MSPA คืออะไร — และไม่ใช่อะไร

MSPA เป็นกรอบงานส่วนตัวที่ใช้สัญญาเป็นพื้นฐาน เผยแพร่โดย IAB ไม่ใช่กฎหมายและไม่ได้แทนที่กฎหมายของรัฐ แต่เป็นข้อตกลงหลายฝ่ายที่ผู้เข้าร่วม — ผู้เผยแพร่ ตัวแทน เครือข่ายโฆษณา SSP DSP และผู้ให้บริการข้อมูล — ลงนามเพื่อให้สามารถยืนยันทางกฎหมายอย่างสม่ำเสมอเกี่ยวกับวิธีที่ข้อมูลส่วนบุคคลไหลผ่านการโฆษณาแบบ programmatic เมื่อทุกคนในห่วงโซ่ลงนามสัญญาเดียวกัน ผู้ขายปลายน้ำไม่จำเป็นต้องเจรจาข้อตกลงการประมวลผลข้อมูลแบบทวิภาคีห้าสิบฉบับที่แตกต่างกันเพื่อจัดการคำขอราคาเดียว

ลองคิดถึง MSPA ว่าเป็นสามสิ่งในคราวเดียว:

• สัญญา ที่ไหลลงโดยอัตโนมัติเมื่อผู้ลงนามส่งข้อมูลไปยังผู้ลงนามรายอื่น
• คำศัพท์ สำหรับแสดงการเลือกของผู้ใช้โดยใช้สตริงที่เข้ารหัสด้วย GPP รวมถึงการปฏิเสธการขาย การแบ่งปัน การโฆษณาแบบกำหนดเป้าหมาย และการประมวลผลข้อมูลที่ละเอียดอ่อน
• กรอบการจัดสรรความเสี่ยง ที่จับคู่ผู้ลงนามแต่ละรายกับหนึ่งในสามบทบาท — ธุรกิจที่ครอบคลุม ผู้ให้บริการ/ผู้ประมวลผล หรือบุคคลที่สาม — และภาระผูกพันที่เกี่ยวข้องกับแต่ละบทบาท

สิ่งที่ MSPA ไม่ใช่: สิ่งทดแทนสำหรับประกาศความเป็นส่วนตัวของคุณ สิ่งทดแทนสำหรับการยินยอมโดยตรงของผู้ใช้ที่จำเป็น หรือการรับประกันการปฏิบัติตามกฎหมายรัฐใดรัฐหนึ่ง เป็นเครื่องมือที่หากใช้อย่างถูกต้องจะทำให้การปฏิบัติตามกฎหมายหลายรัฐเป็นไปได้ในทางปฏิบัติ หากใช้ไม่ถูกต้อง — ตัวอย่างเช่น การส่งสัญญาณการมีส่วนร่วมในขณะที่ยังคงแบ่งปันข้อมูลหลังจากการปฏิเสธ — จะขยายความรับผิดของคุณแทนที่จะลดลง

ใครต้องใส่ใจ: สามบทบาทของ MSPA

ก่อนที่จะลงนามใด ๆ ให้ระบุบทบาทที่คุณเล่นจริง ๆ ผู้เผยแพร่ส่วนใหญ่รู้สึกประหลาดใจเมื่อพบว่าตนเองสวมหมวกมากกว่าหนึ่งใบขึ้นอยู่กับการไหลของข้อมูล

ธุรกิจที่ครอบคลุม

คุณเป็นธุรกิจที่ครอบคลุมหากคุณกำหนดวัตถุประสงค์และวิธีการประมวลผลข้อมูลส่วนบุคคลเกี่ยวกับผู้ใช้ — โดยทั่วไปคือผู้เผยแพร่ที่ดำเนินการเว็บไซต์หรือแอปที่ผู้ใช้เยี่ยมชม ในฐานะธุรกิจที่ครอบคลุม คุณมีหน้าที่รับผิดชอบในการรวบรวมความยินยอม แสดงประกาศ ปฏิบัติตามการปฏิเสธ และกำหนดค่าสัญญาณ GPP ที่ผู้ขายปลายน้ำพึ่งพา ภาระที่หันหน้าหาผู้ใช้อยู่กับคุณ

ผู้ให้บริการหรือผู้ประมวลผล

คุณเป็นผู้ให้บริการเมื่อคุณประมวลผลข้อมูลส่วนบุคคลในนามของธุรกิจที่ครอบคลุมภายใต้สัญญาและเฉพาะเพื่อวัตถุประสงค์ที่จำกัดและอนุญาตเท่านั้น ผู้ขายการวิเคราะห์ส่วนใหญ่ ผู้ให้บริการโฮสติ้ง และแพลตฟอร์มการจัดการความยินยอมดำเนินงานในเส้นทางนี้ MSPA กำหนดข้อจำกัด: ห้ามขาย ห้ามโฆษณาพฤติกรรมข้ามบริบทในนามของตนเอง และกฎการเก็บรักษาและการลบที่กำหนดไว้อย่างเข้มงวด

บุคคลที่สาม

คุณเป็นบุคคลที่สามเมื่อคุณรับข้อมูลส่วนบุคคลจากธุรกิจที่ครอบคลุมและใช้เพื่อวัตถุประสงค์ของตนเอง — SSP DSP ผู้ขายตัวตน และนายหน้าข้อมูลส่วนใหญ่อยู่ที่นี่ บุคคลที่สามมีภาระผูกพันทางสัญญาหนักที่สุด รวมถึงการจัดการสิทธิ์ผู้ใช้โดยตรงและหน้าที่การไหลปลายน้ำเมื่อแบ่งปันข้อมูลกับพันธมิตรของตนเอง

MSPA และ Global Privacy Platform (GPP)

MSPA ไม่ได้มีอยู่ในสุญญากาศ เป็นชั้นสัญญา; GPP คือชั้นการส่งสัญญาณทางเทคนิค Global Privacy Platform ของ IAB Tech Lab เข้ารหัสการเลือกของผู้ใช้ในสตริงเดียวที่เดินทางพร้อมกับคำขอราคาผ่านโปรโตคอล OpenRTB สำหรับการส่งสัญญาณในสหรัฐฯ GPP นำสตริงส่วนสำหรับแต่ละรัฐที่มีกฎหมายความเป็นส่วนตัวที่ครอบคลุม — ตัวอย่างเช่น USCA (แคลิฟอร์เนีย) USCO (โคโลราโด) USVA (เวอร์จิเนีย) USCT (คอนเนตทิคัต) USUT (ยูทาห์) และสตริงแห่งชาติสหรัฐฯ สำหรับรัฐที่ไม่มีส่วนเฉพาะ

MSPA บอก CMP ของคุณว่าต้องตั้งค่าฟิลด์ใดภายในส่วน GPP เหล่านั้นเพื่อยืนยันความครอบคลุม ฟิลด์ที่สำคัญที่สุดที่ผู้เผยแพร่จะเห็นและกำหนดค่ารวมถึง:

• MspaCoveredTransaction — ตั้งค่าเป็น ใช่ เมื่อผู้เผยแพร่ยืนยันว่าคำขอราคาครอบคลุมโดยกรอบงาน MSPA
• MspaOptOutOptionMode — ระบุว่าผู้ใช้ได้รับตัวเลือกการปฏิเสธที่ชัดเจนตามที่กฎความโปร่งใสของ MSPA กำหนดหรือไม่
• MspaServiceProviderMode — ตั้งค่าเมื่อผู้ขายปลายน้ำต้องถือว่าข้อมูลเป็นของผู้ให้บริการเท่านั้น
• SaleOptOut, SharingOptOut, TargetedAdvertisingOptOut — แฟล็กความยินยอมโดยละเอียดที่ผู้เสนอราคาอ่านเพื่อตัดสินใจว่าพวกเขาสามารถทำอะไรกับการแสดงผลได้บ้าง
• SensitiveDataProcessing — อาร์เรย์หลายองค์ประกอบที่ส่งสัญญาณการเลือกของผู้ใช้สำหรับต้นกำเนิดทางเชื้อชาติ ความเชื่อทางศาสนา สุขภาพ รสนิยมทางเพศ สัญชาติ ตำแหน่งที่ตั้งทางภูมิศาสตร์ที่แม่นยำ และประเภทที่ละเอียดอ่อนอื่น ๆ ที่กำหนดโดยกฎหมายของรัฐ

หาก CMP ของคุณตั้งค่า MspaCoveredTransaction = ใช่ แต่ผู้เผยแพร่ยังไม่ได้ลงนามสัญญา MSPA จริง ๆ คุณเพิ่งยืนยันการอ้างสิทธิ์เท็จที่ผู้ลงนามปลายน้ำจะพึ่งพา นั่นคือเส้นทางด่วนไปสู่ข้อพิพาทตามสัญญาและแล้วแต่รัฐ อาจถึงการร้องเรียนต่อหน่วยงานกำกับดูแล

ข้อมูลที่ละเอียดอ่อน: กับดักที่ผู้เผยแพร่ส่วนใหญ่พลาด

กฎหมายความเป็นส่วนตัวที่ครอบคลุมของสหรัฐฯ ทุกฉบับที่ผ่านมาตั้งแต่แคลิฟอร์เนียได้ขยายคำจำกัดความของ ข้อมูลส่วนบุคคลที่ละเอียดอ่อน และ MSPA รวมเหล่านี้เข้าในฟิลด์ GPP แบบรวม ประเภทโดยทั่วไปรวมถึง:

• ตัวระบุของรัฐบาล (หมายเลขประกันสังคม ใบขับขี่ หนังสือเดินทาง)
• ข้อมูลรับรองบัญชีและข้อมูลทางการเงิน
• ตำแหน่งที่ตั้งทางภูมิศาสตร์ที่แม่นยำ โดยทั่วไปแคบกว่า 533 เมตร
• ต้นกำเนิดทางเชื้อชาติหรือชาติพันธุ์ ความเชื่อทางศาสนา การวินิจฉัยสุขภาพทางจิตหรือร่างกาย
• ชีวิตทางเพศและรสนิยมทางเพศ
• สัญชาติและสถานะการอพยพ
• ข้อมูลทางพันธุกรรมและชีวมิติที่ใช้ระบุตัวบุคคล
• ข้อมูลเกี่ยวกับเด็กที่รู้จักอายุต่ำกว่า 13 ปี — และในบางรัฐ อายุต่ำกว่า 16 ปีพร้อมการป้องกันพิเศษ

หลายรัฐกำหนดให้มี ความยินยอมแบบ opt-in สำหรับการประมวลผลข้อมูลที่ละเอียดอ่อน ในขณะที่บางรัฐอนุญาตให้ประมวลผลพร้อมสิทธิ์การปฏิเสธ การเข้ารหัส GPP ของ MSPA ช่วยให้คุณแสดงสิ่งใดก็ตาม แต่ CMP ของคุณต้องรู้ว่าจะถามอะไรตามรัฐของผู้ใช้ การจำแนกข้อมูลที่ละเอียดอ่อนผิดพลาด — ตัวอย่างเช่น การถือว่าการเรียกดูเนื้อหาสุขภาพเป็นข้อมูลพฤติกรรมทั่วไป — เป็นรูปแบบความล้มเหลวที่พบบ่อยที่สุดที่อัยการสูงสุดของรัฐชี้ให้เห็นในการดำเนินการบังคับใช้ปี 2024–2025

การสร้างกระแสความยินยอมที่พร้อมสำหรับ MSPA

การนำ MSPA มาใช้ในเว็บไซต์หรือแอปของคุณเป็นปัญหาการประสานงานระหว่างฝ่ายกฎหมาย วิศวกรรม และการดำเนินงานโฆษณา งานแบ่งออกเป็นประมาณห้ากระแสงาน

1. ลงนาม MSPA และรักษาสถานะผู้ลงนามของคุณ

MSPA เป็นสัญญาจริงที่ที่ปรึกษากฎหมายต้องตรวจสอบและดำเนินการ คุณจะประกาศบทบาทหรือบทบาทที่คุณดำเนินงาน รัฐในสหรัฐฯ ที่คุณทำธุรกิจ และประเภทข้อมูลที่คุณประมวลผล ต่ออายุทุกปีและอัปเดตพอร์ทัลผู้ลงนามของ IAB Tech Lab เมื่อบทบาทหรือเขตอำนาจศาลของคุณเปลี่ยนแปลง

2. กำหนดค่า CMP สำหรับตรรกะหลายรัฐ

แบนเนอร์ CCPA เดียวไม่เพียงพออีกต่อไป CMP ของคุณต้องตรวจจับรัฐของผู้ใช้ — โดยทั่วไปผ่านการระบุตำแหน่งทางภูมิศาสตร์ IP โดยมีการสำรองความเป็นส่วนตัว — และแสดงประกาศ ลิงก์ และการควบคุมการปฏิเสธที่เหมาะสมสำหรับเขตอำนาจศาลนั้น FlexyConsent และ CMP สมัยใหม่ที่ได้รับการรับรองจาก Google มาพร้อมกับเทมเพลตหลายรัฐที่จับคู่รัฐต่อรัฐกับสตริงส่วน GPP ที่ถูกต้อง

3. เชื่อมต่อสตริง GPP เข้ากับ Ad Stack ของคุณ

สตริง GPP ต้องถูกแทรกเข้าในคำขอราคา OpenRTB ทุกรายการที่มาจากผู้ใช้ในสหรัฐฯ สำหรับผู้ใช้ Google Ad Manager หมายถึงการเปิดใช้งานการรองรับ GPP ในการตั้งค่าเครือข่าย สำหรับผู้ใช้ Prebid หมายถึงการติดตั้งโมดูล gppControl_usnat และโมดูลต่อรัฐ และยืนยันว่าอะแดปเตอร์ consentManagement กำลังส่งต่อสตริงที่เข้ารหัส ทดสอบโดยใช้ตัวถอดรหัส GPP ของ IAB Tech Lab เพื่อตรวจสอบการเดินทางไปกลับจาก CMP ถึงคำขอราคา

4. เคารพสัญญาณ Global Privacy Control (GPC)

กฎหมายของรัฐส่วนใหญ่ — แคลิฟอร์เนีย โคโลราโด คอนเนตทิคัต และรายการที่เพิ่มขึ้น — กำหนดให้เคารพสัญญาณ GPC ระดับเบราว์เซอร์เป็นการปฏิเสธที่ถูกต้อง MSPA คาดหวังให้ผู้ลงนามตรวจจับ GPC และตั้งค่าล่วงหน้าในฟิลด์ SaleOptOut SharingOptOut และ TargetedAdvertisingOptOut ตามนั้น แม้กระทั่งก่อนที่ผู้ใช้จะแตะแบนเนอร์ หาก CMP ของคุณไม่สามารถตรวจจับและดำเนินการกับ GPC ได้ คุณก็ไม่ปฏิบัติตามโดยไม่คำนึงถึงสมาชิกภาพ MSPA

5. ตรวจสอบผู้ขายปลายน้ำ

ตรรกะการไหลปลายน้ำของ MSPA ใช้ได้เฉพาะเมื่อผู้ขายของคุณเป็นผู้ลงนามด้วยเท่านั้น ก่อนส่งข้อมูลไปยัง SSP DSP หรือพันธมิตรข้อมูลใด ๆ ให้ตรวจสอบสถานะผู้ลงนามในพอร์ทัลของ IAB Tech Lab ผู้ขายที่ไม่ใช่ผู้ลงนามต้องถูกลบออกจาก ad stack ของคุณสำหรับการเข้าชมในสหรัฐฯ หรือครอบคลุมด้วย DPA แบบทวิภาคีแยกต่างหากที่สะท้อนเงื่อนไข MSPA

ข้อผิดพลาดทั่วไปในการนำไปใช้

มีรูปแบบความล้มเหลวหลายอย่างที่ปรากฏซ้ำ ๆ ในการตรวจสอบผู้เผยแพร่:

• การส่งสัญญาณความครอบคลุม MSPA โดยไม่ลงนาม การตั้งค่า MspaCoveredTransaction = ใช่ ในสตริง GPP ในขณะที่นิติบุคคลของผู้เผยแพร่ยังไม่ได้ดำเนินการ MSPA เปิดเผยผู้เผยแพร่ต่อการอ้างสิทธิ์การแสดงข้อมูลเท็จจากผู้ลงนามปลายน้ำที่พึ่งพาสัญญาณ
• ลืมเท็กซัส โอเรกอน และมอนทานา ผู้เผยแพร่ที่กำหนดค่าสำหรับภูมิทัศน์ห้ารัฐดั้งเดิมจะพลาดกฎหมายที่มีผลบังคับใช้ในปี 2024 และ 2025 แต่ละรัฐมีตัวกระตุ้นการปฏิเสธของตนเอง MSPA ครอบคลุม แต่เฉพาะเมื่อตรรกะการตรวจจับรัฐของ CMP ของคุณรวมไว้ด้วย
• การละเลยสัญญาณข้อมูลที่ละเอียดอ่อนในเนื้อหาข่าวและไลฟ์สไตล์ ผู้อ่านบทความที่เน้นสุขภาพ ศาสนา หรือ LGBTQ อาจประมวลผลข้อมูลที่ละเอียดอ่อนโดยนัย ดำเนินการตรวจสอบเนื้อหาและกำหนดค่าการแทนที่ระดับประเภทใน CMP
• การถือว่า GPC เป็นคำแนะนำ หน่วยงานกำกับดูแลของแคลิฟอร์เนียชี้แจงในปี 2024 ว่าการละเลย GPC เป็นการละเมิดต่อการละเมิดแต่ละครั้ง MSPA ไม่ได้ปกป้องคุณจากสิ่งนี้ — ขึ้นอยู่กับคุณที่จะเคารพ GPC
• สตริง GPP เก่าที่แคชที่ edge CDN หรือการแคชของ service worker ของหน้าเว็บสามารถให้บริการสตริง GPP เก่าจากเซสชั่นก่อนหน้าแก่ผู้ใช้ได้ ปิดใช้งานการแคชบน endpoint ความยินยอมและเพิ่มขั้นตอนการดึงข้อมูลใหม่เมื่อความยินยอมเปลี่ยนแปลง

MSPA ส่งผลต่อรายได้จากโฆษณาอย่างไร

ผู้เผยแพร่ที่นำ MSPA ไปใช้อย่างถูกต้องมักจะเห็นรายได้ลดลงเล็กน้อยในระยะสั้นตามด้วยการทรงตัว ในขณะที่การนำไปใช้ที่ไม่ระมัดระวังจะจำกัดการเสนอราคามากเกินไปหรือเปิดเผยผู้เผยแพร่ต่อความเสี่ยงจากการบังคับใช้ ตัวแปรที่ขยับเข็ม:

• อัตราการปฏิเสธ — ในรัฐที่มีลิงก์การปฏิเสธที่โดดเด่น โดยทั่วไปผู้ใช้ 5–15% จะปฏิเสธการขายหรือการแบ่งปัน ราคาการเสนอราคาสำหรับการแสดงผลที่ถูกปฏิเสธมักจะลดลง 30–60% เนื่องจากการกำหนดเป้าหมายพฤติกรรมไม่สามารถใช้ได้
• การจำแนกเนื้อหาที่ละเอียดอ่อน — การจำแนกเนื้อหาทั่วไปว่าละเอียดอ่อนอย่างผิดพลาดจะทำให้ความต้องการล่มสลาย อนุรักษ์นิยมและแม่นยำในประเภท
• ส่วนผสมพันธมิตร header bidding — พันธมิตรที่ไม่ใช่ผู้ลงนาม MSPA ที่คุณต้องปิดใช้งานสำหรับการเข้าชมในสหรัฐฯ จะลดการประมูลของคุณ แทนที่ด้วยผู้ลงนามแทนที่จะดำเนินการด้วยความต้องการที่บางลง
• การติดแท็กฝั่งเซิร์ฟเวอร์ — คอนเทนเนอร์ฝั่งเซิร์ฟเวอร์ที่อ่านสตริง GPP และยิงแท็กตามเงื่อนไขเป็นวิธีที่สะอาดที่สุดในการซิงค์การวิเคราะห์และความยินยอม

สิ่งที่จะเกิดขึ้นต่อไป: 2026 และหลังจากนั้น

MSPA เป็นข้อตกลงที่มีชีวิต IAB อัปเดตทุกหนึ่งหรือสองปีเมื่อกฎหมายของรัฐใหม่ คำแนะนำจากอัยการสูงสุด และข้อเสนอของรัฐบาลกลางปรับเปลี่ยนภูมิทัศน์ หัวข้อที่ต้องจับตาในปี 2026:

• กฎหมายความเป็นส่วนตัวของรัฐบาลกลางที่อาจยกเลิกระบอบของรัฐบางส่วน — MSPA รวมตรรกะสำรองการยกเลิก ดังนั้นผู้ลงนามจะไม่ถูกทิ้งไว้ลำพัง
• การขยาย GPP เพื่อครอบคลุมการส่งสัญญาณเฉพาะด้านสุขภาพภายใต้ Washington My Health My Data Act และกฎหมายที่คล้ายคลึงกัน
• การบังคับใช้ที่เข้มงวดยิ่งขึ้นของกฎแบบรูปแบบมืดในกระแสการปฏิเสธโดย California Privacy Protection Agency และอัยการสูงสุดเท็กซัส
• การบูรณาการกับ AI และการเปิดเผยการฝึกอบรมโมเดลภาษาขนาดใหญ่ ซึ่งรัฐสภาของรัฐหลายแห่งกำลังถกเถียง

ผู้เผยแพร่ที่ถือว่าการนำ MSPA ไปใช้เป็นโครงการครั้งเดียวจะล้าหลัง ถือว่าเป็นสุขลักษณะการดำเนินงานที่ต่อเนื่อง โดยเป็นเจ้าของร่วมกันโดยฝ่ายกฎหมาย การดำเนินงานโฆษณา และวิศวกรรมผลิตภัณฑ์ และตรวจสอบรายไตรมาส ผู้เผยแพร่ที่ชนะในการปฏิบัติตามหลายรัฐของสหรัฐฯ ไม่ใช่คนที่มีทนายความมากที่สุด แต่เป็นคนที่ CMP stack โฆษณา และบันทึกการตรวจสอบทั้งหมดบอกเล่าเรื่องราวเดียวกันเมื่อผู้กำกับดูแลถาม

สรุป

MSPA คือคำตอบที่ปฏิบัติได้จริงสำหรับภูมิทัศน์ความเป็นส่วนตัวของสหรัฐฯ ที่แตกกระจาย ไม่ได้ผ่านกฎหมายให้คุณ แต่จะให้กระแสการเสนอราคา ผู้ขาย และทีมกฎหมายของคุณมีภาษาเดียวกันสำหรับการปฏิเสธ ข้อมูลที่ละเอียดอ่อน และภาระผูกพันปลายน้ำ จับคู่กับ CMP ที่รู้จักรัฐ การส่งสัญญาณ GPP ที่แม่นยำ และการจัดการผู้ขายที่มีวินัย และคุณจะใช้เวลาน้อยลงในการโต้แย้งเรื่องเขตอำนาจศาลและใช้เวลามากขึ้นในการสร้างรายได้จากการแสดงผลที่คุณได้รับอนุญาตให้สร้างรายได้ นั่นคือเส้นทางที่ยั่งยืนเพียงเส้นทางเดียวผ่านปี 2026 และคลื่นของกฎหมายของรัฐที่ยังคิวอยู่ข้างหลัง