colorado-cpa-compliance

Colorado Privacy Act（CPA）への準拠

概要

Colorado Privacy Act（CPA）は、C.R.S. §6-1-1301～§6-1-1313 として成文化され、2021年7月7日に法律として署名されました（SB 21-190）。2023年7月1日に施行されました。Colorado は、包括的な消費者プライバシー法を制定した3番目の州です。CPA は、Colorado Attorney General による強力な規則制定により、4 CCR 904-3 に詳細な実施規則が定められていること、また、ユニバーサルオプトアウトメカニズムの認識を義務付けた最初の州法であること（Connecticut とともに）で注目されています。

Colorado AG は2024年3月1日発効の最終規則を公表し、ユニバーサルオプトアウトメカニズムの要件は2024年7月1日に施行されました。

適用範囲（§6-1-1304）

CPA は、Colorado で事業を行う、または Colorado の居住者を意図的に対象とした製品やサービスを提供する管理者に適用され、さらに次のいずれかを満たす必要があります。

1. 1暦年あたり100,000人以上の Colorado の消費者の個人データを管理または処理すること。OR
2. 25,000人以上の Colorado の消費者の個人データを管理または処理し、かつ個人データの販売から収益を得るか、商品またはサービスの価格の割引を受けること。

注： 基準値（2）には、特定の収益割合は必要ありません（Virginia の50％基準とは異なります）。

適用除外（§6-1-1304(2)：

• 州および地方自治体の機関
• 15 U.S.C. §78o-3 に基づき登録された全国証券業協会
• GLBA の対象となる金融機関および関連会社（事業体単位）
• HIPAA の対象事業体および業務提携先（事業体単位）
• 非営利団体
• 高等教育機関
• GLBA、HIPAA、FERPA、FCRA、DPPA、COPPA、Farm Credit Act、およびその他特定の連邦法に基づいて規制されるデータ

Liberty Commerce Inc. の評価： Liberty Commerce Inc. は約98,000人の Colorado の消費者のデータを処理し、データ関連の活動から広告収入を得ています。基準値（2）を満たすため、CPA の適用対象となります。

消費者の権利（§6-1-1306）

1. アクセス権（§6-1-1306(1)(a)）

管理者が自身の個人データを処理しているかを確認し、そのデータにアクセスできます。

2. 訂正権（§6-1-1306(1)(b)）

データの性質と処理目的を考慮したうえで、個人データの不正確な情報を訂正できます。

3. 削除権（§6-1-1306(1)(c)）

消費者が提供した、または消費者について取得された個人データを削除できます。

4. データポータビリティ権（§6-1-1306(1)(d)）

移植可能で、技術的に実現可能な範囲で容易に利用できる形式の個人データを取得できます。

5. オプトアウト権（§6-1-1306(1)(e)）

次の目的での処理をオプトアウトできます。

• ターゲティング広告
• 個人データの販売
• 法的またはそれと同様に重大な影響をもたらす決定を推進するプロファイリング

Liberty Commerce Inc. の実装： 5つすべての権利は、privacy.libertycommerce.com/colorado のプライバシーポータルから行使できます。オプトアウト権は、ユニバーサルオプトアウトメカニズム（GPC）および Colorado が承認したオプトアウトアイコン付きの専用「Your Privacy Choices」リンクからも利用できます。

ユニバーサルオプトアウトメカニズム（4 CCR 904-3, Rule 5.11）

CPA は、管理者にユニバーサルオプトアウトメカニズムの認識を義務付けた最初の州法です（Connecticut とともに）。この要件は2024年7月1日に施行されました。

要件

管理者は、次の対応を行う必要があります。

1. ユニバーサルオプトアウトメカニズムを通じて送信されたオプトアウト信号を認識して処理する
2. 信号を、個人データの販売およびターゲティング広告に対する有効なオプトアウトとして扱う
3. 信号を処理するために、消費者に追加の確認を求めない
4. 信号の確認または変更を消費者に求めるポップアップ、インタースティシャル、その他の仕組みを表示しない
5. 未認証の消費者について、ブラウザー／デバイスレベルで信号を適用する
6. 認証済みの消費者について、アカウントレベルで信号を適用する
7. 矛盾がある場合は、最も最近に示された希望を優先して解決する

技術基準（4 CCR 904-3、規則 5.11）

AG の規則では、ユニバーサルオプトアウトの仕組みは次の要件を満たす必要があります。

• プラットフォーム、テクノロジー、または仕組みの設定または拡張機能であること
• デフォルト設定ではないこと（消費者が明示的に選択する必要があります）
• その設定が何を意味するかを消費者に明確に伝えること
• 消費者にとって使いやすく、利用が簡単であること
• 消費者の選択を明確に伝えるシグナルを管理者に送信すること

**Global Privacy Control（GPC）**は、要件に準拠したユニバーサルオプトアウトの仕組みとして認められています。

Liberty Commerce Inc. の実装： Liberty Commerce Inc. は、Sec-GPC: 1 HTTP ヘッダーと navigator.globalPrivacyControl JavaScript API を通じて GPC を検出します。検出後は、次のように処理します。

• 未認証の場合：ターゲティング広告および販売について、セッション単位のオプトアウトを適用します
• 認証済みの場合：アカウント単位のオプトアウト設定を永続的に設定します
• クロスコンテキスト行動広告に関するすべてのサードパーティ広告タグとデータ共有を抑制します
• 処理者契約に基づくファーストパーティ分析は許可します

機微データ（§6-1-1304(26)、§6-1-1308(7)）

カテゴリー

1. 人種または民族的出自を明らかにする個人データ
2. 宗教的信念
3. 精神的または身体的な健康状態または診断
4. 性生活または性的指向
5. 市民権または市民権のステータス
6. 個人を一意に識別する目的で処理される遺伝データまたは生体データ
7. 既知の子どもの個人データ

同意要件

機微データの処理には、消費者のオプトインの同意が必要です。同意は、次の要件を満たす必要があります。

• 自由意思によるもので、具体的かつ十分な情報に基づき、曖昧さがないこと
• 明確な肯定的行為によること（事前にチェックされたボックスは不可）
• 機微データの各カテゴリーおよび目的に固有であること

プロファイリングのオプトアウト（§6-1-1306(1)(e)(III)）

消費者は、法的効果またはそれに類する重大な影響をもたらす決定を行うためのプロファイリングをオプトアウトできます。これはほとんどの州法より広範で、次の決定を含みます。

• 金融サービスまたは融資サービスの提供または拒否に関する決定
• 住宅の提供または拒否に関する決定
• 保険の提供または拒否に関する決定
• 教育機関への入学または教育機会の提供または拒否に関する決定
• 雇用の提供または拒否に関する決定
• 医療サービスの提供または拒否に関する決定
• 基本的な必需品（食料、水、住居、エネルギー、交通手段）へのアクセスに関する決定

Liberty Commerce Inc. の実装： Liberty Commerce Inc. は、後払い機能（信用スコアリング）のためにプロファイリングを実施しています。コロラド州の消費者には、このプロファイリング活動に対する固有のオプトアウトの仕組みが提供され、その際に、関係するロジック、決定の重要性、および想定される結果が開示されます。

管理者の義務（§6-1-1308）

プライバシー通知（§6-1-1308(1)）

以下を含める必要があります。

• 収集または処理する個人データのカテゴリー
• 処理の目的
• 消費者の権利とその行使方法
• 第三者と共有する個人データのカテゴリー
• データを共有する第三者のカテゴリー
• 連絡先情報（メールアドレスまたはオンラインの手段）
• 個人データを販売するか、ターゲティング広告に使用するかどうか
• プロファイリングを実施するかどうか、およびオプトアウトに関する情報

データの最小化（§6-1-1308(3)）

収集するデータは、指定された目的との関連で、十分かつ適切であり、合理的に必要な範囲に限定されている必要があります。

目的の制限（§6-1-1308(4)）

処理は、指定された目的に合理的に必要な範囲を超えてはならず、また、その目的と両立しないものであってはなりません。

データセキュリティ（§6-1-1308(5)）

データの量、範囲、性質に応じた合理的な管理上、技術上、および物理的なセキュリティ対策を講じる必要があります。

差別の禁止（§6-1-1308(6)）

州および連邦の差別禁止法に違反する形で個人データを処理してはなりません。

DPIA の要件（§6-1-1309）

管理者は、以下の処理について DPIA を実施する必要があります。

• ターゲティング広告の処理
• 個人データの販売
• 特定の種類のプロファイリング
• センシティブデータの処理
• 危害のリスクが高まるあらゆる処理

DPIA は、要請があった場合に AG が閲覧できるようにしなければなりません。

執行（§6-1-1311、§6-1-1312）

州司法長官の権限

• コロラド州消費者保護法（§6-1-101 et seq.）に基づく専属的な執行権限
• 民事調査要求を発行できます
• 差止命令による救済、返還、民事制裁金を求めることができます

是正期間

• 2025年1月1日までは、60日間の是正期間が利用可能でした
• 2025年1月1日以降：自動的に適用される是正期間はなく、AG は誠実な取り組みを考慮する裁量を有します

制裁

• §6-1-105 に基づく欺瞞的な取引行為として扱われます
• 民事制裁金は違反1件につき最大20,000ドル（コロラド州消費者保護法に基づく）
• 差止命令による救済および返還

AG の規則制定（4 CCR 904-3）

コロラド州 AG は、以下に対応する包括的な規則を公表しました。

• 規則2：定義および一般規定
• 規則3：消費者の権利に関する手続き
• 規則4：管理者および処理者の義務
• 規則5：ユニバーサルオプトアウトメカニズムの技術基準
• 規則6：センシティブデータに関する同意要件
• 規則7：データ保護影響評価の要件
• 規則8：ユニバーサルオプトアウトメカニズムの2年ごとの見直し

主な規制関連資料

• C.R.S. §6-1-1301 から §6-1-1313（コロラド州プライバシー法）
• 4 CCR 904-3（AG の施行規則、2024年3月1日発効）
• C.R.S. §6-1-101 et seq.（コロラド州消費者保護法 — 執行の枠組み）
• ユニバーサルオプトアウトメカニズムに関する AG の技術ガイダンス（2024年7月）
• Global Privacy Control 仕様 v1.0