Legal Wire
カリフォルニア州消費者プライバシー法施行へのカウントダウン

Japan PracticeVol. 54 / May 2019

カリフォルニア州消費者プライバシー法施行へのカウントダウン-会社内のデータがどこにあるか把握できていますか？
キャサリン・D・マイヤー、奈良房永•2020 年 1 月 1 日に発効するカリフォルニア州消費者プライバシー法（CCPA）においては、個人情報に関して消費者に 5 つの新たな権利が付与されることになります。

•

CCPA のもとで情報開示を求められることになるタイプの情報を含めたデータ「在庫」管理の仕組みを構築しておくことが、同法の遵守に向けた妥当な第一歩になります。

2020 年 1 月 2 日。あなたの企業のもとに、同企業によるデータ収集、使用及び提供の運用についての情報開示を求めるとともに、請求をかけてきている個々人について過去 12 ヶ月の間に収集した具体的な個人情報のコピーを出すよう求める 25 通の請求が届きました。45 日以内に回答しなければなりません。どうしますか？営業を止めて情報を探しますか？きちんと準備しておけば致命的な事態を避けることができるのです。
CCPA は 2020 年 1 月 1 日に発効し、カリフォルニア州においてあるいはカリフォルニア州に商品又はサービスを販売・提供し年間の総収入で 2500 万米ドルをあげている、又はカリフォルニア州の住民の個人情報の収集若しくは売却について一定の要件を満たす営利目的企業に適用されます。同法のもとでは、「消費者」に新たに 5 つの権利が付与されることになります（「消費者」といっても、対象企業との関係で消費者であるとか何らかの関係にある必要はなく、あらゆるカリフォルニア州の住民を指します）。
1.

収集した個人情報のカテゴリー、情報源、情報の用途及び収集した情報の開示先等、企業のデータ収集の運用について知る権利

2.

消費者による請求から過去 12 ヶ月の間にその消費者について収集した具体的な個人情報のコピーを受け取る権利

3.

かかる情報を削除してもらう権利（但し例外あり）

4.

企業のデータ売却の運用について知り、その消費者の個人情報を第三者に売却しないよう求める権利、及び、

5.

消費者らが CCPA により付与された新たな権利を行使したことに基づいて差別されない権利対象となっている企業の側からすると、これらの新たな権利によって、自社のプライバシーポリシーにおける開示を拡張しかつ毎年更新すること、消費者から請求があれば、請求を受けてから 45 日
Pillsbury Winthrop Shaw Pittman LLP www.pillsburylaw.com

Vol. 54 | 1

Legal Wire
カリフォルニア州消費者プライバシー法施行へのカウントダウン

以内に消費者に対して本人確認の上情報開示を行うこと、請求に応じて個人情報を削除すること、及びその旨の請求があれば個人情報の売却も停止することといった義務がもたらされることになります1。
企業がプライバシーポリシーに基づいて、及び開示の請求があった場合に行わなければならない
情報開示の対象には、過去 12 ヶ月の間に収集された個人情報のカテゴリー、それがどのように用いられたか、情報源、情報が提供・売却された先、（削除の請求との関係で）どの程度の期間保持されなければならないか、及び開示請求をした個人についての情報が含まれます。企業においてどこにどのような情報があるかを把握していなければ、CCPA に対応しきることはできないでしょう。
データの所在を常に把握しすぐに請求に対応できる体制を構築する
CCPA のもとで情報開示が求められることになるタイプの情報を含むデータの在りかを常に把握し、適時・適切に消費者からの請求に対応できるデータ管理の体制を構築することは、この法の遵守するにあたっての妥当な第一歩といえます。このような、いわばデータの「在庫」管理の仕組みを構築するためには、マーケティングから IT、人事、仕入先の管理に至るまで企業のあらゆる面、また情報源や形態を問わず企業が情報を受け取る全ての箇所を調査することが必要になります。いざ調査してみると、実は個人情報があらゆる場所に入り込んでいることを目の当たりにして驚かれることもあるかもしれません。このような情報管理の体制は以下の点に留意したものとすべきです：
1.

社内で個人情報が入ってくる部門を総点検すること。これには、例えば企業のウェブサイトを通じてであったり、小売店内でのフォームの記入、郵便や電子メール、雇用の応募とその関連書類、コールセンターの記録、仕入先やサービスプロバイダ、大家あるいはテナントから、あるいはマーケティングを通じて、ひいては監視カメラのモニターに映っていたりするなど、企業があらゆる形態で情報を得るあらゆるタイプの個人情報を含みます。

2.

企業が受け取る個人情報の全てのカテゴリーを特定すること。CCPA は、個人情報について広く「特定の消費者若しくは世帯についてこれを特定し、これに関連し、これを記載し、これと結びつけることができ又はこれに、直接又は間接的に、合理的に辿ることのできる」情報と定義しています。同法においては、通常の連絡先情報、IP アドレス、保護対象分類情報（性別、民族、人種等）、生体認証情報、インターネット閲覧歴、購入しあるいは購入を検討した製品、位置情報データ、学歴及び職歴の情報、並びに個人の嗜好や考え方などを反映したプロフィールの作成過程の情報など、個人情報の具体例が例示列挙されています。

3.

対象となる個人情報の各カテゴリーについて、その情報のソースを特定すること。これらの情報は個人から直接来ているかもしれないし、第三者から得るか企業が自ら発見するという段階を経て得られたものかもしれません。

1 CCPA のもとでの要求はカリフォルニア医療情報秘匿法（CMIA）の対象となる「医療情報」又は HIPAA（医療保険の相互運用性と説明責任に関する法）のプライバシー、セキュリティ及び違反状態の通知に係る規則のもとで対象となる当事者や事業提携者によって収集された「保護対象健康情報」に対しては適用されません。さらに、CMIA の対象となる医療事業者及び HIPAA の対象となる者は、それぞれ、CMIA の対象となる「医療情報」又は HIPAA の対象となる「保護対象健康情報」を保持するのと同じ方法で全ての患者の情報を保持している場合には、CCPA の対象外となります。CCPA は連邦のグラム・リーチ・ブライリー法又はカリフォ
ルニア金融情報プライバシー法にしたがって収集、処理、売却又は開示された情報をも適用除外としています。
Pillsbury Winthrop Shaw Pittman LLP www.pillsburylaw.com

Vol. 54 | 2

Legal Wire
カリフォルニア州消費者プライバシー法施行へのカウントダウン

4.

対象となる個人情報の各カテゴリーについて、情報収集及びデータの使用のあらゆる目的を特定すること。

5.

削除の請求に適切に応じられるように、各カテゴリーの情報につき法令上保存しておくことが求められている期間がどのくらいか把握しておくこと。

6.

その情報へのアクセスが付与されているすべての者について、その者との契約がきちんと締結されているか、かかるアクセスの目的は何か、及びその者がその情報を自身のビジネス上の目的のために使うことができるかを含め、アクセスのある者を特定すること。

7.

対象となる情報がどこに保存されているか、どのような形態で保存されているか、及びその情報を保持している担当者をはっきりさせておくこと。

どのようなデータを保有しておりそれがどこにあるかをきちんと把握しておけば、社外向けのプライ
バシーポリシーにおいて CCPA 上求められる開示情報を作成する際においても、また CCPA に基づ
く個別の請求に対応した開示情報の中身を作り上げるうえでも、以上に説明したようなデータの「在庫」管理体制を存分に活用していくことができるようになるでしょう。
(CCPA やそこからの派生問題についてのより詳細な情報や、CCPA に基づく請求をめぐる危機防止プランの適切な構築と運用についての情報をお求めの場合は、是非本記事の著者までご連絡ください。)
本稿の原文（英文）につきましては、Countdown to CCPA: Do You Know Where Your Data Is? をご参照ください。

Pillsbury Winthrop Shaw Pittman LLP www.pillsburylaw.com

Vol. 54 | 3

Legal Wire
カリフォルニア州消費者プライバシー法施行へのカウントダウン

本稿の内容に関する連絡先
奈良房永
31 West 52nd Street
New York, NY 10019+1.212.858.1187
fusae.nara@pillsburylaw.com

Catherine D. Meyer
725 South Figueroa Street, Suite 2800
Los Angeles, CA 90017-5406+1.213.488.7362
catherine.meyer@pillsburylaw.com

池辺健太 (日本語版作成協力)

Legal Wire 配信に関するお問い合わせ田中里美
satomi.tanaka@pillsburylaw.com

This publication is issued periodically to keep Pillsbury Winthrop Shaw Pittman LLP clients and other interested parties
informed of current legal developments that may affect or otherwise be of interest to them. The comments contained herein do
not constitute legal opinion and should not be regarded as a substitute for legal advice.
© 2019 Pillsbury Winthrop Shaw Pittman LLP. All Rights Reserved.

Pillsbury Winthrop Shaw Pittman LLP www.pillsburylaw.com

Vol. 54 | 4