ca-breach-notification

カリフォルニア州のデータ侵害通知の実施

概要

カリフォルニア州は、データ侵害通知法を制定した米国で最初の州です（SB 1386、2003年）。Cal. Civ. Code §1798.82 は、個人情報を含むコンピューター化されたデータを所有またはライセンスする個人、企業、州機関に対し、暗号化されていない個人情報が権限のない者によって取得された場合、または取得されたと合理的に信じられる場合に、カリフォルニア州の住民へ通知することを義務付けています。影響を受けるカリフォルニア州の住民が500人を超える場合は、カリフォルニア州司法長官にも通知する必要があります。

対象となるデータ要素 — Cal. Civ. Code §1798.81.5(d)

個人の名または名の頭文字と姓が、以下の暗号化または編集されていないデータ要素のいずれかと組み合わされている場合、データ侵害通知が必要となります。

データ要素	カテゴリー
社会保障番号	政府機関の識別情報
運転免許証番号またはカリフォルニア州身分証明書番号	政府機関の識別情報
金融口座番号、クレジットカード番号、またはデビットカード番号と、必要なセキュリティコード、アクセスコード、またはパスワードのいずれかの組み合わせ	金融
医療情報	医療
健康保険情報	医療
固有の生体データ（指紋、網膜、虹彩画像、または認証に使用されるその他の固有の物理的表現もしくはデジタル表現）	生体認証
自動ナンバープレート認識システムを通じて収集された情報またはデータ	監視
遺伝データ	遺伝
オンラインアカウントへのアクセスを可能にするユーザー名またはメールアドレスと、パスワードもしくはセキュリティ質問とその回答の組み合わせ	認証情報
納税者識別番号	政府機関の識別情報

注：「個人情報」には、連邦、州、または地方自治体の記録から合法的に一般公開されている情報は含まれません。

通知のタイミング — 「可能な限り最も迅速に」

Cal. Civ. Code §1798.82(a)：通知は「可能な限り最も迅速に、かつ不合理な遅延なく」行わなければなりません。

「不合理な遅延」に該当するもの

• 法律では、具体的な日数は定められていません。
• カリフォルニア州司法長官のガイダンスでは、通知が必要であると判断するのに十分な進展が調査で得られ次第、通知を行うことが求められると解釈されています。
• 調査および法執行機関との連携は、遅延の正当な理由として認められています。
• 社内の承認プロセスや、広報対応の準備をしたいという希望は、遅延の正当な理由にはなりません。

法執行機関による遅延 — §1798.82(c)

法執行機関が、通知によって犯罪捜査が妨げられると判断した場合、通知を遅らせることができます。法執行機関が通知によって捜査に支障が生じないと判断した後、「速やかに」通知を行わなければなりません。

司法長官への通知 — §1798.82(f)

要件	詳細
基準	影響を受けるカリフォルニア州の住民が500人以上
方法	カリフォルニア州司法長官事務所への電子提出（oag.ca.gov/privacy/databreach/reporting）
内容	個人への通知書のサンプル
タイミング	個人への通知と同時、またはそれ以前

個別通知の内容要件 — §1798.82(d)

通知には、次の事項を含める必要があります。

1. 通知を行う事業体の名称と連絡先情報。
2. 漏えいの対象となった、または対象となったと合理的に考えられる個人情報の種類の一覧。
3. 漏えいの発生日（判明している場合）と通知日。
4. 法執行機関による捜査の結果、通知が遅れたかどうか（該当する場合）。
5. 通知時点で特定可能な場合は、漏えい事故の概要。
6. 漏えいに社会保障番号、運転免許証番号、またはカリフォルニア州身分証明書番号が含まれる場合は、主要な信用情報機関のフリーダイヤル番号、住所、ウェブサイト。
7. セキュリティ凍結の利用可能性に関する記載（SSN が含まれる場合）：Cal. Civ. Code §1785.11.2 に基づき、信用情報ファイルにセキュリティ凍結を設定する権利に関する情報。

書式要件 — §1798.82(d)

カリフォルニア州では、漏えい通知書に特定の書式要件があります。

• タイトル：「Notice of Data Breach」 — 目立つように表示する必要があります。
• 見出し：以下の見出し（または実質的に同様の見出し）を使用する必要があります。
  • 「何が起きたのか」
  • 「どの情報が関係しているのか」
  • 「当社の対応」
  • 「お客様にできること」
  • 「詳細情報」
• フォント：10 ポイント以上。
• 言語：平易で、容易に理解できる言葉で記載します。

代替通知 — §1798.82(j)

次の場合は、代替通知が認められます。

• 個別通知の費用が 250,000 ドルを超える場合、または
• 影響を受ける人数が 500,000 人を超える場合、または
• 事業体が十分な連絡先情報を保有していない場合。

代替通知には、以下のすべてを含める必要があります。

1. メールアドレスが判明している影響対象者へのメール通知。
2. 事業体のウェブサイトへの目立つ形での掲載。
3. 州内の主要メディアへの通知。

暗号化による適用除外

以下の条件を満たす場合、暗号化された個人情報は通知要件の対象外となります。

• 暗号化キーが権限のない者に取得されておらず、また取得されたと合理的に考えられないこと。
• 業界標準を満たすアルゴリズム（AES-128 以上）を使用してデータが暗号化されていること。

CCPA／CPRA との関係

CPRA によって改正されたカリフォルニア州消費者プライバシー法（CCPA）は、Cal. Civ. Code §1798.150 に基づき、データ漏えいに関する私的訴権を定めています。

• 事業者が合理的なセキュリティを実施しなかった結果、「暗号化も編集による削除もされていない個人情報」が不正アクセスおよび持ち出し、窃盗、または開示の対象となった場合に適用されます。
• 法定損害賠償額：消費者 1 人につき、1 件の事故あたり 100～750 ドル、または実損額（いずれか大きい方）。
• 訴訟提起前に、30 日間の是正通知を行う必要があります。

主な執行措置

• Hanna Andersson（2020 年）：カリフォルニア州の消費者に影響した Magecart のウェブスキミングによる漏えいについて、通知の遅延を理由に 400,000 ドルで和解しました。司法長官は、「可能な限り迅速に」通知しなかったことを指摘しました。
• DoorDash（2020 年）：490 万人に影響した漏えいについて、司法長官が調査しました。司法長官は、通知の適切性と迅速性を精査しました。
• T-Mobile（2022 年）：全国規模の集団訴訟で 3 億 5,000 万ドルの和解が成立し、カリフォルニア州の消費者も大きな影響を受けました。司法長官事務所は、カリフォルニア州固有の通知要件への準拠状況を監視しました。

AG 提出用カバーレターのサンプル

宛先：California Office of the Attorney General Privacy Enforcement Section oag.ca.gov/privacy/databreach/reporting

件名：データ侵害通知 — Stellar Payments Group 侵害発生日：2026年3月13日 影響を受けたカリフォルニア州住民：2,340人

Cal. Civ. Code §1798.82(f)に基づき、Stellar Payments Groupは、カリフォルニア州住民2,340人に影響を及ぼすデータ侵害について、ここに通知します。影響を受けた個人に送付する通知書のサンプルを同封しています。個別の通知は2026年3月28日に発送されます。

連絡先：Dr. Elena Vasquez、DPO、[email protected]、+1 (202) 555-0142。