは、次の公式ページをもとに作成しました。情報源を直接お読みください:

Googleがあなたの拒否を読み取っているかを確かめる

監査では、ユタ州の訪問者としてサイトを開き、広告に送られているstringを、何も変更せずに表示します。

監査を始める