connecticut-ctdpa

コネチカット州データプライバシー法（CTDPA）

概要

コネチカット州データプライバシー法（CTDPA）は、Conn. Gen. Stat. §42-515 through §42-525 として法典化され、2022年5月10日に成立し（SB 6）、2023年7月1日に施行されました。コネチカット州は、包括的な消費者プライバシー法を制定した5番目の州です。CTDPA は、同意の取得におけるダークパターンを明示的に禁止していること、真正なロイヤルティプログラムに対する適用除外があること、ユニバーサル・オプトアウト・メカニズムの承認を義務付けていること（2025年1月1日施行）で知られています。

適用範囲（§42-516）

CTDPA は、コネチカット州で事業を行う、またはコネチカット州の居住者を対象とした製品やサービスを提供する者に適用され、かつ、直前の暦年に以下のいずれかに該当する必要があります。

1. 少なくとも100,000人のコネチカット州の消費者の個人データを管理または処理した（支払い取引のみを目的として処理されたデータを除く）。または
2. 少なくとも25,000人のコネチカット州の消費者の個人データを管理または処理し、個人データの販売から総収益の25％を超える額を得た。

注： 収益の基準となる割合25％は、バージニア州の50％より低く、コロラド州には特定の割合が定められていません。

適用除外： 州・地方自治体、GLBA 対象機関（事業体単位）、HIPAA 対象事業体／業務提携者（事業体単位）、非営利団体、高等教育機関、および特定の連邦法が適用されるデータ。

Liberty Commerce Inc. の評価： Liberty Commerce Inc. は、約87,000人のコネチカット州の消費者の個人データを処理しています。データ販売活動による広告収益は12％であるため、基準（2）には該当しません。しかし、支払いのみを目的とする取引を除外すると、保守的な解釈では消費者数が基準を超えます。Liberty Commerce Inc. は、CTDPA の適用対象であると判断しています。

消費者の権利（§42-520）

6つの消費者の権利

1. アクセス権（§42-520(a)(1)）：処理の有無を確認し、個人データにアクセスする権利
2. 訂正権（§42-520(a)(2)）：不正確な情報を訂正する権利
3. 削除権（§42-520(a)(3)）：個人データを削除する権利
4. ポータビリティ権（§42-520(a)(4)）：移転可能で、容易に利用できる形式でデータを取得する権利
5. オプトアウト権（§42-520(a)(5)）：以下をオプトアウトする権利
   • ターゲティング広告
   • 個人データの販売
   • 法的または同様に重大な影響をもたらす決定に関連するプロファイリング
6. 異議申し立て権（§42-520(f)）：権利行使請求が拒否された場合に異議を申し立てる権利

応答要件（§42-520(b)-(e)）

• 受領から45日以内に応答する
• 延長：通知を行った場合、さらに最大45日間延長可能
• 各権利について、12か月ごとに少なくとも1回は無料で応答する
• 異議申し立て：管理者は60日以内に応答する必要がある

ダークパターンの禁止（§42-515(8), §42-518(a)(5)）

CTDPA は、消費者の同意を得る場面におけるダークパターンを明示的に定義し、禁止しています。「ダークパターン」は次のように定義されています。

「ユーザーの自律性、意思決定、または選択を実質的に損なう、もしくは妨げるように設計または操作されたユーザーインターフェースを指し、連邦取引委員会が『ダークパターン』と呼ぶあらゆる慣行を含みますが、これらに限定されません。」

影響

• ダークパターンを通じて得られた同意は、CTDPA における有効な同意ではありません
• センシティブデータの処理に関する同意に適用されます（§42-518(a)(5)）
• 子どものデータの処理に関する同意に適用されます
• 紛らわしい表現、隠された選択肢、視覚的な操作、その他の欺瞞的な手法を用いる同意取得の仕組みは、無効です

ダークパターンの例（FTC のガイダンスおよび CTDPA の立法経緯に基づく）

パターン	説明	CTDPA への影響
断りにくくする表現	オプトアウトの選択肢に、罪悪感を抱かせる表現を使う	同意は無効
選択肢の隠蔽	拒否／辞退の選択肢を、視覚的に目立たなくする	同意は無効
行動の強制	無関係な機能へのアクセスに同意を必須とする	同意は無効
ひっかけ質問	二重否定や、紛らわしい表現を使う	同意は無効
誤誘導	同意するようユーザーを誘導する視覚デザイン	同意は無効
しつこい催促	消費者が拒否した後も、繰り返しプロンプトを表示する	同意は無効

Liberty Commerce Inc. の実装： Liberty Commerce Inc. は、すべての同意インターフェースについてダークパターンの監査を実施しました。同意ボタンは同等の視覚的な重み（同じサイズ、同じフォント、同じ目立ちやすさの色）で表示されます。「同意する」と「拒否する」の選択肢は横並びで表示されます。表現は肯定的で明確です。断りにくくする表現は使用していません。

正当なロイヤルティプログラムの免除（§42-517(c)）

CTDPA は、正当なロイヤルティ、リワード、プレミアム、割引、またはクラブカードプログラムに対する免除を定めています。以下の条件を満たす場合、そのようなプログラムの一環として収集された個人データは、販売のオプトアウト権の対象外となります。

1. プログラムが正当なロイヤルティプログラムである（消費者に実質的な価値を提供している）
2. 消費者が自発的に参加している
3. 管理者が、ロイヤルティプログラムの利用規約でデータ収集について明確に開示している
4. データがロイヤルティプログラムの目的に限って使用されている

Liberty Commerce Inc. の実装： Liberty Commerce Inc. は「Liberty Rewards」プログラムを運営しています。プログラムの利用規約には、購入履歴と嗜好データは、リワードの算定、プログラム内でのパーソナライズされたオファー、および会員特典のためにのみ使用されると明記されています。このデータは、販売されることも、ロイヤルティプログラムの範囲外でクロスコンテキスト行動ターゲティング広告に使用されることもありません。

ユニバーサルオプトアウトメカニズム（§42-520(a)(6)）

2025 年 1 月 1 日から、管理者はユニバーサルオプトアウトメカニズムを認識する必要があります。要件はコロラド州の枠組みに準じます。

• ユニバーサルオプトアウト信号（GPC を含む）を認識して処理する必要があります
• 信号は、ターゲティング広告と個人データの販売に適用されます
• 消費者に追加の確認を求める必要はありません
• 信号について質問するポップアップやインタースティシャルを表示してはなりません
• 未認証の場合はブラウザー／デバイスのレベルで、認証済みの場合はアカウントのレベルで適用します

センシティブデータ（§42-518(a)(5)）

カテゴリー

Virginia VCDPA と同じです。

1. 人種または民族的出自
2. 宗教上の信念
3. 精神的または身体的な健康状態または診断
4. 性的指向
5. 市民権または移民としての在留資格
6. 識別を目的とした遺伝データまたは生体データ
7. 既知の子どもの個人データ
8. 正確な位置情報データ

同意要件

処理には、ダークパターンを通じて取得していないオプトイン同意が必要です。

管理者の義務（§42-518）

1. 目的の限定：処理を、十分かつ関連性があり、合理的に必要な範囲に限定する
2. データ最小化：合理的に必要な量を超えて収集しない
3. データセキュリティ：適切な技術的・組織的措置を講じる
4. 差別の禁止：差別禁止法に違反する処理を行わない
5. センシティブデータの同意：処理の前に、（ダークパターンによらず）同意を取得する
6. プライバシー通知：合理的にアクセスしやすく、明確であること
7. DPIA：ターゲティング広告、販売、プロファイリング、センシティブデータ、および高リスクの処理について評価を実施する

執行（§42-524、§42-525）

• AG のみが執行権限を持つ — 私的訴権はありません
• 2024 年 12 月 31 日まで、60 日間の是正期間があります
• 2025 年 1 月 1 日以降：是正期間を設けるかどうかは AG の裁量です
• 罰則：Conn. Gen. Stat. §42-110b（CUTPA）に基づく不公正取引慣行として扱われます
• 民事罰：CUTPA に基づき、故意の違反 1 件につき最大 $5,000

主な規制関連資料

• Conn. Gen. Stat. §42-515 から §42-525（CTDPA）
• Conn. Gen. Stat. §42-110b（コネチカット州不公正取引慣行法 — 執行）
• FTC ダークパターン報告書（2022年9月）— CTDPA の定義で参照
• Global Privacy Control Specification v1.0 — 認められたユニバーサルオプトアウトの仕組み