グローバルプライバシープラットフォームとは実際に何か

GPPはトランスポートプロトコルであり、新しいコンセントフレームワークではありません。これは、複数の地域固有のコンセントシグナルを単一のBase64文字列にエンコードするコンテナで、SSP、DSP、測定ベンダーが照会できる標準のJavaScript API（__gpp()）を通じて公開されます。各地域にはGPP文字列内に独自のセクションがあります。セクション2はTCF EU v2を、セクション6はUS Privacy（廃止）を、セクション7はUSNatをカバーし、セクション8から12はそれぞれカリフォルニア、バージニア、コロラド、ユタ、コネチカットをカバーします。テキサス、オレゴン、モンタナおよびその他の州の追加セクションは、それらの法律が発効するにつれて追加されています。

重要な設計上の選択は、単一のGPP文字列が複数のセクションを同時に持てることです。ヨーロッパの訪問者はTCF EUデータを受け取り、カリフォルニアの訪問者はUS-CAデータを受け取り、IPが両方の管轄区域にジオロケートされるユーザー（VPN経由で稀ですが可能）は両方のセクションに値が入ります。アドテクベンダーは自分たちに関連するセクションのみを読み取り、残りは無視します。

GPPが存在する理由と今重要な理由

GPP以前は、米国の新しい州のプライバシー法が施行されるたびにパブリッシャーは別のシグナルを実装しなければなりませんでした。カリフォルニアにはUSPがありました。バージニアのVCDPAは異なるオプトアウトのセマンティクスを必要としました。コロラドのCPAはGlobal Privacy Controlブラウザシグナルを認識しました。ユタとコネチカットはそれぞれさらなるニュアンスを加えました。アドテクベンダーは半ダースのフォーマットを解析しなければならず、しばしば一貫性なく、あるチャネルで「ユーザーが同意した」というシグナルを送る一方でユーザーが別のチャネルでオプトアウトしているというリスクが実際のコンプライアンスリスクになりました。

GPPはトランスポートを標準化します。CMPがGPP文字列を設定すると、すべての下流ベンダーが同じエンコーディングを読み取ります。パブリッシャーにとって、これは三つの理由で重要です。Googleの2024年ポリシーはGoogle Ad Managerインベントリの米国州シグナルにGPPサポートを必須としており、Prebid.js 8.xと主要なSSPアダプターのほとんどがGPPを必要とし、規制当局はGPPコンプライアンスを誠実なシグナル伝播の証拠としてますます引用しています。

GPPセクションとその意味

各GPPセクションには、基礎となるフレームワークを反映した独自のエンコーディングルールがあります。

セクション2: TCF EU v2

既にヨーロッパのトラフィック向けに生成しているスタンドアロンのTCF v2.2文字列と同一です。CMPがTCF認定を受けている場合、すでにこのセクションを生成しています。GPPは単純にそれをラップします。

セクション7: US National（USNat）

最新のセクションで、米国のすべての連邦および州のプライバシー法をカバーする単一のシグナルとして設計されています。通知の付与、販売のオプトアウト、共有のオプトアウト、ターゲット広告のオプトアウト、センシティブデータのオプトアウト、既知の子供データの取り扱いをエンコードします。複数の米国州で運営するベンダーは、可能な場合は州ごとのセクションよりUSNatを優先すべきです。

セクション8-12: 州別米国シグナル

カリフォルニア（US-CA）、バージニア（US-VA）、コロラド（US-CO）、ユタ（US-UT）、コネチカット（US-CT）。各セクションはその州の法律に固有のフィールドを持ちます。例えば、US-CAは古いCCPA/CPRAの販売および共有のオプトアウトを保持し、US-COはコロラドプライバシー法で必要とされるセンシティブデータコンセントフラグを追加します。テキサス（CPAセクション13のUS-TX）とオレゴン（CPAセクション14のUS-OR）は、2024年7月に法律が発効した後に追加されました。

パブリッシャーが移行すべき方法

ほとんどのパブリッシャーはすでに、EUトラフィック向けにTCF文字列を、カリフォルニア向けにUSP文字列を生成するCMPを持っています。GPPへの移行パスは次のようになります。

ステップ1: CMPをアップグレードする

CMPベンダーがIABのGPP認定CMPリストに掲載されていることを確認してください。FlexyConsent、OneTrust、Didomi、Sourcepoint、Usercentrics、およびほとんどのGoogle認定CMPは現在、有効なGPP文字列を生成しています。CMPがまだTCFまたはUSPのみを出力している場合、GPPサポートのロードマップを要求してください。ここに計画のないベンダーは2026年に取り残されます。

ステップ2: 地理に基づいてGPPセクションを設定する

CMPはIPジオロケーションに基づいてどのGPPセクションを入力するかを自動的に決定する必要があります。ヨーロッパの訪問者はセクション2（TCF EU）を受け取り、米国の訪問者はセクション7（USNat）またはベンダースタックがシグナルをどのように読み取るかに応じて州別セクションを受け取ります。すべての訪問者にすべてのセクションを入力しないでください。これは管轄区域に無関係なデータを漏洩させる一般的な設定ミスです。

ステップ3: 下流への伝播を確認する

GPP文字列は、SSP、DSP、アナリティクス、ピクセルベンダーが読み取る場合にのみ有用です。広告スタックを監査してください。Prebid.jsではgppControlモジュールが有効になっていることを確認し、Google Ad ManagerではGPP文字列がGAMコンセントAPIを通じて渡されていることを確認し、Google Analytics 4ではConsent Mode v2がTCFと並行してGPPを読み取っていることを確認してください。GPPを黙って無視するベンダーはコンプライアンスのギャップです。

GPP、Consent Mode v2、Googleの要件

Googleの2024年12月のポリシー更新により、Google Ad Managerを通じて米国のインベントリをマネタイズするパブリッシャーにGPPサポートが必須となりました。この変更は微妙ですが重要です。Consent Mode v2は引き続き独自のad_storageおよびanalytics_storageシグナルを使用しますが、GAMは米国州法のトラフィックの広告リクエストにGPP文字列が存在することを要求するようになりました。GPP文字列が欠落または不正な形式の場合、広告が制限モードで配信される可能性があり、フィルとレベニューに大きな影響を与えるか、繰り返し違反者の場合はオークションからインベントリが除外されます。

実際の意味は、過去にカリフォルニアのみの収益を理由に米国州法を無視していたパブリッシャーでもGPPが必要になったということです。バージニア、コロラド、コネチカット、ユタ、テキサス、オレゴン、モンタナ、アイオワはすべて2026年時点で施行中の法律があり、GoogleはGPP文字列を読み取ってあなたの広告リクエストがそれぞれに準拠しているかどうかを判断します。

よくある移行の落とし穴

パブリッシャーがGPPを追加する際に繰り返し見られる四つのミス：

重複シグナル。一部のパブリッシャーはGPPと並行してスタンドアロンのTCFおよびUSP文字列を維持し、互いに矛盾する可能性のある三つの信頼できる情報源を作成します。GPPが稼働したら、スタンドアロンの文字列は廃止してください。

セクションの誤った入力。実際の州に関わらずすべての米国訪問者にUS-CAを入力すると、地理情報が漏洩し、カリフォルニア居住者以外に対してCCPAオプトアウト権を誤って主張する可能性があります。IPジオロケーションを使用して適切なセクションを選択してください。

GPCの無視。Global Privacy ControlブラウザシグナルはGPPセクションではありません。これは別個のHTTPヘッダーとJSプロパティです。CMPはページ読み込み時にGPCを読み取り、関連するGPPセクションでオプトアウトとして反映する必要があります。そうしないとコロラド、コネチカット、カリフォルニアの法律に違反します。

古いベンダーアダプター。古いPrebidアダプターとSSP統合は、GPP文字列がビッダーに届く前に削除する可能性があります。移行完了を宣言する前に、IAB GPPバリデーターで広告スタックのすべてのベンダーをテストしてください。

長期的な展望：米国を超えたGPP

GPPはTCF EUと米国州法を超えて拡張するように設計されています。カナダ（PIPEDAとケベック法25）、ブラジル（LGPD）、韓国（PIPA）、その他の管轄区域の新しいセクションがIABワーキンググループで活発に開発中です。グローバルインベントリを提供するパブリッシャーにとって、GPPはすべての地域プロトコルに取って代わる単一のコンセントトランスポートになりつつあります。今日GPPに投資することで、別の統合スプリントなしに地域プライバシー法の次の波を吸収するようにスタックを位置付けることができます。