ccpa-cpra-compliance

CCPA/CPRA コンプライアンス

概要

California Consumer Privacy Act（CCPA）は、California Privacy Rights Act（CPRA）による改正を受け、California Civil Code §1798.100-199 に基づく包括的な消費者プライバシー権を定めています。CPRA は、2020 年 11 月 3 日に有権者の承認を受け（Proposition 24）、2023 年 1 月 1 日に発効して CCPA を大幅に改正し、2022 年 1 月 1 日まで遡及して適用されます。California Privacy Protection Agency（CPPA）は、米国初の州専任のプライバシー執行機関として設立されました。

CPRA は、主要な執行機関を California Attorney General から CPPA に変更し、機微な個人情報のカテゴリを追加し、新たな消費者の権利（訂正および機微な PI の利用制限）を創設しました。また、コンテキストをまたぐ行動ターゲティング広告に関する「共有」の定義を拡大し、データ処理契約の要件を導入しました。

適用対象（§1798.140(d)）

次のいずれかに該当する事業者は、CCPA/CPRA の適用対象となります。

1. 前暦年の年間総収益が 25,000,000 ドルを超える（2024 年 1 月 1 日以降、CPPA がインフレに応じて調整）
2. 年間 100,000 人以上の消費者または世帯の個人情報を購入、販売、または共有している（CPRA により 50,000 から引き上げ）
3. 年間収益の 50％ 以上を、消費者の個人情報の販売または共有から得ている

Liberty Commerce Inc. の評価： 年間収益が 4,800 万ドルで、e コマースプラットフォームを通じて約 320,000 人のカリフォルニア州の消費者の個人情報を処理する Liberty Commerce Inc. は、基準（1）と基準（2）を満たしています。Liberty Commerce Inc. は、§1798.140(d) に基づく「事業者」に分類されます。

主な定義

個人情報（§1798.140(v)）

特定の消費者または世帯を直接的または間接的に特定する、関連する、記述する、合理的に関連付けられる可能性がある、または合理的に結び付けられる可能性がある情報です。カテゴリには次のものが含まれます。

カテゴリ	例
識別子	本名、別名、郵送先住所、一意の個人識別子、オンライン識別子、IP アドレス、メールアドレス、アカウント名、SSN、運転免許証、パスポート番号
商業情報	個人財産、購入、取得、または検討された製品やサービスに関する記録
生体情報	個人の身元確認に使用される生理的、生物学的、または行動上の特徴（指紋、顔、声、虹彩、キーストロークのパターン）
インターネット／ネットワークアクティビティ	閲覧履歴、検索履歴、ウェブサイト、アプリケーション、または広告とのやり取りに関する情報
位置情報	物理的な位置または移動
感覚情報	音声、電子、視覚、熱、嗅覚、または類似の情報
職業／雇用	現在または過去の職務関連情報
教育情報	FERPA（20 U.S.C. §1232g）に基づく一般に公開されていない教育記録
推論	嗜好、特徴、心理的傾向、素質、行動、態度、知能、能力、適性を反映するプロファイル
機微な PI（CPRA）	SSN／運転免許証／パスポート、パスワードを使用したアカウントへのログイン、正確な位置情報、人種／民族的出自、宗教的／哲学的信条、労働組合への加入、郵便物／メール／テキストの内容、遺伝情報、識別目的の生体情報、健康情報、性生活／性的指向に関するデータ

販売（§1798.140(ad)）

事業者が、金銭その他の価値ある対価を得るために、消費者の個人情報を第三者に対して、口頭、書面、電子的手段、またはその他の手段で販売、賃貸、公開、開示、流布、利用可能化、移転、その他の方法で伝達することです。

共有（§1798.140(ah)）— CPRA により追加

金銭その他の価値ある対価の有無を問わず、また金銭の授受がない場合も含め、コンテキストをまたいだ行動ターゲティング広告を目的として、事業者が消費者の個人情報を第三者に対して共有、貸与、公開、開示、配布、利用可能化、移転、またはその他の方法で伝達することです。

サービスプロバイダーとコントラクター（§1798.140(ag)、§1798.140(j)）

項目	サービスプロバイダー	コントラクター
定義	書面による契約に従い、事業者に代わって個人情報を処理する	書面による契約に従い、事業者から提供された個人情報を処理する
契約要件	販売・共有を禁止し、利用を指定された目的に限定する書面による契約	同じ禁止事項に加え、理解の証明およびコンプライアンス監査権の付与を含む書面による契約
再委託	書面による契約を締結して再委託先を利用できる	書面による契約を締結し、事業者に通知したうえで再委託先を利用できる
コンプライアンス監査	法令で明示的に義務付けられていない	事業者はコントラクターのコンプライアンスを監査する権利を有する

消費者の権利

1. 知る権利（§1798.100、§1798.110、§1798.115）

消費者は、事業者に対して以下の開示を請求できます。

• 収集された個人情報のカテゴリ
• 情報源のカテゴリ
• 収集、販売、または共有の事業上または商業上の目的
• 個人情報が開示された第三者のカテゴリ
• 消費者について収集された個人情報の具体的な内容

対象期間： 請求前の12か月間（事業者は任意でこれを超える期間を対象にできます）。

Liberty Commerce Inc. による実施： Liberty Commerce Inc. は、privacy.libertycommerce.com/know に「Know My Data」ポータルを設けており、本人確認済みの消費者は、上記5つのカテゴリすべての開示を請求できます。システムは、機械可読形式（JSON）と人間が読める形式（PDF）の構造化レポートを、10営業日以内に生成します。

2. 削除する権利（§1798.105）

消費者は、自身から収集された個人情報の削除を請求できます。本人確認済みの請求を受け取った事業者は、個人情報を削除し、サービスプロバイダーおよびコントラクターに対しても消費者の個人情報を削除するよう指示しなければなりません。

例外（§1798.105(d)）： 取引の完了、セキュリティ、エラーの修正、表現の自由（Cal. Civ. Code §1798.105(d)(4)）、消費者の期待に合理的に沿う社内利用、法的義務の遵守、収集の文脈と両立する社内利用。

Liberty Commerce Inc. による実施： Liberty Commerce Inc. は、すべてのサービスプロバイダー（決済処理業者、配送パートナー、分析プロバイダー）に対して45暦日以内に削除を伝播させる、連鎖型削除ワークフローを通じて削除請求を処理します。法令遵守のために保持するデータ（26 U.S.C. §6001 に基づく税務記録）については、具体的な法的根拠を記録します。

3. 訂正する権利（§1798.106）— CPRA により追加

消費者は、不正確な個人情報の訂正を請求できます。事業者は、商業上合理的な努力をもって情報を訂正しなければなりません。

Liberty Commerce Inc. による実施： Liberty Commerce Inc. では、消費者がアカウントからプロフィールデータ（氏名、住所、メールアドレス、電話番号）を直接訂正できます。バックエンドシステム内のデータ（購入履歴の訂正、ロイヤルティポイント）については、本人確認済みの請求をプライバシーチームが処理し、訂正内容を記録します。

4. 販売／共有をオプトアウトする権利（§1798.120）

消費者には、自身の個人情報を販売または共有している事業者に対し、その情報の販売または共有を停止するよう指示する権利があります。事業者はこの指示に従わなければなりません。

主な要件：

• ホームページに「個人情報の販売または共有を行わないでください」というリンクを設置する
• Global Privacy Control（GPC）のシグナルを有効なオプトアウト要求として尊重する（CPPA Regulations §7025）
• オプトアウト後12か月間、再勧誘を行わない
• オプトアウトした消費者を差別してはならない（§1798.125）

Liberty Commerce Inc. の実装： Liberty Commerce Inc. は、すべてのページのフッターに「個人情報の販売または共有を行わないでください」というリンクを常時表示しています。システムは Sec-GPC: 1 HTTP ヘッダーと navigator.globalPrivacyControl JavaScript API を介してGPCシグナルを検出し、閲覧セッションにオプトアウト状態を自動的に適用します。認証済みの場合は、その状態を消費者のアカウントに関連付けます。

5. 機微な個人情報の利用を制限する権利（§1798.121）— CPRAにより追加

消費者は、事業者に対し、機微な個人情報の利用を特定の目的（サービスの実施／商品の提供、セキュリティインシデントの防止、悪意のある行為や欺瞞的な行為への対抗、安全の確保、短期的な一時利用、事業者に代わるサービスの実施、品質の検証／維持、サービスのアップグレード／向上）に限定するよう指示できます。

Liberty Commerce Inc. の実装： Liberty Commerce Inc. は、オプトアウトリンクの横に「機微な個人情報の利用を制限する」というリンクを表示しています。このリンクを有効にすると、システムは機微な個人情報のカテゴリー（正確な位置情報、アンケートで収集した人種／民族的出自に関するデータ、取引処理を超えて利用される決済カードの詳細）の処理を、列挙された許可目的に制限します。

6. 差別されない権利（§1798.125）

事業者は、CCPAに基づく権利を行使したことを理由に、以下を含め、消費者を差別してはなりません。

• 商品またはサービスの提供を拒否する
• 異なる価格または料金を請求する
• 商品またはサービスのレベルや品質を変える
• 消費者が異なる価格や品質を受けることになると示唆する

金銭的インセンティブプログラムは、消費者に通知し、消費者がオプトインし、インセンティブが消費者のデータの価値と合理的に関連し、事業者が評価方法を説明できる場合に認められます。

事業者の義務

プライバシー通知（§1798.100(a)、§1798.130(a)(5)）

プライバシー通知は少なくとも12か月ごとに更新し、以下を含める必要があります。

• 過去12か月間に収集した個人情報のカテゴリー
• 収集した機微な個人情報のカテゴリー
• 各カテゴリーの利用目的、および販売または共有の有無
• 各カテゴリーの保存期間（または保存期間を決定する基準）— CPRAにより追加
• 情報源のカテゴリー
• 個人情報の開示先となる第三者のカテゴリー
• 消費者からの要求の提出方法
• 事業者が個人情報を販売または共有するかどうか、および該当するカテゴリー
• 事業目的で開示した個人情報のカテゴリー

Liberty Commerce Inc. の実装： Liberty Commerce Inc. は、California Privacy Notice を privacy.libertycommerce.com/california で公開しており、毎年1月に更新しています。通知は、概要表に続いて詳細なセクションを掲載する階層型の形式です。保存期間はデータカテゴリーごとに明記されています（例：取引記録：税務要件に基づき7年間、閲覧データ：13か月、アカウントデータ：アカウント存続期間に加えて30日間）。

データ処理契約（§1798.100(d)）— CPRAにより追加

事業者は、サービスプロバイダー、請負業者、第三者との間で、以下を定める契約を締結しなければなりません。

• 個人情報が提供される事業目的を明記する
• 受領者にCCPA／CPRA上の義務を遵守させる
• 遵守を確保するための合理的な措置を講じる権利を事業者に付与する
• 受領者が義務を果たせなくなったと判断した場合の通知を義務付ける
• 個人情報の不正利用を停止し、是正する権利を事業者に付与する

データ最小化（§1798.100(c)）— CPRA により追加

事業者による PI の収集、使用、保持、共有は、以下を満たす必要があります。

• PI が収集または処理された目的に対して、合理的に必要かつ相応であること
• その目的と両立しない方法で、さらに処理されないこと

消費者からの請求の処理（§1798.130）

要件	詳細
回答期限	検証可能な請求を受領してから暦日で45日以内
延長	消費者に通知したうえで、さらに45日間延長可能（合計90日）
本人確認	本人確認のために合理的な方法を用いること。アクセス請求では少なくとも2つのデータ項目、特定の情報の請求では3つのデータ項目を照合すること
正式な代理人	署名入りの許可書または委任状を持つ正式な代理人からの請求を受け付けること
無料の請求	12か月ごとに少なくとも2件の請求を無料で受け付けること
形式	（データポータビリティの請求の場合）容易に利用できる機械可読形式で提供すること
フリーダイヤル番号	オンラインのみで事業を行う事業者の場合、消費者と直接の関係がある場合に限り必要

記録の保管（CPPA 規則 §7101）

1,000万人以上の消費者の PI を購入、受領、または販売する事業者は、前暦年の指標を集計し、以下を開示する必要があります。

• 知る権利、削除、訂正、オプトアウトの請求を受け付けた件数
• 全部または一部に応じた請求の件数
• 拒否した請求の件数
• 回答までの日数の中央値

執行

CPPA による執行（§1798.199.40-1798.199.100）

• CPPA による行政執行措置
• 違反1件につき最大2,500ドル、故意の違反または16歳未満の未成年者に関わる違反については7,500ドルの行政罰金
• CPPA は規則の制定、調査の実施、執行措置の開始を行う権限を有します
• CPRA により、30日間の是正期間は2023年1月1日付で廃止されました

私的訴権（§1798.150）

暗号化も編集もされていない PI（Cal. Civ. Code §1798.81.5(d)(1)(A) に定義）が、事業者が合理的なセキュリティ対策を実施しなかったことに起因して不正アクセスを受けた場合のデータ侵害請求に限定されます。

• 法定損害賠償：消費者1人あたり、1件のインシデントにつき100～750ドル、または実損額（いずれか大きい方）
• 差止命令または確認判決による救済
• 裁判所が適切と判断するその他の救済
• 訴訟提起前の30日間の通知および是正期間

Liberty Commerce Inc. の導入ロードマップ

フェーズ1：評価（第1～4週）

1. すべての PI および機微な PI のカテゴリーについて、データの棚卸しとマッピングを実施する
2. 収集、使用、販売、共有、開示など、すべてのデータフローを特定する
3. サービスプロバイダー、請負業者、第三者をマッピングする
4. 現行のプライバシー通知を CPRA 要件に照らして評価する
5. 消費者からの請求を処理するワークフローを評価する

フェーズ2：法的枠組み（第5～8週）

6. 保持期間、機微な PI のカテゴリー、販売・共有に関する開示事項を盛り込み、プライバシー通知を更新する
7. すべてのサービスプロバイダーおよび請負業者とのデータ処理契約を作成または更新する
8. 消費者からの請求における本人確認手順を策定する
9. 正式な代理人からの請求を受け付ける手順を確立する
10. 金銭的インセンティブプログラムの評価方法を作成する（該当する場合）

フェーズ3：技術的な導入（第9～16週）

11. 「個人情報の販売または共有をしないでください」リンクを導入する
12. 「機微な個人情報の使用を制限してください」リンクを導入する
13. GPC シグナルの検出と尊重を実装する
14. 本人確認機能を備えた消費者向け請求受付ポータルを構築する
15. 連鎖的な削除ワークフローを実装する
16. 知る権利に基づくレポートの生成機能（JSON および PDF）を構築する
17. データ最小化の管理策と保持期間の適用を実装する

フェーズ4：運用（第17～20週）

18. CCPA/CPRA に基づく消費者の権利について、カスタマーサービスチームをトレーニングする
19. 消費者からの請求に対する45日間の SLA 監視を確立する
20. CPPA 規則 §7101 に基づく指標の追跡を実装する
21. プライバシー通知の年次レビューを予定する
22. 消費者からの請求処理について机上演習を実施する

主な規制関連資料

• California Civil Code §1798.100-199（CPRA による改正後の CCPA）
• California Privacy Rights Act（Proposition 24、2020 年 11 月 3 日承認）
• CPPA 最終規則（2023 年 3 月 29 日施行、改訂規則は 2024 年 3 月 29 日施行）
• CPPA Regulations §7001-7102（Title 11, Division 6, California Code of Regulations）
• Cal. Civ. Code §1798.81.5 — データ侵害の通知
• AG による執行措置：Sephora Inc.（120 万ドルの和解、2022 年 8 月）— GPC オプトアウト信号に従わなかったことに対する、初の公表された CCPA 執行措置
• CPPA Enforcement Advisory No. 2024-01 — 同意インターフェースにおけるダークパターン