アメリカ合衆国（イリノイ州）
個人情報の保護に関する制度の有無

包括的な法令は存在しない。個別の分野に適用される法令のうち代表的なものとして、以下の法令が存在する。


イリノイ州生体情報プライバシー保護法（Illinois Biometric Information Privacy Act. 740
ILCS 14 et seq.）（以下「BIPA」という。）-

URL：https://www.ilga.gov/legislation/ilcs/ilcs3.asp?ActID=3004&ChapterID=57-

施行状況：2008 年 10 月 3 日施行-

対象機関：個人、パートナーシップ、会社、有限責任会社、協会、又はその他のグループである民間団体

-

対象情報：
「生体認証情報」（個人を識別するために使用される個人の生体認証識別子に基づく情報）及び「生体認証識別子」（網膜又は虹彩のスキャン、指紋、声紋、又は手や顔の形状のスキャン）

個人情報保護法（Personal Information Privacy Act . 815 ILCS 530/1 et seq.）（以下「PIPA」という。
）-

URL：https://www.ilga.gov/legislation/ilcs/ilcs3.asp?ActID=2702&ChapterID=67-

施行状況：2006 年 1 月 1 日施行-

対象機関：非公開の個人情報を取り扱い、収集し、広め、又はその他の方法で取り扱うあらゆる事業者を含む「データ収集者」としての公的部門（地方自治体を含む。）及
び民間部門

-

対象情報：①個人のファーストネーム、又はファーストネームのイニシャル及びラス
トネームと、社会保障番号や運転免許証の番号等のデータ要素を組み合わせたものであって、氏名若しくはデータ要素が暗号化若しくは編集されていないか、又は暗号化

1若しくは編集されているものの、セキュリティ侵害により、暗号化解除若しくは編集解除の鍵、若しくはその他の方法により氏名若しくはデータ要素を権限なしに読み取ることができるようになったもの、及び②ユーザー名又は電子メールアドレスと、オンラインアカウントへのアクセスを許可するパスワード又はセキュリティ質問と回答の組み合わせであって、ユーザー名、電子メールアドレス、パスワード又はセキュリ
ティ質問と回答のいずれかが暗号化又は編集されていないか、暗号化又は編集されているものの、暗号化解除又は編集解除その他の方法でデータ要素を読み取るための鍵がセキュリティ侵害によって入手されているもの
個人情報の保護に関する制度についてのEU の十分性認定1：なし

指標となり得る情報

APEC の CBPR システム2：アメリカ合衆国は 2012 年 7 月 25 日参加

OECD プライバシーガイドライン 8 原則

APEC の CBPR システム参加エコノミーである場合、民間部門については外国にある第三者にに対応する事業者等の義務又は本人の権対する個人データの提供に伴うリスクについての本人の予測可能性は一定程度担保されると考3

1

EU の十分性認定を取得した国又は地域は、当委員会が我が国と同等の保護水準にあると認められる個人情報の保護に関する制度を有する外国等として指定している EU（EU 加盟国及び欧州経済領域の一部であるアイスランド、ノルウェー、リヒテンシュタイン）の個人情報の保護に関する制度である GDPR 又はその前身のデータ保護指令に基づき、欧州委員会が十分なデータ保護の水準を有していると認められる旨の決定を行っている国又は地域であることから、概ね我が国と同等の個人情報の保護が期待できる。このような意味において、EU の十分性認定を取得した国又は地域であることは、「個人情報の保護に関する制度についての指標となり得る情報」に該当する。
2

APEC の CBPR システム参加の前提として、APEC のプライバシーフレームワークに準拠した法令を有していること、及び CBPR 認証を受けた事業者やアカウンタビリティエージェントにおいて解決できない苦情・問題が生じた場合に執行機関が調査・是正する権限を有していること等が規定されていることから、我が国と同じく APEC の CBPR システムに参加しているエコノミーにおいては、APEC のプライバシーフレームワークに準拠した法令と当該法令を執行する執行機関を有していると考えられるため、個人情報の保護について概ね我が国と同等の保護が期待できる。このような意味において、APEC の CBPR システム参加エコノミーであることは、「個人情報の保護に関する制度についての指標となり得る情報」に該当する。なお、APEC の CBPR システムの対象は、民間部門である。
3

OECD プライバシーガイドライン８原則は、OECD 加盟国はもとより国際的な個人情報保護への取組において参照される基本原則としての役割を果たし、各国が個人情報保護制度を整備するにあたっては、事実上の世界標準として用いられている。

2

利えられるため、本項目に係る情報提供は必ずしも行う必要はないが、上記法令は州法であるため、本項目に係る情報提供を行う。
OECD プライバシーガイドライン８原則に対応する事業者等の義務又は本人の権利については、以下のとおり。

その他本人の権利利益に重大な影響を及ぼす可能性のある制度① 収集制限の原則

BIPA に一部規定されている。

② データ内容の原則該当する規定は不見当である。

③ 目的明確化の原則

BIPA に一部規定されている。

④ 利用制限の原則

BIPA に一部規定されている。

⑤ 安全保護の原則

BIPA 及び PIPA に一部規定されている。

⑥ 公開の原則

BIPA に一部規定されている。

⑦ 個人参加の原則

BIPA に一部規定されている。

⑧ 責任の原則該当する規定は不見当である。

 個人情報の域内保存義務に係る制度であって、本人の権利利益に重大な影響を及ぼす可能性のあるもの―
 事業者に対し政府の情報収集活動への協力義務を課す制度であって、本人の権利利益に重大な影響を及ぼす可能性のあるもの―【留意すべき事項】
 個人情報の保護に関する法律（平成 15 年法律第 57 号）（以下「個人情報保護法」という。
）第 28 条第 2 項の趣旨には、外国にある第三3

者に対する個人データの提供に伴うリスクについて、本人の予測可能性を高めるという点のほか、外国にある第三者に対して個人データを提供する事業者においても、従前以上に、提供先の外国にある第三者における事業環境等を認識することを促すという点が含まれる。
また、事業者が同項に基づいて本人に対して提供すべき情報の具体的内容は、個別の事案に応じて異なり得る。したがって、外国における個人情報の保護に関する制度の確認は、外国にある第三者に対して個人データを提供する事業者の責任において行うべきものであり、当委員会が提供する上記参考情報は、あくまで補助的なものとして参照する必要がある。
 当委員会が提供する上記参考情報は、当委員会が行った「外国における個人情報の保護に関する制度等の調査」の結果に基づくものであり、あくまで当該調査を実施した 2021 年 10 月の時点における情報に基づくものである。当該時点以降、外国において個人情報の保護に関する制度が改正されること等により、外国にある第三者に対して個人データを提供する事業者が本人に対して提供すべき情報の内容にも変更が生じている可能性がある。
 当委員会が提供する上記参考情報は、当委員会が行った「外国における個人情報の保護に関する制度等の調査」の結果に基づくものであるところ、当該調査は、以下の観点から調査対象の法令を限定して行ったものであり、必ずしも網羅的なものではない。外国にある第三者に対して個人データを提供する事業者は、上記参考情報以外にも関連する情報を保有している場合には、個人情報保護法第 28 条第 2項及び個人情報の保護に関する法律施行規則（平成 28 年個人情報保護委員会規則第 3 号）第 17 条第 2 項に基づき、当該情報も本人に対して提供する必要がある。
-

以下の法令については、上記調査に係る委託先事業者又は再委託先事業者が代表的なものとして挙げた法令を調査対象としていること-•

個人情報の保護に関する包括的な法令を有しない外国における個別の分野に適用される個人情報の保護に関する法令•

個人情報の域内保存義務に係る制度に関する法令•

事業者に対し政府の情報収集活動への協力義務を課す制度に関する法令

事業者に対し政府の情報収集活動への協力義務を課す制度に関する法令については、刑事法執行目的又は国家安全保障目的の双方又は一方の目的で、事業者の保有する個人情報に対して外国政府がアクセスを行う制度であって、当該法令上、事業者が外国政府に個人情報を提供することが義務付けられているものを調査対象としていること4

（令和 4 年 1 月 25 日更新）

5