CCPA 準拠：準拠するための方法

個人情報（PI）の収集・処理により、企業は顧客体験をカスタマイズし、売上を伸ばすことができます。しかし、特定の消費者の権利に関する主張やプライバシー規制では、組織がデータを有意義で公正な形で利用できるようにするため、PIの収集を厳格に制限しています。最も有名なのはEUの General Data Protection Regulation (GDPR) ですが、米国ではますます多くの州が data privacy laws を自国で制定しています。

これらの法律の中でも特に重要なのが、2018年のカリフォルニア州消費者プライバシー法（California Consumer Privacy Act of 2018、CCPA）と、その後の拡張である California Privacy Rights Act（CPRA）です。この記事ではこれらをさらに詳しく説明します。

実際、多くのデジタルサービスの利用規約に、カリフォルニア州の居住者に対する特別な配慮が明記されていることに気づいた方もいるかもしれません。これは、カリフォルニア州で事業を行う組織に適用される CCPA によって定められたルールによるものです。

多くの組織はすでに GDPR に準拠するための方針を整えています。 しかし、CCPA には追加の対応を求めるいくつかの規定があります。組織を守るためには、CCPA とは何か、その主要な条項、そして CCPA 準拠を確実にするために取れる手順を理解しておく必要があります。この記事では、CCPA に準拠する方法、なぜそれが重要なのか、そしてプライバシーとビジネス効率のバランスをどのように維持するかを説明します。 .

カリフォルニア州消費者プライバシー法（CCPA）とは？

カリフォルニア州消費者プライバシー法（CCPA）は、2020年1月1日から施行されたカリフォルニア州の州法です。CCPAの中核的な目的は、企業が正式な通知や opt-in（事前同意）および -out の機会を一切提供せずに、消費者のプライベート情報を販売することから消費者を守ることにあります。意図は、個人データを含むあらゆるビジネス取引について、そうした企業に責任を負わせることです。

CCPA の用語と定義

CCPA 準拠とは何ですか？この質問に答えるには、いくつかの重要な用語を定義する必要があります：

• 事業者 — 営利を目的としてカリフォルニア州で事業を行い、CCPA（以下に記載）で対象となる基準を満たす事業体。
• 事業目的 — 個人データを収集し使用しようとする事業者は、カリフォルニア州民法（California Civil Code）の140 条(d)項に詳述されている、次の事業目的のいずれかを満たさなければなりません：
  • マーケティングおよび広告のために現在のやり取りを監査する
  • セキュリティおよび法的脅威の管理
  • 機能を損なうエラーのデバッグ
  • 第三者と共有されず、プロファイルの構築にも使用されない短期利用目的のデータを収集する
  • アカウントまたは取引の処理
  • 技術開発および実証のための社内研究の実施
  • 事業者のデバイスまたはサービスの品質や安全性を検証、維持、または改善しようとすること
• カリフォルニア州の居住者 — 一時的または一時限りの目的以外の理由で当該州にいる人、または一時的に州外にいるものの永住の住居がカリフォルニア州にある人。
• 収集 — 「いかなる手段によっても、消費者に関連する個人情報を購入、賃借、収集、取得、受領、またはアクセスすること」と定義されます。
• 消費者 — カリフォルニア州の居住者である自然人。
• データ侵害 — 不正な当事者が、消費者に害を及ぼし得る機微情報にアクセスできてしまう状況です。National Law Review によるCCPAの分析では、侵害の結果として消費者が救済を求めるためには、次の3つの要件を満たす必要があるとされています：
  • データは、CCPA が定義する「個人情報」である必要があります。
  • 個人情報は暗号化されておらず、改変（マスキングや削除）されていない必要があります。
  • その侵害は、事業者が合理的なセキュリティ手順および実務を実装し、維持できなかったことの結果である必要があります。
• 個人情報 — 実名、別名、電話番号など、本人の特性や嗜好に関するプロフィールを作成するために用いられ得るあらゆる情報が含まれます。
• 販売 — 法律では、これを「消費者の個人情報を、いかなる手段によってであれ、あらゆる当事者に対して、いかなる種類の対価と引き換えに、売却、賃貸、放出、開示、拡散、利用可能にする、移転、またはその他の方法で伝達すること」と定義しています。CCPA には、この定義に適用される具体的な例外があります。その一つが紹介または契約（referral or contracting）であり、消費者が個人識別子を用いて事業者に第三者とのやり取りを行わせるよう、意図的に指示する場合に該当します。もう一つは、事業者が「事業目的を遂行するために必要な範囲」を超えて個人情報を収集せず、販売せず、またはその他の方法で利用しない場合です。

CCPA を遵守する必要があるのはどの組織ですか？

CCPA はカリフォルニア州に拠点を置く企業に限られません。むしろ、CA（カリフォルニア）州の居住者から個人情報を収集し、次の基準のうち少なくとも 1 つを満たす、あらゆる営利企業に適用されます。

• 年商が少なくとも 2,500 万ドル（$25 million）以上
• 少なくとも 50,000 人または 50,000 世帯分の個人情報を保有
• カリフォルニア州の居住者の個人情報を販売することで、年間売上の半分以上を生み出している

免除には、次のものが含まれます。

• Gramm-Leach-Bliley (GLB) または CalFIPA の規制の対象となる金融機関
• Fair Credit Reporting Act（公正信用報告法）の対象となる信用報告機関
• CMIA および HIPAA の対象となる医療提供者
• 特定の企業間（B2B）関係

したがって、貴社の組織がいずれかの カリフォルニア州の居住者から個人情報を収集している場合（たとえば、WebサイトのCookieを通じて）、CCPAへの準拠が必要になる可能性があります。

CCPAで規制される情報とは？

カリフォルニア州民法典第1798.140条の（v）（1） では、CCPAの下で保護されるデータの種類をいくつかのカテゴリに分けて列挙しています。多くは「本名」や「メールアドレス」など、自明なものです。しかし、いくつかは追加の説明が必要です：

• 固有の個人識別子／オンライン識別子 － 「固有の個人識別子（unique personal identifier）」は個人情報のサブタイプとして挙げられていますが、別途「消費者またはその家族に関連付けられた消費者、家族、またはデバイスを、時間の経過と異なるサービスにまたがって認識するために使用できる永続的な識別子」として定義されています。代表的な例には、顧客番号、IPアドレス、固有の仮名、オンライン上のユーザー別名などがあります。
• 生体情報 — スマートフォンやウェアラブル端末が収集するような、睡眠・健康・運動データは、保護される「生体情報」のカテゴリに該当します。この保護は、心理的または行動上の特性、DNA、音声の録音など、オフラインで収集される可能性のあるデータにも及びます。
• 位置情報データ — CCPA では明確に定義されてはいませんが、位置情報データには一般に、GPS デバイスや類似の手段によって取得される精密な位置情報が含まれます。つまり、レストランのウェブサイトやソーシャルメディアのページでのチェックインを、特定の消費者にまで追跡できる形で販売することはできません。

例外

CCPA は、個人を特定するために使用できる個人情報の販売を防ぐことを目的としています。ただし、法律が適用されない一定のケースがあり、以下がその例です：

• 公的に入手可能な情報 — 政府の記録を通じて入手できる情報は「個人情報」とは見なされないため、保護の対象にもなりません。
• 個人の健康情報 — Confidentiality of Medical Information Act により対象となる医療情報、および米国の保健福祉省が Health Insurance Portability and Accountability Act of 1996 （HIPAA）に基づいて収集した情報は、別途規制されます。人を対象とする研究の保護に関する連邦の方針の対象となる臨床試験情報も、CCPAの対象には含まれません。
• 消費者レポートの作成に使用されるデータ — 信用力を判断するために使用される活動は、別途 Fair Credit Reporting Act によって規制されます。
• 金融情報 — Gramm-Leach-Bliley Act または California Financial Information Privacy Act で定義される適切な通知を行ったうえで販売されるあらゆる情報は、CCPAの対象には含まれません。
• DMV（運転者関連当局）が収集した情報 — 州の自動車管理局（Department of Motor Vehicles）またはその従業員、役員、請負業者が収集したあらゆる情報は、別途 Driver’s Privacy Protection Act（DPPA）の対象となります。
• その他の情報 — その他の例外には、雇用主と従業員の関係の範囲内で使用される特定の従業員情報、および特定の車両保証・リコール情報が含まれます。

CCPAにおける重要なプライバシー条項と消費者の権利

CCPAには、消費者の権利を保護するために設けられた、次の条項が含まれています。

• 一般的な開示 — 事業者は、消費者の権利と、過去12か月間に収集・開示した個人情報のカテゴリを説明するプライバシーポリシーを公表することが求められます。
• 知る権利 — 消費者は、収集・使用・共有・販売されたデータの性質に関する詳細情報、およびそれらの行為の理由について、情報の開示を求める権利があります。
• アクセス権とデータポータビリティ権 — 事業者は、検証可能な請求を受けた日から45日以内に、消費者に対して「知る権利」に該当する情報を無償で提供しなければなりません。開示の対象には、請求の前の12か月間に収集された情報が含まれる必要があります。
• オプトアウトする権利 — 消費者は、事業者が本来は第三者に対して個人情報を適法に販売している場合でも、いつでも、自分の個人情報を販売しないよう要求できます。
• 削除する権利（忘れられる権利） — 消費者は、事業者に対して、あらゆる期間にわたり自分について収集されたすべての個人情報を削除するよう求めることができます。
• 差別されない権利 — 企業は、CCPAに基づく自らの権利を行使した消費者に対して報復したり差別したりしてはなりません。報復や差別の例には、サービス拒否、価格または手数料率の違い、商品の品質やサービスの質の違いなどがあります。
• 民事上の提訴権 — CCPAの違反が発生した場合、消費者は損害の回復を目的として訴訟を提起する権利があります。
• 未成年者のデータ収集に関する制限 — 事業者は、未成年の消費者の情報について、明確に同意が得られていない限り販売することを禁じられています。13〜16歳の未成年は、事業者が個人データを販売する前にオプトイン（同意）する必要があります。消費者が13歳未満の場合は、事業者は親または保護者から同意を取得しなければなりません。

CCPA の制裁と救済措置

消費者は、申し立てられたインシデントがあった場合に法的措置を求める意向を、30日間前までに通知しなければなりません。企業がその申し立てを是正しない場合、違反1件につき最大$2,500の罰金が科される可能性があります。裁判所は、追加の懲戒措置を課すこともあります。

消費者は、実際の損害の立証をする責任はありません。必要なのは、個人情報が上記で定義された data breach に関与していたことだけです。

CCPA の改正

「California Privacy Rights Act（CPRA）」は、2020年に法律として署名されたもので、CCPAに対する一連の改正です。2023年7月1日から施行されるこの法案により、いくつかの 変更がもたらされます。

• 新しい用語—「sharing（共有）」や「sensitive personal information（センシティブな個人情報）」など、いくつかの新しい用語が追加されており、今後の個人データの取り扱いが変わります。
• 新しい権利—消費者には、共有にオプトアウトする権利や、不正確な情報を訂正する権利など、追加のプライバシー権が認められます。
• 新たな責任 — カリフォルニア州のプライバシー法の改正により、企業には、個人情報を保護するための合理的なセキュリティ対策を講じる必要など、情報共有に関する新たな要件を含む複数の新しい義務が課されます。

CCPA コンプライアンスのヒント

CCPAに準拠することで、組織のリスクを低減し、罰金を回避することにつながります。ここでは、データの収集・管理の実践をCCPAのコンプライアンス要件に合わせるためのヒントをいくつか紹介します。

データを棚卸ししましょう。

CCPAに準拠するには、データ処理活動を追跡する必要があり、そのためにはファイルサーバー、データベース、クラウドストレージ全体にわたって個人情報を特定しなければなりません。classifyして、自社の業務に役立つ他のカテゴリにどのように分類されるか、また、どのデータがCCPAの対象となるのかを把握できるようにしてください。そうすれば、データの種類ごとに適切なセキュリティ戦略を選択し、導入できます。

データ主体のアクセス要求（DSARs）を取り扱うためのプロセスを整備してください。

CCPAに基づいて権利を行使する顧客を支援するために、有効かつ効率的な手順を確立することが非常に重要です。DSARsは期限に敏感なため、企業は検証可能な要求を受領してから45日以内に、収集される個人情報の内容、どのように処理されるのか、どの目的で利用されるのか、そして誰と共有されるのかを開示しなければなりません。データを分類し、非IT担当者でも実施できるワークフローを用意しておくことで、各消費者からの要求に対して適時に対応できるようになります。

保護されたデータがどのように使用されているかを確認し、記録してください。

消費者には、自分のデータがどのように使われているかを知る権利があります。だからこそ、すぐに回答を用意できる状態にしておくことが最善です。ビジネスプロセス、ソフトウェア、デバイスなど、個人データが使用されている場所を特定する必要があります。加えて、マーケティング目的で使用されているデータの種類や、そのうちどれが第三者に販売または共有されているのかについての情報も必要です。さらに、データが最も危険にさらされるとき――転送中または保管中――にはデータを保護することが重要です。具体的には、データが使用されていない間は、保護のために暗号化し、仮名化すべきです。

記録の保存（運用）状況を見直してください。

CCPAに準拠するには、「right to be forgotten」(「消去の権利」) の要求に応じて、適切なデータを処分できる必要があります。CCPAの削除権は、消費者から収集されたデータにのみ適用されます（第三者ソースから収集された、消費者に関するデータには適用されません）。最大の課題は、異なる社内チームやシステムと共有されたデータ、またはベンダーやパートナーなどの第三者に開示されたデータを削除することです。これらの相手先のいずれについても、データを保存している元（ソース）まで追跡し、削除を依頼する必要があります。

消費者が権利を行使しやすいようにしましょう。

消費者が CCPA に基づいて自分の権利を行使できるよう、容易である必要があります。フリーダイヤルの番号と、Webサイト上のフォームを含め、少なくとも2つの申請方法を用意してください。さらに、必要な場合を除き、自分の個人情報が販売または共有されることを望まない消費者が、簡単にオプトアウトできる手段も用意する必要があります。たとえば、Webサイト上で見つけやすいリンクであって、タイトルが「Do Not Sell My Personal Information」であることなどです。

プライバシーポリシーを見直し、更新してください。

CCPA では、プライバシーポリシーが Webサイトからアクセスできることが求められています。消費者の個人情報の収集、利用、共有、および販売に関する、オンラインおよびオフラインでの取り組みを説明する必要があります。さらに、消費者のプライバシー権利と、それをどのように行使できるかについての情報も含める必要があります。

すべての従業員にプライバシー研修を義務付けましょう。

組織のメンバーには、CCPA 要件を満たすために組織がどのような対応を行う必要があり、自分がその中で担う役割を理解してもらう必要があります。これは、新入社員だけでなく経験のあるスタッフにも研修を提供することを意味します。

法律の変更を監視する。

CPRA はすでに CCPA に改正をもたらしており、今後も要件は変わり続ける可能性があります。これらの変更に注意を払い、コンプライアンスを維持してください。

Netwrix は CCPA への対応にどのように役立ちますか？

Netwrix コンプライアンス ソリューションは、CCPA を迅速かつ正確に遵守し、DSAR に対して素早く正確に対応できるようにするとともに、更新された要件に備えて準備を整えられる、包括的な多層的アプローチを提供します。

CCPAでは、収集・保存するすべての個人情報が安全に保護されていることを、確実にする必要があります。Netwrix compliance solutionを（を）使えば、この目標を達成するデータ中心のセキュリティアプローチを導入できます。変更、アクセス、構成の監査を自動化するとともに、機密データの正確な検出と分類も保証できます。さらに、過度に露出したデータや誤った設定（ミスコンフィギュレーション）など、データおよびインフラのセキュリティを改善するための実行可能なインサイトを得られます。また、データ収集プロセスを自動化することで、データ主体のアクセス要求に迅速に対応できます。これは重要であり、かつリソースを大量に消費するステップです。

よくある質問（FAQ）

1. CCPAとは何ですか？

CCPAは、消費者の個人情報を保護するための措置を定めたカリフォルニア州の法律です。

2. CCPAはどのようなデータを対象としていますか？

CCPA は、地域、州、または連邦の情報源から入手できないすべての個人消費者の非公開情報を対象とします。

3. CCPA はどの企業に影響しますか？

CCPA は、売上高の基準などの一定の条件を満たしながらカリフォルニア州で事業を行うすべての営利企業に適用されます。これには、カリフォルニア州に拠点を置いていない場合でも、同州で事業を行う企業が含まれます。