州（state）別データ・プライバシー法：プライバシー保護へのさまざまなアプローチ

個人にとって データ・プライバシー の保護が優先事項となるにつれて、あらゆるレベルの政府が、組織による氏名、住所、医療データ、財務記録、クレジット情報などの個人情報の収集・保存・処理方法を管理するために、さまざまなプライバシー権利に関する法律を制定してきました。

米国における データ・プライバシー法 について詳しく学ぶとともに、個人データを対象とする既存の法律で今後どのような変更やその他の進展が見込まれるのかも確認しましょう。

米国ではデータのプライバシーはどのように施行・執行されていますか？

現代のプライバシー課題に対処し、データのプライバシー権を保護する必要性は、世界的な傾向です。大きな転機の一つは2018年5月に訪れました。EUが一般データ保護規則（GDPR）を導入したのです。これは広範な立法であり、EU加盟国だけでなく、欧州居住者のデータを収集または処理するあらゆる組織に適用されます。

端的に言えば、米国にはEUの GDPR に相当するものがありません。実際、2021年時点で米国は、民主主義国の中でも少数であり、また経済協力開発機構（OECD）の唯一の加盟国として、連邦レベルのデータ保護機関を持っていません。ただしKirsten Gillibrand上院議員をはじめとする人々は、そのような機関の創設を提案しています。連邦レベルで包括的なデータ保護法がないため、米国は州と連邦の両方で制定された法律の組み合わせによって、データのプライバシーを引き続き規制しています。

企業は、「個人情報」とみなされ得るデータの収集や処理を始める前に、関連するすべての法令を把握しておく必要があります。適用されるデータのプライバシー関連法に従わない場合、訴訟や罰金につながるおそれがあります。

米国の連邦プライバシー法とその執行

データプライバシー法とみなされる連邦法には、次のものがあります：

• Gramm-Leach-Bliley Act (GLBA)： 1999年の金融近代化法（Financial Modernization Act of 1999）とも呼ばれるGLBAは、金融機関に対し、顧客の機微情報をどのように保護し、共有するのかを説明することを求めています。
• Health Insurance Portability and Accountability Act (HIPAA)： この連邦法は、保護された健康情報（PHI）の開示と利用を規制しています。
• Children’s Online Privacy Protection Act (COPPA)： この法律は、13歳未満の子どもに関する個人情報の収集を制限しています。
• Family Educational Rights and Privacy Act (FERPA)： この連邦法は、学生記録のプライバシーを保護し、米国教育省（US Department of Education）から資金を受け取っているすべての学校に適用されます。
• Fair Credit Reporting Act (FCRA): 消費者情報の収集および利用を規定します

連邦レベルでは、米国連邦取引委員会（Federal Trade Commission（FTC））は、「欺瞞的な取引慣行」を防止するために、商業企業に対して広範な管轄権を有しており、それには データのプライバシーに関する問題 が含まれる場合があります。FTCは、プライバシー関連法を執行し、規則を発行し、消費者を保護するための措置を講じる権限を持っています。特にFTCは、次のような行為を行う企業に対して措置を取ることができます：

• 合理的な データセキュリティ の侵害（漏えい）対策を作成・実施・維持しないこと
• 消費者の同意なく消費者情報を収集、処理、または共有することで、消費者のデータのプライバシー権を侵害すること
• Webサイトやアプリ上で、消費者向けに不正確または紛らわしいプライバシーおよびセキュリティのポリシーを公開・確立すること
• プライバシーポリシーで開示されていない方法で個人情報を収集、処理、移転、または共有すること

米国の州（ステート）レベルのデータプライバシー法

米国の多くの州にも、独自のデータプライバシーおよびセキュリティに関する法律があります。州の司法長官（Attorney General）事務所が、これらの法律の監督を担当しています。

州（ステート）レベルの規制には、しばしば重複したり両立しない条項があります。たとえば、米国50州すべてが データ侵害 の通知に関する法律を採用していますが、個人データの定義や、そもそも何をデータ侵害に当たるとするかには違いがあります。同様に、少なくとも35州（およびプエルトリコ）が、何らかのデータ処分規制を制定しており、その多くはとくにデジタルデータを対象にしています。

施行（制定済み）の州別主要なデータプライバシー法は以下のとおりです：

カリフォルニア州消費者プライバシー法

発効日 日付: 2020年1月1日

規定：このカリフォルニア州のデータプライバシー法は、長年にわたり、シリコンバレーのデジタルおよびテクノロジー企業が静かに収集して販売してきた私的データの量に対する公衆の懸念が高まったことを背景に、投票による提案（ballot initiative）として始まりました。カリフォルニア州の法律には、欧州連合のGDPRにある、データ保護およびデータプライバシー要件の中核となる原則が取り入れられています。

この CCPAは、カリフォルニア州の居住者の個人情報の収集、販売、開示を規定します。対象は、企業の活動、企業にサービスを提供するサービス提供者、および第三者（個人または組織である可能性があります）です。本法の重要な条項の一つとして、企業は、カリフォルニア州の消費者から、どの個人データが自分について収集されているのか、またそれが販売または開示されているのかについての問い合わせに、迅速に対応しなければなりません。法律は、自らの権利を行使する消費者に対する差別を認めていません。消費者がデータの販売のような特定の活動に異議を唱える場合でも、同等のサービスの質を提供する必要があります。サービス提供者は、消費者データを、利用者として自分が仕えている企業の指示に従う場合に限り使用でき、要求があれば、消費者の個人情報を記録から削除しなければなりません。

適用範囲：CCPAは、たとえば収益のしきい値など、一定の条件を満たすカリフォルニア州で事業を行うすべての営利企業に適用されます。カリフォルニア州で事業を行う非CA企業も対象に含まれるため、域外適用（extraterritorial effect）があります。

その他の重要な事実：

• 特定の機微なデータは、CCPA の要件から免除されます。これには、すでに Health Insurance Portability & Accountability Act（HIPAA）の対象となっている保護健康情報（PHI）、すでに California Confidentiality of Medical Information Act の対象となっている医療情報、および Gramm-Leach-Bliley Act（GLBA）の対象となっている一部の情報が含まれます。
• 現行法では、企業が CCPA によって付与される権利を自社の従業員にも拡張することを求めています。しかし、その法律を改正し、従業員を「消費者（consumer）」の定義から除外する内容の、審議中の法案があります。
• 企業が、個人に関して収集・保存された情報に関する問い合わせを受けた場合、回答する前に、依頼を行っている人物が自分自身であると主張する人物本人であることを確認しなければなりません。

違反に対する罰則: 法律では、企業に対して違反を「是正（cure）」するまでに 30 日間の猶予を与えています。違反に対応しない場合、故意の違反 1 件につき最大 7,500 米ドル、非故意の違反 1 件につき 2,500 米ドルの民事上の罰金が科されます。

California Privacy Rights Act（CPRA）

正式名称： Proposition 24

施行日： 2023年1月1日ですが、施行（適用）開始は2023年7月1日まで待たれます

規定： このカリフォルニア州の法律は、次のような権利を消費者に新たに与えます：

• 不正確な情報を訂正する。
• 目的の制限およびデータの最小化に従って個人情報を収集すること。
• 敏感な個人情報を使用することを計画している事業者から通知を受け、その使用をやめるよう求めることができます。これには、生体情報、遺伝データ、および個人の健康、性的指向、または性生活に関するあらゆる情報が含まれます。

範囲： この法律は、消費者に対して次のような拡大された権利を提供するため、CCPAよりも適用範囲が広いです：

• 事業者がパスワードやユーザー名を公開した場合に、事業者を訴える権利： その CPRA は、CCPA の「個人情報」の定義を拡大し、ユーザー名とパスワードを含めています。
• 第三者と情報を共有することをオプトアウトする権利： CCPA では、「sell（販売）」が共有を明確に含んでいなかったため、この点は議論になっていました。CPRA では、消費者は第三者への個人情報の販売および共有について、オプトアウトできるようになりました。
• より多くの情報にアクセスする権利： 消費者は、直前の12か月間に収集された情報だけでなく、事業者が収集したあらゆる個人情報へのアクセスを請求できます。

その他の重要な事実： この法律は、執行を担当する新しいプライバシー機関、カリフォルニア・プライバシー保護機関（California Privacy Protection Agency：CPPA）も新設します。

違反に対する罰則： 罰金は、あなたが事業者か個人かによって、2,500ドルから7,500ドルの範囲で設定されます。さらに、未成年者（16歳未満）のデータに関する違反には、自動的に7,500ドルの罰金が科されます。

コロラド州プライバシー法（Colorado Privacy Act：CPA）

正式名称： SB 21-190

発効日： 2023年7月1日

規定： CPA は、コロラド州で事業を行う「コントローラー（controllers）」、またはコロラド州の居住者を対象にした製品もしくはサービスを提供する「コントローラー（controllers）」に適用され、これらは次のいずれかに該当します:

• 1年において、100,000 人以上の消費者の個人データを管理または処理すること
• 25,000 人以上の消費者の個人データを販売、処理、または管理することで、収益を得る、またはサービスや商品の価格の割引を受けること

2024年7月1日から、上記の要件を満たすコントローラー（controllers）は、ターゲットを絞った販売および広告に関するオプトアウトを尊重しなければなりません。CPA はまた、コロラド州の居住者に対し、 data portability（データ・ポータビリティ）に関する権利に加えて、個人データへのアクセス、訂正、および削除を求める権利を付与します。コントローラー（controllers）は、申請に対して 45 日以内に対応します。

適用範囲： 2018年のカリフォルニア州消費者プライバシー法とは異なり、CPAには適用性に関する金銭的な閾値（しきいち）がありません。つまり、すべての事業者がこの法律を考慮する必要があります。ただし、次の機関には適用されません：

• GLBAの対象となる金融機関
• さまざまな種類の医療関連データ
• FERPAが規定するデータ

カリフォルニアの法律とは異なり、CPAは非営利団体を除外しません。

その他の重要な事実： CPAにより、データ管理者（controllers）はデータ処理者（processors）とデータ処理契約（DPAs）を締結することが必要になります。データ管理者は、データ保護アセスメントを実施し、その記録を残す必要もあります。

違反に対する罰則： 民事上の直接請求権（private right of action）がないため、コロラド州の司法長官（Attorney General）と地区検察官がCPAを執行します。彼らは金銭的損害賠償または差止めによる救済（injunctive relief）を求めることができます。ただし行動を起こす前に、司法長官と地区検察官は違反の通知を発行し、企業または個人に対して、申し立てられた違反を是正（cure）するための猶予として60日を与えなければなりません。2025年1月以降、この「是正（right to cure）」は、司法長官事務所に対してガイダンスを求めるデータ管理者（controller）の権利に置き換えられます。

バージニア州消費者データ保護法（Virginia Consumer Data Protection Act, CDPA）

正式名称： SB-1392

施行日： 2023年1月1日

規定： CDPA は消費者に 6 つの権利を提供しています:

• 訂正する権利
• アクセスする権利
• データの持ち運び（データポータビリティ）に関する権利
• 削除する権利
• オプトアウトする権利
• 異議申し立ての権利

適用範囲： 本法は、バージニア州で事業を行う事業者、またはバージニア州の居住者を対象としてサービスや製品を提供（作成）する事業者に適用されます。これらの事業者は次の要件を満たす場合：

• 1年の間に、100,000人を超える消費者の個人データを管理または処理すること
• 25,000人を超える消費者の個人データを管理または処理し、かつ総収益の少なくとも半分を個人データの販売によって得ていること

コロラド州の CPA と同様に、バージニア州の CPDA には収益の閾値がありません。つまり、あらゆる規模の企業がこの法律に注意を払う必要があります。

「消費者」の定義には、雇用または商業の文脈で行動している人は含まれません。これは、従業員データを含む CPRA とは異なります。したがって、企業は CPDA が自社に適用されるかどうかを判断する際に、従業員データを考慮する必要はありません。

その他の重要な事実： EU の GDPR やカリフォルニア州の CCPA と同様に、CDPA にはデータの収集を「データが処理される目的に関連して、適切で、関連性があり、合理的に必要なもの」に限定する規定があります。

違反に対する罰則： コロラド州の CPA と同様に、バージニア州の CDPA には私人による訴え（private right of action）はありません。執行は Attorney General の責任です。コントローラーは、Attorney General が「これから措置を取る」とコントローラーに通知した後、違反を是正（cure）するために 30 日間の猶予が与えられます。この期間内に是正できない場合、Attorney General は違反 1 件につき最大 7,500 ドルの罰金を科すことができます。

ネバダ州 インターネット・プライバシー法案（SB260）

正式名称： BDR-52-253

施行日： 2021年10月1日

規定： 本法は、ネバダ州の住民に対し、自身の個人情報の販売についてオプトアウト（拒否）できる権利をより広範に認めるものです。また、「データブローカー」に対する新たな要件も定めています。データブローカーとは、事業の主な手段が、オペレーターまたはその他のデータブローカーから取得した消費者に関する情報を販売することである組織を指します。データブローカーは、消費者がデータブローカーに対して自分の情報の販売を止めるよう求めるために使用できる、指定の住所を設けなければなりません。データブローカーは、受領後60日以内に対応する必要があります。

範囲： 本法はオプトアウト権の適用範囲を拡大しますが、「対象となる情報（covered information）」の範囲は、類似法で定義される「個人情報（personal information）」よりも狭くなっています。

「対象となる情報（Covered information）」は次に限られます：

• 名と姓
• 自宅/物理住所
• メールアドレス
• 電話番号
• 社会保障番号
• 対面またはオンラインで本人に連絡できる識別子

その他の重要な事実： 本法案は、NRS 603A.300-360 など、ネバダ州のオンライン・プライバシー通知に関する法規を改正します。

違反に対する罰則： ネバダ州の司法長官（Attorney General）が本法の執行を担当します。裁判所は、暫定または恒久的な差止命令、または違反1件あたり最大5,000ドルの民事上の罰金を科すことになります。

マサチューセッツ州データ・プライバシー法

正式名称：公共の州の居住者の個人情報の保護のための基準（201 CMR 17.00）

施行日: 2010年3月1日

規定: 本法は、マサチューセッツ州の居住者をID盗難および詐欺から保護するための要件を定めています。

適用範囲: マサチューセッツ州の居住者に関する個人データをライセンスし、保存し、または管理するいかなる組織も、包括的な情報セキュリティプログラムを実施することが求められます。

その他の重要な事実：

• 本法は、企業に対し、データセキュリティプログラムを運用し、定期的に従業員研修を実施するための専任担当者を置くことを求めています。
• この法律はまた、企業に対し、個人情報にアクセスできる第三者のサービス提供者がその情報を保護できることを確認するために「合理的な手順」を取ることを求めています。
• この法律は、消費者および従業員の個人情報の安全性と機密性を保護します。これには、名、姓、社会保障番号、運転免許証番号、州発行のIDカード番号、金融口座番号、クレジットカードまたはデビットカード番号、ならびにその人の金融情報へのアクセスを可能にするあらゆるアクセスコードが含まれます。ただし、公開されている情報源から入手した情報は除外されます。
• マサチューセッツ州でも、CCPA に類似したデータプライバシー規制の検討が進められています。可決された場合、SD.341「An Act Relative to Consumer Data Privacy（消費者データプライバシーに関する法律）」は 2023 年 1 月 1 日に施行される予定です。

違反に対する罰則：執行は、消費者・事業規制局（Office of Consumer Affairs and Business Regulation）が担当します。法律の故意の違反ごとに、最高 5,000 米ドルの民事罰が科される可能性があり、さらに「当該違反の調査および訴訟に要する合理的な費用（合理的な弁護士費用を含む）」が加算されます。

ミネソタ・データ・プライバシー法

正式名称: Minnesota Government Data Practices Act (MGDPA) (Minn. Stat. § 13)

施行日: 1979

規定: 本ミネソタ州の法律は、個人の政府データにアクセスする権利を保護し、個人情報の収集、保存、利用、および提供（拡散）を管理します。教育データや法執行データなど、さまざまな種類の情報を区別するための分類システムを定めています。さらに、個人に関するデータは公開または非公開としてタグ付けされる一方で、個人に関するデータではないものは非公開または保護された非公開としてタグ付けされます

対象範囲: 本法はミネソタ州のあらゆる政府機関に適用されます。

その他の重要な事実：

• 法律では、すべての州の機関が「responsible authority（責任ある当局）」を任命し、その責任ある当局が、データ要求が「適切かつ迅速な態様で受け付けられ、対応される」ように手順を定めることを求めています。政府機関が個人の私的または機密データを収集したい場合、その機関は、その個人に「Tennessen」と呼ばれるプライバシー通知を提供しなければなりません。
• データの取扱いに関して政府機関と個人の間で争いが生じた場合、個人は行政委員（Commissioner of Administration）に対して助言意見を求めることができます。

違反に対する罰則: 罰則には、故意の違反に対する民事訴訟、または政府機関が助言意見に従わなかった場合の弁護士費用が含まれることがあります。故意の違反の場合、裁判所は公務員に対して刑事罰を科すこともでき、無給で停職にしたり、解雇したりすることも可能です。

提案中の米国州のデータ・プライバシー法

上記のデータ・プライバシー法はすべて施行されていますが、議論されている法律もあります。主なものは次のとおりです：

オハイオ州個人情報保護法（OPPA）

正式名称: 下院法案 376

説明： 本法案は、カリフォルニア州、バージニア州、コロラド州で制定された法律に類似しています。施行されれば、オハイオ州民に一定のデジタル権利を与えるとともに、オハイオ州の消費者の個人データを収集するあらゆる事業者に義務を課します。

ノースカロライナ州消費者プライバシー法（CPA）

正式名称: 上院法案 569

説明： 本法が制定された場合、ノースカロライナ州の消費者に対して、次の権利が付与されます：

• 知る権利およびアクセス権
• 訂正する権利
• 削除する権利
• オプトアウトする権利
• 私人による訴えの権利

ノースカロライナ州の居住者を対象にサービスや製品を提供するすべての事業者に適用され、かつ次のいずれかに該当します。

• 毎年、10万件以上の消費者の個人データを処理または管理する
• 少なくとも 2万5,000 人の消費者の個人データを処理または管理し、その個人データの販売によって得る総売上高が半分を超える場合。

ロードアイランド州データ透明性およびプライバシー保護法

正式名称: HB 5959

説明： この法案は情報共有の取り組みを概説し、消費者データがどのように収集されるかについての透明性を求めるものであり、特定の企業に対してプライバシーポリシーの開示を提供することを義務付けています。可決されれば、この法律によって、オンラインサービス提供事業者や商業Webサイトが第三者に対して収集・共有・販売する個人情報を消費者が把握できるようになります。

ペンシルベニア州消費者データプライバシー法

正式名称: House Bill 1126

説明： 本法は、以下のすべての基準を満たす営利企業に適用されます：

• ペンシルベニアで事業を行う
• 消費者の個人情報を収集し、共有し、または販売する
• 単独または他者と共同して、消費者の個人情報を処理する目的および手段を決定する
• 次のいずれかの要件を満たすこと：
  • 消費者の個人情報の販売によって年間収入の半分を得ていること
  • 毎年、消費者 50,000 人、デバイス、または世帯の個人情報を（単独で、または他者と共同で）購入、共有、または販売する
  • 年間の総収入が少なくとも 1,000 万ドルである

ニュージャージー州 — データ・プライバシー法案 3 件

正式名称： A5448, A3283, および A3255

説明：

A5448 と A3255 は類似した目的を持っています。これらは、企業に対して、個人を特定できる情報（PII）の収集および開示について消費者に通知することを求め、消費者がオプトアウトできるようにするものです。

A3283（ニュージャージー州「Disclosure and Accountability Transparency Act（NJ DaTA）」）は、個人を特定できる情報の開示および処理に関する要件を定めるものです。さらに、この法案は、消費者問題局（Division of Consumer Affairs）の中に「データ保護および責任ある利用のオフィス（Office of Data Protection and Responsible Use）」を設置することも定めています。

マサチューセッツ情報プライバシー法（MIPA）

正式名称: S.46

説明： 本法案は、ワシントン州の People’s Privacy Act の修正版です。位置情報や生体データを含む個人情報について、無許可での収集・利用・収益化（monetization）から消費者を保護します。また、個人情報に基づく差別を禁止し、職場における不当な電子監視から労働者を守ることも目的としています。

ハワイ州消費者プライバシー保護法

正式名称: SB 418

説明： 本提案法案では、消費者に対し、個人情報へのアクセス、削除、および個人情報の販売へのオプトアウト（拒否）の権利が付与されます。CCPAと同様に、「個人情報」について幅広い定義がされています。CCPAと同等の主要な保護と権利を備えていますが、「ビジネス（business）」が何を指すのかを定義していないため、規模によってビジネスを除外しません。

ニューヨーク州消費者プライバシー法 (NYPA)

正式名称： 上院法案 S567

説明： この提案されたニューヨーク州のデータ・プライバシー法は、CCPAと非常に似ています。これにより、個人は、事業者が自分に関して収集したデータが何であるか、またそれを誰と共有したのかを把握できるようになり、事業者に対してデータの訂正または削除を求めること、さらに、自分のデータが第三者に共有されたり売却されたりすることをオプトアウトすることが可能になります。NYPAは、個人情報の保護を拡大することで、ニューヨーク州が既に持つデータ侵害通知法を補完するものです。

この提案法案は、たとえば次のような高いデータ・プライバシー保護基準を定めています。

• 個人データを収集、販売、またはライセンスするあらゆる法的主体に対し、受託者としての義務（fiduciary duties）を課し、その義務を広く定義しています。事業者は、消費者の個人データを、消費者に影響を及ぼし得るあらゆるリスクから保護しなければなりません。さらに、この法案は、データに関する受託者責任が「所有者または株主に対して負ういかなる義務」よりも優先されるとしています。
• この法案は、企業に対して自社の利益よりも顧客のプライバシーを優先させることを求めている点で、他の州法よりも強力です。このプライバシー関連の立法には、「組織は“消費者の最善の利益のために行動すべきである”」という、非常に議論の多い一文があります。ただし、それが意味するところとして、企業がニューヨーカーやその他の顧客の利益について実際に何を理解すべきなのかは説明されていません。
• それは「私人による訴権（private right of action）」を与えます。つまり、執行を州のAttorney Generalに任せるのではなく、消費者がプライバシー違反について企業を直接訴える権利を持つということです。

結論

EUとは異なり、米国では包括的な連邦レベルのデータプライバシー法がまだ成立していないため、米国の州はそれぞれ独自のデータプライバシーおよびサイバーセキュリティ規制を制定しています。今後数か月から数年にかけて、より多くの州法が施行されるにつれて、状況はさらに複雑になっていくでしょう。高額な罰金、訴訟、その他のコンプライアンス違反に伴う結果を避けるため、組織は米国のデータプライバシー法を慎重に見直し、適用されるすべての要件を満たしていることを確認する必要があります。

よくある質問

データプライバシーを保護するための要件を課している米国の法律はどれですか？

データプライバシーを規制する包括的な連邦法が存在しないため、米国は、特定の種類の個人データの共有を管理する業界別および州別の法律によって運用されています。これらの法律には次のものがあります：

• 1974年個人情報保護法（Privacy Act of 1974） — 連邦機関が管理する個人情報を保護します
• 健康保険の携行性と責任に関する法律（HIPAA）および医療情報技術を通じた経済・臨床の健康に関する法律（HITECH） — 個人の健康情報（PHI）を保護します
• グラム・リーチ・ブライリー法（Gramm–Leach–Bliley Act、GLBA） — 金融情報を保護します
• 児童オンラインプライバシー保護法（Children’s Online Privacy Protection Act、COPPA） — 子どものプライバシーを保護します
• 家族の教育の権利およびプライバシー法（FERPA） — 学生の個人情報を保護します
• California Consumer Privacy Act (CCPA) — カリフォルニア州の居住者のプライバシー権を保護します
• The New York SHIELD Act — ニューヨーク州の居住者の個人情報および機密情報を保護します

米国のプライバシー法では、どのような種類のデータが対象ですか？

米国の法律で機微情報とみなされるものには、以下が含まれます：

• Personally identifiable information (PII) — 氏名、住所、Social Security number など、個人を特定したり、連絡したり、所在を把握したり、ある人を別の人と区別したりするために使える情報
• 個人の健康情報（PHI） — 医療提供者によって収集され、特定の個人に結び付けられ得る、健康状態、診療（医療）履歴、保険情報、その他のプライベートデータ
• 個人を特定できる財務情報（PIFI） — クレジットカード番号、銀行口座の詳細、または個人の財務に関するその他のデータ
• 学生の記録 — 個人の成績、成績証明書（トランスクリプト）、時間割、請求の詳細、およびその他の教育記録

1974年のPrivacy Act（プライバシー法）で保護されるものは何ですか？

1974年のPrivacy Act（プライバシー法）は、連邦政府が保有する個人に関する記録を連邦機関がどのように取り扱うかを規定し、連邦機関に対して、さまざまな厳格な記録管理（保管）要件の遵守を求めています。個人は、自分自身に関する記録にアクセスし、その記録が開示されたかどうかを確認し、また、その記録が法律上の免除対象でない限り、その記録について訂正または修正（改訂）を求めることができます。

米国の州のうち、データのプライバシー法があるのは何州ですか？

少なくとも 16 州にデータのプライバシー法があり、そのうち 3 州には、包括的な消費者向けデータのプライバシー法があります。カリフォルニア州はよく知られた California Consumer Privacy Act (CCPA) を制定し、その動きがコロラド州やバージニア州での同様の立法につながりました。

米国の連邦および州のプライバシー法は、外国企業にも適用されますか？

いくつかの要因によって決まります。たとえば、個人への影響、米国の商取引への影響、そして企業が米国内に子会社を持っているかどうかです。外国の事業者は、米国の居住者の個人情報を収集・処理・共有する場合、米国の法律の対象となり得ます。たとえば、外国企業がカリフォルニアで事業を行い、消費者がカリフォルニアにいる間にカリフォルニア州の居住者の個人情報を収集する場合、その企業は CCPA の対象になります。

米国のプライバシー法は、EUの GDPR とどのように違いますか？

GDPR は、EU の居住者のデータを収集または処理する世界中のすべての企業と、すべての加盟国に適用される包括的なデータプライバシーに関する義務です。米国にはこれに相当する法律はなく、その代わりに、データプライバシーは分野ごとの連邦法と各州のさまざまな法律からなる寄せ集めの規制（パッチワーク）によって管理されています。

GDPR によって保護される特定の権利のうち、特に触れておきたいものがあります。それは right to be forgotten です。これは、個人の個人情報を組織の記録から削除するよう求める権利を指します。この権利は、米国憲法の修正第1条に定められた言論の自由の権利と両立しにくいと考えられることがよくあります。というのも、情報を閲覧リストから強制的に除外（delist）することは、言論の自由を狭め、検閲のリスクをもたらすと見なされ得るためです。とはいえ、米国には、ある形の「忘れられる権利（right to be forgotten）」に相当するものを提供する法律がいくつかあります。たとえば、COPPA は親に対して子どもの情報を確認し、削除する権限を与えています。また CCPA は、一定の制限のもとで、カリフォルニア州の居住者が自分の記録の削除を求めることを認めています。