地域
日付
法律事務所
役職名、氏名連絡先

ワシントン州
2022 年 4 月 20 日
Polsinelli (https://www.polsinelli.com/)
Elizabeth (Liz) Harding, Shareholder
Allison Krause, Associate
eharding@polsinelli.com, akrause@polsinelli.com
質問事項

I.

個人情報保護に関する法律i.

あなたの国には、現在又は近い将来施行される予定の私的分野における個人情報保護に関する一般法はありますか。

ii.

あなたの国には、現在又は近い将来施行される予定の公的分野における個人情報保護に関する一般法はありますか。

iii.

あなたの国には、現在又は近い将来施行される予定の個別の分野に適用のある個人情報保護に関する法律はありますか。（ある場合は概要を教えてください。）

ワシントン州には、個人情報保護に関する包括的な法律はありません。しかし、ワシントン州は、2005 年に、私企業に適用されるデータ侵害通知法（Wash. Rev. Code §19.255.010（改正あり）。以下、「WDBA」といいます。)を制定しました。WDBA は、データセキュリティ侵害の通知に関する他の多くの米国の州法と類似しています。すべての公的部門は、WDBA と同じ原則と要件を定めている Wash. Rev. Code § 42.56.590 (以下、「WGDBA」といいます。)の適用を受けます。本報告書
では、WDBA は WGDBA に含まれるものとします。
I の(i)(ii)(iii)について全て「該当なし」の場合は IV に進みます。
II.

個人情報の保護に関する規程の基本情報
i.

I で言及いただいた個人情報保護に関する法律について以下の空欄を埋めて下さい。

名称： Wash. Rev. Code § 19.255.010 et seq., § 42.56.590
URL：https://apps.leg.wa.gov/RCW/default.aspx?cite=19.255.010

https://apps.leg.wa.gov/RCW/default.aspx?cite=42.56.590
施行状況：2005 年 7 月 24 日制定、2010 年 7 月 1 日、2015 年 7 月 24 日、2020 年 3 月 1 日

改正。
① 「個人情報」の定義

個人情報（以下、「PI」といいます。）には、個人のファーストネームまたはファーストネームのイニシャル及びラストネームの組合せに、以下のいずれか 1 つ以上を組み合わせたものが含まれます。

A. 社会保障番号
B. 運転免許証番号または政府発行の ID 番号
C. 口座番号、クレジットカード番号、デビットカード番号と、個人の金融口座へのアクセスを可能にするセキュリティコード、アクセスコード、パスワードの組み合わせ。
D. 生年月日
E. 個人に固有である秘密鍵で、電子記録の認証または署名に使用されるもの
F. 学生証、軍人証、またはパスポートの番号
G. 健康保険契約番号または健康保険識別番号
H. 個人の病歴、精神的もしくは身体的状態、または医療専門家による個人のの医療診断もしくは治療に関するあらゆる情報
I. 指紋、声紋、目の網膜、虹彩、その他特定の個人を識別するために使用される固有の生物学的パター
ンまたは特性など、個人の生物学的特性の自動測定によって生成されたバイオメトリクス・データ
PI には、以下の情報も含まれます。
J. ユーザー名または電子メールアドレスと、オンラインアカウントへのアクセスを許可するパスワードまたはセキュリティ質問と回答の組合せ
K.上記の A から I に記載されたデータ要素（個人のファーストネームまたはファーストネームのイニシャルとラストネームを除く）またはデータ要素の組合せで、
以 下 の 条 件 を 満 た す も の(1) 暗号化、編集、または他の方法によってデータ要素またはデータ要素の組合せが使用不能になって
いな
い
こと、及び
(2)データ要素またはデータ要素の組合せによって、個人に対する ID 窃盗を行うことが可能であること② 法律の適用範囲③ 地理的範囲

ii.

なお、PI には、連邦、州、または地方政府の記録から一般公衆が合法的に公開されている情報は含まれないことに注意する必要があります。
ワシントン州で事業を行う私的部門または公的部門で、個人情報を含むデータを所有し、またはライセンスを供与しているもの。
WDBA は、ワシントン州に所在するデータ対象者に適用されますが、ワシントン州の外で事業を行っている企業もこの法律に従わなければなりません。

上記の法について特に言及すべき事項がございましたらその概要をご教示下さい。

通知義務 個人情報の漏えいが発生した場合、事業者は、影響を受ける個人に通知する必要があります。さらに、ワシントン州の住民 500 人以上に対してセキュリティ侵害の通知を提供する必要がある事業者は、30 日以内に当該漏えいについて司法長官に通知しなければなりません。
III.

OECD プライバシーガイドラインi.

OECD プライバシーガイドラインの各原則を体現した法の規定があればその概要をご教示下さい。
https://www.oecd.org/sti/ieconomy/oecdguidelinesontheprotectionofprivacyandtransb
orderflowsofpersonaldata.htm(a) 収集制限の原則該当する規定はありません。
(b) データ内容の原則

この原則について明記した規定はありませんが、事業者が個人情報の安全性、機密性、完全性を損なうようなデータの漏えいを経験した場合は、当該事業者は影響を受ける個人、場合によってはワシントン州の司法長官に通知することが義務づけられます。
(c) 目的明確化の原則該当する規定はありません。
(d) 利用制限の原則該当する規定はありません。
(e) 安全保護の原則

この原則について明記した規定はありませんが、事業者が個人情報の安全性、機密性、完全性を損なうようなデータの漏えいを経験した場合は、当該事業者は影響を受ける個人、場合によってはワシントン州の司法長官に通知することが義務づけられます。
(f)

公開の原則

該当する規定はありません。
(g) 個人参加の原則

WDBA の違反により損害を被った消費者は、損害賠償を求める民事訴訟を起こすことができます。

(h) 責任の原則

司法長官は、州または住民を代表して訴訟を起こすことができます。また、暗号化されていないアカウントや財務データの漏えいが発生した場合、そのような事業者は、金融機関に対して、クレジットカードやデビットカードの再発行費用について責任を負う可能性があります。
ii.

OECD プライバシーガイドラインの各原則が適用されない分野があればその概要を教えて下さい。

ありません。
IV. ガバメントアクセスとデータローカライゼーション
あなたの国において、包括的なガバメントアクセスやデータローカライゼーションのような、個人データの主体の権利に影響を及ぼすような仕組みはございますか。ある場合は、その内容をご教示下さい。

ワシントン州法にはデータローカライゼーションとガバメントアクセスに関する規定はありませんが、米国企業は理論上、外国情報監視法第 702 条（「FISA 702」）、及び行政命令第 12333号（「EO 12333」。以下、FISA 702 と合わせて「米国政府監視法」といいます。）に基づいてFBI が発行する国家保障書簡の要請などの米国政府監視法の適用を受ける可能性があります。 米国政府の責任と政策により、情報収集は対外諜報目的に必要なものに限定されており、商業的利益を含むその他の目的で情報収集を行うことは明示的に禁止されています。
FISA702 違反が発生した場合、日本国民や日本の居住者を含む個人は、いくつかの米国法令に基づき、当該違反に対する救済を求めることができます。まず、FISA に基づく違法な監視の対象となった個人は、違反を犯した個人に対して損害賠償、懲罰的損害賠償、弁護士報酬を請求することができます。また、電子通信プライバシー法（「ECPA」）は、FISA702 違反に関して、政府に対して補償的損害賠償と弁護士報酬を求めることを可能とする別の私的権利規定を定めています。さらに、個人は、特定の政府行為のために「法的過誤を被る」個人がその行為を差し止める裁判所命令を求めることを可能とする行政手続法（5 U.S.C. § 702（2018 年））に基づき、違法な FISA 監視に異議を唱えることもできます。したがって、上記のように、日本国民または日本の居住者は、FISA702 違反に対する救済を求めることができます。
V.

データ保護機関
データ保護機関がある場合は、名称と住所をご教示下さい。

ありません。