IBLES, No.30 (2020.2) 12B

カリフォルニア消費者プライバシー法（CCPA）の概観
髙 橋 直 樹（小島国際法律事務所）

カリフォルニア消費者プライバシー法（CCPA）は 2018 年 6 月 28 日に成立した個人情報保護を目的とする包括的な法律である。CCPA は、成立後の複数の改正1を経て、2020 年 1 月 1日に施行されており、2020 年 7 月 1 日からエンフォースメントが開始される。CCPA 施行前の2019 年 10 月 11 日に州司法長官が規則案（Proposed Regulations）を公表しているが、未だ確定しておらず、2020 年 2 月 10 日には規則案の改訂案が公表されている2。
以下では、①CCPA の適用範囲、②CCPA における個人情報の定義、③CCPA における消費者の権利、又は、事業者が消費者の権利行使のために講ずべき措置、④CCPA 違反に対するエンフォースメントにつき、簡潔に説明する3。
(1) CCPA の適用範囲
CCPA の適用を受ける「事業者（business）」の要件は以下の 2 つである（1798.140(c)(1)）。
① 消費者（＝カリフォルニア州の居住者（1798.140(g)）の個人情報を取得し、単独又は共同で、その処理の目的又は手段を決定し、カリフォルニア州で事業を行っている、利益又は金銭的便益を目的とする法的主体であること② 下記 3 つの事由のいずれかを満たすこと(a) 年間総売上（annual gross revenues）が 2,500 万米ドルを超えていること(b) 単独又は合算して、年間で 5 万以上の消費者、世帯又は装置に係る個人情報を購入、商業目的で受領、販売、又は、商業目的で共有すること(c) 消費者の個人情報の販売から年間売上の 50%以上を得ていること①に関して、「カリフォルニア州で事業を行っている」の定義はないが、同州で設立されたか、同州内に拠点を有するか、同州の居住者から売上を得ているか、等から判断することになる4。
②(a)につき、カリフォルニア州からの売上に限定されるかは明確ではなく、同州からの売上に限定されないことを前提に検討すべきである。②(b)につき、個人情報には IP アドレス及びクッキーも含まれ、容易に充足し得る点に留意が必要である。
関連会社への適用につき、①事業者を「支配」し、又は、事業者により「支配」され、②その事業者と「共通ブランド」を有する事業者にも CCPA は適用される。
「支配」とは、①事業者

IBLES, No.30 (2020.2) 12Bの発行済の議決権株式の 50%超を保有、又は、50%超の議決権を保有すること、②事業者の役員又は役員と同様の機能を果たす個人の過半数の選任を支配すること、③事業者の経営に関し支配的な影響を及ぼす権限を有することをいう。
「共通ブランド」とは、共有された名称・サービスマーク・商標をいう。
(2) CCPA における個人情報の定義「個人情報（personal information）」は「特定の消費者若しくは世帯を識別し、これらに関連し、これらを記述し、これらに関連付けられ、又は、直接若しくは間接にこれらと関連付けることが合理的に可能な情報」をいい（1798.140(o)(1)）、その範囲は相当広い。個人情報に該当する情報が例示列挙されており、IP アドレス及びクッキーも含まれている5。一般に公開されている（publicly available）情報は個人情報に含まれない（1798.140(o)(2)）
。
(3) CCPA における消費者の権利、又は、事業者が消費者の権利行使のために講ずべき措置
以下、主たるもの6を列挙し、重要な点につき補足説明する。
①

情報収集時の透明性（情報の種類及び利用目的等の事前開示）（1798.100、1798.110、1798.115）②

開示請求権（事業者に対して情報源・情報提供先・情報の種類・収集した具体的情報等の開示を求める権利）（1798.100、1798.110、1798.115）③ 削除請求権（事業者に対して自身の個人情報の削除を求める権利）（1798.105）④ 個人情報の販売・開示についての開示義務（1798.130）⑤ 個人情報を第三者に販売7する場合のオプトアウト手続（1798.120、1798.135）⑥ CCPA 上の権利行使を理由とする差別禁止（1798.125）
事業者は、消費者が開示請求する方法を最低 2 通り提供する必要があり、フリーダイヤルの電話番号と、事業者がウェブサイトを有する場合はその情報を含める必要があるが、オンラインでのみ運営され、かつ、消費者と直接関係を有する事業者は、フリーダイヤルの電話番号の設定は不要で、E メールアドレスのみで足りる（1798.130(a)(1)）
。
削除請求権に関して、1798.105(d)に列挙される理由で、事業者が個人情報を必要とする場合には事業者は削除義務を負わず、9 項に「消費者が情報提供した際の文脈と両立する方法でその消費者の個人情報を合法的に内部利用する場合」が挙げられていることを考慮すると、事業者が削除義務を負う場面は限定的と思われる。
事業者は、開示請求又は削除請求が、過去に取得した消費者の個人情報と照合して本人確認できるもの（verifiable request）である場合に請求に応じる義務があり（1798.130(2)）、そのIBLES, No.30 (2020.2) 12B確認手続を行う必要がある。
事業者は、個人情報の販売・開示に関する事項につきプライバシーポリシー等を通じて開示する義務を負い、そのプライバシーポリシー等の情報を少なくとも 12 か月に 1 回アップデートしなければならない（1798.130(a)(5)）
。
オプトアウト手続は、①ウェブページに「Do Not Sell My Personal Information」というタイトルのページへの明示的なリンクを設けること（1798.135(a)(1)）、プライバシーポリシー等
で、オプトアウト手続の説明と上記タイトルのページへのリンクを設けなければならないこと（1798.135(a)(2)）等、具体的方法が指定されている（規則案にも詳細な定めがある）。
(4)CCPA 違反に対するエンフォースメント
CCPA 違反に対するエンフォースメントには、州司法長官によるエンフォースメント、及び、消費者によるエンフォースメントがある。
州司法長官は、事業者が CCPA に違反したときは、違反している旨を通知してから 30 日以内にその違反が治癒されなければ、1 件の違反につき最大 2,500 米ドル（故意の違反による場合、最大 7,500 米ドル）の民事罰（civil penalty）、又は、差止めを求めて提訴できる。
消費者は、事業者が個人情報保護のために情報の性質に見合う合理的なセキュリティ手順及び方式を実施及び維持する義務に違反した結果、法定の個人情報8が漏洩した場合、違反している旨を通知してから 30 日以内にその違反が治癒されなければ、違反 1 件につき消費者 1 人当たりで 100 米ドル以上 750 米ドル以下の法定損害又は実損のいずれか大きい額の損害賠償（クラスアクションも可能）、又は、差止めを求めて提訴できる（1798.150(a)(1)）
。
米国では、CCPA 類似の個人情報保護を目的とする州法がニューヨーク州及びワシントン州等において成立又は検討され、連邦レベルでの個人情報保護を目的とした包括的な法律の制定も議論され始めている9。また、タイ及びブラジルが、それぞれ 2020 年 5 月 27 日及び 2020 年
8 月 15 日に GDPR の内容を多く反映した個人情報保護法を施行予定である10。個人情報保護法制を導入する国は増え続け、2019 年 2 月時点で 132 の法域が個人情報保護法制を有するに至っている11。人々の個人情報に対する意識は高まっており、世界における個人情報保護の強化の傾向は今後も継続すると思われる。

CCPA は、下院法案（AB）第 375 号として提出され、2018 年 6 月 28 日に成立し、上院法案（SB）第 1121 号として改正提案がなされ、改正法が 2018 年 9 月 23 日に成立した。
その後さらに複数の改正提案（上院法案第 25 号、第 874 号、第 1130 号、第 1146 号、第1202 号、第 1355 号、第 1564 号）がなされ、改正法が 2019 年 10 月 11 日に成立した。
CCPA の制定に関しては、2017 年 10 月に州民発案（ballot initiative）手続が開始され、2018 年 3 月に発生したケンブリッジ・アナリティカ事件（Facebook からの大量情報漏洩事件）の発生により発案への支持が高まり、最終的に、州民発案の取下げと引換えに CCPA1

IBLES, No.30 (2020.2) 12Bが成立したという背景がある（1798.198(b)も参照）（カリフォルニア州の州民発案（ballotinitiative）については https://oag.ca.gov/initiatives を参照）
。CCPA の各改正提案の要約につき、Michael V. Tate「CALIFORNIA CONSUMER PRIVACY ACT: A Practical Guide
to CCPA for Web Developers, Website Designers, and Internet Companies (January2020 EDITION)」（RENVOI PRESS）61～68 頁を参照。
2 規則案の改定案へのコメントの提出期限は 2020 年 2 月 25 日である
（https://oag.ca.gov/privacy/ccpa）。
3 CCPA の解説文献として、石井夏生利「カリフォルニア消費者プライバシー法の論点」（NBL No.1136）32～43 頁、石川智也「カリフォルニア州消費者プライバシー法（CCPA）対応のための重要ポイント」（NBL No.1159）21～28 頁、及び、中崎尚「GDPR 対応済み
企業も要注意 米国カリフォルニア州消費者プライバシー方への対応」（ビジネス法務 2019年 12 月号）108～114 頁。CCPA 遵守のポイントにつき DV Dronamraju「The CCPA
Compliance California’s Path to Consumer Privacy」も参考になる。
4 前掲注 3 の Dronamraju「The CCPA Compliance California’s Path to Consumer Privacy」
19 頁を参照。前掲注 3 の石川智也「カリフォルニア州消費者プライバシー法（CCPA）対応のための重要ポイント」22 頁では、カリフォルニア州内に拠点がない場合でも、同州で事業活動を行うための特権を意図的に利用したり、意図的に同州に向けた事業を営んだりしている場合、要件を満たし得るとする。
5 個人情報の定義（1798.140(o)(1)(A)）に「固有の個人識別子（unique personal identifier）」が含まれ、固有の個人識別子の定義（1798.140(x)）にクッキーが含まれる。
6 消費者の権利又は消費者の権利行使のための事業者の措置ではないが重要なものとして、個人情報の収集等への金銭的なインセンティブの提供を明示的に認める場面を定めている点がある（1798.125(b)）
。
7 「販売」は「金銭又は他の価値のある対価のために、消費者の個人情報を販売する、貸与する、公表する、開示する、発信する、入手可能にする、移転する、又は、口頭、書面、電子的その他の手段により伝達すること」とされ（1798.140(t)）、何らかの事業上のメリットがある場合には「販売」に該当し得る点に留意すべきである。
8 1798.81.5(d)(1)参照。名前と社会保障番号又は運転免許番号等が一緒に漏洩した場合、ユーザーネームとオンラインアカウントへのアクセスを可能にするパスワード等が一緒に漏洩した場合等が該当する。
9 前掲注 3 の Dronamraju「The CCPA Compliance California’s Path to Consumer Privacy」
139 頁、及び、日本経済新聞 2019 年 8 月 26 日朝刊 11 面等も参照。
10 石川智也「『個人情報保護法』世界の最新動向 第 1 回 データプライバシー・コンプラ
イアンス体制構築のための基礎知識（前編）」（ビジネス法務 2020 年 1 月号）50～55 頁を参照。
11 Greenleaf, Graham, Global Data Privacy Laws 2019: 132 National Laws & ManyBills (February 8, 2019). (2019) 157 Privacy Laws & Business International Report,
14-18. Available at SSRN: https://ssrn.com/abstract=3381593