ワークスペースへ

ガイド · 米国の州法

VCDPA:広告を出す人のためのバージニア州法の解説

バージニア州は、米国で2番目に包括的なプライバシー法を成立させた州で、ほかの多くの州のモデルになりました。ここでは、法律がサイトに適用される場合、法律がターゲティング広告と呼ぶもの、訪問者が拒否できることを説明します。

  • ✓バージニア州法典の公式条文に基づいています
  • ✓AdSenseとAd Managerを使うサイトを想定した例
  • ✓サイトを変更しない読み取り専用の監査
100,000年間のバージニア州の消費者数。法律が適用されるための主な基準
30日司法長官の通知のあと、訴訟の前に問題を是正できる期間
1件の違反につき、民事上の罰金の上限消費者の請求に回答する期限。さらに45日延長できる
45日消費者の請求に回答する期限。同じ期間だけ1回延長できる

概要

米国の半数の州のモデルになった法律

Virginia Consumer Data Protection Act(VCDPA)は、バージニア州法典の59.1-575条から59.1-584条にあります。2021年に成立し、2023年1月1日、つまりカリフォルニア州でCPRAの変更が有効になったのと同じ日から有効になりました。

カリフォルニア州の法律と違い、VCDPAは、欧州のGDPRに似た、より簡素な構成で生まれました。管理者、処理者、データ保護評価、センシティブデータの同意です。コロラド、コネチカット、ユタ、テキサス、オレゴンなどの州は、この設計の大部分を取り入れました。

広告付きサイトにとっての実際の影響は次のとおりです。法律が適用される場合、バージニア州の訪問者はターゲティング広告を拒否でき、プライバシーポリシーでその方法を説明する必要があります。

この法律は、広告についてはオプトアウト型です。つまり、成人にパーソナライズ広告を表示する前に、許可を求める必要はありません。事前の許可が必要なのは、センシティブデータだけです。

チェックリスト

満たすべきこと

バージニア州法の基準のいずれかを超える場合が対象です。

  1. オプトアウトの方法をわかりやすく示す

    サイトがターゲティング広告を行う、またはデータを販売する場合は、そのことを明確で見やすく示し、オプトアウトの方法も示す必要があります。法律は、リンクの文言を定めていません。

    例

    フッター: Your Privacy Choices、クリックするとターゲティング広告のオプトアウト画面が開く

  2. 完全なプライバシー通知を公開する

    通知には、データのカテゴリ、目的、権利の行使方法と不服申し立て、第三者に渡すデータ、第三者の種類を載せます。

    例

    データのカテゴリ: Cookie識別子と閲覧データ。目的: 広告の表示と測定。第三者: 広告ネットワーク。

  3. 新しいアカウントを求めない

    権利を行使するための窓口は、安全で信頼でき、訪問者にアカウントの作成を求めるものであってはいけません。

  4. 機微データには同意を求める

    機微データは同意がある場合にのみ処理できます。子どもとわかっている場合は、COPPAの形式での保護者の同意が適用され、法律は正確な位置情報の販売を禁じています。

  5. 回答し、不服申し立てを受け付ける

    回答は45日以内で、1回に限りさらに45日延長でき、年2回までは無料です。不服申し立てには60日以内に回答し、司法長官への苦情の出し方を案内します。

  6. データ保護評価を行う

    ターゲティング広告、データの販売、リスクのあるプロファイリング、機微データには、2023年1月1日以降に作られた活動について、文書化された評価が必要です。

  7. 権利を行使した人を不利に扱わない

    サイトは、法律上の権利を行使した人に対して、サービスを拒否したり、異なる価格を請求したりしてはいけません。

  8. オプトアウトをGoogleに伝える

    GPP文字列のバージニア州のセクションまたはUS Nationalで、販売またはターゲティング広告のオプトアウトがあるとRDPがオンになります。GoogleのU.S. states向けメッセージも、バージニア州に対応しています。

    // GPT: liga o processamento restrito de dados (RDP)
    // para quem recusou a venda ou a publicidade direcionada
    googletag.cmd.push(function () {
      googletag.pubads().setPrivacySettings({
        restrictDataProcessing: true
      });
    });

実例

正しい例と間違った例

公式ツール

認定CMPと公式リンク

Googleはバージニア州にGoogle認定CMPを求めていません。GoogleのU.S. states向けメッセージ、GPPを生成するCMP、またはタグでのRDPを使ってください。以下が公式リンクです。

対象となる人

売上ではなく、訪問者の数

VCDPAは、バージニア州で事業を行う、または州の居住者に商品やサービスを提供し、1年間に次の基準のどれか1つに達する人に適用されます。売上の基準はありません。トラフィックの多い小規模な企業も対象になる可能性があります。

消費者100,000人

暦年に、少なくとも10万人のバージニア州の消費者の個人データを管理または処理していること。広告のCookieがあるサイトの訪問者も数えられます。

2万5,000人と、収益の半分超

少なくとも2万5,000人の消費者のデータを処理し、総収益の50%超を個人データの販売から得ていること。

対象外となる人

公的機関、非営利団体、大学、連邦法のGLBAの対象となる金融機関、HIPAAの対象となる医療機関です。

個人としての消費者のみ

法律が保護するのは、個人的または家庭内の文脈で行動する住民です。従業員や取引先の連絡先のデータは対象外です。

用語の定義

広告を販売する人にとって重要な用語

VCDPAは、各概念をカリフォルニア州より狭く定義しており、これが結果を大きく変えます。

個人データ

特定された、または特定できる人物に結び付けられる、または合理的に結び付けられる情報すべてです。匿名化されたデータと公開されているデータは含まれません。

機密データ

人種的または民族的出身、宗教、健康の診断、性的指向、在留資格、遺伝データと生体データ、子どもであることが分かっている人のデータ、半径1,750フィート(約530メートル)以内の正確な位置情報です。

販売

個人データを、金銭と引き換えに第三者に渡すことです。バージニア州が数えるのは金銭による支払いだけで、他の種類の価値を含める州とは異なります。

ターゲティング広告

他の会社のサイトやアプリでの、時間をかけた本人の活動のデータに基づいて選ばれる広告です。コンテキスト広告や、自社サイトだけに基づく広告は含まれません。

権利

バージニア州の訪問者が求められること

企業は45日以内に回答し、1回だけさらに45日延長できます。年に2回までの請求は無料で、請求が拒否された場合は不服を申し立てられます。

アクセスとポータビリティ

企業が自分のデータを処理しているかを確認し、そのデータを見て、別のサービスに持ち出せる形式でコピーを受け取れます。

訂正と削除

誤ったデータの訂正と、本人が提供した、または本人について取得したデータの削除を求められます。

オプトアウト

ターゲティング広告、データの販売、法的な効果、またはそれと同じくらい重要な効果を持つ決定に使われるプロファイルの作成を拒否できます。

不服申し立て

拒否に対して不服を申し立てられます。企業は不服申し立てに60日以内に回答し、再び拒否する場合は、司法長官への苦情の申し立て方法を伝えなければなりません。

サイトの義務

プライバシー通知、オプトアウト、センシティブデータ

企業には、分かりやすく、アクセスしやすいプライバシー通知が必要です。通知には、処理するデータのカテゴリ、目的、権利の行使と不服申し立ての方法、第三者に渡すデータのカテゴリ、その第三者のカテゴリを載せる必要があります。

サイトがターゲティング広告を行う、またはデータを販売する場合は、そのことを、拒否の経路とあわせて、分かりやすく目立つ形で書く必要があります。法律はリンクの正確な文言を定めていませんが、経路は安全で信頼でき、新しいアカウントの作成を求めてはいけません。

センシティブデータは、同意がある場合にだけ処理できます。子どもであることが分かっている人、つまり13歳未満については、連邦法のCOPPAの形式による保護者の同意が適用されます。また、法律は正確な位置情報の販売を禁止し、保護者のこの同意なしに、子どもであることが分かっている人のデータをターゲティング広告や販売に使うことも禁止しています。

VCDPAは、Global Privacy Controlのような、ブラウザの自動シグナルをサイトが尊重することを求めていません。それでも多くのサイトがGPCを尊重しているのは、ほかの州が義務付けているためで、また、全国で1つのルールにするほうが維持しやすいためです。

年表

バージニア州法の日付

VCDPAは、施行されてからほとんど変わっていません。変更の中心は、子どもとティーンエイジャーに関するものでした。

  1. 2021

    法律の可決

    バージニア州が、包括的な消費者プライバシー法を持つ、2番目の州になります。

  2. 2023年1月1日

    施行

    権利、ターゲティング広告のオプトアウト、データ保護評価が有効になります。

  3. 2024

    子ども向けのルール

    子どもであることが分かっている人のデータの保護が拡大され、ターゲティング広告と正確な位置情報に制限が加わります。

  4. 2025

    ソーシャルメディアと16歳未満

    改正により、16歳未満のユーザーがいるソーシャルメディアのプラットフォームについて、1日の利用時間の上限などのルールが定められます。ブログやポータルサイトは対象ではありません。

評価、執行、罰金

書面による評価、事前の通知、最大7,500米ドルの制裁金

対象となる企業は、ターゲティング広告、データの販売、リスクのあるプロファイリング、センシティブデータ、その他のリスクの高い処理について、データ保護評価を実施し、保管する必要があります。評価は、消費者にとっての利益とリスクを比較するもので、2023年1月1日以降に作られた活動に適用されます。司法長官は調査の際にその提出を求めることができ、評価は公開から保護されます。

バージニア州では、司法長官だけが法律を執行します。市民がVCDPAを根拠に企業を訴えることはできません。

訴訟を起こす前に、司法長官は書面の通知を送る必要があります。企業には、是正して、是正したこと、繰り返さないことを宣言する書面を送るための30日があります。ほかの州と違い、この是正期間には、終了日が設けられていません。

企業が是正しない場合や、再び違反した場合、民事制裁金は違反1件につき最大7,500米ドルで、費用や弁護士費用も加わります。影響を受けた訪問者ごとに数えられることがあるため、単純な不備でも金額が大きくなる可能性があります。

AdSenseとAd Manager

Googleがバージニア州の訪問者をどう扱うか

AdSenseとAd Managerは、プライバシーシグナルのIAB Tech Lab形式であるGPP stringを読み取ります。バージニア州については、Googleは州専用のセクションとUS Nationalセクションを受け付けます。訪問者が販売やターゲティング広告を拒否すると、Googleは制限付きデータ処理(RDP)を有効にし、パーソナライズされない広告だけを表示するようになります。

バージニア州のセクションでは、Googleは、子どもであることが分かっている人のセンシティブデータの同意のフィールドも読み取り、必要に応じて子ども向けの扱いを適用します。

AdSenseとAd Managerにある、米国の州向けのプライバシーとメッセージには、バージニア州が含まれます。拒否のリンクを表示し、選択をGPPに記録します。もうひとつの方法は、サイト独自のリンクで拒否した人に対して、広告タグでRDPを直接有効にすることです。

ヘッダー入札、動画、ピクセル、他社のウィジェットにもデータが渡されることを忘れないでください。拒否は、Googleだけでなく、そのすべてに届く必要があります。

実例

バージニア州でできること、できないこと

バージニア州の訪問者がいる広告付きサイトの、日々の例です。

してよいこと

  • 成人に、事前に許可を求めずにパーソナライズ広告を表示し、オプトアウトを提供する
  • フッターに拒否のリンクを置き、簡単な選択画面につなげる
  • 拒否を、GPP stringのバージニア州またはUS Nationalのセクションに記録する
  • サイトにすでにアカウントがある人のアクセス請求には、ログインを求める
  • 複雑な請求には90日以内に回答し、最初の45日以内に訪問者に連絡する

してはいけないこと

  • ターゲティング広告を拒否するだけのために、アカウントの作成を求める
  • 同意なしに、健康データや正確な位置情報を処理する
  • 通知があっても、訪問者の正確な位置情報を販売する
  • サイトがターゲティング広告を行っていることを、ポリシーの中に隠す
  • 同じ訪問者の、年の最初の2回の請求に料金を課す

よくあるエラー

広告付きサイトがつまずきやすい点

法律はカリフォルニア州より簡単ですが、同じ問題が起こります。

カリフォルニア州だけが重要だと思い込む

サイトがオプトアウトのメッセージをカリフォルニア州にだけ表示し、バージニア州や、似た法律のあるほかの州を忘れています。

「広告」という言葉がないポリシー

ポリシーにはCookieの記載がありますが、データがターゲティング広告に使われることや、拒否の方法が書かれていません。

訪問者はバナーで拒否していますが、updateが送られません。タグは、何も変わっていないかのように動き続けます。

訪問者は拒否をクリックしますが、GPP stringが生成されず、広告リクエストはRDPなしで送られ続けます。

一度も実施されていない評価

企業が基準を超え、ターゲティング広告を行っているのに、書面のデータ保護評価がまったくありません。

ConsentModeでは

VCDPAについて監査で確認すること

  • バージニア州の訪問者としてサイトを開き、ターゲティング広告の拒否のリンクまたはボタンを探します。
  • ページのコードからCMPを特定し、カリフォルニア州以外でもメッセージが表示されるかを確認します。
  • 広告リクエストのGPP stringを読み取り、クリックの後で、バージニア州またはUS Nationalのセクションが拒否を示しているかを確認します。
  • GPCをオンにして、サイトがシグナルを変えるかを記録します。バージニア州では必須ではありませんが、ほかの州では必須です。
  • プライバシーポリシーを読み、目的、第三者のカテゴリ、権利、不服申し立ての経路が欠けていないかを指摘します。

VCDPAに関するよくある質問

バージニア州向けに同意バナーは必要ですか?

成人向けのパーソナライズ広告には必要ありません。法律が求めるのは、事前の許可ではなくオプトアウトです。同意が必要なのは、健康や正確な位置情報などのセンシティブデータだけです。

バージニア州では、AdSenseはデータの販売に当たりますか?

バージニア州が販売とみなすのは、金銭との交換だけです。販売がなくても、ほかのサイトでの閲覧に基づくパーソナライズ広告はターゲティング広告であり、訪問者は拒否できます。

バージニア州では、GPCを尊重する義務がありますか?

VCDPAの条文は求めていません。ただ、カリフォルニア、コロラド、コネチカット、オレゴンは求めているため、全国でGPCを尊重するほうが簡単なのが普通です。

司法長官から通知が来たらどうなりますか?

是正して書面の宣言を送るための30日があります。是正すれば、訴訟にはなりません。是正しない、または不備を繰り返すと、制裁金は違反1件につき最大7,500米ドルになりえます。

ConsentModeはデータ保護評価をしてくれますか?

いいえ。ConsentModeは外からサイトを監査し、どのパートナーがデータを受け取っているか、どのシグナルが送られているかを示すので、評価の作成に役立ちます。文書の作成は、企業の責任です。

ライブラリ

公式の情報源

このガイドは、次の公式ページをもとに作成しました。情報源を直接お読みください:

バージニア州の拒否が広告に届いているかを確認する

監査では、バージニア州の訪問者としてサイトを開き、何も変更せずに、直すべき点を示します。

監査を始める