MSPA คืออะไร — และไม่ใช่อะไร

MSPA เป็นกรอบงานส่วนตัวที่ใช้สัญญาเป็นพื้นฐาน เผยแพร่โดย IAB ไม่ใช่กฎหมายและไม่ได้แทนที่กฎหมายของรัฐ แต่เป็นข้อตกลงหลายฝ่ายที่ผู้เข้าร่วม — ผู้เผยแพร่ ตัวแทน เครือข่ายโฆษณา SSP DSP และผู้ให้บริการข้อมูล — ลงนามเพื่อให้สามารถยืนยันทางกฎหมายอย่างสม่ำเสมอเกี่ยวกับวิธีที่ข้อมูลส่วนบุคคลไหลผ่านการโฆษณาแบบ programmatic เมื่อทุกคนในห่วงโซ่ลงนามสัญญาเดียวกัน ผู้ขายปลายน้ำไม่จำเป็นต้องเจรจาข้อตกลงการประมวลผลข้อมูลแบบทวิภาคีห้าสิบฉบับที่แตกต่างกันเพื่อจัดการคำขอราคาเดียว

ลองคิดถึง MSPA ว่าเป็นสามสิ่งในคราวเดียว:

• สัญญา ที่ไหลลงโดยอัตโนมัติเมื่อผู้ลงนามส่งข้อมูลไปยังผู้ลงนามรายอื่น
• คำศัพท์ สำหรับแสดงการเลือกของผู้ใช้โดยใช้สตริงที่เข้ารหัสด้วย GPP รวมถึงการปฏิเสธการขาย การแบ่งปัน การโฆษณาแบบกำหนดเป้าหมาย และการประมวลผลข้อมูลที่ละเอียดอ่อน
• กรอบการจัดสรรความเสี่ยง ที่จับคู่ผู้ลงนามแต่ละรายกับหนึ่งในสามบทบาท — ธุรกิจที่ครอบคลุม ผู้ให้บริการ/ผู้ประมวลผล หรือบุคคลที่สาม — และภาระผูกพันที่เกี่ยวข้องกับแต่ละบทบาท

สิ่งที่ MSPA ไม่ใช่: สิ่งทดแทนสำหรับประกาศความเป็นส่วนตัวของคุณ สิ่งทดแทนสำหรับการยินยอมโดยตรงของผู้ใช้ที่จำเป็น หรือการรับประกันการปฏิบัติตามกฎหมายรัฐใดรัฐหนึ่ง เป็นเครื่องมือที่หากใช้อย่างถูกต้องจะทำให้การปฏิบัติตามกฎหมายหลายรัฐเป็นไปได้ในทางปฏิบัติ หากใช้ไม่ถูกต้อง — ตัวอย่างเช่น การส่งสัญญาณการมีส่วนร่วมในขณะที่ยังคงแบ่งปันข้อมูลหลังจากการปฏิเสธ — จะขยายความรับผิดของคุณแทนที่จะลดลง

ใครต้องใส่ใจ: สามบทบาทของ MSPA

ก่อนที่จะลงนามใด ๆ ให้ระบุบทบาทที่คุณเล่นจริง ๆ ผู้เผยแพร่ส่วนใหญ่รู้สึกประหลาดใจเมื่อพบว่าตนเองสวมหมวกมากกว่าหนึ่งใบขึ้นอยู่กับการไหลของข้อมูล

ธุรกิจที่ครอบคลุม

คุณเป็นธุรกิจที่ครอบคลุมหากคุณกำหนดวัตถุประสงค์และวิธีการประมวลผลข้อมูลส่วนบุคคลเกี่ยวกับผู้ใช้ — โดยทั่วไปคือผู้เผยแพร่ที่ดำเนินการเว็บไซต์หรือแอปที่ผู้ใช้เยี่ยมชม ในฐานะธุรกิจที่ครอบคลุม คุณมีหน้าที่รับผิดชอบในการรวบรวมความยินยอม แสดงประกาศ ปฏิบัติตามการปฏิเสธ และกำหนดค่าสัญญาณ GPP ที่ผู้ขายปลายน้ำพึ่งพา ภาระที่หันหน้าหาผู้ใช้อยู่กับคุณ

ผู้ให้บริการหรือผู้ประมวลผล

คุณเป็นผู้ให้บริการเมื่อคุณประมวลผลข้อมูลส่วนบุคคลในนามของธุรกิจที่ครอบคลุมภายใต้สัญญาและเฉพาะเพื่อวัตถุประสงค์ที่จำกัดและอนุญาตเท่านั้น ผู้ขายการวิเคราะห์ส่วนใหญ่ ผู้ให้บริการโฮสติ้ง และแพลตฟอร์มการจัดการความยินยอมดำเนินงานในเส้นทางนี้ MSPA กำหนดข้อจำกัด: ห้ามขาย ห้ามโฆษณาพฤติกรรมข้ามบริบทในนามของตนเอง และกฎการเก็บรักษาและการลบที่กำหนดไว้อย่างเข้มงวด

บุคคลที่สาม

คุณเป็นบุคคลที่สามเมื่อคุณรับข้อมูลส่วนบุคคลจากธุรกิจที่ครอบคลุมและใช้เพื่อวัตถุประสงค์ของตนเอง — SSP DSP ผู้ขายตัวตน และนายหน้าข้อมูลส่วนใหญ่อยู่ที่นี่ บุคคลที่สามมีภาระผูกพันทางสัญญาหนักที่สุด รวมถึงการจัดการสิทธิ์ผู้ใช้โดยตรงและหน้าที่การไหลปลายน้ำเมื่อแบ่งปันข้อมูลกับพันธมิตรของตนเอง

MSPA และ Global Privacy Platform (GPP)

MSPA ไม่ได้มีอยู่ในสุญญากาศ เป็นชั้นสัญญา; GPP คือชั้นการส่งสัญญาณทางเทคนิค Global Privacy Platform ของ IAB Tech Lab เข้ารหัสการเลือกของผู้ใช้ในสตริงเดียวที่เดินทางพร้อมกับคำขอราคาผ่านโปรโตคอล OpenRTB สำหรับการส่งสัญญาณในสหรัฐฯ GPP นำสตริงส่วนสำหรับแต่ละรัฐที่มีกฎหมายความเป็นส่วนตัวที่ครอบคลุม — ตัวอย่างเช่น USCA (แคลิฟอร์เนีย) USCO (โคโลราโด) USVA (เวอร์จิเนีย) USCT (คอนเนตทิคัต) USUT (ยูทาห์) และสตริงแห่งชาติสหรัฐฯ สำหรับรัฐที่ไม่มีส่วนเฉพาะ

MSPA บอก CMP ของคุณว่าต้องตั้งค่าฟิลด์ใดภายในส่วน GPP เหล่านั้นเพื่อยืนยันความครอบคลุม ฟิลด์ที่สำคัญที่สุดที่ผู้เผยแพร่จะเห็นและกำหนดค่ารวมถึง:

• MspaCoveredTransaction — ตั้งค่าเป็น ใช่ เมื่อผู้เผยแพร่ยืนยันว่าคำขอราคาครอบคลุมโดยกรอบงาน MSPA
• MspaOptOutOptionMode — ระบุว่าผู้ใช้ได้รับตัวเลือกการปฏิเสธที่ชัดเจนตามที่กฎความโปร่งใสของ MSPA กำหนดหรือไม่
• MspaServiceProviderMode — ตั้งค่าเมื่อผู้ขายปลายน้ำต้องถือว่าข้อมูลเป็นของผู้ให้บริการเท่านั้น
• SaleOptOut, SharingOptOut, TargetedAdvertisingOptOut — แฟล็กความยินยอมโดยละเอียดที่ผู้เสนอราคาอ่านเพื่อตัดสินใจว่าพวกเขาสามารถทำอะไรกับการแสดงผลได้บ้าง
• SensitiveDataProcessing — อาร์เรย์หลายองค์ประกอบที่ส่งสัญญาณการเลือกของผู้ใช้สำหรับต้นกำเนิดทางเชื้อชาติ ความเชื่อทางศาสนา สุขภาพ รสนิยมทางเพศ สัญชาติ ตำแหน่งที่ตั้งทางภูมิศาสตร์ที่แม่นยำ และประเภทที่ละเอียดอ่อนอื่น ๆ ที่กำหนดโดยกฎหมายของรัฐ

หาก CMP ของคุณตั้งค่า MspaCoveredTransaction = ใช่ แต่ผู้เผยแพร่ยังไม่ได้ลงนามสัญญา MSPA จริง ๆ คุณเพิ่งยืนยันการอ้างสิทธิ์เท็จที่ผู้ลงนามปลายน้ำจะพึ่งพา นั่นคือเส้นทางด่วนไปสู่ข้อพิพาทตามสัญญาและแล้วแต่รัฐ อาจถึงการร้องเรียนต่อหน่วยงานกำกับดูแล

ข้อมูลที่ละเอียดอ่อน: กับดักที่ผู้เผยแพร่ส่วนใหญ่พลาด

กฎหมายความเป็นส่วนตัวที่ครอบคลุมของสหรัฐฯ ทุกฉบับที่ผ่านมาตั้งแต่แคลิฟอร์เนียได้ขยายคำจำกัดความของ ข้อมูลส่วนบุคคลที่ละเอียดอ่อน และ MSPA รวมเหล่านี้เข้าในฟิลด์ GPP แบบรวม ประเภทโดยทั่วไปรวมถึง:

• ตัวระบุของรัฐบาล (หมายเลขประกันสังคม ใบขับขี่ หนังสือเดินทาง)
• ข้อมูลรับรองบัญชีและข้อมูลทางการเงิน
• ตำแหน่งที่ตั้งทางภูมิศาสตร์ที่แม่นยำ โดยทั่วไปแคบกว่า 533 เมตร
• ต้นกำเนิดทางเชื้อชาติหรือชาติพันธุ์ ความเชื่อทางศาสนา การวินิจฉัยสุขภาพทางจิตหรือร่างกาย
• ชีวิตทางเพศและรสนิยมทางเพศ
• สัญชาติและสถานะการอพยพ
• ข้อมูลทางพันธุกรรมและชีวมิติที่ใช้ระบุตัวบุคคล
• ข้อมูลเกี่ยวกับเด็กที่รู้จักอายุต่ำกว่า 13 ปี — และในบางรัฐ อายุต่ำกว่า 16 ปีพร้อมการป้องกันพิเศษ

หลายรัฐกำหนดให้มี ความยินยอมแบบ opt-in สำหรับการประมวลผลข้อมูลที่ละเอียดอ่อน ในขณะที่บางรัฐอนุญาตให้ประมวลผลพร้อมสิทธิ์การปฏิเสธ การเข้ารหัส GPP ของ MSPA ช่วยให้คุณแสดงสิ่งใดก็ตาม แต่ CMP ของคุณต้องรู้ว่าจะถามอะไรตามรัฐของผู้ใช้ การจำแนกข้อมูลที่ละเอียดอ่อนผิดพลาด — ตัวอย่างเช่น การถือว่าการเรียกดูเนื้อหาสุขภาพเป็นข้อมูลพฤติกรรมทั่วไป — เป็นรูปแบบความล้มเหลวที่พบบ่อยที่สุดที่อัยการสูงสุดของรัฐชี้ให้เห็นในการดำเนินการบังคับใช้ปี 2024–2025

การสร้างกระแสความยินยอมที่พร้อมสำหรับ MSPA

การนำ MSPA มาใช้ในเว็บไซต์หรือแอปของคุณเป็นปัญหาการประสานงานระหว่างฝ่ายกฎหมาย วิศวกรรม และการดำเนินงานโฆษณา งานแบ่งออกเป็นประมาณห้ากระแสงาน

1. ลงนาม MSPA และรักษาสถานะผู้ลงนามของคุณ

MSPA เป็นสัญญาจริงที่ที่ปรึกษากฎหมายต้องตรวจสอบและดำเนินการ คุณจะประกาศบทบาทหรือบทบาทที่คุณดำเนินงาน รัฐในสหรัฐฯ ที่คุณทำธุรกิจ และประเภทข้อมูลที่คุณประมวลผล ต่ออายุทุกปีและอัปเดตพอร์ทัลผู้ลงนามของ IAB Tech Lab เมื่อบทบาทหรือเขตอำนาจศาลของคุณเปลี่ยนแปลง

2. กำหนดค่า CMP สำหรับตรรกะหลายรัฐ

แบนเนอร์ CCPA เดียวไม่เพียงพออีกต่อไป CMP ของคุณต้องตรวจจับรัฐของผู้ใช้ — โดยทั่วไปผ่านการระบุตำแหน่งทางภูมิศาสตร์ IP โดยมีการสำรองความเป็นส่วนตัว — และแสดงประกาศ ลิงก์ และการควบคุมการปฏิเสธที่เหมาะสมสำหรับเขตอำนาจศาลนั้น FlexyConsent รองรับ IAB GPP v1.1 พร้อมส่วน US National และกฎหมายรัฐ 16 ฉบับ

3. เชื่อมต่อสตริง GPP เข้ากับ Ad Stack ของคุณ

สตริง GPP ต้องถูกแทรกเข้าในคำขอราคา OpenRTB ทุกรายการที่มาจากผู้ใช้ในสหรัฐฯ สำหรับผู้ใช้ Google Ad Manager หมายถึงการเปิดใช้งานการรองรับ GPP ในการตั้งค่าเครือข่าย สำหรับผู้ใช้ Prebid หมายถึงการติดตั้งโมดูล gppControl_usnat และโมดูลต่อรัฐ และยืนยันว่าอะแดปเตอร์ consentManagement กำลังส่งต่อสตริงที่เข้ารหัส ทดสอบโดยใช้ตัวถอดรหัส GPP ของ IAB Tech Lab เพื่อตรวจสอบการเดินทางไปกลับจาก CMP ถึงคำขอราคา

4. เคารพสัญญาณ Global Privacy Control (GPC)

กฎหมายของรัฐส่วนใหญ่ — แคลิฟอร์เนีย โคโลราโด คอนเนตทิคัต และรายการที่เพิ่มขึ้น — กำหนดให้เคารพสัญญาณ GPC ระดับเบราว์เซอร์เป็นการปฏิเสธที่ถูกต้อง MSPA คาดหวังให้ผู้ลงนามตรวจจับ GPC และตั้งค่าล่วงหน้าในฟิลด์ SaleOptOut SharingOptOut และ TargetedAdvertisingOptOut ตามนั้น แม้กระทั่งก่อนที่ผู้ใช้จะแตะแบนเนอร์ หาก CMP ของคุณไม่สามารถตรวจจับและดำเนินการกับ GPC ได้ คุณก็ไม่ปฏิบัติตามโดยไม่คำนึงถึงสมาชิกภาพ MSPA

5. ตรวจสอบผู้ขายปลายน้ำ

ตรรกะการไหลปลายน้ำของ MSPA ใช้ได้เฉพาะเมื่อผู้ขายของคุณเป็นผู้ลงนามด้วยเท่านั้น ก่อนส่งข้อมูลไปยัง SSP DSP หรือพันธมิตรข้อมูลใด ๆ ให้ตรวจสอบสถานะผู้ลงนามในพอร์ทัลของ IAB Tech Lab ผู้ขายที่ไม่ใช่ผู้ลงนามต้องถูกลบออกจาก ad stack ของคุณสำหรับการเข้าชมในสหรัฐฯ หรือครอบคลุมด้วย DPA แบบทวิภาคีแยกต่างหากที่สะท้อนเงื่อนไข MSPA

ข้อผิดพลาดทั่วไปในการนำไปใช้

มีรูปแบบความล้มเหลวหลายอย่างที่ปรากฏซ้ำ ๆ ในการตรวจสอบผู้เผยแพร่:

• การส่งสัญญาณความครอบคลุม MSPA โดยไม่ลงนาม การตั้งค่า MspaCoveredTransaction = ใช่ ในสตริง GPP ในขณะที่นิติบุคคลของผู้เผยแพร่ยังไม่ได้ดำเนินการ MSPA เปิดเผยผู้เผยแพร่ต่อการอ้างสิทธิ์การแสดงข้อมูลเท็จจากผู้ลงนามปลายน้ำที่พึ่งพาสัญญาณ
• ลืมเท็กซัส โอเรกอน และมอนทานา ผู้เผยแพร่ที่กำหนดค่าสำหรับภูมิทัศน์ห้ารัฐดั้งเดิมจะพลาดกฎหมายที่มีผลบังคับใช้ในปี 2024 และ 2025 แต่ละรัฐมีตัวกระตุ้นการปฏิเสธของตนเอง MSPA ครอบคลุม แต่เฉพาะเมื่อตรรกะการตรวจจับรัฐของ CMP ของคุณรวมไว้ด้วย
• การละเลยสัญญาณข้อมูลที่ละเอียดอ่อนในเนื้อหาข่าวและไลฟ์สไตล์ ผู้อ่านบทความที่เน้นสุขภาพ ศาสนา หรือ LGBTQ อาจประมวลผลข้อมูลที่ละเอียดอ่อนโดยนัย ดำเนินการตรวจสอบเนื้อหาและกำหนดค่าการแทนที่ระดับประเภทใน CMP
• การถือว่า GPC เป็นคำแนะนำ หน่วยงานกำกับดูแลของแคลิฟอร์เนียชี้แจงในปี 2024 ว่าการละเลย GPC เป็นการละเมิดต่อการละเมิดแต่ละครั้ง MSPA ไม่ได้ปกป้องคุณจากสิ่งนี้ — ขึ้นอยู่กับคุณที่จะเคารพ GPC
• สตริง GPP เก่าที่แคชที่ edge CDN หรือการแคชของ service worker ของหน้าเว็บสามารถให้บริการสตริง GPP เก่าจากเซสชั่นก่อนหน้าแก่ผู้ใช้ได้ ปิดใช้งานการแคชบน endpoint ความยินยอมและเพิ่มขั้นตอนการดึงข้อมูลใหม่เมื่อความยินยอมเปลี่ยนแปลง

MSPA ส่งผลต่อรายได้จากโฆษณาอย่างไร

ผู้เผยแพร่ที่นำ MSPA ไปใช้อย่างถูกต้องมักจะเห็นรายได้ลดลงเล็กน้อยในระยะสั้นตามด้วยการทรงตัว ในขณะที่การนำไปใช้ที่ไม่ระมัดระวังจะจำกัดการเสนอราคามากเกินไปหรือเปิดเผยผู้เผยแพร่ต่อความเสี่ยงจากการบังคับใช้ ตัวแปรที่ขยับเข็ม:

• อัตราการปฏิเสธ — ในรัฐที่มีลิงก์การปฏิเสธที่โดดเด่น โดยทั่วไปผู้ใช้ 5–15% จะปฏิเสธการขายหรือการแบ่งปัน ราคาการเสนอราคาสำหรับการแสดงผลที่ถูกปฏิเสธมักจะลดลง 30–60% เนื่องจากการกำหนดเป้าหมายพฤติกรรมไม่สามารถใช้ได้
• การจำแนกเนื้อหาที่ละเอียดอ่อน — การจำแนกเนื้อหาทั่วไปว่าละเอียดอ่อนอย่างผิดพลาดจะทำให้ความต้องการล่มสลาย อนุรักษ์นิยมและแม่นยำในประเภท
• ส่วนผสมพันธมิตร header bidding — พันธมิตรที่ไม่ใช่ผู้ลงนาม MSPA ที่คุณต้องปิดใช้งานสำหรับการเข้าชมในสหรัฐฯ จะลดการประมูลของคุณ แทนที่ด้วยผู้ลงนามแทนที่จะดำเนินการด้วยความต้องการที่บางลง
• การติดแท็กฝั่งเซิร์ฟเวอร์ — คอนเทนเนอร์ฝั่งเซิร์ฟเวอร์ที่อ่านสตริง GPP และยิงแท็กตามเงื่อนไขเป็นวิธีที่สะอาดที่สุดในการซิงค์การวิเคราะห์และความยินยอม

สิ่งที่จะเกิดขึ้นต่อไป: 2026 และหลังจากนั้น

MSPA เป็นข้อตกลงที่มีชีวิต IAB อัปเดตทุกหนึ่งหรือสองปีเมื่อกฎหมายของรัฐใหม่ คำแนะนำจากอัยการสูงสุด และข้อเสนอของรัฐบาลกลางปรับเปลี่ยนภูมิทัศน์ หัวข้อที่ต้องจับตาในปี 2026:

• กฎหมายความเป็นส่วนตัวของรัฐบาลกลางที่อาจยกเลิกระบอบของรัฐบางส่วน — MSPA รวมตรรกะสำรองการยกเลิก ดังนั้นผู้ลงนามจะไม่ถูกทิ้งไว้ลำพัง
• การขยาย GPP เพื่อครอบคลุมการส่งสัญญาณเฉพาะด้านสุขภาพภายใต้ Washington My Health My Data Act และกฎหมายที่คล้ายคลึงกัน
• การบังคับใช้ที่เข้มงวดยิ่งขึ้นของกฎแบบรูปแบบมืดในกระแสการปฏิเสธโดย California Privacy Protection Agency และอัยการสูงสุดเท็กซัส
• การบูรณาการกับ AI และการเปิดเผยการฝึกอบรมโมเดลภาษาขนาดใหญ่ ซึ่งรัฐสภาของรัฐหลายแห่งกำลังถกเถียง

ผู้เผยแพร่ที่ถือว่าการนำ MSPA ไปใช้เป็นโครงการครั้งเดียวจะล้าหลัง ถือว่าเป็นสุขลักษณะการดำเนินงานที่ต่อเนื่อง โดยเป็นเจ้าของร่วมกันโดยฝ่ายกฎหมาย การดำเนินงานโฆษณา และวิศวกรรมผลิตภัณฑ์ และตรวจสอบรายไตรมาส ผู้เผยแพร่ที่ชนะในการปฏิบัติตามหลายรัฐของสหรัฐฯ ไม่ใช่คนที่มีทนายความมากที่สุด แต่เป็นคนที่ CMP stack โฆษณา และบันทึกการตรวจสอบทั้งหมดบอกเล่าเรื่องราวเดียวกันเมื่อผู้กำกับดูแลถาม

สรุป

MSPA คือคำตอบที่ปฏิบัติได้จริงสำหรับภูมิทัศน์ความเป็นส่วนตัวของสหรัฐฯ ที่แตกกระจาย ไม่ได้ผ่านกฎหมายให้คุณ แต่จะให้กระแสการเสนอราคา ผู้ขาย และทีมกฎหมายของคุณมีภาษาเดียวกันสำหรับการปฏิเสธ ข้อมูลที่ละเอียดอ่อน และภาระผูกพันปลายน้ำ จับคู่กับ CMP ที่รู้จักรัฐ การส่งสัญญาณ GPP ที่แม่นยำ และการจัดการผู้ขายที่มีวินัย และคุณจะใช้เวลาน้อยลงในการโต้แย้งเรื่องเขตอำนาจศาลและใช้เวลามากขึ้นในการสร้างรายได้จากการแสดงผลที่คุณได้รับอนุญาตให้สร้างรายได้ นั่นคือเส้นทางที่ยั่งยืนเพียงเส้นทางเดียวผ่านปี 2026 และคลื่นของกฎหมายของรัฐที่ยังคิวอยู่ข้างหลัง