カリフォルニア州消費者プライバシー法（CCPA）とは？

デジタル世界では、マーケティング担当者は消費者データを新たなゴールドと見なし、その計り知れない潜在的価値を認識しています。しかし、このデータを採掘したいという企業の意向にもかかわらず、そのようなデータによって調査される消費者は、生成した情報がどのような形で使用されるのか、あるいは使用されないのかについて、発言権を持つべきだと主張する運動が増えています。

カリフォルニアでは、この運動の目標がCCPAの可決により法律へと形を変えたのです。これはカリフォルニア州にデータ・プライバシーの法律や規制を施行するための有効なフレームワークを与えることで、消費者の権利とサイバーセキュリティーに大きな打撃を与えるものです。この法律は、カリフォルニア州の住民に対し、 データ侵害から法的救済を求めるための私的訴訟権への道を提供します。

CCPAガイドラインは、カリフォルニア州の消費者に、個人データのプライバシーに明示的に対処し、合理的なセキュリティー保護を提供する一連の権利を与えることを目的として設計されました。これらの権利には、カリフォルニア州民が自らの顧客データに関して消費者要求を行う権限が含まれます。これらの要求には、以下を行う方法が含まれます。

• 「私の個人情報を販売しないでください」という指示を発行することにより、第三者企業への個人情報の販売を防止する（再販を防止する権利）
   

• 収集された個人情報に関するデータを要求する（アクセスする権利）
   

• その消費者に関して収集されたすべてのデータを削除するよう要求する（忘れられる権利）

カリフォルニア州プライバシー保護局は、カリフォルニア州の住民も保護を受け、彼らに影響するデータの変更について適切に通知されるようにします。また、これらの権利を行使することを選択したために個人が抑圧されたり、罰せられたりしてはならないことを義務付ける差別禁止規則も施行しています。

ほとんどの消費者は「個人データ」が何を意味するのかについての一般的な概念を持っていますが、このフレーズは人によって意味が異なり、実際には想像以上に多くのことを意味する場合があります。

CCPAの文脈では、個人データは「特定の消費者または世帯を識別または説明する、またはこれに関連するか、合理的に（直接的または間接的にも）関連付けることができる情報」と定義されています¹。

CCPA ガイドラインでは、個人データの次の具体的な例がカバーされています。

• 名前

• 住所

• 電話番号

• Eメール・アドレス

• IPアドレス

• 生年月日

• 社会保障番号

• 運転免許証番号

• パスポート番号

• 銀行口座情報

• クレジットカード/デビットカード番号

• 教育関連データや資格情報

マーケティング担当者は、データ分析を通じて各タイプの情報を組み合わせると、個人データの価値がさらに高まることに気づいています。これを使用して、特定の消費者や消費者グループに関する複合的なビューを作成できます。また、消費者マーケティングのトレンドについてより広範な推論を行うことも可能です。日常的に収集される他の形式のPIにも、以下のような明らかな情報が含まれるものがあります。

• 消費者の購買嗜好

• 個人の閲覧履歴

• 明確な個人的態度

• 特定の個人的行動

もうひとつの懸念はCookieについて、さらにはこれらCookieが固有の識別子としてどのようにウェブサイトによって使われているのかという点です。これには、事業目的が終了すると自動的に削除されるように設計されたファーストパーティCookieが含まれます。また、自動的に削除されないサードパーティCookieもあります。サードパーティCookieには、機密性の高い個人情報を含むさまざまな種類の個人データを収集する機能があります。

ウェブサイトがサードパーティCookieを悪用する可能性があるため、CCPAはウェブサイト上でCookieの使用を通じて収集されたデータをPIとみなし、保護に値するとみなしています。

最も影響を受ける組織は、CCPAへの準拠をひとつのステップとしてだけではなく、全体的なプロセスとして取り組んでいます。そのプロセスの最初の部分では、多くの場合、消費者に対する考え方の変化と、消費者のプライバシーのニーズがいかに重要で強制可能な権利が伴うことを認識することが必要になります。

CCPAコンプライアンスの維持には、カリフォルニア州のさまざまな消費者に、個人データ・インベントリーの管理方法に関するオプション（オプトインの選択を含む）を提供することが含まれます。また、新しいテクノロジー（生体認証など）やCCPAポリシーの改訂に対応するために、CCPAの進化的な変化に対応し続けることも意味します。

CCPAに準拠するには一連のステップが必要になり、完全に準拠するには6か月、場合によっては1年かかる場合もあります。いずれにしろ、各ステップはCCPA準拠を確立する上で重要な役割を果たします。(特定のコンプライアンス要件は同時に実行できるため、手順には数字ではなく箇条書きを使用します。)

最初のステップは、どのような消費者データが収集されているかを正確に把握し、そのさまざまな場所をカタログ化することです。このデータは、社外の消費者から収集された「外部」消費者データと、企業の従業員や求職者から「内部」で収集された消費者データの両方に該当します。

消費者からのものであれ、求職者からのものであれ、収集されたすべての個人データは安全に保管することが不可欠です。また、未成年者から収集した情報の保護に関する追加規定もあります。

「回収時の通知」声明はすべての消費者（従業員や求職者も含む）に発行されるべきです。重要なのは、このプライバシー通知は、データ収集活動がすでに開始された後ではなく、その事前または開始時に行う必要があるという点です。

現在、ほとんどの組織は自社の詳細なデータ・プライバシー・ポリシーを維持し、自社のウェブサイトで公開しています。

消費者情報に関連するリクエストを処理するための効果的かつタイムリーな手段を構成することも重要です。

組織が特定の目的を達成するために必要最小限の量のPIのみを収集するようにするには、データ最小化ルールを開発し実装する必要があります。また、収集されたデータが侵害された場合に消費者に起こり得る危険を考慮し、適切な予防策（収集されたデータの使用後の自動削除など）を導入する必要があります。

コンプライアンスを達成するための重要な側面の1つは、会社のマネージャーとすべての従業員がCCPA要件、特に業務範囲に直接影響する要件を確実に認識することです。最新情報については、トレーニング・セッションやウェビナーを通じて伝えることができます。

法律や規制は多くの場合、変更や修正される可能性があります。（CCPA自体は、2023年の再発足前にそのような改訂がありました。）したがって、CCPAの最新の動向を常に把握しておくことをおすすめします。

データ仲介業（PI の売買）は急成長している事業です。専門家はその事業価値を2021年に全世界で2,400億米ドルとして評価しています。この額は2020年代が終わるまでにほぼ2倍となり、年間4,500億米ドル以上に膨らむと予想されています。 ²

データほど貴重なものにはすべて強力な保護が必要です。そのため、カリフォルニア州プライバシー保護局（CPPA）は、CCPAテナントに違反する企業の利益に打撃を与える権限を与えられています。CCPAの罰金の上限は、意図しない攻撃の場合は2,500米ドル、意図的な違反の場合は7,500米ドルと比較的低く設定されています。これらの CCPA の罰則は、1人の人物が関与するデータ侵害など、単一の違反にのみ適用されることに注意してください。

しかし実際には、データ侵害にたった1人の当事者が関与することはほとんどありません。むしろ、一般的には数千、さらには数十万の消費者が参加する大規模イベントとなります。したがって、CCPAが科す可能性のある罰金とカリフォルニア州住民数を掛け合わせると、すぐに巨額の罰金が計算される可能性があります。

CCPAは違反企業に対し、犯した過ちを正すための猶予期間を30日間与えることで、こうした高額な罰金の支払いを回避する方法を提供しています。違反者がセキュリティー対策を強化し、1か月以内に問題を「修正」できれば、罰金は免除されます。明らかに、企業にはそのような違反を是正する金銭的な義務がありますが、状況によってはそれが困難であったり、不可能であったりすることもあります。データ侵害などの犯罪では、取り消すことのできないデータ開示が伴うことが多いためです。

CCPAの適用範囲は、モノのインターネット（IoT）などのテクノロジーの爆発的な成長に歩調を合わせるために拡大し、進化し続けています。

たとえば、CPPAは最近、データ収集メカニズムを搭載した「コネクテッドカー」（CV）に新たに注目を向けることをを発表しました。現代の車両には、運転手に関して包括的な情報と地理位置情報データを収集し、そのデータを送信する手段が備わっています。カリフォルニア州には登録車両が 3,500 万台以上あり、これは大規模な取り組みとなっています。しかしCPPAのエグゼクティブ・ディレクターのAshkan Soltani氏は、これが特に注意が必要なニーズだと言います。

2023年7月にSoltani氏は、「現代の自動車は事実上、車輪に接続されたコンピューターです」と述べました。「組み込みのアプリや、センサー、カメラを介して豊富な情報を収集することができ、車内にいる人たちや車両の近くにいる人たちの両方を監視できるのです。」 ³

「車両の近く」という表現は注目に値します。これは、運転手のデータだけでなく、その車に乗っている人々、さらには車両の近くを歩く個人も保護されることを意味します。車両に搭載されたカメラは、これらの人々の一瞬の映像を捉えることができます。

この発表は、CCPAの権限がIoT（この場合はコネクテッドカー）を介して生成された個人データを保護するために利用されているという点でも、重要であると思われます。この発表が、増加するIoT関連の案件に対して政府機関が今後数年のうちに裁定する意図があることを示すものであれば、これはさらに重要な意味をもつかもしれません。

欧州連合（EU）は2018年5月に一般データ保護規則（GDPR）を制定し、個人情報や消費者情報の保護を目的にした、可能な限り先を見越したフレームワークを立ち上げました。一方、CCPAは、米国内で施行されている最も厳格なデータ・プライバシー・ポリシーとして知られています。そのため、この2つの規格がどのように違うかを比較したいと考える人もいます。

多くの点で、これら2つの規格は非常によく似ています。GDPRとCCPAはどちらも以下の特徴があります。

• 個々の市民に保護と権利を与えるという目的が原動力となっている。
   

• 収集されたデータに誤りがある場合、収集されたデータに異議を唱え、修正する権利を消費者に与える。
  

• 消費者に、自身の個人情報にアクセスする権利や、自身の個人情報を移動する権利（本人がこれを選択した場合のみ）、そして自身の個人情報を永久に消去する権利を与える
  

• 収集されたデータのセキュリティーが侵害された場合に消費者に個人的に通知することを要求する

一方、この2つには相違点もあります。GDPRには、カリフォルニア州単一では必要のない転送要件が、州境を越えた転送の場合には適用されます。同様に、CCPAではPIの販売に制限が適用されますが、GDPRでは適用されません。

それでも、GDPRとCCPAの間には相違点よりも類似点の方が多く存在します。どちらの規格も、サードパーティーのリスクという課題に直面しています。この課題は、ある企業が個人データの管理を事実上外部企業にアウトソースした場合に生じます。そのサードパーティ企業は、PI に関して同じ CCPA ベースの責任を負う準備と法的能力を備えている必要があります。これらは、問題のデータを最初に収集または購入した後に元の企業が負ったのと同じ責任です。CCPAとGDPRはどちらも、企業が情報を共有するサードパーティのカテゴリー、各サードパーティとどのような情報を共有するか、およびその理由を共有することを義務付けています。

GDPRとCCPAは大きな特徴をもう1つ共有しています。コンプライアンス違反を犯したサービス・プロバイダーやその他の企業に金銭的な罰を与えることができるという点です。このことは最近、史上最大のデータ・プライバシー罰金が科されたケースからも明らかになっています。

2023年5月、アイルランドデータ保護委員会（DPC）は、Meta（旧Facebook）に対して12億ユーロ（約13億米ドル）という記録的な罰金を科しました。この罰金は、Instagramを含む米国事業で欧州のデータを違法に使用したことに対する罰金でした。