ccpa-cpra-privacy-expert

CCPA/CPRA プライバシーエキスパート

カリフォルニア州消費者プライバシー法（CCPA）およびカリフォルニア州プライバシー権法（CPRA）への準拠に関するツールとガイダンスです。

---

目次

• ツール
  • CCPA 準拠チェッカー
  • CCPA データマッパー
• リファレンスガイド
• ワークフロー
• 規制の概要

---

ツール

CCPA 準拠チェッカー

CCPA/CPRA のすべての要件に照らして、組織の準備状況を評価します。プライバシーポリシー、消費者の権利への対応、技術的な保護措置、オプトアウトの仕組みを検証します。

# Check compliance from a JSON profile
python scripts/ccpa_compliance_checker.py --input company_profile.json

# Generate a blank input template
python scripts/ccpa_compliance_checker.py --template > company_profile.json

# JSON output for automation
python scripts/ccpa_compliance_checker.py --input company_profile.json --json

# Export report to file
python scripts/ccpa_compliance_checker.py --input company_profile.json --output report.json

評価カテゴリ：

カテゴリ	主な確認項目
適用可能性	売上高の基準、消費者数、データ販売による収益
プライバシーポリシー	必須の開示事項、更新頻度、アクセシビリティ
消費者の権利	申請への対応、本人確認、対応期間
オプトアウトの仕組み	「販売しないでください」リンク、GPC シグナル、Cookie の同意
機微な個人情報	SPI カテゴリ、利用制限リンク、取り扱い管理
技術的な保護措置	暗号化、アクセス制御、セキュリティ対策
サービスプロバイダー	契約要件、データ処理条件
リスク評価	年次監査、処理リスクの評価

出力：

• 全体的な準拠スコア（0～100）
• カテゴリごとのスコアと合格／不合格／一部合格のステータス
• 規制上の参照情報を含む、優先順位付けされた指摘事項
• 是正に関する推奨事項

---

CCPA データマッパー

個人情報のカテゴリをマッピングし、機微な個人情報を特定するとともに、収集、利用、共有、販売にわたるデータフローを追跡します。データインベントリレポートを生成します。

# Map data from a JSON data inventory
python scripts/ccpa_data_mapper.py --input data_inventory.json

# Generate a blank inventory template
python scripts/ccpa_data_mapper.py --template > data_inventory.json

# Export mapping report
python scripts/ccpa_data_mapper.py --input data_inventory.json --output mapping_report.json

# Generate data flow diagram (text-based)
python scripts/ccpa_data_mapper.py --input data_inventory.json --flow-diagram

機能：

• CCPA の個人情報カテゴリ全11項目をマッピング
• CPRA の定義に基づいて機微な個人情報（SPI）を特定
• データフローを追跡：収集元、事業目的、共有先／販売先
• サービスプロバイダー、請負業者、第三者へのデータの対応関係をマッピング
• プライバシーポリシーの開示に利用できる、CCPA 準拠のデータインベントリを生成
• 国境を越えるデータ移転にフラグを設定
• データ保持に関する不備を検出

追跡対象の個人情報カテゴリ：

カテゴリ	CCPA の条項	例
識別子	1798.140(v)(1)(A)	氏名、SSN、IP アドレス、メールアドレス
顧客記録	1798.140(v)(1)(B)	金融情報、医療情報
保護対象の分類	1798.140(v)(1)(C)	人種、性別、年齢、障害
商取引情報	1798.140(v)(1)(D)	購入履歴、傾向
生体情報	1798.140(v)(1)(E)	指紋、顔の形状
インターネット利用状況	1798.140(v)(1)(F)	閲覧、検索、操作
位置情報	1798.140(v)(1)(G)	正確な位置情報
感覚データ	1798.140(v)(1)(H)	音声、映像、熱
職業情報	1798.140(v)(1)(I)	雇用、学歴
教育情報	1798.140(v)(1)(J)	非公開の教育記録
推論情報	1798.140(v)(1)(K)	プロファイル、嗜好

---

リファレンスガイド

CCPA/CPRA 要件ガイド

references/ccpa-cpra-requirements-guide.md

規制要件を網羅したガイドです。以下を含みます。

• 条項を参照した CCPA/CPRA 全文の分析
• 消費者の権利の実装ガイダンス（知る権利、削除する権利、オプトアウトする権利、訂正する権利、データポータビリティ、SPI の利用を制限する権利）
• プライバシーポリシーの内容要件とテンプレート
• サービスプロバイダーおよび請負業者との契約要件
• バージニア州 VCDPA、コロラド州 CPA、コネチカット州 CTDPA、GDPR との比較
• 執行および罰則の仕組み

CCPA 実装プレイブック

references/ccpa-implementation-playbook.md

段階的な実装ガイダンスです。

• 6か月間の実装ロードマップ
• データマッピングの方法とテンプレート
• プライバシーポリシーの作成ガイド
• オプトアウトの仕組みの実装（ウェブサイト、GPC、ユニバーサルオプトアウト）
• SLA の追跡を含む消費者からの申請対応ワークフローの設計
• 従業員およびベンダー向け研修プログラムの概要
• 年次サイバーセキュリティ監査の計画
• 継続的な準拠状況の監視

---

まず確認すること

評価を実施する前に、以下の入力項目を確認してください。不足している項目や曖昧な項目があり、結果に影響する場合は質問してください。影響しない場合は、妥当なデフォルトを使用し、使用した内容を明記してください。

• 適用対象かどうか： 事業者が CCPA の適用基準（収益 2,500 万ドル、消費者／世帯数 10 万以上、または PI の販売／共有による収益が 50％以上）を満たすかどうか（義務が適用されるかどうかを判断します）。
• 事業体の役割： 事業者、サービスプロバイダー、契約業者、または第三者のいずれか（適用される義務の範囲を判断します）。
• 評価の目的： コンプライアンス対応状況、データマッピング、消費者からの請求への対応、またはプライバシーポリシーのレビュー（ツールとワークフローを選択します）。

リクエストに最も関係する 2、3 項目について質問し、リスト全体を確認しないでください。ユーザーがすぐに結果を求める場合は、結果を提示し、冒頭に前提条件を明記してください。

ワークフロー

ワークフロー 1：CCPA/CPRA 初期コンプライアンス評価

Step 1: Determine applicability
        → Check $25M revenue, 100K+ consumers, 50%+ PI revenue thresholds
        → Review exemptions (HIPAA, GLBA, employment data)

Step 2: Generate compliance profile template
        → python scripts/ccpa_compliance_checker.py --template > profile.json
        → Fill in organizational details

Step 3: Run compliance assessment
        → python scripts/ccpa_compliance_checker.py --input profile.json

Step 4: Review scores and findings
        → Address critical gaps first (opt-out link, privacy policy)
        → Plan remediation by category

Step 5: Create data inventory
        → python scripts/ccpa_data_mapper.py --template > inventory.json
        → Document all PI categories collected
        → python scripts/ccpa_data_mapper.py --input inventory.json

Step 6: Develop implementation plan
        → See references/ccpa-implementation-playbook.md

ワークフロー 2：消費者の権利に関する請求への対応

Step 1: Receive consumer request
        → Identify request type (Know, Delete, Opt-Out, Correct, Portability, Limit SPI)

Step 2: Acknowledge within 10 business days (confirm receipt)
        → Document request in tracking system

Step 3: Verify consumer identity
        → Match 2+ data points for standard requests
        → Match 3+ data points for sensitive data requests
        → No verification needed for opt-out requests

Step 4: Fulfill request within 45 calendar days
        → Extension: up to 45 additional days with notice
        → Search all systems using data inventory
        → python scripts/ccpa_data_mapper.py --input inventory.json

Step 5: Deliver response
        → Provide information in portable format if requested
        → Document completion and response

Step 6: Monitor compliance
        → Track response times and completion rates
        → Generate quarterly compliance reports

ワークフロー 3：プライバシーポリシーの更新サイクル

Step 1: Review current privacy policy against requirements
        → python scripts/ccpa_compliance_checker.py --input profile.json
        → Check privacy_policy category score

Step 2: Update data inventory
        → python scripts/ccpa_data_mapper.py --input inventory.json
        → Verify all PI categories are disclosed

Step 3: Verify required disclosures
        → Categories of PI collected (past 12 months)
        → Sources of PI
        → Business/commercial purposes
        → Categories of third parties
        → Consumer rights description
        → "Do Not Sell or Share" link
        → "Limit the Use of My Sensitive PI" link

Step 4: Update and publish
        → Annual update at minimum
        → Update within 30 days of material changes
        → Maintain prior version archive

---

規制の概要

CCPA/CPRA のタイムライン

日付	マイルストーン
2020 年 1 月 1 日	CCPA 施行
2020 年 7 月 1 日	AG による執行開始
2020 年 11 月 3 日	CPRA 可決（Proposition 24）
2023 年 1 月 1 日	CPRA 改正の施行
2023 年 7 月 1 日	CPPA による CPRA の執行開始
2026 年	雇用データおよび B2B データの適用除外に関する状況確認

適用範囲と適用対象

事業者は、以下のいずれかに該当する場合、CCPA/CPRA の適用対象となります。

• 年間総収益が 2,500 万ドル を超える
• 年間に 10 万人以上の消費者または世帯 の PI を購入、販売、または共有する
• 消費者の PI の販売または共有から年間収益の 50％以上 を得ている

事業体の種類：

事業体	定義	義務
事業者	処理の目的と手段を決定する	CCPA/CPRA の全要件に準拠
サービスプロバイダー	事業者に代わって PI を処理する（契約に基づく）	利用制限、削除義務
契約業者	書面による契約を通じて PI を処理する（CPRA による追加）	証明、利用制限、監査権
第三者	サービスプロバイダー／契約業者としてではなく PI を受領する	オプトアウトの権利の対象

適用除外：

• HIPAA 対象事業体： HIPAA の適用を受ける医療データは適用除外
• GLBA： GLBA の適用を受ける金融データは適用除外
• 雇用データ： 従業員／応募者の PI（2026 年まで状況確認の対象）
• B2B データ： B2B 取引における業務上の連絡先 PI（2026 年まで状況確認の対象）
• FCRA： Fair Credit Reporting Act の適用を受けるデータ

消費者の権利

権利	CCPA 条項	説明	期限
知る権利	§1798.100、§1798.110	収集された PI のカテゴリーおよび具体的な項目	45 日
削除する権利	§1798.105	消費者から収集した PI を削除する	45 日
オプトアウトする権利	§1798.120	PI の販売または共有をオプトアウトする	即時
差別されない権利	§1798.125	権利行使を理由とする報復を受けない	継続
訂正する権利	§1798.106	不正確な PI を訂正する（CPRA）	45 日
SPI の利用を制限する権利	§1798.121	機微な PI の利用を制限する（CPRA）	即時
データポータビリティの権利	§1798.130	ポータブルな形式で PI を受け取る（CPRA）	45 日

機微な個人情報（CPRA）

CPRA §1798.140(ae) に基づき、強化された保護が必要となる SPI のカテゴリー：

• 社会保障番号、運転免許証、州発行の身分証明書、パスポート番号
• アカウントのログイン認証情報（ユーザー名＋パスワード／セキュリティ質問）
• アクセス認証情報を伴う金融口座番号
• 正確な位置情報（半径 1,850 フィート以内）
• 人種または民族的出自
• 宗教的または哲学的信条
• 労働組合への加入状況
• 郵便物、メール、テキストメッセージの内容（事業者が本来の受信者である場合を除く）
• 遺伝データ
• 識別に用いる生体データ
• 健康情報
• 性生活または性的指向に関するデータ

執行と罰則

違反の種類	罰則	執行機関
意図しない違反	違反1件につき$2,500	CPPA / AG
意図的な違反	違反1件につき$7,500	CPPA / AG
未成年者（16歳未満）に関わる違反	違反1件につき$7,500	CPPA / AG
データ侵害（民事訴訟）	インシデントごとに消費者1人あたり$100-$750	消費者（裁判所）

執行機関：

• California Privacy Protection Agency (CPPA)：CPRAに基づく主要な執行機関（2023年に業務開始）
• California Attorney General：執行権限を引き続き保持
• 私的訴権：合理的なセキュリティの維持を怠ったことによるデータ侵害に限定

CCPAとGDPRの比較

項目	CCPA/CPRA	GDPR
適用範囲	カリフォルニア州の消費者	EU/EEAのデータ主体
法的根拠	オプトアウト方式	オプトイン（同意または法的根拠）
対象データ	個人情報	個人データ
機微データ	利用制限の権利があるSPI	明示的な同意が必要な特別カテゴリー
侵害通知	AGへの通知、私的訴権	72時間以内のDPAへの通知
DPOの要件	なし	特定の処理では必須
罰則	違反1件につき$2,500-$7,500	世界全体の売上高の最大4％、または€20M
私的訴権	データ侵害のみ	加盟国によって異なる
国境を越える移転	制限なし	十分性認定、SCC、BCR
子どものデータ	16歳未満はオプトイン、13歳未満は保護者の同意	16歳未満は保護者の同意（要件は異なる）

インフラストラクチャのプライバシー管理

Cookie同意管理：

• 必須ではないCookieに対する同意バナーを実装する
• Global Privacy Control（GPC）のブラウザー信号を尊重する（法的要件）
• 保存期間を含むCookie一覧を維持する
• Cookieを必須、機能、分析、広告に分類する

Global Privacy Control（GPC）：

• 事業者はGPC信号を有効なオプトアウト要求として扱う必要があります（§1798.135）
• 技術的な実装：Sec-GPC: 1 ヘッダーまたは navigator.globalPrivacyControl を検出する
• PIの販売および共有の両方にオプトアウトを適用する
• GPCでは再認証は不要です

プライバシー・バイ・デザイン：

• データの最小化：開示した目的に必要なPIのみを収集する
• 目的の制限：収集時に開示した目的に限ってPIを使用する
• 保存の制限：必要な期間に限ってPIを保持する
• デフォルトでのセキュリティ：保存中および転送中のPIを暗号化する

データの一覧化とマッピング：

• すべてのシステムにわたるPIの包括的な一覧を維持する
• データフロー（収集 → 処理 → 共有 → 削除）をマッピングする
• PIのカテゴリーごとに保存スケジュールを文書化する
• 国境を越えるデータ移転を追跡する

自動意思決定：

• 自動意思決定技術の使用を開示する
• 法的または重大な影響をもたらすプロファイリングに対するオプトアウトを提供する
• CPRAの規則により、自動意思決定のロジックへのアクセスが求められる場合があります

コンプライアンスのロードマップ

1～2か月目：調査と評価

• CCPA/CPRAの適用対象かどうかを判断する
• データの一覧化とマッピングを実施する
• 要件に照らしたギャップ分析を行う
• コンプライアンスの責任者を任命する

3～4か月目：実装

• プライバシーポリシーを作成または更新する
• 「販売または共有しないでください」リンクを実装する
• 「SPIの利用を制限する」リンクを実装する
• GPC信号の検出機能を導入する
• 消費者からの要求を受け付け、履行するワークフローを構築する
• サービスプロバイダー／請負業者との契約を作成する

5～6か月目：運用化

• プライバシー上の義務について従業員をトレーニングする
• 消費者要求のワークフローを最初から最後までテストする
• 初回のリスク評価を実施する
• 年次サイバーセキュリティ監査を計画する
• 継続的な監視と指標を確立する
• 規制当局への対応に備えてコンプライアンスプログラムを文書化する

---

トラブルシューティング

問題	考えられる原因	解決方法
プライバシーポリシーを更新したにもかかわらず、コンプライアンススコアが予想外に低い	ポリシーの開示が不完全で、SPI のカテゴリ、保持期間、販売／共有のカテゴリが不足している	ccpa_compliance_checker.py --input profile.json を実行し、カテゴリ別のスコアを確認します。プライバシーポリシーを17項目以上の必須開示要素と照合します
データマッパーが越境移転を検出するが、組織は米国内でのみ事業を運営している	データインベントリに、米国外で処理を行うクラウドサービスが含まれている	クラウドプロバイダーのデータ処理場所について、データインベントリの項目を確認します。サービスプロバイダーとの契約に基づき、すべての再委託先の所在地を記録します
消費者の権利に関するリクエストへの対応が、常に45日間の回答期限を超えている	追跡システムがない手作業での対応プロセス、または担当が不明確	ccpa_data_mapper.py を導入して、すべてのシステムにわたる PI をマッピングします。期限の自動通知機能を備えたリクエスト追跡を導入し、システムごとにデータ管理責任者を任命します
GPC シグナルが検出されない	アプリケーションが Sec-GPC: 1 ヘッダーまたは navigator.globalPrivacyControl を確認していない	サーバー側でのヘッダー検出と、クライアント側での JavaScript チェックを実装します。GPC に対応したブラウザー（Firefox、Brave）でテストし、検出イベントを記録します
CPPA から執行に関する照会を受けた	規制当局による調査または消費者からの苦情を通じて、コンプライアンス上の潜在的な不備が発見された	直ちにコンプライアンス評価全体を実施します。重大な不備（オプトアウトリンク、GPC、プライバシーポリシー）を優先して対応し、プライバシー関連の法律顧問に相談し、是正スケジュールを記録します
ベンダー契約に CCPA で求められる条項がない	サービスプロバイダーとの契約が CPRA 改正前に締結されている	すべてのベンダー契約を CCPA のサービスプロバイダー／請負業者要件に照らして監査します。認証、利用制限、監査権、データ削除義務を盛り込むよう契約を更新します
リスク評価の要件が不明確	新しい CPRA 規則（2026年1月1日施行）により、6つの処理カテゴリについてリスク評価が義務付けられている	処理活動を6つの「重大なリスク」カテゴリと照合します。CPPA の規制テンプレートに基づいてリスク評価を記録し、2028年4月の証明期限に備えます

---

成功基準

• 初回評価で総合コンプライアンススコアが80以上 -- CCPA／CPRA の基本的な管理策が整備されていることを示し、カテゴリ別のスコアで重点的に是正すべき領域を特定できます
• 消費者の権利に関するすべてのリクエストに45暦日以内に対応 -- 10営業日以内に受領を通知し、期限の自動通知機能を備えたリクエスト管理システムで追跡します
• プライバシーポリシーを少なくとも年に1回更新 -- 四半期ごとにレビューを実施した記録を残し、収集する11の PI カテゴリ、情報源、目的、第三者との共有、および7つすべての消費者の権利を開示します
• GPC シグナルを自動的に尊重 -- Sec-GPC: 1 ヘッダーと navigator.globalPrivacyControl により検出し、PI の販売と共有の両方に適用します。再認証は不要です
• 完全なデータインベントリを維持 -- ccpa_data_mapper.py を使用して、すべての PI カテゴリを収集元、事業目的、共有先、保持スケジュールに関連付けます
• サービスプロバイダーおよび請負業者との契約に、CCPA で求められるすべての条項を含める -- 利用制限の証明、削除義務、監査権、再請負業者の連鎖に関する文書化を含めます
• 該当するすべての処理活動についてリスク評価を完了 -- CPRA の6つの重大なリスクカテゴリを対象とし、2028年4月の期限までに証明できる状態にします

---

適用範囲と制限事項

適用範囲内：

• CCPA/CPRA の適用可否の判定（売上高、消費者数、PI 売上高のしきい値）
• 必須開示事項すべてに照らしたプライバシーポリシーのコンプライアンス評価
• 消費者の権利への対応準備状況の検証（知る権利、削除、オプトアウト、訂正、データポータビリティ、SPI 利用の制限）
• CCPA の 11 の個人情報カテゴリーすべてにわたるデータインベントリのマッピング
• CPRA の定義に基づく機微な個人情報の特定
• 技術的な保護措置の評価（暗号化、アクセス制御、オプトアウトの仕組み）
• サービスプロバイダーおよび請負業者との契約要件

適用範囲外：

• 法律上の助言、または適用除外の適用可否の判断（HIPAA、GLBA、FCRA、雇用データ）-- 適用除外の分析についてはプライバシー専門の弁護士に相談してください
• Cookie 同意管理プラットフォームまたは GPC シグナル処理コードの実装
• CCPA に基づく私的訴権への対応（データ侵害訴訟）-- 法律顧問に相談してください
• 提供されている比較表に含まれない他州のプライバシー法（Virginia VCDPA、Colorado CPA、Connecticut CTDPA）-- 管轄区域固有のガイダンスを利用してください
• CPRA 規則に基づく自動意思決定技術（ADMT）のコンプライアンス（2027 年 1 月施行）-- 最終要件について CPPA の規則制定を確認してください

重要事項：

• CPPA による執行は 2025～2026 年に大幅に強化されており、個別の事案で 130 万ドルを超える罰金が科されているほか、GPC 非準拠を対象とする複数州合同の一斉執行も行われています
• 2026 年 1 月 1 日施行の新たな CPRA 規則では、リスク評価、サイバーセキュリティ監査、および更新されたコンプライアンス要件が追加されます。これに応じて実装を計画してください

---

統合ポイント

スキル	統合内容	使用するタイミング
gdpr-dsgvo-expert	GDPR と CCPA の両方を満たす統合プライバシープログラム、フレームワーク間のプライバシーマッピング	組織が EU とカリフォルニアの両方で事業を展開する場合
infrastructure-compliance-auditor	CCPA の合理的なセキュリティを支える技術的な保護措置（暗号化、アクセス制御、ロギング）の検証	CCPA コンプライアンスを支えるインフラストラクチャ制御を評価する場合
information-security-manager-iso27001	CCPA の「合理的なセキュリティ」要件を支えるセキュリティ制御	ISO 27001 と CCPA の両方を満たすセキュリティプログラムを構築する場合
soc2-compliance-expert	SOC 2 の制御を CCPA の技術的な保護措置要件に対応付け	SOC 2 監査の証拠が CCPA のセキュリティコンプライアンスを裏付ける場合

---

ツールリファレンス

ccpa_compliance_checker.py

8 つの評価カテゴリーにわたるすべての CCPA/CPRA 要件に照らして、組織の対応準備状況を評価します。

フラグ	必須	説明
--input <file>	はい（--template を指定しない場合）	評価対象の会社プロファイルを記載した JSON ファイルのパス
--template	いいえ	空の入力テンプレートを標準出力に生成します
--json	いいえ	自動処理用に結果を JSON 形式で出力します
--output <file>	いいえ	指定したファイルパスにレポートを出力します

出力： 全体のコンプライアンススコア（0～100）、合格／不合格／一部合格のステータスを示すカテゴリー別スコア、規制上の参照情報を含む優先順位付けされた指摘事項、および是正に関する推奨事項。

ccpa_data_mapper.py

個人情報のカテゴリーをマッピングし、データフローを追跡し、データインベントリレポートを生成します。

フラグ	必須	説明
--input <file>	はい（--template を指定しない場合）	マッピング対象のデータインベントリを記載した JSON ファイルのパス
--template	いいえ	空のインベントリテンプレートを標準出力に生成します
--output <file>	いいえ	指定したファイルパスにマッピングレポートを出力します
--flow-diagram	いいえ	収集、利用、共有、販売の経路を示すテキスト形式のデータフロー図を生成します

出力： CCPA の 11 のカテゴリーすべてにわたる PI カテゴリーのマッピング、SPI の特定、データフロー分析（ソース、目的、受領者）、越境移転のフラグ、およびデータ保持に関するギャップの検出。