delaware-dppa

デラウェア州個人データプライバシー法（DPPA）

概要

デラウェア州個人データプライバシー法（DPPA）は、デラウェア州法第6編第12D章（6 Del. C. §§12D-101 through 12D-111）として成文化され、2023年9月11日にJohn Carney知事が署名して成立しました（HB 154）。DPPAは2025年1月1日に施行されました。デラウェア州は、米国の包括的な州プライバシー法の中で、適用対象となる基準が最も低いことで知られています。適用には、管理者がデラウェア州の消費者35,000人の個人データを処理することだけが求められ（データの販売による収益基準はありません）、2023年までに制定された州プライバシー法の中で最も広い範囲に適用されます。

DPPAの主な特徴は次のとおりです。

• 消費者数の基準が最も低い：消費者35,000人（収益に関する代替基準は不要）
• 是正期間なし：多くの州とは異なり、DPPAには義務的な是正期間がなく、司法長官に裁量が認められています
• 機微データの定義が広い：移民・市民権のステータスを含みます
• ユニバーサルオプトアウトを承認：2026年1月1日から義務付けられます
• 未成年者の保護：子ども（18歳未満）のデータを認識したうえで処理する場合、より厳格な要件が適用されます
• 未成年者のターゲティング広告への同意：13～17歳であることが判明している消費者には、明示的なオプトインが必要です

適用対象（§12D-103）

DPPAは、デラウェア州で事業を行う、またはデラウェア州の居住者を対象とした製品やサービスを提供する者に適用され、かつ、直前の暦年に次のいずれかを満たす必要があります。

1. 少なくともデラウェア州の消費者35,000人の個人データを管理または処理した（決済取引の完了のみを目的として処理したデータを除く）。または
2. 少なくともデラウェア州の消費者10,000人の個人データを管理または処理し、個人データの販売から総収益の20％超を得た。

適用除外（§12D-104）

事業体単位の適用除外：

• 州および地方自治体
• GLBAの適用対象となる金融機関（事業体単位）
• HIPAAの適用対象事業体および業務提携者（事業体単位）
• 非営利団体
• 高等教育機関
• SECに基づく全国証券取引所および登録事業体

データ単位の適用除外：

• HIPAAの適用を受ける健康データ
• GLBAの適用を受ける金融データ
• FCRAの適用を受ける信用データ
• FERPAの適用を受ける教育記録
• DPPA（連邦法）の適用を受ける運転者データ
• Farm Credit Actの適用を受けるデータ
• 臨床試験および研究データ（条件あり）
• 雇用データ（雇用の文脈で処理されるもの）
• B2Bの文脈で使用される業務上の連絡先データ

Liberty Commerce Inc.の評価： Liberty Commerce Inc.は、デラウェア州の消費者約52,000人の個人データを処理しています。広告収益の12％がデータ販売活動によるものであり、Liberty Commerce Inc.は基準（1）を超えているため、DPPAの適用を全面的に受けるものとして扱っています。

消費者の権利（§12D-106）

6つの消費者の権利

1. アクセス権（§12D-106(a)(1)）：管理者が個人データを処理しているかどうかを確認し、そのデータにアクセスする権利
2. 訂正権（§12D-106(a)(2)）：個人データの不正確な情報を訂正する権利
3. 削除権（§12D-106(a)(3)）：消費者から提供された個人データ、または消費者について取得した個人データを削除する権利
4. データポータビリティ権（§12D-106(a)(4)）：個人データを、ポータブルで容易に利用できる形式で取得する権利
5. オプトアウト権（§12D-106(a)(5)）：次の事項をオプトアウトする権利
   • ターゲティング広告
   • 個人データの販売
   • 法的または同様に重大な影響を及ぼす決定を促進するプロファイリング
6. 異議申し立て権（§12D-106(f)）：権利行使の請求に対する拒否を受け取った後、合理的な期間内に、対応を拒否されたことについて異議を申し立てる権利

応答要件

パラメーター	要件
応答期限	受領から45日以内
延長	通知と理由の提示により、さらに45日間延長可能
拒否要件	消費者に不服申立ての権利を通知すること
不服申立てへの応答	60日以内。不服申立てを行う権利を消費者に通知すること
費用	無料。12か月ごとの最初の請求には料金を請求しないこと
本人確認	合理的な認証を行うこと。アカウント作成を要求してはならない

全般的なオプトアウトの仕組み（§12D-106(a)(5)(c)）

2026年1月1日から、管理者は全般的なオプトアウト設定を示すシグナル（Global Privacy Controlなど）を認識しなければなりません。このシグナルは、販売およびターゲティング広告に対する有効なオプトアウトとして扱わなければなりません。管理者は、シグナルがないことを同意と解釈してはなりません。

管理者の義務（§12D-105）

プライバシー通知の要件

管理者は、合理的にアクセス可能で明確なプライバシー通知を提供し、以下を記載しなければなりません。

• 処理する個人データのカテゴリー
• 処理の目的
• 消費者が権利を行使する方法
• 第三者と共有する個人データのカテゴリー
• データを共有する第三者のカテゴリー
• 管理者への連絡に使用できる有効なメールアドレスまたはオンライン手段

データの最小化

管理者は、収集を、開示された目的に対して適切かつ関連性があり、合理的に必要な範囲に制限しなければなりません。

セキュリティ

管理者は、対象となる個人データの量と性質に応じた、合理的な管理上、技術上および物理的なデータセキュリティ対策を確立し、実施し、維持しなければなりません。

機微データに対する同意（§12D-105(a)(4)）

機微データの処理には、消費者の同意が必要です。DPPAにおける機微データには、以下が含まれます。

• 人種または民族的出自
• 宗教上の信条
• 精神的または身体的な健康診断結果
• 性的指向
• 市民権または移民資格
• 個人の識別を目的として処理される遺伝データまたは生体データ
• 既知の子ども（13歳未満）の個人データ
• 正確な位置情報データ（1,750フィート以内）

未成年者（§12D-105(a)(5)）

• 13歳未満：検証可能な保護者の同意を取得しなければなりません（COPPAの基準が適用されます）
• 13歳から17歳：13歳から17歳であると認識している消費者からオプトインの同意を得ずに、ターゲティング広告または販売のためにデータを処理してはなりません

データ保護影響評価（§12D-105(b)）

管理者は、危害のリスクが高まる処理活動について、DPIAを実施し、文書化しなければなりません。これには以下が含まれます。

• ターゲティング広告
• 個人データの販売
• 不公正または欺瞞的な取扱い、金銭的・身体的・評判上の損害、またはプライバシーへの侵害を合理的に予見できるリスクを伴うプロファイリング
• 機微データの処理
• サービス提供以外の目的での未成年者の個人データの処理

処理者の義務（§12D-107）

処理者は、以下を行わなければなりません。

• 管理者の指示に従う
• 消費者の権利に関する請求への対応を支援する
• 要請に応じてDPIAに必要な情報を提供する
• 管理者の承認を得て、書面による契約の下でのみ再処理者を利用する
• サービス完了後、管理者の指示に従って個人データを削除または返却する
• 管理者が評価を実施するために必要な情報を提供する

処理契約には、以下を含めなければなりません。

• 処理に関する指示
• 処理の性質および目的
• データの種類および消費者のカテゴリー
• 処理期間
• 両当事者の権利および義務
• 再処理者との契約に関する要件
• 守秘義務に関する要件

執行（§12D-110）

• 執行機関：デラウェア州司法省（司法長官）
• 是正期間：義務付けられていません（司法長官は是正の機会を与えるかどうかを裁量で決定できます）
• 民事罰金：違反1件につき最大10,000ドル
• 私的訴権なし
• 司法長官の調査権限：民事調査請求（CID）の権限、召喚権限、および衡平法裁判所に訴訟を提起する権限

他州のプライバシー法との比較

特徴	デラウェア州 DPPA	コネチカット州 CTDPA	コロラド州 CPA	バージニア州 VCDPA
消費者数の基準	35,000	100,000	100,000	100,000
収益に基づく代替基準	10,000 + 20%	25,000 + 25%	25,000 + 収益	25,000 + 50%
是正期間	なし（司法長官の裁量）	60日（2024年12月まで）	60日（2025年1月まで）	30日（2025年1月まで）
一律オプトアウト	2026年1月1日	2025年1月1日	2024年7月1日	義務なし
移民情報の機微性	はい	いいえ	いいえ	いいえ
未成年者の年齢基準	18歳未満	16歳未満	13歳未満	13歳未満
違反1件あたりの罰金	$10,000	$5,000	$20,000	$7,500