カリフォルニア州個人情報保護規則と対応すべきポイント

English

米国のカリフォルニア州は消費者や従業員の個人情報を保護することに非常に積極的な州であり、他の州がベンチマークとして参考にする、包括的な規制を施行していることで知られています。

カリフォルニア州は、米国で最も包括的なプライバシー規制であるカリフォルニア州消費者プライバシー法（CCPA）を施行しており、2024年の初めにはCCPAの更新版であるカリフォルニア州プライバシー権法（CPRA）が施行されました。CPRAの施行により、カリフォルニア州プライバシー保護局（CPPA）が設立されました。

個人情報を保護するにあたり、事業体はどの規制のどの要件に目を向ければよいのか迷うことが多いと思います。本稿では、カリフォルニア州の主なプライバシー規制を取り上げ、カリフォルニア州のプライバシーシナリオに関連するその他の規制についても説明します。

規制当局

CPRAは、カリフォルニア州プライバシー保護局（CPPA）を設立しましたが、CPPAとカリフォルニア州司法長官の両方が、CCPA／CPRAに基づく執行を追求できることに注意することは極めて重要です。従って、将来のリスクを評価する上で、双方の活動を確認することは重要です。

カリフォルニア州プライバシー保護局（CPPA）の取り組み

カリフォルニア州プライバシー保護局（CPPA）は5名の役員によって運営され、カリフォルニア州民の消費者プライバシーを保護することを使命としています。CPPAは、CPRA（CCPA規則）の実施と執行を行い、プライバシーと消費者の権利に関する認識を高め、そのための行政執行を準備する責任を負っています。CPPAはその使命のためにさまざまな取り組みを積極的に行っています。

その責任の下、CPPAは2024年4月、データ最小化をCCPAの基本原則とする初の施行勧告を発表しました。さらに、CPPAは既存のCCPA／CPRA規則の更新案を提案しました。この更新には、自動意思決定技術（ADMT）およびリスク評価に関する新規則のほか、機微（センシティブ）な個人情報の定義、消費者の要求を拒否するための要件、消費者の要求の検証、サービス提供者および請負業者の義務の改定が含まれます。

前述のとおり、CPPAは自動意思決定技術（ADMT）と個人情報処理のリスク評価に関する規制も提案しています。規則案は事業者に対し、ADMTを使用する前に消費者に通知し、オプトアウトの権利を付与することや、ADMTやAIトレーニングなど、特定のデータ処理の状況についてリスクアセスメントを行うことを義務付けています。なお、規制の範囲、特にADMTの要件について、理事会メンバーの意見は分かれています。

CPPAは2023年9月、CPRAに基づくサイバーセキュリティ監査とリスク評価の両方に対応する「リスク評価規則案」を発表しました。この規則案に関する正式な規則制定はまだ進行中です。

対応すべきポイント

PwCはこれまでのプロジェクトの経験から、多くの企業が個人情報保護を遵守するためにどの規制のどの要件に目を向ければよいのか、混乱していることを理解しています。その原因は、膨大な数の法律や規制が存在し、どれが遵守すべき正しい法律や規制なのかということにあります。

本稿では、米国のカリフォルニア州で現在施行されているプライバシー関連の法規制を紹介しました。そして、CPPAは将来何が起こるかについての妥当なアイデアを与えてくれることを説明しました。上記のようにカリフォルニア州におけるプライバシー規制は、消費者の個人情報を処理する際、事業者に注目を求めるものです。

事業者ははじめに、自社のプライバシーポリシーが個人情報の処理方法を正確に詳述していることを確認する必要があります。次に、消費者からの要求やオプトアウト手続きについて、明確な開示と機能テストを行う必要があります。また、個人データへのアクセス、削除、訂正のプロセスを規制とマッピングさせ、整合させることが推奨されます。さらに、コンプライアンスを確認するために個人情報を運用するシステムを導入した後にテストを行う必要があります。

コンプライアンスを遵守するためには、規制当局による規制やイニシアチブの進捗状況を監視することが一層重要になるでしょう。