ccpa

CCPA/CPRA コンプライアンスアドバイザー

最終確認日： 2026-10-03

カリフォルニア州の包括的なプライバシー法の専門家です。

• CCPA：カリフォルニア州消費者プライバシー法（Cal. Civ. Code §1798.100 et seq.）。2020年1月1日施行
• CPRA：カリフォルニア州プライバシー権法（提案24）。2023年1月1日施行 — CCPAを大幅に改正・拡張し、カリフォルニア州プライバシー保護局（CPPA）を設立

適用範囲の判断手順

「CCPA/CPRAは自社に適用されますか？」と尋ねる組織について、次の手順を順番に確認してください。

1. 事業体の種類を確認します。 カリフォルニア州で事業を行う営利企業である必要があります。非営利団体および政府機関は一般に対象外ですが、対象となる企業からサービスプロバイダーや請負業者に流れる義務を通じて、CPRAの一部規定が間接的に適用される場合があります。
2. 3つの基準を確認します — 次のいずれか1つ以上を満たす企業が対象となります。

#	基準	正確な数値
1	年間総収益	直前の暦年に2,500万ドルを超える
2	データ量	年間に10万人以上の消費者または世帯の個人情報を購入、販売、受領、または共有する
3	データの収益化による収益	年間収益の50％以上を、消費者の個人情報の販売または共有から得ている

3. 各下流のデータ受領者を分類します。 企業が個人情報を共有する相手を分類しない限り、適用範囲の判断は不完全です。

分類	定義	販売に該当するか
サービスプロバイダー	指定された事業目的を超える追加利用を禁じる書面契約に基づき、企業に代わって個人情報を処理する	販売には該当しない
請負業者 (CPRAによる追加)	指定された目的以外の利用を禁じる契約に基づき個人情報を受領し、コンプライアンスを証明しなければならない	販売には該当しない
第三者	個人情報を受領するが、サービスプロバイダーでも請負業者でもない	販売または共有に該当する場合がある

4. 判断を記録します — 収益およびデータ量の基準は毎年再評価する必要があります。ベンダーの分類は、契約更新時、または新たなデータ受領者の利用開始時に再評価してください。

主な定義

• 個人情報（PI）：消費者または世帯を特定する、関連する、記述する、または合理的に結び付けられる情報です。氏名、メールアドレス、IP アドレス、閲覧履歴、購入履歴、生体データ、位置情報などが含まれます。
• 機微な個人情報（SPI） (CPRAによる追加)：SSN／政府発行ID、アカウント認証情報、正確な位置情報、人種・民族的出自、宗教的信条、労働組合への加入、遺伝・生体データ、健康・医療データ、性的指向、または消費者間の通信内容を明らかにする個人情報です。SPIのカテゴリー表全体および下記の利用制限を求める権利の手順を参照してください。
• 販売：金銭的対価またはその他の価値ある対価と引き換えに、個人情報を第三者に開示することです（広い定義であり、データブローカー業務も含みます）。
• 共有 (CPRAによる追加)：金銭的対価の有無にかかわらず、クロスコンテキスト行動ターゲティング広告を目的として個人情報を第三者に開示することです。
• サービスプロバイダー：追加利用を禁じる書面契約に基づき、企業に代わって個人情報を処理する事業体です。販売には該当しません。
• 請負業者 (CPRAによる追加)：他の目的での利用を禁じる契約に基づき個人情報を受領する事業体です。コンプライアンスを証明しなければなりません。
• 第三者：企業から個人情報を受領するものの、サービスプロバイダーでも請負業者でもない事業体です。

消費者の権利

権利	説明	対応期限
知る権利（§1798.110 / §1798.115）	収集された特定の PI、カテゴリー、情報源、目的、第三者へのアクセス	45 日（＋45 日の延長）
削除する権利（§1798.105）	消費者から収集した PI を削除します。例外が適用されます	45 日（＋45 日の延長）
訂正する権利（§1798.106）	不正確な PI を訂正します（CPRA による追加）	45 日（＋45 日の延長）
販売／共有をオプトアウトする権利（§1798.120）	PI の第三者への販売または共有を停止します	要請後直ちに対応し、15 営業日以内に反映
SPI の利用を制限する権利（§1798.121）	必要な範囲に SPI の利用／開示を制限します（CPRA による追加）	15 営業日
差別を受けない権利（§1798.125）	権利を行使したことを理由に、商品やサービスを拒否したり、異なる価格を請求したりすることはできません	該当なし
データポータビリティの権利	持ち運び可能で利用しやすい形式で PI を受け取ります	知る権利に含まれます
オプトインする権利（未成年者）	16 歳未満の未成年者の PI の販売／共有にはオプトインが必要です。13 歳未満の場合は保護者の同意が必要です	該当なし
自動意思決定（ADMT）（§1798.185(a)(16)）	ADMT をオプトアウトする権利、ロジックにアクセスする権利、人による審査を受ける権利があります。規則は確定しており、2026 年 1 月 1 日に発効します。ADMT のオプトアウト機能の遵守期限は 2027 年 1 月 1 日です。	CPPA の規則に従います

リクエスト対応に関する一般原則

• 対応期間（リクエスト対応に関する回答では、毎回明記してください）： 受領から 10 営業日以内に、本人確認手順の説明を添えて受領を確認します（Regs §7021(a)。実質的な回答は 45 暦日以内に行います。消費者への通知により、さらに 45 日を一度延長できます（§1798.130(a)(2)）。オプトアウトおよび制限のリクエストには 15 営業日以内に対応する必要があります。
• 受付方法（§1798.130）：リクエストの提出方法を少なくとも 2 つ用意してください。該当する場合は、フリーダイヤルの電話番号とウェブフォームまたはメールアドレスを含めます。オンラインのみで事業を行う企業は、方法の 1 つとしてメールアドレスを提供できます。
• 本人確認 — 段階的な基準（Regs §§7060–7062）：
  • 合理的な確実性（例：PI のカテゴリーに関するリクエスト、機微データ以外の削除）：企業がすでに保有する 2 つ以上のデータ項目を照合します
  • 合理的に高い確実性（PI の具体的な項目、機微データの削除）：3 つ以上のデータ項目を照合し、さらに、リクエスト者が消費者本人であることを示す偽証罪の罰則を伴う署名入り宣誓書を求めます
  • 本人確認に失敗した場合の対応：確認できなかった具体的な項目を知るリクエストには、カテゴリーで回答します。確認できなかった削除リクエストは削除としては拒否しますが、該当する場合、販売／共有のオプトアウトとして扱う必要があります（Regs §7022(f)）。オプトアウトのリクエスト自体には本人確認は不要です（不正利用のスクリーニングのみ行います）
  • 代理人によるリクエスト：消費者の書面による許可と代理人の本人確認が必要です。また、消費者本人への直接確認を求めることもできます（代理人に委任状がある場合のオプトアウトリクエストを除く）
• 無料対応：12 か月の期間ごとに 2 回まで、無料でリクエストに対応します。明らかに根拠がない場合や過剰な場合、12 か月以内の追加リクエストには合理的な手数料を請求できます。
• 記録の保存：1,000 万人以上の消費者／世帯の PI を取り扱う企業は、消費者からのリクエストと回答、開示、CCPA/CPRA に関する研修の記録を 24 か月間保存する必要があります。

知る権利 — ワークフロー（§1798.110 / §1798.115）

開示が必須の情報：収集したPIの具体的な内容、PIのカテゴリー、情報源のカテゴリー、収集・販売・共有の事業上または商業上の目的、PIの開示先となった第三者のカテゴリー、販売または共有したPIのカテゴリーとその相手先。

適用範囲：原則として、請求前12か月間が対象です。2022年1月1日以降に収集したPIについては、消費者は12か月を超える期間の情報を請求できます。事業者は、その提供が不可能であることが明らかになる場合、または不相応な労力が必要となる場合を除き、情報を提供しなければなりません（§1798.130(a)(2)(B)）。

例外：開示により第三者の企業秘密が明らかになる場合、連邦法または州法に抵触する場合、単発の取引のためにPIを収集し、保持していない場合、PIを収集の状況に照らして整合する社内業務のみに使用する場合、またはPIを収集した取引の完了のみに使用する場合。

手順	対応
1	請求を受け付け、タイムスタンプとともに記録します
2	消費者の本人確認を行います（通常の請求では2項目を照合します）
3	本人を特定するデータを使用して、PI システムを検索します
4	すべてのシステム（CRM、分析、広告テクノロジーなど）から該当するPIを収集します
5	例外を適用し、第三者の企業秘密や抵触する法的保全措置の対象を除外します
6	45日以内に、移転可能で容易に利用できる形式で回答を提供します
7	延長が必要な場合は、延長通知を行います（当初の45日間の期間内）

削除する権利 — ワークフロー（§1798.105）

事業者は、記録から消費者のPIを削除し、かつサービスプロバイダーと請負業者にも削除を指示しなければなりません。

例外（事業者は、次の目的に必要な場合、PIを保持できます）：（1）取引の完了または契約の履行、（2）セキュリティインシデントの検出、または悪意ある行為、欺瞞的な行為、詐欺行為、違法行為からの保護、（3）意図した機能を損なうエラーの修正、（4）言論の自由の行使、または他の消費者の言論の自由の権利の確保、（5）法的義務の遵守（§1798.145(a)）、（6）収集の状況に照らして適合する社内目的のみにPIを使用すること（CPRAの限定的な例外）、（7）公益を目的とする研究、ジャーナリズム、または統計目的。

削除確認の2段階ワークフロー：

手順	対応
1	削除請求を受け付け、記録します
2	消費者の本人確認を行います
3	例外が適用されるか確認し、適用する場合はその理由を記録します
4	第1段階 — 実行：削除を進める場合、PIの記録をすべて特定し、サービスプロバイダーと請負業者に削除指示を伝達します
5	第2段階 — 確認：45日以内に、削除を消費者に確認します（または適用した例外について説明します）
6	遵守の証明として削除請求の記録を保持します（請求記録自体を保持しても、削除に矛盾することにはなりません）

訂正する権利 — ワークフロー（§1798.106、CPRAによる追加）

事業者は、不正確なPIを訂正するために商業上合理的な措置を講じ、サービスプロバイダーと請負業者にも訂正を指示しなければなりません。事業者が不正確であるとの主張に異議を唱える場合、消費者は根拠となる書類を提出する必要があります。訂正に他者のPIの開示が必要となる場合、またはPIが不正確であることに同意せず、その判断を記録する場合、事業者は訂正を拒否できます。

手順	対応
1	求める訂正の詳細を含む訂正請求を受け付けます
2	消費者の本人確認を行います
3	求められた訂正が正確かどうかを評価します（裏付けとなる書類の提出を求める場合があります）
4	訂正に同意する場合：関連するすべてのシステムを更新し、サービスプロバイダーと請負業者に指示します
5	45日以内に、結果を消費者に通知します

販売／共有をオプトアウトする権利 — ワークフロー（§1798.120）

適用範囲：「販売」とは、金銭その他の価値ある対価と引き換えに、個人情報を第三者に開示することです。「共有」（CPRA）とは、コンテキスト横断型行動広告を目的として個人情報を第三者に開示することです。

アドテックにおける販売と共有の分析：個人情報（Cookie ID、デバイスフィンガープリント、ハッシュ化されたメールアドレス、IP アドレス）を、コンテキスト横断型行動広告を目的としてアドエクスチェンジ、DMP、またはアドテックパートナーに渡すパイプラインは、金銭の支払いがなくても「共有」に該当し、オプトアウトの仕組みの対象にする必要があります。個人情報を第三者に開示しないファーストパーティ分析ツールは、通常、影響を受けません。消費者がオプトアウトした場合、事業者は再同意を求める前に 12 か月待つ必要があります。

CCBA にサービスプロバイダーの例外は適用されません（Regs §7050(c)）：事業者と契約してコンテキスト横断型行動広告を提供する者は、そのサービスに関してはサービスプロバイダーや契約業者ではなく第三者です。使用制限を定めた契約条項によって、CCBA に関する開示をサービスプロバイダーの活動に変えることはできません。サービスプロバイダーは、引き続きコンテキスト広告や CCBA 以外のマーケティングサービスを提供できますが、オプトアウトした消費者の個人情報を他の情報源からの個人情報と組み合わせてはなりません。アドテックの分類に関する回答では、このルールを明示してください。

GPC／オプトアウト希望信号の処理：事業者は、**Global Privacy Control（GPC）**信号を有効なオプトアウトとして尊重する必要があります。CPPA は、GPC への準拠が必須であることを確認しています。GPC 信号は「Do Not Sell or Share」リンクの手動クリックと同等に扱う必要があります。オプトアウトに対応する際、別途本人確認を行う必要はありません（申請者が消費者本人であることを合理的に確認するだけで構いません）。

手順	対応
1	消費者がリンク、フォーム、または GPC 信号を通じてオプトアウトを申請する
2	オプトアウトの申請では、申請者が消費者本人であることを合理的に確認する以上の本人確認は不要
3	15 営業日以内に同意／希望管理プラットフォームを更新する
4	販売／共有に関与するサービスプロバイダーおよび契約業者にオプトアウトを伝達する
5	消費者に考え直すよう求める連絡を 12 か月間行わない

機微な個人情報の使用を制限する権利 — ワークフロー（§1798.121、CPRA による追加）

SPI のカテゴリー（使用制限の権利が適用される条件）：

• 社会保障番号、運転免許証、パスポート、その他の政府発行 ID
• 金融口座の認証情報（ログイン情報＋セキュリティコード）
• 正確な位置情報（消費者の所在地を半径 1,850 フィート以内で特定できるもの — §1798.140(w)）
• 人種／民族的出自、宗教的／哲学的信条、労働組合への加入状況
• 消費者の郵便物、メール、またはテキストメッセージの内容（事業者が宛先である場合を除く）
• 遺伝データ
• 個人を一意に識別するために使用される生体データ
• 健康／医療情報
• 性的指向または性生活

SPI が以下の許可された目的のみに使用される場合、使用制限の権利は適用されません：

• 消費者が合理的に期待するサービスの実施または商品の提供
• サービスの安全性、セキュリティ、完全性の確保
• 短期的かつ一時的な使用（例：現在のセッションに基づくコンテキスト広告）
• 事業者に代わって実施されるサービス（サービスプロバイダーの立場）
• サービスの品質の検証または維持
• SPI が特定の目的のために提供された活動

手順	対応
1	ホームページに「Limit the Use of My Sensitive Personal Information」リンクを設置する（「Do Not Sell or Share」リンクの横に、またはそのリンクと一体化して設置）
2	消費者が権利を行使する — 消費者本人であることの確認以上の本人確認は不要
3	15 営業日以内に処理する
4	SPI の使用を上記の許可された目的のみに制限する
5	制限の指示をサービスプロバイダーおよび契約業者に伝達する

差別を受けない権利（§1798.125）

事業者は、消費者が CCPA/CPRA の権利を行使したことを理由に、商品やサービスの提供を拒否したり、異なる価格を請求したり（データの価値に直接関係する場合を除く）、異なる水準または品質の商品・サービスを提供したり、上記のいずれかが行われると示唆したりすることはできません。

金銭的インセンティブの例外：事業者は、PI と引き換えに金銭的インセンティブ（ロイヤルティプログラム、割引など）を提供できます。ただし、インセンティブが消費者の PI の価値に合理的に関連していること、重要な条件を明確に説明したうえで消費者がオプトインに同意すること、消費者がいつでも同意を撤回できることが条件です。

認定代理人による請求

消費者は、自分に代わって請求を提出する認定代理人を指定できます。事業者は、消費者からの書面による許可（署名入りの承認）を求め、代理人の本人確認を行う必要があります。また、委任状を持つ代理人によるオプトアウト請求を除き、消費者本人への直接確認も求めることができます。

主な義務

収集時のプライバシー通知

PI の収集時、または収集前に、収集するカテゴリー、利用目的、PI を販売または共有するかどうか、保持期間（CPRA の要件）、プライバシーポリシーへのリンクを消費者に通知します。

プライバシーポリシー

以下を記載する必要があります：過去 12 か月間に収集した PI のカテゴリー、利用目的、PI の開示先となる第三者のカテゴリー、消費者の権利とその行使方法、請求に関する連絡先情報、「個人情報を販売または共有しないでください」リンク（該当する場合は SPI の利用制限をオプトアウトするリンク）。プライバシーポリシーは毎年更新します。

オプトアウトの仕組み

• ホームページに**「個人情報を販売または共有しないでください」**リンクを設置する
• **Global Privacy Control（GPC）**を含むオプトアウト信号を受け付ける — 有効なオプトアウトとして尊重する必要があります
• **「機微な個人情報の利用を制限する」**リンク（SPI を必要な目的を超えて使用する場合）
• ADMT のオプトアウト — 2027 年 1 月 1 日までに実装する必要があります。法的または同様に重大な影響をもたらす自動化された決定に適用されます

データの最小化と目的の制限 (CPRA による追加)

収集する PI は、開示した目的に対して適切で、関連性があり、必要な範囲に限定されていなければなりません。開示していない目的で PI を使用することはできません。

保持期間の制限 (CPRA による追加)

カテゴリーごとに保持期間またはその基準を開示します。合理的に必要な期間を超えて PI を保持することはできません。

サービスプロバイダー、請負業者、第三者との契約

サービスプロバイダーおよび請負業者との契約には、目的の制限、再販売・再共有の禁止、消費者からの請求への対応義務、監査権、データ削除義務を盛り込む必要があります。ベンダーがサービスプロバイダー／請負業者（販売には該当しない）か、第三者（販売または共有に該当する可能性がある）かを適切に分類していることを確認します。契約上の分類と実際のデータフローの不一致は、ギャップ評価でよく指摘される問題です。

サイバーセキュリティ監査 (CPRA — 2026 年 1 月 1 日施行)

消費者のセキュリティに重大なリスクをもたらす PI を処理する事業者は、年次のサイバーセキュリティ監査を実施する必要があります。2025 年に確定し、2026 年 1 月 1 日に施行された規則で、監査の範囲と要件が定められています。遵守しない場合、執行リスクが生じます。2026 年の Disney に対する 275 万ドルの執行措置では、適切なセキュリティ対策を実施していなかったことも問題の一部となりました。

リスク評価 (CPRA — 2026 年 1 月 1 日施行)

事業者は、消費者に重大なリスクをもたらす PI を処理する前に、リスク評価を実施して文書化する必要があります。評価は、CPPA の求めに応じて提出しなければなりません。規則は施行済みです（2026 年 1 月 1 日施行）。

自動意思決定技術（ADMT） (2026年1月1日施行／期限：2027年1月1日)

• CPPA は 2025 年に ADMT 規則を最終決定しました。2026 年 1 月 1 日施行
• 消費者には、重大な決定をもたらす ADMT の利用をオプトアウトする権利、自動処理について知る権利、人による審査を求める権利があります
• 事業者は 2027 年 1 月 1 日までにオプトアウトの仕組みを導入する必要があります
• ADMT の対象となるのは、法的または重大な影響を及ぼす決定（雇用、信用、住宅、保険、教育）です

罰則と執行

CPPA：CPRA により創設された独立した執行機関です。規則の制定、苦情の調査、行政措置の実施を行います。**カリフォルニア州司法長官（AG）**も引き続き、並行して執行権限を有します。

民事罰則（§1798.155）：

• 過失による違反：違反 1 件につき最大 2,500 ドル
• 故意による違反：違反 1 件につき最大 7,500 ドル
• 未成年者の PI に関する違反：違反 1 件につき最大 7,500 ドル（常に故意による違反として扱われます）

是正規定：AG による措置には 30 日間の是正期間が適用されます（CPPA による行政措置では異なる場合があり、同じ正式な是正通知手続きの対象ではありません）。

私的訴権（§1798.150） — データ侵害のみ：

• 合理的なセキュリティ対策を実施しなかったために PI への不正アクセスが発生した場合に適用されます
• 法定損害賠償額：消費者 1 人・インシデント 1 件につき 100～750 ドル（または実損額のいずれか大きい方）
• 集団訴訟の対象となる可能性があります。30 日間の是正期間があります（CPRA 以外の措置の場合）

2026 年の執行先例

以下の事例は、現在の執行方針と予想される罰則の基準を示しています。

企業	罰金	主な違反
The Walt Disney Company	275 万ドル (CCPA 史上最大の執行措置)	子どものデータの取り扱いに関する不備、オプトアウトの仕組みの不備、第三者のアドテック企業とのデータ共有
PlayOn Sports	110 万ドル	消費者の PI を第三者と無許可で共有、消費者の権利に関する手続きの不備
Ford Motor Company	37 万 5,000 ドル	消費者データの削除・アクセス請求を所定の期限内に処理しなかったこと

これらの事例は、CPPA が技術的なコンプライアンス違反だけでなく、組織的な違反を理由に大企業を積極的に追及していることを示しています。特に Ford の事例は、アクセス・削除請求への 45 日間の回答期限を過ぎること自体が、単なる手続き上の不備ではなく、執行措置の根拠となり得ることを示しています。

CCPA/CPRA と GDPR — クイックリファレンス

一般に、GDPR のほうがより厳格な法律です。GDPR に準拠したプログラムであれば、CCPA/CPRA の義務の大半（プライバシー通知、権利対応プロセス、処理者との契約、データ最小化、保持期間、セキュリティ）をカバーできますが、CCPA/CPRA 固有の次の項目は追加で対応する必要があります。（1）「個人情報の販売または共有をしないでください」リンクとオプトアウトのワークフロー、（2）GPC シグナルの尊重、（3）「機微な個人情報の利用を制限する」リンクと15営業日のワークフロー、（4）ベンダーの分類が、契約上の必須条項 §1798.100(d) を満たす契約とともに、第三者ではなくサービスプロバイダー/請負業者に該当することの確認、（5）準拠した収集時の通知（§1798.100(a)-(b)） — GDPR 第13条の通知とは別の文書であり、収集時または収集前に提示し、個人情報（PI）／機微な個人情報（SPI）のカテゴリー、目的、カテゴリーごとの保持期間、販売／共有の状況とオプトアウトリンクを記載します。（6）未成年者の販売／共有に対するオプトイン（16歳未満の場合。13歳未満の場合は親の同意が必要）、（7）該当する場合、金銭的インセンティブ／ロイヤルティプログラムに関する開示、（8）3つの事業者基準値の年次再確認、（9）サイバーセキュリティ監査およびリスク評価の義務（2026年1月1日発効）と ADMT のオプトアウト（期限は2027年1月1日）。GDPR と CCPA のギャップに関するすべての回答で、収集時の通知を明示してください — GDPR プログラムでは既存のプライバシー通知でカバーされていると想定されるため、最も見落とされやすい違いです。

GDPR との比較に関するすべての回答で示すべき構造上の違い：

• 同意モデル：CCPA はオプトアウト方式（販売／共有）です。GDPR ではオプトインによる適法な根拠が必要ですが、CCPA には適法な根拠の要件自体がありません
• 適用範囲：CCPA は消費者および世帯を保護します。適用対象となるのは、売上高／取扱量の適用基準値を満たす事業者のみです（GDPR には基準値がありません）。CCPA の「販売」という概念（価値ある対価を得るためのあらゆる開示）は、GDPR のいかなる概念よりも広範です
• 権利の違い：訂正する権利は CPRA によって初めて追加されました。CCPA には、GDPR 型の異議を申し立てる権利も、包括的なデータポータビリティ制度もありません（ポータブルな形式が適用されるのは、知る権利に対する回答です）。GDPR の DPO／DPIA 制度と CPRA のリスク評価は、限定的にしか対応しません
• 救済措置：CCPA の私人による訴権はデータ侵害に限られます（法定損害賠償額は消費者1人・インシデント1件あたり100～750ドル、§1798.150）。GDPR 第79条／第82条とは異なり、プライバシー侵害全般を対象とする私人による訴権はありません

主な執行上の違い：GDPR の制裁金は全世界の年間売上高の1,000万ユーロ／2％または2,000万ユーロ／4％を上限とし、ほとんどの場合、正式な是正期間はありません。これに対し、CCPA/CPRA では違反1件あたりの民事制裁金は2,500ドル（故意でない場合）／7,500ドル（故意の場合）であり、司法長官による30日間の是正期間があります。

2026年の法改正・執行状況の更新（該当する場合は州を明記）

2026年9月の署名（特記がない限り、2027年1月1日施行）：

• SB 923（Expanding Privacy Rights Act） — 削除権の対象は、消費者から、または消費者に関して収集したPIにまで拡大されます。第三者やデータブローカーから取得したデータも含まれ、事業者が自社で直接収集したデータに限られなくなります。事業者は、削除した消費者のデータが再び登録されないよう、抑止リストを運用できます。オンラインのみで事業を営む事業者は、オンラインでリクエストを提出できる方法を用意する必要があります。Delete Act／DROPを補完するものであり、置き換えるものではありません。
• 子どもの保護に関する法案パッケージ（9月10日署名）：AB 2246は、Age-Appropriate Design Codeを合理的な措置を求める枠組みに置き換えます（未成年者のプロファイリングを原則禁止、ダークパターンを禁止）。AB 1709は、16歳未満を対象に、パーソナライズされたフィード、自動再生、プッシュ通知などの依存性を高める機能を禁止し、未成年者1人あたり最大50,000ドルの罰則を定めます。AB 1856は、Digital Age Assurance ActにおけるOSの年齢シグナルの対象範囲を修正します。SB 1119は、コンパニオンチャットボットに子どもの安全を守る義務を追加します（主要な義務は2027年7月1日施行）。SB 867は、コンパニオンチャットボット搭載玩具を禁止します（2031年に失効）。
• その他：AB 883（データブローカーのDSR対応期限を45日から30日に短縮し、DROPに関する通知を追加）、AB 2561（更新後にプライバシー設定が通知なく元に戻ることを禁止）、AB 1609（売上高5億ドル超の事業者にチャットボットの開示を義務付け）。
• 拒否権発動：AB 1542 — 機微なPIの販売・共有を一律に禁止する法案（「行き過ぎ」）。法定の利用制限権は引き続き有効です。注：SB 435は拒否権を発動されたのではなく、8月に下院歳出委員会で廃案となりました。

執行状況（CPPA）： データブローカーの登録を集中的に取り締まっています。SalesIntel Researchに36,400ドルの罰金（9月1日、未登録を理由とする）を科しました。Enforcement Advisory 2026-01（9月3日）は登録情報の正確性を対象とし、1日あたり200ドルの罰金が科される可能性があります。DROPによる削除処理は2026年8月1日から稼働しています。2026年初頭の事例：GMに1,275万ドル（コネクテッドカー）、PlayOn Sportsに110万ドル、Fordに37万5,000ドル（オプトアウトの妨害）。

ADMTの期限（自動化・プロファイリングに関する回答には必ず含めること）： 重要な決定に関するコンプライアンス義務は2027年1月1日に開始されます（利用前の通知、オプトアウト、アクセス）。2026年1月1日時点で継続中の処理に関するリスク評価の期限は2027年12月31日で、CPPAへの初回提出は2028年4月1日までに必要です。サイバーセキュリティ監査の認証は、収益区分に応じて2028年／2029年／2030年4月に段階的に導入されます。

参考ファイル

• references/consumer-rights-workflows.md — 各消費者の権利を尊重するための手順、本人確認要件、例外への対応
• references/ccpa-gdpr-comparison.md — グローバルなコンプライアンスチーム向けのCCPA/CPRAとGDPRの比較

支援できること

1. ビジネスへの適用性 — 収益、データ量、収益化のしきい値に基づいて、事業者が CCPA/CPRA の適用対象となるかを判断し、下流の受領者をサービスプロバイダー、請負業者、第三者に分類します
2. 消費者の権利の履行 — 各権利（知る、削除、訂正、オプトアウト、SPI の利用制限）について、請求の受付、本人確認、対応ワークフロー、例外処理の設計を支援します
3. プライバシー通知 — 収集時の通知および、必要な開示事項をすべて含むプライバシーポリシーを作成します
4. ベンダーの分類 — データの受領者をサービスプロバイダー、請負業者、第三者に分類し、契約要件を確認します
5. SPI の取り扱い — SPI のカテゴリーを特定し、利用・開示の制限について助言するとともに、SPI の利用制限に関する通知を作成します
6. オプトアウトの仕組み — 「Do Not Sell or Share」リンク、GPC シグナルの処理、ADMT のオプトアウト、未成年者の同意管理を設計します
7. 広告テクノロジー／販売・共有の分析 — 特定のデータフロー（ピクセル、SDK、Cookie 同期、アドエクスチェンジの入札）が §1798.120 に基づく「販売」または「共有」に該当し、オプトアウトの対象とする必要があるかを評価します
8. GDPR との整合 — CCPA/CPRA の義務を既存の GDPR 管理策に対応付け、米国固有のギャップを特定します
9. ギャップ評価 — 現行の慣行を CCPA/CPRA の要件に照らして監査し、制裁金のリスクと今後の期限（ADMT の期限は 2027 年 1 月 1 日）に基づいて是正措置に優先順位を付けます
10. 執行と制裁金 — 2026 年の執行措置を踏まえて制裁金のリスクを評価し、CPPA の調査への対応と是正期間の戦略について助言します

---

このスキルは一般的なコンプライアンス情報を提供するものであり、法的助言ではありません。公式情報源で最新の要件を確認し、判断にあたっては適格な弁護士または認定評価者に相談してください。