Legal Wire
カリフォルニア州消費者プライバシー法 (CCPA)の改正法であるカリフォルニア州プライバシー権法 (CPRA)の概要

Japan PracticeVol. 97 / January 2021

カリフォルニア州消費者プライバシー法 (CCPA)の改正法であるカリフォルニ
ア州プライバシー権法 (CPRA)の概要
木本泰介、嶋村直登•

2020 年 11 月 3 日の住民投票でカリフォルニア州消費者プライバシー法(CCPA)の改正法案であるカリフォルニア州プライバシー権法 (CPRA)が可決されました。CPRA のうち、大部分の規定は、2023 年 1 月 1 日から施行されます。また、改正法により、人事関連及び BtoB 取引関連の個人情報に関する一部の規定の適用猶予は、2022 年12 月 31 日まで延長されることになりました。

•CPRA では、必要な期間を超えて個人情報を保有することが禁じられ、また、センシテ
ィブ個人情報の利用に一定の制限が加えられるなど、多くの改正がなされています。

•CPRA では、個人情報の取得時の通知内容及びプライバシーポリシーの内容についても変更があり、また、個人情報の売却先や委託先との間で特定の内容を含む契約を締結することが義務付けられました。

カリフォルニア州では、2020 年 11 月 3 日にカリフォルニア州消費者プライバシー法（CaliforniaConsumer Privacy Act；以下「CCPA」といいます）の改正法案であるカリフォルニア州プライバシー権法（California Privacy Rights Act ；以下「新法 CPRA」といいます）の住民投票が行われ、賛成多数により可決されました。この改正項目は多岐にわたりますが、その大部分は、事業者の義務を加重し、消費者の権利を強化する方向での改正となっています。
本稿では、そうした改正のうち、特に実務上重要と考えられるものに焦点を当てて、その概要をご説明いたします。
１ ．施行日等（１ ）施行日
新法 CPRA のうち大部分の規定は、2023 年 1 月 1 日から施行されます。 1 後述する、新たな規則の制定、適用猶予の延長又は California Privacy Protection Agency (CPPA)の新設に関する部分等は、すでに施行されています。 2 なお、実際の法執行は、2023 年 7 月 1 日以降になされることになっています。 3CPRA Sec 31 (a)。本脚注では、特に示さない限り、新法 CPRA の条文番号を示します。
Sec 31 (b)3 1798.185.(d)12Pillsbury Winthrop Shaw Pittman LLP www.pillsburylaw.com

Vol. 97 | 1

Legal Wire
カリフォルニア州消費者プライバシー法 (CCPA)の改正法であるカリフォルニア州プライバシー権法 (CPRA)の概要（２ ）新たな規則の制定
新法 CPRA のもとで、2022 年 7 月 1 日までに新たな規則が制定されることになっています。 4 改正
前の CCPA でも、規則において実務上重要な事項が数多く定められたことから、この規則の内容について、注視していく必要があります。
（３ ）適用猶予の延長
今回の改正以前から、求職者や従業員等の人事情報・緊急連絡先などの個人情報及び BtoB の取引の過程で取得される個人情報については、2021 年 12 月 31 日まで、CCPA の一部の規定の適用が猶予されていました。 5 新法 CPRA では、さらに、この適用猶予が 2022 年 12 月 31 日まで延長されています。 6２ ．対象となる事業者の範囲の変更
本件の改正では、対象事業者の範囲を変更する改正が加えられています。
たとえば、事業者の範囲を狭める方向での改正としては、改正前は、CCPA の適用の一類型の中に、年間合計 5 万件以上の消費者、世帯又はデバイスの個人情報の購入、販売又は共有を基準とする要件がありました。 7 新法 CPRA では、この要件のうち、件数カウントの対象からデバイスが削除され、対象となる個人情報の件数も 10 万件以上に増加になっています。 8 また、改正前は、①CCPA の適用を受ける事業者と支配又は被支配の関係にあり、②共通のブランドを使っている事業者は、それだけで CCPA の適用があるように規定されていました。9 新法 CPRA では、さらに追加の要件として、③新法 CPRA の適用を受ける事業者から、個人情報の共有を受ける者であることも必要となりました。 10
他方で、事業者の範囲を広げる方向での改正としては、新法 CPRA の適用を受ける各事業者が40%以上の持分を有する事業を構成するジョイント・ベンチャー又はパートナーシップにも、新たに新法 CPRA の適用が及ぶことになっています。 11
こうした改正の内容を踏まえて、改めて自社、グループ会社及び投資先などの新法 CPRA 対応の要否を検討する必要があります。
３ ．事業者の義務の増加（１ ）不要になった個人情報の削除
EU 一般データ保護規則（GDPR）では、個人データを処理する目的に必要な期間を超えて、個人データを識別可能な形で保有することを禁止しています。 12 また、日本法でも、不要になった個人デ

1798.185.(d)CCPA1798.145.(h)及び(n)並びに AB1281
6 1798.145.(m)及び(n)7 CCPA1798.140.(d)(1)(B)
8 1798.140.(d)(1)(B)
9 CCPA1798.140.(d)(2)
10 1798.140.(d)(2)11 1798.140.(d)(3)12 GDPR5 条 1 項(e)号
45

Pillsbury Winthrop Shaw Pittman LLP www.pillsburylaw.com

Vol. 97 | 2Legal Wire
カリフォルニア州消費者プライバシー法 (CCPA)の改正法であるカリフォルニア州プライバシー権法 (CPRA)の概要―タは消去の努力義務が課されています。 13 ところが、CCPA では、この点について規制はありませんでした。
新法 CPRA は、事業者に対し、取得時に開示された目的について、その合理的に必要な期間を超えて、個人情報を保有することを禁止しています。 14 不必要な個人情報の継続保有は、個人情報流出のリスクも高めることにもなるため、個人情報の管理・削除の手順について、改めて確認する必要があると考えられます。
（２ ）取得にあたっての通知義務
GDPR では、個人データの収集に際して求められる通知事項のひとつに、データの保存期間又はそれが不可能な時にはデータの保存期間を決定する基準を通知することが含まれていました。 15
他方で、CCPA では、そのような通知は義務付けられていませんでした。
新法 CPRA では、従前の通知事項（取得する個人情報のカテゴリー及び利用目的）に加え、個人情報の予定保有期間又は保有期間の決定方法（保有期間が定められない場合）、さらに、取得された個人情報が販売又は共有されるか否か、についても通知することが求められています。 16 消費者から個人情報を取得する際の文言や、雇用の際に用意する書類などについて、法令改正に対応するアップデートが必要になります。
（３ ）個人情報開示時の契約締結義務
事業者は、個人情報を第三者に販売若しくは共有し、又はサービス提供者若しくはコントラクター（contractor）（以下「移転先事業者」といいます。）に開示する場合、次の内容を含む契約の締結が義務付けられることになりました。 17 これにより、移転先事業者との契約書を改めて見直し、必要に応じて更新する必要があります。
(1) 個人情報は、制限された特定の目的のためだけに販売又は開示されることについて明記すること(2) 移転先事業者に対して、新法 CPRA 上適用のある義務の遵守及び新法 CPRA と同等のプライバシー保護の提供の義務を課すこと(3) 新法 CPRA 上の義務と整合する態様で、移転先事業者が移転された個人情報を利用していることを確実にすることに役立つ、合理的かつ適切な措置を取る権利を事業者に認めること(4) もし、移転先事業者が、新法 CPRA 上の義務を遵守できなくなったという判断をした場合には、事業者に通知するよう義務付けること(5) 通知をすることで、個人情報の不正利用を停止し是正するための合理的かつ適切な措置を取る権利を事業者に認めること

13 個人情報保護法 19 条
14 1798.100.(a)(3)15 GDPR13 条 2 項(a)号及び 14 条 2 項(a)号
16 1798.100.(a)(1)及び(3)17 1798.100.(d)Pillsbury Winthrop Shaw Pittman LLP www.pillsburylaw.com

Vol. 97 | 3

Legal Wire
カリフォルニア州消費者プライバシー法 (CCPA)の改正法であるカリフォルニア州プライバシー権法 (CPRA)の概要（４ ）プライバシーポリシーの整備等の開示義務
CCPA・新法 CPRA では、消費者の権利に関する説明をはじめとして、所定の事項をプライバシーポリシーにて開示するよう求めています。 18 下記で説明するように、新法 CPRA では、消費者の権利について多くの改正がなされていることから、新たな規則の制定動向にも注視しつつ、新法 CPRAの要求に応える形で、プライバシーポリシーをアップデートする必要があります。
４ ．消費者の権利の拡大（１ ）センシティブ個人情報（Sensitive Personal information）の利用制限及び開示に関する権利の創設
GDPR 及び日本の個人情報保護法は、個人情報のうち、特にセンシティブな情報について、それぞれ「特別な種類の個人データ」（special categories of personal data） 19 及び「要配慮個人情報」20 として、追加の保護を定めています。他方で、これまで、CCPA には、こうした個人情報に関する規定はありませんでした。
新法 CPRA では、新たに、センシティブ個人情報（Sensitive Personal Information）についての規定が設けられました。まず、次の情報がセンシティブ個人情報に該当します。 21
・ソーシャル・セキュリティ・ナンバー、運転免許証番号、州の ID カード番号又はパスポート番号・アカウントログイン、金融アカウント、デビットカード又はクレジットカードの番号及び要求されるセキュリティ若しくはアクセスコード、パスワード又はアカウントへのアクセスを可能にする情報（credentials）との組み合わせ。
・正確な位置情報。
・人種若しくは民族の出自、宗教的若しくは哲学的信条又は労働組合員であること。
・メール、電子メール、及びテキストメッセージの内容（事業者が通信の意図された受信者である場合を除く）。
・遺伝子に関するデータ。
・消費者を一意に識別するためのバイオメトリクス情報。
・消費者の健康に関して収集・分析された個人情報。
・消費者の性生活または性的指向に関して収集及び分析された個人情報。
消費者は、事業者に対して、センシティブ個人情報の利用を、サービス又は商品の提供に関して合理的に必要な範囲に制限するよう請求する権利を有しています。 22 そして、上記の必要な範囲を超えて、センシティブ個人情報を利用又は開示する事業者は、そうした利用又は開示の可能性及び当該利用又は開示を制限する権利があることを通知し 23 、さらに、ホームページ上で、その権利行使を可能にする「Limit the Use of My Sensitive Personal Information」と題したリンクを提供することが義務付けられます。 24 ただし、これらの規定は、消費者の特徴を推測する目的がなく、収集又は処理されるセンシティブ個人情報には適用がありません。 25
1798.130.(a)(5)
GDPR9 条20 個人情報保護法 2 条 3 項
21 1798.140.(ae)22 1798.121.(a)23 1798.121.(a)24 1798.135.(a)(2)25 1798.121.(d)1819Pillsbury Winthrop Shaw Pittman LLP www.pillsburylaw.com

Vol. 97 | 4

Legal Wire
カリフォルニア州消費者プライバシー法 (CCPA)の改正法であるカリフォルニア州プライバシー権法 (CPRA)の概要（２ ）訂正請求権の創設
新法 CPRA では、新たに、個人情報の訂正請求権が創設されました。26 消費者は、不正確な個人情報を保有する事業者に対して、個人情報を訂正するよう求めることができます。
（３ ）個人情報の共有（share）についてオプトアウトする権利の創設
CCPA では、消費者は、個人情報の第三者への「販売」について、オプトアウトの権利が認められていました。 27 さらに、新法 CPRA では、「販売」だけでなく、「共有」（share）についてもオプトアウトの権利が認められています。 28 新法 CPRA では、「共有」について、一定のターゲティング広告のために、消費者の個人情報を第三者に共有又は開示等することと定義しています。 29 これに関連して、CCPA では、「販売」のオプトアウトをするリンクのタイトルは「Do Not Sell My Personal Information」であることが求められていましたが、改正により、「Do Not Sell or Share My Personal Information」に変更になります。 30
５ ．新法 CPRA 違反の効果（１ ）個人情報の流出等が発生した場合の私人提訴権
CCPA・新法 CPRA では、合理的セキュリティ措置を取る義務の違反により、暗号化されていない、特定の情報が流出等した場合には、消費者には、1 件あたり（per incident）100 ドル以上 750 ドル以下の法定損害賠償又は実損額のいずれか大きいほうの金額について、私人提訴権が認められています。 31 改正前は、この提訴権の対象となる情報は、氏名等を含む一定の個人情報 32 に限られていました。 33 しかし、改正により、新たに E メールアドレスと組み合わされた、アカウントへのアクセスを可能とするパスワード又はセキュリティ質問及びその回答の情報も、提訴権の対象となる情報に加わることになりました。 34（２ ）行政機関による執行の強化(a) 30 日の猶予期間の削除
CCPA では、事業者は、CCPA に違反した場合でも、違反の通知を受けてから、30 日以内に違反を是正すれば、差止命令・民事罰の執行対象にはなりませんでした。 35 しかし、新法 CPRA では、この 30 日間の猶予期間の規定が削除されたことから、違反すれば直ちに執行の対象となります。 36
1798.106.(a)CCPA1798.120.(a)28 1798.120.(a)29 1798.140.(ah) なお、日本の個人情報保護法の「共同利用」（同法 23 条 5 項 3 号）とは全く異なる概
26
27

念です。
30
31

1798.135.(a)(1)
1798.150.(a)(1)32

氏名等が、ソーシャル・セキュリティ・ナンバー、運転免許証番号、パスポート番号、セキュリティコードと組み合わさったクレジットカード又はデビットカードの番号、医療情報、医療保険情報又はバイトメトリ
クス情報などと組み合わさった情報

CCPA1798.150.(a)(1)
1798.150.(a)(1)35 CCPA1798.155.(a)36 1798.155.(a)及び 1798.199.90.(a)33
34

Pillsbury Winthrop Shaw Pittman LLP www.pillsburylaw.com

Vol. 97 | 5

Legal Wire
カリフォルニア州消費者プライバシー法 (CCPA)の改正法であるカリフォルニア州プライバシー権法 (CPRA)の概要(b) 罰則金額の増額
CCPA では、民事罰の上限は、違反 1 件（each violation）につき、故意がない場合には 2,500 ドル、故意がある場合には 7,500 ドルでした。37 新法 CPRA では、故意の有無にかかわらず、16 歳未満であると認識している個人情報の違反又は未成年の個人情報の違反を伴う場合には、金額の上限は、7,500 ドルへと増額になりました。 38
６ ．新たな行政機関の設立
GDPR では、各加盟国には、GDPR の適用を監視する職責を担う独立公的機関（independentpublic authorities）の設立が義務付けられていましたが 39 、CCPA では、これに類似する機関は設けられていませんでした。
新法 CPRA では、California Privacy Protection Agency (CPPA)という行政機関が新たに設立されることになりました。 40 CPPA は、法令違反を調査し、行政罰金を課し、また、規則を制定するなどの権限を有しています。プライバシーを専門とする新たな行政機関の設立により、法令違反に対する法執行がより一層活発になる可能性があります。

CCPA1798.155.(a)1798.155.(a)及び 1798.199.90.(a)39 GDPR 第 6 章
40 1798.199.10 及び 1798.199.40
3738

Pillsbury Winthrop Shaw Pittman LLP www.pillsburylaw.com

Vol. 97 | 6Legal Wire
カリフォルニア州消費者プライバシー法 (CCPA)の改正法であるカリフォルニア州プライバシー権法 (CPRA)の概要

本稿の内容に関する連絡先
木本泰介
725 South Figueroa Street, Suite 2800
Los Angeles, CA 90017-5406+1.213.488.7113
taisuke.kimoto@pillsburylaw.com

嶋村直登
725 South Figueroa Street, Suite 2800
Los Angeles, CA 90017-5406+1.213.488.3668
naoto.shimamura@pillsburylaw.com

Data Protection & Privacy のメンバー
Catherine D. Meyer
725 South Figueroa Street, Suite 2800
Los Angeles, CA 90017-5406+1.213.488.7362
catherine.meyer@pillsburylaw.com

Fusae Nara
31 West 52nd Street
New York, NY 10019+1.212.858.1187
fusae.nara@pillsburylaw.com

Deborah S. Thoren-Peden
725 South Figueroa Street, Suite 2800
Los Angeles, CA 90017-5406+1.213.488.7320
deborah.thorenpeden@pillsburylaw.com

Brian E. Finch
1200 Seventeenth Street, NW
Washington, DC 20036+1.202.663.8062
brian.finch@pillsburylaw.com

Legal Wire 配信に関するお問い合わせ田中里美
satomi.tanaka@pillsburylaw.com

This publication is issued periodically to keep Pillsbury Winthrop Shaw Pittman LLP clients and other interested parties
informed of current legal developments that may affect or otherwise be of interest to them. The comments contained herein do
not constitute legal opinion and should not be regarded as a substitute for legal advice.
© 2021 Pillsbury Winthrop Shaw Pittman LLP. All Rights Reserved.

Pillsbury Winthrop Shaw Pittman LLP www.pillsburylaw.com

Vol. 97 | 7