mcpField
G
global-privacy-control

global-privacy-control

github.com/mukul975セキュリティ32341 回インストール32 週間前に更新
リポジトリ

global-privacy-control について

Global Privacy Controlを実装する開発者向けのガイドです。ブラウザーとサーバーでのシグナル検出、同意記録への反映、コンプライアンス確認を扱います。

主な機能

  1. 01Sec-GPC HTTPヘッダーの検出
  2. 02navigator.globalPrivacyControlの確認
  3. 03オプトアウトの同意記録への反映
  4. 04シグナルの記録と実装確認

活用シーン

  1. 01GPCシグナル受信時のデータ販売・共有停止
  2. 02トラッキングスクリプト読み込み前の設定適用
  3. 03シグナル処理とコンプライアンス記録の確認

インストール

コマンドをコピーしてターミナルで実行します。

$npx skills add https://github.com/mukul975/privacy-data-protection-skills --skill global-privacy-control

インストール後、Claude Code で/global-privacy-controlを入力して読み込まれたか確認します。

同梱ファイル

SKILL.md と一緒にインストールされる参考資料やスクリプト。

assets/
template.md
references/
standards.md
workflows.md
scripts/
process.py

詳細

グローバルプライバシーコントロール（GPC）の実装

概要

グローバルプライバシーコントロール（GPC）は、個人情報の販売または共有をオプトアウトするユーザーのプライバシー設定を伝える、ブラウザーレベルのシグナルです。GPC の仕様では、このシグナルを送信するための HTTP ヘッダー（Sec-GPC: 1）と JavaScript API（navigator.globalPrivacyControl）の両方が定義されています。

California Privacy Rights Act（CPRA）Section 1798.135(e) に基づき、事業者は GPC シグナルを有効なオプトアウト要求として扱う必要があります。California Attorney General は、Sephora との和解（2022 年 8 月、罰金 120 万ドル）でこの執行方針を確認しました。これは、GPC シグナルに関する初の執行措置でした。

州ごとの法的要件

California — CPRA（2023 年 1 月 1 日施行）
  • Section 1798.135(e)：消費者の個人情報を収集する事業者は、消費者によるオプトアウト設定シグナルの使用を、Section 1798.120 に基づく販売／共有のオプトアウト要求として有効なものとして扱う必要があります。
  • AG Regulation 11 CCR 7025(b)：消費者からオンラインで個人情報を収集する事業者は、オプトアウト設定シグナルを、そのブラウザーまたはデバイス、およびそのブラウザーまたはデバイスに関連付けられた消費者プロファイルについて、販売／共有のオプトアウト要求として有効なものとして扱う必要があります。
  • Sephora との和解（2022 年 8 月）：California AG は、GPC シグナルを尊重しなかったことなどの違反を理由に、Sephora に 120 万ドルの罰金を科しました。
Colorado — Colorado Privacy Act（CPA、2024 年 7 月 1 日施行）
  • Section 6-1-1306(1)(a)(IV)(A)：消費者は、技術的に実現可能な範囲で、消費者に代わってプラットフォーム、技術、またはメカニズムから送信されるオプトアウト設定シグナルを通じて、オプトアウト権を行使できます。
  • CPA Rules 4.6：管理者は、2024 年 7 月 1 日までにユニバーサルオプトアウトメカニズムを認識する必要があります。
Connecticut — Connecticut Data Privacy Act（CTDPA、2023 年 7 月 1 日施行）
  • Section 42-520(b)(5)：2025 年 1 月 1 日以降、管理者は、個人データの販売およびターゲティング広告に関するユニバーサルオプトアウトメカニズムを認識する必要があります。
Montana — Montana Consumer Data Privacy Act（2024 年 10 月 1 日施行）
  • Section 30-14-2807：管理者は、個人データの販売およびターゲティング広告に関する有効なオプトアウト要求として、オプトアウト設定シグナルを認識する必要があります。
Texas — Texas Data Privacy and Security Act（TDPSA、2024 年 7 月 1 日施行）
  • Section 541.055：管理者は、消費者が個人データの販売およびターゲティング広告をオプトアウトできるようにする必要があります。ユニバーサルオプトアウトメカニズムは、2025 年 1 月 1 日以降、尊重する必要があります。
Oregon — Oregon Consumer Privacy Act（2024 年 7 月 1 日施行）
  • Section 646A.578：管理者は、オプトアウト設定シグナルの認識を含む、消費者がオプトアウトできる方法を提供する必要があります。

GPC 技術仕様

HTTP ヘッダーの検出

GPC シグナルは HTTP リクエストヘッダーとして送信されます。

Sec-GPC: 1

このヘッダーは、ユーザーが GPC を有効にしている場合、ブラウザー（またはブラウザー拡張機能）によってすべての HTTP リクエストに設定されます。GPC が有効でない場合、ヘッダーは設定されず、値 0 にはなりません。

JavaScript API による検出

GPC シグナルは JavaScript DOM API からも利用できます。

// Check if GPC is supported and enabled
if (navigator.globalPrivacyControl === true) {
    // User has opted out — do not sell/share personal information
    // Do not load non-essential tracking scripts
    // Set internal opt-out flag for this user
}

主な考慮事項：

  • GPC が有効な場合、navigator.globalPrivacyControl は true を返します。
  • GPC が有効でない場合、またはサポートされていない場合、navigator.globalPrivacyControl は false または undefined を返します。
  • トラッキングスクリプトや広告スクリプトを読み込む前に確認してください。
サーバーサイドでの検出（HTTP ヘッダー）

サーバー側では、受信リクエストの Sec-GPC ヘッダーを確認します。

If Sec-GPC header is present AND equals "1":
    → Set opt-out flag for this session/user
    → Do not initiate sale or sharing of personal information
    → Do not load third-party tracking pixels
    → Log GPC signal receipt for compliance records

CloudVault SaaS Inc. における実装アーキテクチャ

クライアント側での検出

CloudVault SaaS Inc. は、次の2つのタイミングでGPCを確認します。

  1. ページ読み込み時：分析または広告SDKを初期化する前に、navigator.globalPrivacyControl を確認します。値が true の場合、必須ではないトラッキングを抑制します。

  2. 同意バナーの操作時：GPCが検出された場合、Cookie同意バナーで「販売／共有をオプトアウト」をあらかじめ選択し、次の通知を表示します。「お使いのブラウザーでGlobal Privacy Controlシグナルが検出されました。オプトアウトの設定が適用されています。」

サーバー側での処理

CloudVault SaaS Inc. のバックエンドミドルウェアは、次の処理を行います。

  1. 受信するすべてのHTTPリクエストで、Sec-GPC: 1 ヘッダーを確認します。
  2. 検出された場合、セッションレベルのフラグ gpc_opt_out = true を設定します。
  3. リクエストが認証済みユーザーに関連付けられている場合、該当する目的（販売／共有）について、そのユーザーの同意記録にオプトアウトを反映します。
  4. シグナルをエコーバックする Sec-GPC レスポンスヘッダーを返します（透明性の確保）。
  5. GPCシグナルを受信したことを、タイムスタンプ、ユーザーエージェント、および関連するユーザーID（認証済みの場合）とともに記録します。
GPCと内部同意システムの対応付け

GPCは二値のシグナル（販売／共有のオプトアウト）です。CloudVault SaaS Inc. は、これを次の同意目的に対応付けます。

GPCシグナル内部目的アクション
Sec-GPC: 1pur_benchmarking_003（第三者とのデータ共有）同意を撤回／オプトアウト
Sec-GPC: 1pur_advertising_004（ターゲティング広告）同意を撤回／オプトアウト
Sec-GPC: 1pur_analytics_001（サービスの改善）変更なし（内部利用であり、販売／共有ではありません）
Sec-GPC: 1pur_marketing_002（製品に関するメール）変更なし（ダイレクトマーケティングであり、販売／共有ではありません）
競合の解決

ユーザーが設定センターで手動でオプトインしている一方、ブラウザーからGPCが送信される場合：

  • CPRAの方針：GPCが優先されます。AG規則11 CCR 7025(c)に基づき、オプトアウト設定シグナルと消費者の金銭的インセンティブプログラムへの参加との間に競合がある場合、事業者はオプトアウト設定シグナルを尊重する必要があります。ただし、競合について消費者に通知し、参加を確認する選択肢を消費者に与えることができます。
  • CloudVault SaaS Inc. の方針：次の通知を表示します。「お使いのブラウザーから、データ共有をオプトアウトするためのGlobal Privacy Controlシグナルが送信されています。このシグナルは以前のオプトイン設定より優先されます。業界ベンチマークのためのデータ共有を続けるには、［設定］>［プライバシー］で設定を確認してください。」

コンプライアンスの確認

GPCの実装を確認するには：

  1. GPC対応のブラウザーまたは拡張機能をインストールします（Enhanced Tracking Protectionを有効にしたFirefox、DuckDuckGoブラウザー、Braveブラウザー、またはChrome用のOptMeowt拡張機能）。
  2. CloudVault SaaS Inc. のアプリケーションに移動します。
  3. ネットワークリクエストで Sec-GPC: 1 ヘッダーが送信されることを確認します。
  4. トラッキングスクリプトが読み込まれていないことを確認します。
  5. 同意バナーにオプトアウト設定が反映されていることを確認します。
  6. サーバー側のログにGPCシグナルが記録されていることを確認します。
  7. 認証済みユーザーの同意記録が更新されていることを確認します。

主な規制関連資料

  • CPRA第1798.135(e)条 — オプトアウト設定シグナルの要件
  • カリフォルニア州司法長官規則11 CCR 7025 — GPCの実装に関する詳細
  • GPC仕様（globalprivacycontrol.org） — 技術標準
  • Colorado Privacy Act第6-1-1306(1)(a)(IV)(A)条 — ユニバーサルオプトアウト
  • Connecticut CTDPA第42-520(b)(5)条 — ユニバーサルオプトアウトの仕組み
  • Montana MCDPA第30-14-2807条 — オプトアウト設定シグナル
  • Texas TDPSA第541.055条 — オプトアウトの方法
  • Oregon OCPA第646A.578条 — オプトアウト設定シグナル
  • Sephoraとの和解（カリフォルニア州司法長官、2022年8月） — GPCに関する初の執行事例

コメント

Markdown 対応