消費者100,000人
暦年に、少なくとも10万人のバージニア州の消費者の個人データを管理または処理していること。広告のCookieがあるサイトの訪問者も数えられます。
ガイド · 米国の州法
バージニア州は、米国で2番目に包括的なプライバシー法を成立させた州で、ほかの多くの州のモデルになりました。ここでは、法律がサイトに適用される場合、法律がターゲティング広告と呼ぶもの、訪問者が拒否できることを説明します。
概要
Virginia Consumer Data Protection Act(VCDPA)は、バージニア州法典の59.1-575条から59.1-584条にあります。2021年に成立し、2023年1月1日、つまりカリフォルニア州でCPRAの変更が有効になったのと同じ日から有効になりました。
カリフォルニア州の法律と違い、VCDPAは、欧州のGDPRに似た、より簡素な構成で生まれました。管理者、処理者、データ保護評価、センシティブデータの同意です。コロラド、コネチカット、ユタ、テキサス、オレゴンなどの州は、この設計の大部分を取り入れました。
広告付きサイトにとっての実際の影響は次のとおりです。法律が適用される場合、バージニア州の訪問者はターゲティング広告を拒否でき、プライバシーポリシーでその方法を説明する必要があります。
この法律は、広告についてはオプトアウト型です。つまり、成人にパーソナライズ広告を表示する前に、許可を求める必要はありません。事前の許可が必要なのは、センシティブデータだけです。
チェックリスト
バージニア州法の基準のいずれかを超える場合が対象です。
サイトがターゲティング広告を行う、またはデータを販売する場合は、そのことを明確で見やすく示し、オプトアウトの方法も示す必要があります。法律は、リンクの文言を定めていません。
フッター: Your Privacy Choices、クリックするとターゲティング広告のオプトアウト画面が開く
通知には、データのカテゴリ、目的、権利の行使方法と不服申し立て、第三者に渡すデータ、第三者の種類を載せます。
データのカテゴリ: Cookie識別子と閲覧データ。目的: 広告の表示と測定。第三者: 広告ネットワーク。
権利を行使するための窓口は、安全で信頼でき、訪問者にアカウントの作成を求めるものであってはいけません。
機微データは同意がある場合にのみ処理できます。子どもとわかっている場合は、COPPAの形式での保護者の同意が適用され、法律は正確な位置情報の販売を禁じています。
回答は45日以内で、1回に限りさらに45日延長でき、年2回までは無料です。不服申し立てには60日以内に回答し、司法長官への苦情の出し方を案内します。
ターゲティング広告、データの販売、リスクのあるプロファイリング、機微データには、2023年1月1日以降に作られた活動について、文書化された評価が必要です。
サイトは、法律上の権利を行使した人に対して、サービスを拒否したり、異なる価格を請求したりしてはいけません。
GPP文字列のバージニア州のセクションまたはUS Nationalで、販売またはターゲティング広告のオプトアウトがあるとRDPがオンになります。GoogleのU.S. states向けメッセージも、バージニア州に対応しています。
// GPT: liga o processamento restrito de dados (RDP)
// para quem recusou a venda ou a publicidade direcionada
googletag.cmd.push(function () {
googletag.pubads().setPrivacySettings({
restrictDataProcessing: true
});
});実例
公式ツール
Googleはバージニア州にGoogle認定CMPを求めていません。GoogleのU.S. states向けメッセージ、GPPを生成するCMP、またはタグでのRDPを使ってください。以下が公式リンクです。
対象となる人
VCDPAは、バージニア州で事業を行う、または州の居住者に商品やサービスを提供し、1年間に次の基準のどれか1つに達する人に適用されます。売上の基準はありません。トラフィックの多い小規模な企業も対象になる可能性があります。
暦年に、少なくとも10万人のバージニア州の消費者の個人データを管理または処理していること。広告のCookieがあるサイトの訪問者も数えられます。
少なくとも2万5,000人の消費者のデータを処理し、総収益の50%超を個人データの販売から得ていること。
公的機関、非営利団体、大学、連邦法のGLBAの対象となる金融機関、HIPAAの対象となる医療機関です。
法律が保護するのは、個人的または家庭内の文脈で行動する住民です。従業員や取引先の連絡先のデータは対象外です。
用語の定義
VCDPAは、各概念をカリフォルニア州より狭く定義しており、これが結果を大きく変えます。
特定された、または特定できる人物に結び付けられる、または合理的に結び付けられる情報すべてです。匿名化されたデータと公開されているデータは含まれません。
人種的または民族的出身、宗教、健康の診断、性的指向、在留資格、遺伝データと生体データ、子どもであることが分かっている人のデータ、半径1,750フィート(約530メートル)以内の正確な位置情報です。
個人データを、金銭と引き換えに第三者に渡すことです。バージニア州が数えるのは金銭による支払いだけで、他の種類の価値を含める州とは異なります。
他の会社のサイトやアプリでの、時間をかけた本人の活動のデータに基づいて選ばれる広告です。コンテキスト広告や、自社サイトだけに基づく広告は含まれません。
権利
企業は45日以内に回答し、1回だけさらに45日延長できます。年に2回までの請求は無料で、請求が拒否された場合は不服を申し立てられます。
企業が自分のデータを処理しているかを確認し、そのデータを見て、別のサービスに持ち出せる形式でコピーを受け取れます。
誤ったデータの訂正と、本人が提供した、または本人について取得したデータの削除を求められます。
ターゲティング広告、データの販売、法的な効果、またはそれと同じくらい重要な効果を持つ決定に使われるプロファイルの作成を拒否できます。
拒否に対して不服を申し立てられます。企業は不服申し立てに60日以内に回答し、再び拒否する場合は、司法長官への苦情の申し立て方法を伝えなければなりません。
サイトの義務
企業には、分かりやすく、アクセスしやすいプライバシー通知が必要です。通知には、処理するデータのカテゴリ、目的、権利の行使と不服申し立ての方法、第三者に渡すデータのカテゴリ、その第三者のカテゴリを載せる必要があります。
サイトがターゲティング広告を行う、またはデータを販売する場合は、そのことを、拒否の経路とあわせて、分かりやすく目立つ形で書く必要があります。法律はリンクの正確な文言を定めていませんが、経路は安全で信頼でき、新しいアカウントの作成を求めてはいけません。
センシティブデータは、同意がある場合にだけ処理できます。子どもであることが分かっている人、つまり13歳未満については、連邦法のCOPPAの形式による保護者の同意が適用されます。また、法律は正確な位置情報の販売を禁止し、保護者のこの同意なしに、子どもであることが分かっている人のデータをターゲティング広告や販売に使うことも禁止しています。
VCDPAは、Global Privacy Controlのような、ブラウザの自動シグナルをサイトが尊重することを求めていません。それでも多くのサイトがGPCを尊重しているのは、ほかの州が義務付けているためで、また、全国で1つのルールにするほうが維持しやすいためです。
年表
VCDPAは、施行されてからほとんど変わっていません。変更の中心は、子どもとティーンエイジャーに関するものでした。
バージニア州が、包括的な消費者プライバシー法を持つ、2番目の州になります。
権利、ターゲティング広告のオプトアウト、データ保護評価が有効になります。
子どもであることが分かっている人のデータの保護が拡大され、ターゲティング広告と正確な位置情報に制限が加わります。
改正により、16歳未満のユーザーがいるソーシャルメディアのプラットフォームについて、1日の利用時間の上限などのルールが定められます。ブログやポータルサイトは対象ではありません。
評価、執行、罰金
対象となる企業は、ターゲティング広告、データの販売、リスクのあるプロファイリング、センシティブデータ、その他のリスクの高い処理について、データ保護評価を実施し、保管する必要があります。評価は、消費者にとっての利益とリスクを比較するもので、2023年1月1日以降に作られた活動に適用されます。司法長官は調査の際にその提出を求めることができ、評価は公開から保護されます。
バージニア州では、司法長官だけが法律を執行します。市民がVCDPAを根拠に企業を訴えることはできません。
訴訟を起こす前に、司法長官は書面の通知を送る必要があります。企業には、是正して、是正したこと、繰り返さないことを宣言する書面を送るための30日があります。ほかの州と違い、この是正期間には、終了日が設けられていません。
企業が是正しない場合や、再び違反した場合、民事制裁金は違反1件につき最大7,500米ドルで、費用や弁護士費用も加わります。影響を受けた訪問者ごとに数えられることがあるため、単純な不備でも金額が大きくなる可能性があります。
AdSenseとAd Manager
AdSenseとAd Managerは、プライバシーシグナルのIAB Tech Lab形式であるGPP stringを読み取ります。バージニア州については、Googleは州専用のセクションとUS Nationalセクションを受け付けます。訪問者が販売やターゲティング広告を拒否すると、Googleは制限付きデータ処理(RDP)を有効にし、パーソナライズされない広告だけを表示するようになります。
バージニア州のセクションでは、Googleは、子どもであることが分かっている人のセンシティブデータの同意のフィールドも読み取り、必要に応じて子ども向けの扱いを適用します。
AdSenseとAd Managerにある、米国の州向けのプライバシーとメッセージには、バージニア州が含まれます。拒否のリンクを表示し、選択をGPPに記録します。もうひとつの方法は、サイト独自のリンクで拒否した人に対して、広告タグでRDPを直接有効にすることです。
ヘッダー入札、動画、ピクセル、他社のウィジェットにもデータが渡されることを忘れないでください。拒否は、Googleだけでなく、そのすべてに届く必要があります。
実例
バージニア州の訪問者がいる広告付きサイトの、日々の例です。
よくあるエラー
法律はカリフォルニア州より簡単ですが、同じ問題が起こります。
サイトがオプトアウトのメッセージをカリフォルニア州にだけ表示し、バージニア州や、似た法律のあるほかの州を忘れています。
ポリシーにはCookieの記載がありますが、データがターゲティング広告に使われることや、拒否の方法が書かれていません。
訪問者は拒否をクリックしますが、GPP stringが生成されず、広告リクエストはRDPなしで送られ続けます。
企業が基準を超え、ターゲティング広告を行っているのに、書面のデータ保護評価がまったくありません。
ConsentModeでは
成人向けのパーソナライズ広告には必要ありません。法律が求めるのは、事前の許可ではなくオプトアウトです。同意が必要なのは、健康や正確な位置情報などのセンシティブデータだけです。
バージニア州が販売とみなすのは、金銭との交換だけです。販売がなくても、ほかのサイトでの閲覧に基づくパーソナライズ広告はターゲティング広告であり、訪問者は拒否できます。
VCDPAの条文は求めていません。ただ、カリフォルニア、コロラド、コネチカット、オレゴンは求めているため、全国でGPCを尊重するほうが簡単なのが普通です。
是正して書面の宣言を送るための30日があります。是正すれば、訴訟にはなりません。是正しない、または不備を繰り返すと、制裁金は違反1件につき最大7,500米ドルになりえます。
いいえ。ConsentModeは外からサイトを監査し、どのパートナーがデータを受け取っているか、どのシグナルが送られているかを示すので、評価の作成に役立ちます。文書の作成は、企業の責任です。
ライブラリ
このガイドは、次の公式ページをもとに作成しました。情報源を直接お読みください:
監査では、バージニア州の訪問者としてサイトを開き、何も変更せずに、直すべき点を示します。