Legal Wire
米国における包括的なプライバシー法成立に向けた再度の動き

Japan PracticeVol. 171 / July 2024

米国における包括的な連邦プライバシー法成立に向けた再度の動き
ジェウォン・K・セラト、シュルティ・ブタニ・アローラ、クリスティン・マストロモナコ•

米国プライバシー権法（American Privacy Rights Act、以下 APRA）として知られる
この法案は、継ぎ接ぎの既存の米国プライバシー法制を調和させることを目的としています。

•APRA は消費者に新たなプライバシーの権利を創設し、データ収集の最小化を求め、データ侵害などに基づく広範な民事訴訟を提起する権利を規定します。

•この法案は、遂にプライバシーに関する全米共通の基準を定めるための手段となるかもしれません。

2024 年 4 月 7 日、米国上院商務・科学・運輸委員会委員長のマリア・キャントウェル上院議員（民主党、ワシントン州）と下院エネルギー・商務委員会委員長のキャシー・マクモリス・ロジャ
ース下院議員（共和党、ワシントン州）は、米国プライバシー権法（APRA）の討議草案を発表しました。この超党派かつ両院協力による法案は、以前の米国の包括的なプライバシー法案を基にしており、米国においてこれまで継ぎ接ぎ状態であった分野別・州別のデータプライバシー法制を是正することを目指すものです。可決されれば、APRA は EU 一般データ保護規則（GDPR）とともに、主要なグローバルのプライバシー基準のひとつとなるでしょう。
包括的な連邦プライバシー法の必要性
現在の米国のプライバシー法制は統一的なものではなく、特定の業界、データの種類、または管轄区域によって異なる保護がなされています。2018 年に EU で GDPR が施行されて以来、米国でもプライバシー、サイバーセキュリティ、消費者保護に関する新たな規制が次々と成立していますが、国レベルのものではないため、企業にとっては遵守しなければならない内容が不明
瞭であり、消費者には混乱を招いています。長年にわたり、業界リーダーも市民擁護団体も、包括的な米国プライバシー法を可決するよう議会に求めてきました。政策の専門家は、議会が2024 年の選挙までの数ヶ月の間に多くの法案を通過させることができるかどうか疑問視していますが、適切な利害関係者が迅速に議論に参加すれば、それまでに法案が通過する可能性があります。
州のプライバシー法動向の重要性
APRA の法案を提出した 2 名の委員長がともにワシントン州出身であることは注目に値します。
ワシントン州は、大手小売企業やテック企業の本拠地として、プライバシー保護、特に健康医療データの分野で革新的な取り組みを行ってきました。ワシントン州に加え、連邦議員は、カリフォルニア州など、近年包括的なプライバシー法を可決した他の州も考慮する必要があります。GDPR に続き、カリフォルニア州は 2020 年にカリフォルニア州消費者プライバシー法（CCPA）を制定しました。これは画期的な消費者保護法であり、カリフォルニア州司法長官の調査によると、企業のコンプライアンス・コストは 550 億ドルにも上ります。

Pillsbury Winthrop Shaw Pittman LLP www.pillsburylaw.com

Vol. 171 | 1

Legal Wire
米国における包括的なプライバシー法成立に向けた再度の動き

仮に法案が下院を通過しても、APRA は上院で苦しい戦いを強いられるかもしれません。テッド・クルーズ上院議員（共和党、テキサス州）はすでに、「この法案が未成立に終わった 1米国
データプライバシー保護法（American Data Privacy and Protection Act、以下 ADPPA）案と同じ欠陥を持つことにならないよう、慎重に検討する」との声明を発表しています。テキサス州では、包括的なプライバシー法が 7 月に施行されます。このテキサス州法はテキサス州の消費者を厚く保護するものであり、現在、中小企業に対して高水準の規制を課しています。
APRA、ADPPA、CCPA の主な相違点
ADPPA や CCPA と同様に、APRA は消費者のプライバシー権、データ収集の最小化に関する新たな要件、民事訴訟を提起する権利を規定します。APRA は ADPPA や CCPA とは以下の点で異なります。
主な定義
対象データ（Covered Data）は ADPPA より若干広く定義されていますが、CCPA で定義されているような「推論（inference）」の定義は現在の法案にはありません。カリフォルニアプライバ
シー保護局（CPPA）は以前、ADPPA が対象データの定義に「推論」を含めなかったことに異議を唱えていました。APRA は現在、対象データから 5 つの除外項目を設けており、「複数の独立した公に入手可能な情報源からのみなされる推論」は除外項目の一つとなっています。
「公に入手可能な情報」は APRA で定義されており、CCPA における定義とは若干異なります。他の定義も、企業に対して新たに要求する事項であることや、既存のプライバシー保護に基づく一連の義務を拡張するものであることから、慎重に検討すべき用語があります。
センシティブデータの移転
一定の例外が適用されない限り、APRA 第 3 条（b）は、関連する個人の積極的かつ明示的な同意なしに、対象となるセンシティブデータを第三者に移転することを禁止しています。第 19条(a)に従い、本条項に違反した事業者は、個人からの民事執行の対象となります。ADPPA
は、より広範な規定として、個人の明示的な同意がない限り、機微性の高い対象データの収集、処理、移転を禁止していました。CCPA は、事業者に対し、「センシティブな個人情報の使用の制限」と題する明確かつ目立つリンクを、インターネットのホームページ上に設置することを義務付けており、これにより、消費者または消費者から権限を与えられた者は、消費者のセンシティブな個人情報の使用または開示を、通常の消費者が合理的に期待するサービスの遂行または商品の提供に必要な範囲に制限することができます。APRA の下での積極的かつ明示的な同意の要件は、特に APRA の下で何がセンシティブデータを構成するかについての広範な定義を考えると、事業者にとってはより厳しい基準となるでしょう。現在の定義には、例えば、カレンダー情報、アドレス帳情報、アカウントやデバイスのログイン認証情報などが含まれており、これらは従来、米国の既存のプライバシー法ではセンシティブデータとは定義されていませんでした。4 月 16 日付のレターで、CPPA は、特に APRA に、CCPA のもとでセンシティブデータとして保護されている性的指向、労働組合への加入、移民としての地位などを明らかにする情報に対する保護を盛り込んでほしいと指摘しています。
報復禁止および差別禁止規定
APRA 第 8 条は、CCPA と同様に、対象事業者が権利を行使した者に対して報復することを禁止しています。APRA は、対象事業者またはサービス提供者が、人種、肌の色、宗教、国籍、性別、または障害に基づき、商品やサービスの平等な享受を差別する、または利用できなく
1 ADPPA は、2022 年に下院エネルギー・商業委員会で承認されたものの、上院や下院にて審議されることなく廃案になりました。
Pillsbury Winthrop Shaw Pittman LLP www.pillsburylaw.com

Vol. 171 | 2

Legal Wire
米国における包括的なプライバシー法成立に向けた再度の動きするような方法で、対象データを収集、処理、保持、または転送することを禁じています。ただし、この禁止は、少数派の人々や保護された地位（すなわち、人種、肌の色、宗教、国籍、性別、障害）にある人々に対する広告、マーケティング、経済的機会や利益の勧誘には適用されません。これは、法の下で権利を行使した個人に対する差別のみを取り扱う CCPA の差別規定とは異なります。ADPPA も人種、肌の色、宗教、国籍、性別、障害による差別を禁止していましたが、上記の例外は含まれていませんでした。
ロイヤリティ・プログラム
APRA の第 8 条(b)は、航空会社のマイレージサービスなど、正当なロイヤリティ・プログラム（bona fide loyalty program）の提供者に対し、当該プログラムへの参加について、個人から積極的かつ明示的な同意を得ること、及びすでになされた同意を撤回する手段を提供することを義務付けています。APRA の現行法案では、CCPA がロイヤリティ・プログラムの告知の一部として現在要求している、消費者のデータの価値の算定を事業者に要求していません。
経営者の責任APRA 第 10 条(a)は、対象事業者及び対象サービスプロバイダーに対し、プライバシーオフィサーまたはデータセキュリティオフィサーとして 1 名以上の適格な従業員を指名することを求めています。大量データ保有者である対象事業者またはサービス対象プロバイダーは、プライバシーオフィサーとして適格な従業員 1 名を、データセキュリティオフィサーとして適格な従業員 1 名をそれぞれ指名する必要があります。APRA の施行から 1 年後、大量データ保有者の CEO と各プライバシーデータセキュリティオフィサーは、企業の内部統制と報告体制を確認する証明書を毎年連邦公正取引委員会（FTC）に提出しなければなりません。ADPPA は少し異なるアプローチをとり、15 名以上の従業員を擁する対象事業者または対象サービスプロバイダーに対し、プライバシーオフィサーとして少なくとも 1 名、データセキュリティオフィサーとして少なくとも 1 名を指名することを義務付けていました。ADPPA はまた、大量データ保有者である事業者に対して追加の要件を課しました。APRA のこの規定は CCPA とは異なり、CCPA にはプライバシーオフィサーやセキュリティオフィサーの要件や毎年の証明書の要件は含まれていません。
データブローカー
APRA の第 12 条は、FTC が管理する検索可能な登録簿を通じて、消費者がグローバルデータブローカーの「データ収集禁止」の要求をする権利を規定します。現在の法案では、APRAはデータブローカーが依然として消費者の情報を保持し、販売することを認めているため、CPPA は、この点が APRA が CCPA よりも弱い可能性がある部分の一つであると強調しています。2023 年 10 月、カリフォルニア州は、既存のデータブローカー法を改正し、消費者が一度のリクエストですべてのデータブローカーに対して個人情報の削除を要請できるようにすることを目的としたカリフォルニア州 Delete Act を可決しました。CPPA はまた、APRA がデータブローカーによる登録・通知義務の不履行に対する一定の罰則の上限を年間約 10,000 ドルと定めていることを指摘しました。カリフォルニア州 Delete Act にはそのような上限はありません。
プライバシー強化技術パイロットプログラム
APRA の第 16 条(a)は、対象データを保護する目的で、民間におけるプライバシー強化技術の利用を奨励するパイロットプログラムを規定し、FTC がパイロットプログラムに参加する事業者を監査できるようにする監査規定を設けています。ADPPA に対する異議として、CPPAは、カリフォルニア州法では同州の執行官が「執行のための訴訟を起こすことなく企業のコンプライアンスを監査することができる。」ことを指摘しました。この監査権が連邦議会によって再検討されるかどうかは現時点では不明です。

Pillsbury Winthrop Shaw Pittman LLP www.pillsburylaw.com

Vol. 171 | 3

Legal Wire
米国における包括的なプライバシー法成立に向けた再度の動き

州による執行APRA の第 18 条は、州司法長官またはプライバシー法またはデータセキュリティ法を施行する権限を有するその他の州政府の役人が、州の名において、米国の適切な連邦地方裁判所に民事訴訟を提起する権限を認めています。4 月 16 日付のレターで、CPPA は、法案がCPPA の権限を剥奪しようとしているとの見解を示し、特に CCPA が CPPA に企業を監査し行政訴訟を起こす権限を与えている点を強調しています。
紛争前の仲裁第 19 条(d)に基づき、APRA 違反を主張する個人は、18 歳未満の者に関係する違反を主張する請求、または重大なプライバシー侵害（例えば、少なくとも 10,000 ドルの損害が主張されている場合、治療を要する身体的または精神的な傷害が発生した場合、プライバシーに対する高度に攻撃的な侵害、人種、宗教または他の保護される地位に基づく差別が主張されている場合など。）をもたらした違反を主張する請求に関して、いかなる紛争前の仲裁合意も無効にすることができます。現在の法案では、この広範な規定によってプライバシー権侵害の訴訟が急増することが予想されます。APRA は、この規定がある仲裁合意に適用されるかど
うかおよび仲裁合意の有効性と仲裁可能性は、仲裁人ではなく連邦裁判所が決定するとしています。このユニークな規定は CCPA にはありません。
民事訴訟を提起する権利民事訴訟を提起する権利について規定すべきかどうかは、前回の議論における論点の一つでした。APRA 第 19 条は非常に広範な民事訴訟を提起する権利を規定しています。現在のAPRA の法案では、データ漏洩だけでなく、センシティブな対象データの移転時に積極的かつ明示的な同意を取得する義務の違反など、個別に列挙された多くの条項の違反に基づいて民事訴訟を提起することが認められています。このことは、例えば、APRA のもとで、企業のあるデータ共有慣行が、新たな「積極的かつ明示的な同意」の基準を満たしていないとして違法であると主張し、民事訴訟を起こすことができることを意味します。これに対し、CCPA はデータ漏洩の場合にのみ民事訴訟を提起する権利を規定していました。
連邦法の優先適用
ADPPA と同様に、APRA 第 20 条(a)(1)は「目的」の項で、この法案の目的が「米国における統一的なデータプライバシーとデータセキュリティの基準を確立する」ことであり、消費者プライバシーに関連する州法に事実上優先して適用されることを明確にしています。この優先適用の問題は、立法の審議が進む中で、カリフォルニア州にとって再び最重要な問題となることが予想されます。4 月 8 日、CPPA のエグゼクティブディレクターであるアシュカン・ソルタニ氏は、「議会は上限ではなく、下限を設定すべきだ」とする短い声明を発表しました。4 月 16 日
付の CPPA によるは法案提出者に宛てたレターの中で、この優先適用の問題は APRA を支持しない理由のひとつとして再び大きく取り上げられました。
今後の展開
4 月 17 日に公聴会を開催した下院エネルギー・商業委員会のイノベーション・データ・商業小委員会（IDC）は、さらに公聴会を開催し、法案を審議のうえ修正する見込みであり、法案は下院のエネルギー・商業委員会と上院の商業委員会の両方を通過することになります。IDC の幹部メンバーであるジャン・シャコウスキー委員（民主党・イリノイ州）は、ADPPA におけるイリノイ州バイオメトリック情報プライバシー法を含む法律についての優先適用の問題の取扱いについて好ましいと述べた一方、この法案を成立させなければならないという緊急性の方が、意見の対立よりも重要であると述べました。彼女は、「ただただ、これを解決しなければならないという一致した意見がある」と述べています。また、エネルギー・商業委員会の幹部メンバーであるフPillsbury Winthrop Shaw Pittman LLP www.pillsburylaw.com

Vol. 171 | 4Legal Wire
米国における包括的なプライバシー法成立に向けた再度の動き

ランク・パローン委員（民主党・ニュージャージー州）は、「包括的なプライバシー保護法案を成立させることができると楽観視している」と述べ、さらに、子どもたちに対するより具体的な保護を追加し、FTC に青少年のプライバシー保護部門を設けたいと付け加えました。
当事務所はこの画期的な法案を引き続き検討しながら、米国が最終的に合意に達するかどうか、動向を注視していきます。この法案は、飴と鞭の双方の側面を有しており、プライバシーに関する米国の国家基準を最終的に決定するための最良の手段となるかもしれません。
本稿の原文（英文）につきましては、The United States Moves Toward a Comprehensive Privacy
Law (One More Time) とこちらのリンクにある記事をご参照ください。

本稿の内容に関する連絡先

東京オフィス連絡先

Jeewon K. Serrato

ジェフ・シュレップファー （日本語対応可）

jeewon.serrato@pillsburylaw.com

jeff.schrepfer@pillsburylaw.com

Shruti Bhutani Arora

サイモン・バレット

shruti.arora@pillsburylaw.com

simon.barrett@pillsburylaw.com

Christine Mastromonaco

松下 オリビア （日本語対応可）

christine.mastromonaco@pillsburylaw.com

olivia.matsushita@pillsburylaw.com

奈良房永 （日本語版監修）
fusae.nara@pillsburylaw.com

ニューヨークオフィス連絡先
秋山 真也
shinya.akiyama@pillsburylaw.com

Legal Wire 配信に関するお問い合わせ田中里美satomi.tanaka@pillsburylaw.com

This publication is issued periodically to keep Pillsbury Winthrop Shaw Pittman LLP clients and other interested parties
informed of current legal developments that may affect or otherwise be of interest to them. The comments contained herein do
not constitute legal opinion and should not be regarded as a substitute for legal advice.
© 2024 Pillsbury Winthrop Shaw Pittman LLP. All Rights Reserved.

Pillsbury Winthrop Shaw Pittman LLP www.pillsburylaw.com

Vol. 171 | 5