CCPAコンプライアンスガイド：要件・消費者の権利・GDPRとの比較

今日のビジネスにおいて、顧客理解を深め競合優位性を確保するために、消費者データの活用は不可欠となっています。デモグラフィック情報からWeb、アプリ上の閲覧履歴に至るまで、多様なパーソナライズや新商品開発に活用される一方で、個人データ保護への要請は世界的に急速に高まっています。その代表格が、カリフォルニア州の個人情報保護法CCPA（カリフォルニア州消費者プライバシー法）です。また消費者データは、ターゲティング広告を展開するマーケターにとっても極めて価値の高い資産です。しかし、データ収集の実態に対する消費者の意識が高まるにつれ、自身のリスクやプライバシーを守る観点から、その情報がどのように利用、共有、保護されているかに対する懸念も拡大しています。

グローバルにビジネスを展開する日本企業にとって、欧州のGDPRと並び、近年特に対応が急務となっているのが米国の州法規制です。2018年、カリフォルニア州は全米に先駆けて、同州居住者の個人情報に関する権利を保護・権利行使するための包括的なプライバシー法、カリフォルニア州消費者プライバシー法（CCPA）を制定しました。現在では米国の多くの州で同様のプライバシー法が導入されていますが、同州の経済規模や人口の多さもあり、CCPAは今なお最も影響力の大きい法規制であり続けています。

日本企業であっても、カリフォルニア州の居住者の個人データを扱う場合はCCPAの適用対象となるため、コンプライアンス遵守の重要性は増すばかりです。消費者データの保護は単なる法的義務にとどまらず、顧客への信頼感の醸成、ロイヤルティ向上、そして企業ブランドや評判の保持にも直結します。本記事では、CCPAが定める具体的な規制内容や、日本企業を含むどのような企業が適用対象となるのか、そして実務上で対応すべきポイントについて詳しく解説します。

カリフォルニア州の消費者が自らの個人データを自律的に管理、コントロールできるよう、CCPAでは以下の5つのプライバシー権利を規定しています。

1. 収集されたデータを知る権利（開示請求権）
2. 個人情報を削除する権利（消去権）
3. 個人データの販売をオプトアウトする権利
4. 不利益取扱いの禁止（差別を受けない権利）
5. データポータビリティの権利

2020年、カリフォルニア州の住民投票によりCCPAの改正案（CPRA）が承認され、消費者の権利保護がさらに強化されました。この改正によって追加された主な権利は以下の通りです。

1. 不正確な情報を訂正する権利（訂正権）： 企業が保有する自身の個人データに誤りがある場合、その修正・訂正を請求できる権利
2. センシティブ（機密）情報の利用、開示を制限する権利 ： 収集された機密性の高い個人情報（健康状態、位置情報、人種、金融情報など）について、不要な利用や第三者提供を制限させる権利

自社が上記の適用基準を満たしている場合、CCPAのコンプライアンスを達成するためには、主に以下の要件に対応する必要があります。

1. プライバシーポリシーの改訂、最新化

どのようなデータを収集しているのか、その利用目的は何か、そして消費者が自身の権利をどのように行使できるのかを明確に記載した、ユーザーがいつでも簡単にアクセスおよび参照できるプライバシーポリシーを作成、更新します。

2. 明確なオプトアウト手段の提供

自身の個人データの販売や第三者共有を、消費者がWebサイトなどからシンプルかつスムーズにオプトアウトできる仕組みを整備します。

3. データアクセスや削除リクエストへの対応体制の整備

消費者が自身の保有データへのアクセスや削除を、迷わずスムーズにリクエストできる受付窓口やフォームなどの手段を提供します。

4. スタッフに対するコンプライアンス教育の徹底

担当従業員に対してCCPAに関する適切な研修を実施し、消費者からの各種リクエストに迅速かつ正しく対応できる体制を整えます。

5. 詳細なデータインベントリの作成とデータマッピング

定期的にデータインベントリを行い、データマップを作成することで、自社がどのような個人情報を保持し、どこに保管され、どう活用されているかを正確に可視化、把握します。

6. 本人確認プロセスの確立とセキュリティ対策の強化

リクエスト申請者が本人であることを確実に検証、特定する厳格な本人確認プロセスを構築するとともに、不正アクセスや情報漏洩を防ぐ強力なセキュリティ対策を講じます。

消費者データの収集および売買は、今や巨大な市場を形成しています。消費者のWeb上の行動履歴から生まれるデータは、マーケティング効果の最大化や新規ビジネスの創出を目指す企業にとって、極めて価値の高い資産となっています。こうした背景から、カリフォルニア州では個人が自身のデータを自律的に管理、保護できるよう強く権利を保障しており、CCPAの規定に違反した企業に対しては厳格な罰則を科しています。

カリフォルニア州司法長官（およびCPPA）が執行する主なCCPAの罰則には、以下のような違反1件あたりの過料（制裁金）が含まれます。

• 過失による違反：1件につき最大 2,663ドル
• 故意および16歳未満の未成年のデータに関する違反：1件につき最大7,988ドル

なお、上記金額はインフレ率に応じて調整された最新値であり、毎年改定される可能性があります。

罰則の適用において注意すべきなのは、被害を受けた人数分だけ違反件数が掛け合わされるという点です。技術的には消費者1人分のデータ侵害も1件の違反とカウントされます。しかし、実際のデータ侵害で影響を受ける消費者が1人で済むケースはほとんどなく、通常は何千〜何万人規模に及びます。その結果、制裁金の総額は瞬く間に莫大な金額へ膨れ上がるリスクがあります。

さらに、企業が負うリスクは行政からの制裁金だけにとどまりません。CCPAの要件を怠った状態でデータ侵害を発生させた場合、影響を受けた消費者から大規模な集団訴訟を起こされたり、個別の民事訴訟に発展して多額の損害賠償や民事上のペナルティを課されるおそれもあります。