AB 375とは？カリフォルニア消費者プライバシー法（CCPA）の要点と企業の対応策を徹底解説

AB 375（CCPA）とは何か

AB 375は、2018年にカリフォルニア州で成立した「カリフォルニア消費者プライバシー法（California Consumer Privacy Act：CCPA）」の法案番号です。この法律は、米国史上初となる本格的な州レベルの包括的プライバシー法制であり、消費者が自身の個人情報の収集・利用・販売についてコントロールできる権利を保障するものです。テクノロジー企業をはじめとする事業者によるデータ収集・利用のあり方に大きな影響を与えています。

CCPAの適用要件

CCPAの対象となるのは、以下のいずれかに該当する事業者です。

• 年間売上高が2,500万ドル以上の企業
• 年間5万人を超える消費者、世帯、またはデバイスの個人情報を購入・受領・販売する組織
• 年間収益の50%以上を消費者の個人情報の販売から得ている企業

これらの基準を満たす事業者は、たとえカリフォルニア州外に本拠地があっても、カリフォルニア州住民のデータを扱う限りCCPAの義務を負います。

機微な個人情報（Sensitive Personal Information）の定義

CCPAおよびその改正法であるCPRAでは、「機微な個人情報」として以下のような情報が定義されています。

• 社会保障番号（SSN）、運転免許証番号、州身分証明書番号、パスポート番号
• 実名、別名、郵送先住所、メールアドレス、アカウント名、IPアドレスなどの識別子
• 人種・民族的出自、政治的意見、宗教的信条、労働組合への加入状況
• 健康状態に関する情報、性的指向や性生活に関する情報

特にCPRAでは、こうした機微な情報について消費者が利用や開示を制限する権利（利用制限権）が新たに認められました。

「私の個人情報を販売しないでください」リンクの義務

CCPAでは、事業者はウェブサイトに「Do Not Sell My Personal Information（私の個人情報を販売しないでください）」という明確で目立つリンクを掲載し、消費者が自身のデータの第三者への販売をオプトアウトできるようにすることが求められます。消費者からオプトアウトの請求を受けた場合、事業者はこれに速やかに応じなければなりません。当時のカリフォルニア州司法長官ザビエル・ベセラ氏も、このリンクの設置の重要性を強調しています。

CPRAへの移行と主な変更点

2020年11月3日、カリフォルニア州の住民投票でProp 24が可決され、CCPAを改正・拡張する「カリフォルニア・プライバシー権法（California Privacy Rights Act：CPRA）」が成立しました。CPRAは2023年1月1日から施行され、CCPAに代わる新しい枠組みとなっています。

主な変更点は以下の通りです。

• 適用対象の閾値が「5万人」から「10万人の消費者・世帯・デバイス」へ引き上げられ、中小企業の負担が軽減
• 行動ターゲティング広告のための第三者への個人情報提供が「共有（sharing）」として定義され、規制対象に
• 契約に基づき特定の業務目的で個人情報を扱う「請負業者（contractor）」という新しい分類の創設
• 消費者のアクセス権の範囲が過去12か月以内の情報から、それ以前の情報にも拡大（一定の条件下）
• 機微な個人情報の利用制限権や是正権など、新しい消費者権利の追加

企業が講じるべきコンプライアンス対策

CCPA／CPRAに対応するためには、以下の実践的な対策が不可欠です。

• データマッピングの実施： 個人情報の収集ポイントを特定し、データフローを文書化することで、アクセス請求に迅速かつ完全に対応できる体制を整えます。
• 機微な個人情報の収集見直し： 必要性の低いセンシティブな情報の取得を避け、リスクを最小限に抑えます。
• プロバイダー契約の更新： サービス提供業者との契約書やテンプレートを最新の法要件に合わせて改訂します。
• データ保持ポリシーの更新： 保持期間の設定と削除手順を明確化します。
• 通知義務の履行： 個人情報の収集時点または収集前に、消費者へ通知を行います。
• 請求対応体制の構築： 知る権利、削除権、オプトアウト権、差別禁止といった消費者の権利に対し、所定期間内に回答できる仕組みを作ります。

まとめ

AB 375として成立したCCPAは、米国における消費者プライバシー保護の先駆けとなる法律であり、2023年以降はより厳格なCPRAへと移行しました。カリフォルニア州住民のデータを扱うすべての事業者は、自社が適用要件に該当するかを確認し、データ管理体制、契約文書、ウェブサイト表示などを早急に整備することが求められます。法改正への対応が遅れれば、罰則や訴訟リスクだけでなく、消費者からの信頼低下にもつながりかねません。今こそ、プライバシーコンプライアンスを見直す絶好のタイミングです。