ccpa-right-to-delete

CCPA/CPRA の削除権

概要

California Consumer Privacy Act（CCPA）は、California Privacy Rights Act（CPRA）による改正後、カリフォルニア州の消費者に、自分について収集された個人情報の削除を請求する権利を認めています。この権利は Cal. Civ. Code Section 1798.105 に規定されています。6 つの根拠のいずれかを立証する必要がある GDPR の消去権とは異なり、CCPA の削除権はより直接的な権利です。消費者が削除を請求すれば、特定の例外が適用されない限り、事業者はこれに応じなければなりません。CPRA の改正により義務が拡大され、専任の執行機関として California Privacy Protection Agency（CPPA）が設立されました。このスキルでは、CCPA/CPRA に基づく削除請求の受付、本人確認、評価、履行に関する包括的な運用フレームワークを取り上げます。

法的根拠

CCPA Section 1798.105 — 個人情報を削除する消費者の権利

(a) 消費者は、事業者が消費者から収集した、消費者に関する個人情報を削除するよう請求する権利を有します。

(b) 消費者から個人情報を収集する事業者は、消費者の個人情報の削除を請求する権利について、消費者に開示しなければなりません。

(c) 消費者の個人情報の削除を求める検証済みの請求を受けた事業者は、自社の記録から消費者の個人情報を削除し、サービスプロバイダーまたは委託先に対しても各自の記録から消費者の個人情報を削除するよう通知し、さらに、事業者が消費者の個人情報を販売または共有したすべての第三者に対しても削除するよう通知しなければなりません。ただし、それが不可能である場合、または過度な労力を伴う場合を除きます。

(d) 事業者、サービスプロバイダー、または委託先は、次の目的で消費者の個人情報を維持することが合理的に必要な場合、消費者の個人情報の削除請求に応じる必要はありません。［例外については下記を参照］

CPRA による改正（2023 年 1 月 1 日施行）

削除権に影響する主な CPRA の変更点：

1. サービスプロバイダーと委託先にも適用：事業者は、サービスプロバイダーと委託先に削除を指示しなければなりません。通知するだけでは不十分です。
2. 第三者への通知：事業者は、個人情報を販売または共有した第三者に対しても、削除するよう通知しなければなりません。
3. CPPA による執行：California Privacy Protection Agency は、規則制定権限および執行権限を有します。
4. 定義の拡大：「販売」に加えて、（コンテキストをまたぐ行動ターゲティング広告に関する）「共有」が追加されました。

CCPA 規則（11 CCR Division 6）

California Attorney General の CCPA 規則（その後、CPPA の規則によって更新）では、次の事項が定められています。

• 請求の提出方法（Section 999.312）
• 本人確認の手続き（Section 999.323-999.325）
• 回答要件（Section 999.313）
• サービスプロバイダーの義務（Section 999.314）

削除の例外

CCPA Section 1798.105(d) — 9つの例外

以下の目的に個人情報を使用することが合理的に必要な場合、事業者は個人情報を削除する必要はありません。

例外	説明	Orion Data Vault Corp における例
(d)(1) 取引の完了	個人情報を収集した取引を完了すること、書面による保証または製品リコールの条件を履行すること、消費者が要求した商品もしくはサービスを提供すること、または消費者との継続的な取引関係の文脈で合理的に予想される商品もしくはサービスを提供すること	有効なサブスクリプションまたはサービスの提供
(d)(2) セキュリティインシデントの検出	セキュリティインシデントを検出すること、悪意のある、欺瞞的な、詐欺的な、または違法な活動から保護すること、またはその活動に責任を負う者を訴追すること	不正調査記録、セキュリティインシデントのログ
(d)(3) デバッグ	既存の意図された機能を損なうエラーを特定して修正するためにデバッグすること	消費者アカウントに紐づくエラーログ、クラッシュレポート
(d)(4) 言論の自由	言論の自由を行使すること、他の消費者が言論の自由に関する権利を行使する権利を確保すること、または法律で定められたその他の権利を行使すること	公開フォーラムのユーザー生成コンテンツ
(d)(5) CCPA に基づく研究	公共の利益に資する公的または査読付きの科学的、歴史的、または統計的研究に従事すること。ただし、他の適用される倫理およびプライバシーに関するすべての法律を遵守し、削除によって研究の実施が不可能になったり、著しく損なわれたりする可能性がある場合に限ります	匿名化された研究データセット（CCPA の研究基準を満たす必要があります）
(d)(6) 期待に沿った内部利用	消費者と事業者との関係に基づく消費者の期待に合理的に沿った、社内のみでの利用を可能にすること	消費者との直接的なやり取りに基づくサービス改善分析
(d)(7) 法的義務	法的義務を遵守すること	税務記録、AML 記録、雇用記録
(d)(8) 内部利用 — 適法かつ適合性がある場合	消費者が情報を提供した文脈に適合する適法な方法で、消費者の個人情報を社内で別途使用すること	消費者がデータの使用を合理的に予想する業務運営
(d)(9) その他の法律の遵守	連邦法、州法、または地方自治体の法律を遵守すること	HIPAA、FCRA、GLBA の要件

例外の評価手順

[Deletion Request Received]
         │
         ▼
[For Each Category of Personal Information Held]
   │
   ├── [Does any exception under §1798.105(d) apply?]
   │     │
   │     ├── No exception ──► DELETE this category
   │     │
   │     ├── Exception (d)(1) — Active transaction/relationship?
   │     │     └── [Is the consumer's transaction/service still active?]
   │     │           ├── Yes ──► RETAIN (document: active relationship)
   │     │           └── No ──► DELETE (transaction complete)
   │     │
   │     ├── Exception (d)(2) — Security?
   │     │     └── [Is data part of active security investigation?]
   │     │           ├── Yes ──► RETAIN (document: investigation ref)
   │     │           └── No ──► DELETE
   │     │
   │     ├── Exception (d)(7) — Legal obligation?
   │     │     └── [Is there a specific statutory retention requirement?]
   │     │           ├── Yes ──► RETAIN (document: cite statute + period)
   │     │           └── No ──► DELETE
   │     │
   │     └── [Other exceptions: assess per criteria above]
   │
   ▼
[Partial Deletion Decision]
   - Delete all categories where no exception applies
   - Retain categories where valid exception applies
   - Document each retained category with exception citation
   - Inform consumer of partial deletion with explanation

検証手順

消費者の本人確認要件

CCPA では、事業者に対し、リクエストを行う消費者の本人確認が求められています。確認の厳格さは、リクエストの種類とデータの機微性によって異なります。

確認レベル	必要となる場合	方法
合理的な確実性	削除リクエスト（標準）	消費者が提示したデータポイントを、すでに保有している情報と少なくとも2つ照合する
合理的に高い確実性	機微な個人情報に関する削除リクエスト、または誤って削除した場合に消費者に重大な損害を与えるおそれがある場合	少なくとも3つのデータポイントを照合し、偽証罪の適用を受けることを理解したうえで署名した宣誓書を取得する

検証方法

方法	説明	一致するデータポイント
アカウントベースの検証	消費者が認証済みのアカウントにログインします	アカウント認証情報が検証の根拠となります
メール検証	登録済みのメールアドレスに検証リンクを送信します	メールアドレス＋追加のデータポイント1件
知識ベースの検証	消費者本人だけが知っている情報の確認を求めます	データポイント2～3件（氏名、住所、取引履歴、電話番号）
政府発行の身分証明書	政府発行の身分証明書の提出を求めます	他の方法では不十分な場合に限り使用し、検証後はコピーを破棄します
署名付き宣誓書	偽証罪に問われることを承知のうえで署名した宣誓書の提出を求めます	高い確実性が求められる検証で必要となり、他の方法を補完します

検証ワークフロー

[Deletion Request Received]
         │
         ▼
[Does consumer have an account?]
   │
   ├── Yes ──► [Is consumer logged in?]
   │             ├── Yes ──► Verified (account-based)
   │             └── No ──► Request login; if unable, proceed to non-account verification
   │
   └── No ──► [Non-account verification]
               │
               ├── [Request 2 data points for standard verification]
               │     ├── Match ──► Verified
               │     └── No match ──► Request additional data or deny (document reason)
               │
               └── [If sensitive data or high-risk deletion]
                     ├── [Request 3 data points + signed declaration]
                     ├── Match ──► Verified
                     └── No match ──► Deny with right to appeal

認定代理人

消費者は、自身に代わって削除リクエストを提出する認定代理人を指定できます。

1. 認定の証明：代理人は、消費者の署名入り書面による許可、またはカリフォルニア州遺産法第4000～4465条に基づく委任状を提出する必要があります。
2. 消費者本人の検証も必要：認定代理人がいる場合でも、事業者は消費者本人に直接、身元を検証するよう求めることができます。
3. 代理人の登録：カリフォルニア州に登録された代理人は、カリフォルニア州務長官への登録証明を提出する必要があります。

回答期限

45日間の回答期間

マイルストーン	期限	対応
受領確認	リクエスト受領から10営業日以内	受領を確認し、完了予定日を提示します
検証の完了	実行可能な限り速やかに	身元検証を完了します。検証できない場合は消費者に通知します
回答	検証可能なリクエストの受領から45暦日以内	削除を完了して消費者に通知するか、延長を適用します
延長（必要な場合）	さらに45暦日（合計90日）	当初の45日以内に延長について消費者に通知し、理由を説明します
削除の完了	回答期限内	事業者のシステムから削除し、サービスプロバイダー／請負業者に削除を指示し、第三者に通知します

回答内容の要件

削除リクエストへの回答には、以下を含める必要があります。

DELETION REQUEST RESPONSE — Orion Data Vault Corp
---------------------------------------------------
Consumer Reference: DEL-CA-2026-0089
Request Date: [YYYY-MM-DD]
Verification Date: [YYYY-MM-DD]
Response Date: [YYYY-MM-DD]

STATUS: [Completed / Partially Completed / Denied]

PERSONAL INFORMATION DELETED:
- Category 1: [Description] — DELETED from business systems
- Category 2: [Description] — DELETED from business systems
- Category 3: [Description] — DELETED from business systems

SERVICE PROVIDERS/CONTRACTORS DIRECTED TO DELETE:
- [Service Provider Name] — Directed [date], confirmed [date]
- [Contractor Name] — Directed [date], confirmed [date]

THIRD PARTIES NOTIFIED (if PI was sold or shared):
- [Third Party Name] — Notified [date]

EXCEPTIONS APPLIED (if any):
- Category [X]: Retained under §1798.105(d)(7) — legal obligation
  (Specific statute: [cite statute and retention period])
- Category [Y]: Retained under §1798.105(d)(1) — active transaction
  (Transaction expected to complete: [date])

CONSUMER RIGHTS:
- You may appeal this decision by contacting [contact information]
- You may file a complaint with the California Privacy Protection Agency
  at [CPPA contact information]
- This deletion does not prevent you from exercising other rights under
  the CCPA, including the right to know and the right to opt-out

サービスプロバイダーおよび請負業者の義務

削除要件の伝達

CCPA/CPRAに基づき、事業者が削除リクエストを受け取った場合：

1. 事業者は、自社の記録から個人情報を削除します。
2. 事業者はサービスプロバイダーに削除を指示し、その記録から個人情報を削除させます。
3. 事業者は請負業者に削除を指示し、その記録から個人情報を削除させます。
4. サービスプロバイダーおよび請負業者は、以下を行う必要があります。
   • 消費者の個人情報を自らの記録から削除します。
   • サブサービスプロバイダーまたは下請業者に削除を通知します。
   • 削除完了を事業者に確認します。
5. 事業者は第三者（個人情報を販売または共有した相手）に削除を通知します。

サービスプロバイダー契約の要件

Orion Data Vault Corpは、すべてのサービスプロバイダー契約に以下の条項を含めています。

CCPA SERVICE PROVIDER ADDENDUM — Key Clauses
----------------------------------------------

1. DELETION OBLIGATIONS
   Service Provider shall, upon receipt of direction from Business to
   delete a consumer's personal information:
   (a) Delete the personal information from its systems within [15]
       business days of receiving the direction;
   (b) Direct any sub-service providers to delete the personal information;
   (c) Confirm deletion to Business in writing within [20] business days;
   (d) Retain no copies of the deleted personal information except as
       permitted by an applicable exception under Cal. Civ. Code §1798.105(d).

2. EXCEPTION NOTIFICATION
   If Service Provider determines that an exception under §1798.105(d)
   applies to any portion of the personal information, Service Provider
   shall notify Business within [5] business days, specifying the exception
   relied upon, the categories of personal information affected, and the
   expected retention period.

3. AUDIT RIGHTS
   Business shall have the right to audit Service Provider's deletion
   processes and verify that deletion has been completed as directed.

GDPR の消去権との違い

項目	CCPA の削除権	GDPR の消去権
必要な根拠	いいえ — 消費者は単に削除を請求します	はい — 第 17 条（1）に定められた 6 つの根拠のいずれかを立証する必要があります
対象範囲	消費者から収集した個人情報	データ主体に関する個人データ（より広範で、他の情報源から取得したデータも含みます）
対応期限	45 暦日（90 日まで延長可能）	30 暦日（90 日まで延長可能）
本人確認	確実性のレベルが定められた明示的な本人確認要件	本人確認が必要ですが、方法は管理者の裁量に委ねられます
サービスプロバイダーの義務	明示的 — サービスプロバイダー／請負業者に削除を指示する必要があります	暗黙的 — 管理者は第 28 条に基づき、処理者による削除を確実にする必要があります
第三者への通知	個人情報を販売／共有した第三者に通知する必要があります	データの開示先である他の管理者に通知する必要があります（第 17 条（2）および第 19 条）
例外	§1798.105(d) に列挙された 9 つの例外	第 17 条（3）に定められた 5 つの例外
執行機関	CPPA およびカリフォルニア州司法長官。個人による訴権はデータ侵害に限定されます	監督機関。個人による訴権はより広範です

監視とコンプライアンス報告

CCPA の削除請求に関する指標

指標	目標	報告
受け付けた請求（四半期ごと）	件数と傾向を追跡	四半期ごとに CPPA へ（必要な場合）
応答時間の中央値	≤ 30 暦日	四半期ごと
45 日以内に完了した請求	≥ 95%	四半期ごと
延長が必要な請求	≤ 10%	四半期ごと
拒否した請求（例外適用）	割合と例外の種類別内訳を追跡	四半期ごと
サービスプロバイダーによる削除確認率	20 営業日以内に 100%	請求ごと
消費者による異議申し立て	件数と結果を追跡	四半期ごと

CCPA のプライバシー指標に関する年次開示

年次指標の開示が必要な場合（消費者からの請求を 1,000 万件以上受け付ける事業者）、次の内容を開示します。

1. 受け付けた削除請求の件数
2. 全部または一部に応じた削除請求の件数
3. 拒否した削除請求の件数
4. 実質的な回答までの日数の中央値