california-consumer-rights

カリフォルニア州の消費者の権利に関するワークフロー

概要

CCPA/CPRAは、Cal. Civ. Code §1798.140(d)に定める適用基準を満たす事業者に対して行使できる、6つのカテゴリーのプライバシー権をカリフォルニア州の消費者に付与しています。これらの権利はGDPRのデータ主体の権利をモデルとしていますが、カリフォルニア州独自の本人確認要件、対応期限、適用範囲の制限があります。

California Privacy Protection Agency（CPPA）の規則（11 CCR §7001-7102）では、消費者からの請求の取り扱いに関する詳細な実施要件が定められており、本人確認基準、回答形式、代理人の手続きなどが含まれます。

消費者の権利の一覧

権利	法令	本人確認レベル	対応期限	延長	頻度制限
知る権利（カテゴリー）	§1798.110	データ項目2つ	45日	+45日	12か月あたり2回
知る権利（具体的な情報）	§1798.110	データ項目3つ＋宣誓書	45日	+45日	12か月あたり2回
削除する権利	§1798.105	データ項目2つ	45日	+45日	制限の定めなし
訂正する権利	§1798.106	データ項目2つ	45日	+45日	制限の定めなし
販売／共有をオプトアウトする権利	§1798.120	合理的な確信	15営業日	なし	随時
機微な個人情報の利用を制限する権利	§1798.121	合理的な確信	15営業日	なし	随時

知る権利（§1798.100、§1798.110、§1798.115）

カテゴリーの開示

本人確認済みの請求を受けた場合、事業者は請求日前の12か月間について、以下を開示する必要があります。

1. 収集した個人情報のカテゴリー
2. 個人情報を収集した情報源のカテゴリー
3. 個人情報を収集、販売、または共有する事業上または商業上の目的
4. 個人情報を開示した第三者のカテゴリー
5. 販売した個人情報のカテゴリー、および各カテゴリーについて、販売先の第三者のカテゴリー
6. 事業目的で開示した個人情報のカテゴリー、および各カテゴリーについて、受領者のカテゴリー

具体的な情報の開示

より厳格な本人確認が必要です（データ項目3つに加え、偽証罪の罰則を伴う署名済み宣誓書）。事業者は、消費者について収集した具体的な個人情報を、移植可能で容易に利用できる形式（構造化され、一般的に使用される機械可読形式）で提供する必要があります。

Liberty Commerce Inc. の実装： Liberty Commerce Inc. は「Know My Data」ポータルを提供しており、2種類のレポート形式を生成します。

• PDF レポート：カテゴリー、情報源、目的、受領者を平易な言葉で一覧にした、人が読める形式の要約
• JSON エクスポート：具体的な個人情報をすべて含み、収集時刻とともにカテゴリー別に整理した、機械可読の構造化データ

システムは12か月の遡及期間を自動的に適用します。消費者は12か月を超える期間のデータを請求できます。Liberty Commerce Inc. は、§1798.130(a)(2)に従い、合理的に可能な場合にこれを提供します。

削除する権利（§1798.105）

処理手順

1. リクエストを受け付ける — 指定された窓口（ウェブポータル、メール、フリーダイヤル）を通じて受け付けます
2. 本人確認を行う — 2つ以上のデータ項目（氏名とメールアドレス、メールアドレスとアカウント番号など）を照合します
3. 意思を確認する — 指定されたポータル以外の方法で提出されたリクエストについて、消費者に削除の意思を確認します
4. 該当する例外を特定する（§1798.105(d)）：
   • PI が収集された取引を完了する
   • セキュリティインシデントを検出し、悪意のある、欺瞞的な、不正な、または違法な行為から保護する
   • 機能上のエラーを特定して修正するためにデバッグを行う
   • 言論の自由を行使する、または他の消費者が言論の自由を行使する権利を確保する
   • California Electronic Communications Privacy Act（Cal. Penal Code §1546）を遵守する
   • 公共の利益のために、一般向けまたは査読済みの科学的、歴史的、統計的調査を行う
   • 消費者との関係に基づく消費者の期待に合理的に沿った、社内利用のみを可能にする
   • 法的義務を遵守する（例：26 U.S.C. §6001に基づく税務記録の保管）
   • その他、収集の状況と両立する合法的な方法で、PI を社内利用する
5. 削除を実行する — アクティブなシステムから PI を削除し、サービスプロバイダーと請負業者に削除を指示します
6. 削除を延期する場合に対応する — バックアップ／アーカイブシステム内の PI には、次回の定期メンテナンスサイクルで削除するようマークを付けます
7. 消費者に通知する — 削除を確認するか、該当する例外を具体的に示して一部拒否の理由を説明します

Liberty Commerce Inc. の実装： Liberty Commerce Inc. は、段階的な削除ワークフローを実行します。

• アクティブなデータベースレコード：10営業日以内に削除
• サービスプロバイダーのシステム（PaySecure Corp.、SwiftShip Logistics）：削除リクエストを転送し、30日以内の対応期限を設定
• バックアップシステム：次回の90日ローテーション時に削除するようマーク
• 保持データ：税務記録（IRSの要件に基づき7年間）、不正調査記録（調査期間に加えて3年間）

訂正する権利（§1798.106）

CPRA により追加され、2023年1月1日に発効しました。消費者は、PI の性質と処理目的を考慮したうえで、不正確な個人情報の訂正を事業者に要求できます。

事業者の義務

事業者は、商業上合理的な努力をもって PI を訂正する必要があります。事業者が訂正に異議を唱える場合、次の対応が必要です。

• 判断を消費者に通知する
• 訂正を裏付ける資料を提出するための手順を消費者に案内する
• 提出された資料を検討し、妥当な場合は PI を訂正する
• 判断を維持する場合、消費者が記録に書面による補足を提出できるようにする

Liberty Commerce Inc. の実装： Liberty Commerce Inc. では、プロフィール項目（氏名、住所、メールアドレス、電話番号）をセルフサービスで訂正できます。セルフサービスに対応していないデータ（取引記録、ロイヤルティランク、推定された設定）の訂正を希望する消費者は、裏付け資料を添えてプライバシーポータルからリクエストを提出します。プライバシーチームは15営業日以内に確認し、訂正するか、理由を添えて回答します。

販売および共有をオプトアウトする権利（§1798.120）

2つの異なる行為（CPRA施行後）

1. 販売（§1798.140(ad)：金銭その他の有価な対価を得るために、PI を第三者に開示すること
2. 共有（§1798.140(ah)：金銭の授受の有無にかかわらず、コンテキストをまたいだ行動ターゲティング広告のために PI を第三者に開示すること

どちらもオプトアウトの権利の対象とする必要があります。事業者は、ホームページに「個人情報を販売または共有しないでください」というリンクを設置する必要があります。

オプトアウトシグナルの要件（CPPA Regulations §7025）

• 事業者は、オプトアウト設定シグナル（GPC を含む）を有効なオプトアウト要求として処理する必要があります
• 本人確認は不要です。シグナル自体が有効な要求となります
• シグナルを受信してから15営業日以内にオプトアウトを適用する必要があります
• 消費者にシグナルの確認を求めるポップアップやインタースティシャルを表示してはなりません
• シグナルを処理するために、消費者に追加情報の提供を求めてはなりません
• 消費者を特定できない場合は、ブラウザー／デバイスにオプトアウトを適用します

未成年者に固有の要件（§1798.120(c)）

• 13歳未満の子ども：親または保護者から明示的な承認を得ずに、事業者が PI を販売または共有してはなりません
• 13～15歳の子ども：本人から明示的な承認（オプトイン）を得ずに、事業者が PI を販売または共有してはなりません
• 未成年者の親／保護者、または未成年者本人がオプトアウトした後、少なくとも12か月間は再勧誘してはなりません

Liberty Commerce Inc. の実装： Liberty Commerce Inc. は、次の3つのチャネルを通じてオプトアウト要求を処理します。

1. ホームページのリンク：ページのフッターに「個人情報の販売または共有を行わないでください」
2. GPC シグナル：Sec-GPC: 1 ヘッダーを自動検出して尊重
3. プライバシーポータル：認証を伴う、アカウント単位で維持されるオプトアウト

オプトアウトが行われると、システムは次の処理を行います。

• サードパーティの広告ピクセル（AdReach Network、TargetAds）を停止します
• コンテキストをまたいだ行動ターゲティング広告のデータ送信を無効にします
• ファーストパーティ分析を維持します（サービスプロバイダー契約に基づいて処理される場合、販売／共有には該当しません）
• 15分以内に同意管理プラットフォームの状態を更新します

機微な PI の使用を制限する権利（§1798.121）

制限後に許可される使用

消費者がこの権利を行使した場合、事業者は機微な PI を次の目的に限って使用または開示できます。

1. 消費者が合理的に期待するサービスの実施または商品の提供
2. セキュリティインシデントの防止、検出、調査
3. 悪意のある行為、欺瞞的な行為、不正行為、または違法行為への対処
4. 自然人の身体的安全の確保
5. 短期間の一時的な使用（パーソナライズされていない広告を含む）
6. 事業者に代わってサービスを実施すること（確認、保守、カスタマーサービス）
7. サービスまたはデバイスの品質または安全性の確認もしくは維持
8. サービスのアップグレード、拡張、または改善

Liberty Commerce Inc. が処理する機微な PI のカテゴリ：

• 正確な位置情報（店舗検索、配送追跡）
• 支払いカードの詳細（取引処理）
• 人種／民族的出自（任意の多様性に関するアンケート — 制限要求があった場合は提供を終了）
• アカウント認証情報（認証）

本人確認の枠組み（CPPA Regulations §7060-7062）

確認方法

方法	データ項目	適用対象
知識ベース	アカウントのメールアドレス＋SSN の下4桁	知る、削除、訂正
アカウント確認	認証済みセッション	知る、削除、訂正
書類ベース	政府発行 ID のスキャン	知る（特定の情報）、高価値の要求
宣誓書	偽証罪の罰則を承知のうえで署名	知る（特定の情報項目）—必須
代理人の承認	署名済みの委任状または POA	権限を付与された代理人を通じたすべての権利

権限を付与された代理人への対応（§1798.130(a)(1)、CPPA Regs §7063）

権限を付与された代理人が要求を提出した場合：

1. 代理人の権限を確認します。消費者が署名した書面による許可、または Cal. Prob. Code §§4000-4465 に基づく有効な委任状が必要です
2. 署名済みの書面による許可（委任状ではない）の場合、消費者本人の身元を直接確認することもできます
3. 委任状がある場合、消費者本人の追加確認は不要です
4. 権限を確認できない場合は、要求を拒否します

回答の提供基準

形式要件

• カテゴリーの開示：容易に理解できる形式であれば、どのような形式でも構いません
• 具体的な情報：消費者が支障なく他の事業者に情報を提供できる、移植性があり、すぐに利用できる形式（機械可読形式：JSON、CSV、XML）で提供する必要があります
• 削除の確認：削除した情報と保持した情報（法的根拠を含む）を明記した書面による確認
• オプトアウト：オプトアウトの状態を確認できること。15営業日以内に有効にする必要があります

提供方法

• 依頼を受け取ったのと同じチャネル（または、より安全な代替手段）を通じて提供します
• 具体的な個人情報については、安全でパスワード保護された提供方法を使用します
• 知る権利に基づく依頼への回答では、機微な個人情報（SSN、金融口座番号）を提供せず、その情報が存在することのみを確認します

主な規制上の参照資料

• Cal. Civ. Code §1798.100-199（CCPA/CPRA）
• CPPA Regulations 11 CCR §7001-7102
• CPPA Regulations §7025 — オプトアウト選択シグナル
• CPPA Regulations §7060-7063 — 消費者からの依頼の本人確認
• CPPA Enforcement Advisory No. 2024-01 — ダークパターン
• AG Opinion No. 21-303 — 代理人の本人確認基準