Legal Wire
カリフォルニア州消費者プライバシー法施行へのカウントダウン（その３）:プライバシーポリシーの更新

Japan PracticeVol. 60 / July 2019

カリフォルニア州消費者プライバシー法施行へのカウントダウン（その３）:
プライバシーポリシーの更新-CCPA を遵守のために、プライバシーポリシーの更新が必要
キャサリン・D・マイヤー、ジェームス・R・フランコ、奈良房永•新法により付与された権利と、消費者がこれをどのように行使できるかを開示しなければなりません。

•

新たな開示対象は、収集した情報の範囲、情報源、ビジネス目的で販売・共有された情報のカテゴリーです。

•新たなプライバシーポリシーは、2020 年 1 月 1 日までに表示し、その後毎年更新しなくてはなりません。

2018 年カリフォルニア州消費者プライバシー法（CCPA）は 2020 年 1 月 1 日に発効します。この日までに、CCPA 対象の消費者と接点のあるビジネスは、オンラインのプライバシーポリシーを更新しなくてはなりません。同法のもとでは、「消費者」に新たに以下の 5 つの権利が付与されることになります 1。「消費者」といっても、対象企業との関係で消費者であるとか何らかの関係にある必要はなく、あらゆるカリフォルニア州の住民を指します。
1. 収集した個人情報のカテゴリー、情報源、情報の用途、第三者に情報が開示され又は売却された場合には開示・売却された個人情報のカテゴリー及び開示・売却先となった第三者のカテゴリ
ー等、消費者に関する企業のデータ収集及び売却の運用について開示を請求する権利
2. 消費者による請求の時点から過去 12 ヶ月の間にその消費者について収集された具体的な個人情報のコピーを受け取る権利（上記１の権利と合わせて、「個人情報開示請求権」）
3. かかる情報を削除してもらう権利（但し例外あり）
4. 企業のデータ売却の運用について知るとともに、自身の個人情報を第三者に売却しないよう求める権利
5. CCPA により付与された新たな権利を行使したことに基づいて差別されない権利

Pillsbury Winthrop Shaw Pittman LLP www.pillsburylaw.com

Vol. 60 | 1

Legal Wire
カリフォルニア州消費者プライバシー法施行へのカウントダウン（その３）:プライバシーポリシーの更新

CCPA のもとでは、2020 年 1 月 1 日より、対象企業は公表している自社のプライバシーポリシーの中で、既存の法律で既に要求されている開示事項に加え、CCPA のもとでの情報開示を行うとともに、これを毎年更新していくことが求められています。
その既存の法律であるカリフォルニア州オンラインプライバシー保護法 (Busn. & Prof Code 22575)(「OPPA」)は、商用のウェブサイト又はオンラインサービスの運営者でカリフォルニア州の消費者の個人識別情報を収集する者に対し、次の点を満たしたプライバシーポリシーを掲載することを求めています。(i)同運営者が収集する個人識別情報のカテゴリーやかかる情報の開示先である第三者のカテゴリーを特定していること、(ii) ウェブサイトを訪問する者が以前に提出した情報にアクセスしこれを変更する方法を記載していること、(iii) プライバシーポリシーへの変更を運営者から消費者に知らせる方法を記載していること、(iv) 当該ポリシーの効力発生日を記載していること、(v) ユーザーのブラウザから発せられるウェブ上での行動履歴トラッキング拒否のシグナルに対して運営者がどのような対応を取っているかを記載していること、及び(vi) 第三者がサイト訪問者のオンラインでの活動について長期間かつ他のウェブサイトにもわたり情報を収集することを同運営者が許容しているか否かを開示すること。
OPPA でいう「個人識別情報」とは消費者に関する個人を識別できる情報を意味し、氏名、住所、Eメールアドレス、電話番号、ソーシャルセキュリティ番号、その他特定の個人に物理的に又はオンライン上で接触できる何らかの識別情報、及びかかる識別情報と組み合わせることで個人を識別できる形態のユーザーに関するその他の情報を含みます。また、「消費者」とは自身又は自身の家族・世帯のために購入又はリースによって商品、サービス、金銭又は信用を得る又は得ようとする個人を指します。
これに対し CCPA は「消費者」について、あらゆるカリフォルニア州の住民を指すものとし、自身又は自身の家族・世帯のために取引をするとの要件を取り除くことで、その定義を拡張しています。
また、「個人情報」の定義について、特定のカリフォルニア州の住民もしくは世帯を識別し、これらに関連し、これらを記述し、これらと結び付けることができるか、又は直接若しくは間接的にこれらに繋がっているといえるあらゆる情報を意味するとして、その定義を広げています。CCPA ではOPPA で規定されているものよりも広く個人情報のカテゴリーが例示列挙されています。OPPA はオンラインサービス又はウェブサイトによって収集された情報にかかる開示を求めている一方で、CCPA は形式や情報源の如何にかかわらず、オンライン・オフライン問わず収集された情報に関する運用をプライバシーポリシーにおいて開示することを求めています。
CCPA を遵守するためには、プライバシーポリシーは以下の事項を含んだものでなければなりません。
1. カリフォルニア州の住民に付与される新たな権利についての記載
この記載は上記の新たな権利の全てを包含したものでなければなりません。また合わせて、消費者は 12 ヶ月の期間内に 2 回まで個人情報開示請求権を行使できること、企業の側でも請求をしている個人から必要な情報をもらって本人確認をする必要があること、企業は個人情報開示請求権の行使を受けてから 45 日以内に対応することをも表示しなければなりません。
2. 個人情報を提供したり削除の請求をする方法の記載
企業は各個人からの請求を受け付ける方法を 2 つ以上提供しなければなりません。このうち最低限フリーダイヤルの電話番号を用意し、ホームページを持つ企業はウェブページアドレスも含まなくてはなりません。また、プライバシーポリシーのこの点の記載箇所では、それぞれの方法を通じ

Pillsbury Winthrop Shaw Pittman LLP www.pillsburylaw.com

Vol. 60 | 2

Legal Wire
カリフォルニア州消費者プライバシー法施行へのカウントダウン（その３）:プライバシーポリシーの更新た請求を行うプロセスも説明しなければなりません。そのウェブページへのリンクもこの箇所に掲載しておくと良いでしょう。
3. ウェブサイト上でオプトアウトのページへのリンクを設けることもし企業が第三者に対し、金銭上又はその他の対価と引き換えに個人情報へのアクセスを付与したりこれを開示する場合には（これを CCPA 上は「売却」と規定しています）、企業は、ウェブページ上に「私の個人情報を売却しないで」と記載したリンクを設けて消費者が自身の情報について売却からのオプトアウトができるようにしなければなりません。なお、このリンクはホームページのサイト下部（フッター部分）にも表示されるようにしなければならない点にも注意が必要です。
4. 過去 12 ヶ月の間に収集された個人情報のあらゆるカテゴリーのリスト
これは上記の既存の法律に基づく義務を一方では拡張し、同時にこれを縮小するものでもあるといえます。上記の OPPA はオンラインで収集された個人情報のみが対象でしたが、CCPA は収集された情報の情報源や形態の如何を問いません。ただし、このルールは過去 12 ヶ月の間に収集された個人情報のみを対象としています。プライバシーポリシーは毎年アップデートされなければなりませんが、その一方でそこに列挙されたカテゴリーの情報についてはポリシーの当年のアップデート基準日から過去 12 ヶ月の間に収集された情報である旨を明示しなければなりません。CCPA上の個人情報の定義の中では、かかる情報開示の対象となりうる 11 種類の個人情報のカテゴリーが規定されています。個人情報請求請求権行使への対応に当たっては、かかる個人情報のカテゴリー分けを使うことが求められています。
CCPA の下での個人情報の 11 のカテゴリーは次のものです。識別情報（コンタクト先、政府発行の身分証明書、クッキー等）、セキュリティ侵害防止のために保護される情報（名前、口座番号、免許証、ソーシャルセキュリティー番号、ユーザー名とパスワード、健康・医療情報）、保護対象の分類情報（人種、性別、民族等）、商業情報、ネット上の行動、ジオロケーション（位置情報）、音声・ビジュアルデータ、職歴・専門情報、学歴、バイオメトリクス（生体認証）、および以上の情報から推測されるもの。
5. 各カテゴリーの個人情報の情報源
個人情報の各カテゴリーについて、企業はその情報源についてもプライバシーポリシーで特定しなければなりません。情報源となるのは情報を提供している当の本人かもしれないし、第三者が企業に情報を提供している場合もあるかもしれないし、あるいはクッキーの使用など、企業が個人の活動を認知・記録することが情報源となることもあります。
6. 収集された各カテゴリーの情報を使用するあらゆる目的
CCPA のもとでは、各カテゴリーの情報を使用するあらゆる目的をプライバシーポリシー上で開示することが求められています。仮に情報が別の目的で使用されるのであれば、その点をプライバシーポリシーでも別途周知させなければなりません。そのため、企業としてはあらかじめ各々の情報について使用理由を全て明確にしておくことが望ましいです。なお、収集された個人情報の開示の請求に対応するにあたっても、企業は情報を収集したビジネス・商売上の目的も合わせて開示することが求められている点に注意が必要です。

Pillsbury Winthrop Shaw Pittman LLP www.pillsburylaw.com

Vol. 60 | 3

Legal Wire
カリフォルニア州消費者プライバシー法施行へのカウントダウン（その３）:プライバシーポリシーの更新

7. 過去 12 ヶ月の間に売却された個人情報のカテゴリーのリスト
企業が CCPA の広範な定義のもとでの「売却」の要件を満たす取引に従事している場合、過去 12ヶ月の間に売却した個人情報のカテゴリーを列挙することが求められています。プライバシーポリシー上は情報を受け取る第三者のカテゴリーを列挙することまでは求められませんが、消費者が請求した場合は第三者のカテゴリーも開示する必要があります。
8. 過去 12 ヶ月の間にビジネス上の目的で開示された個人情報のカテゴリーのリスト
プライバシーポリシー上、過去 12 ヶ月の間にビジネス上の目的で開示した個人情報のカテゴリーが記載されていなければなりません。CCPA において、「ビジネス上の目的」とは以下のように定義されています。
•

サイト訪問者の延べ広告表示数を数えたり、広告表示の位置やクオリティを確認したり、法律やその他基準に適合しているかの監査等といった、消費者との間で進行中の様々な情報のやり取りやそこでの取引にかかわる監査のため•セキュリティ上の事故を検知し、狡猾・詐欺的・欺罔的・違法な活動を防止し、かつかかる活動を行った者を告訴するため•

その企業の代わりに様々なサービスを行うこと。例えば、顧客のアカウントの維持・種々の対応、カスタマーサービスの提供、オーダーや取引の処理・実行、顧客の情報の確認、支払の処理、信用の供与、広告・宣伝サービスの提供、種々の分析サービスの提供、その他類似のサービスの提供などのため•もともと意図していた機能を損なうエラーを特定して直す修復作業のため•短期間・一時的な使用のため （但し、個人情報が第三者に開示される場合や、その情報を使って消費者についてプロフィールを作成するとか、個々の消費者との間の進行中の情報のやり取りの範囲から外れて消費者によるサービスの利用形態を変えるといった行為は含まれないが、例えば消費者がウェブサイトを閲覧している最中にその消費者との間での情報のやり取りの中で消費者のアクションに合わせてサイト上で表示される広告を変えるといったことは含む）•

技術上の諸事項を開発・実用化するために内部での研究を行うため•自社が所有・製造し又は自社のために製造され、あるいは自社で管理するサービス・デバイ
スの質や安全性を確認・維持するため、またそのようなサービス・デバイスを改良、アップグレード又は強化するための措置を実施するため

最後に、冒頭で述べたとおりプライバシーポリシーは毎年アップデートしなければなりません。そのためには自社における情報の収集・使用・開示・売却の運用を毎年見直していくことが必要になります。
(CCPA やそこから派生する様々な問題についてのより詳細な情報や、CCPA に基づく請求に関連した危機管理プランの構築・運用についてのご相談等につきましては、本記事の著者まで直接ご連絡ください。)

Pillsbury Winthrop Shaw Pittman LLP www.pillsburylaw.com

Vol. 60 | 4

Legal Wire
カリフォルニア州消費者プライバシー法施行へのカウントダウン（その３）:プライバシーポリシーの更新

本稿の原文（英文）につきましては、Countdown to CCPA #3: Updating your Privacy Policy をご参照ください。

本稿の内容に関する連絡先
奈良房永 （日本語版監修）
31 West 52nd Street
New York, NY 10019+1.212.858.1187
fusae.nara@pillsburylaw.com

Catherine D. Meyer
725 South Figueroa Street, Suite 2800
Los Angeles, CA 90017-5406+1.213.488.7362
catherine.meyer@pillsburylaw.com

James R. Franco
1650 Tysons Boulevard, Suite 1400
McLean, VA 22102-4856+1.703.770.7537
james.franco@pillsburylaw.com

Legal Wire 配信に関するお問い合わせ田中里美
satomi.tanaka@pillsburylaw.com



CCPA のもとでの要求はカリフォルニア医療情報秘匿法（CMIA）の対象となる「医療情報」又は HIPAA（医療保険の相互運用性と説明責任に関する法）のプライバシー、セキュリティ及び違反状態の通知に係る規則のもとで対象となる当事者や事業提携者によって収集された「保護対象健康情報」に対しては適用されません。
更に、CMIA の対象となる医療事業者及び HIPAA の対象となる者は、それぞれ、CMIA の対象となる「医療情報」又は HIPAA の対象となる「保護対象健康情報」を保持するのと同じ方法で全ての患者の情報を保持している場合には、CCPA の対象外となります。CCPA は連邦のグラム・リーチ・ブライリー法又はカリフォルニア金融情報プライバシー法にしたがって収集、処理、売却又は開示された情報をも適用除外としています。
1

This publication is issued periodically to keep Pillsbury Winthrop Shaw Pittman LLP clients and other interested parties
informed of current legal developments that may affect or otherwise be of interest to them. The comments contained herein donot constitute legal opinion and should not be regarded as a substitute for legal advice.
© 2019 Pillsbury Winthrop Shaw Pittman LLP. All Rights Reserved.

Pillsbury Winthrop Shaw Pittman LLP www.pillsburylaw.com

Vol. 60 | 5