CCPA（カリフォルニア州消費者プライバシー法）の対応ガイド：日本企業が遵守すべき要件とCPRA改正のポイント

カリフォルニア州消費者プライバシー法（CCPA）は、米国内で最も厳格なデータ保護法の一つとして知られ、カリフォルニア州の居住者を対象にビジネスを行う多くの日本企業に影響を及ぼしています。さらに、2023年からは改正法であるカリフォルニア州プライバシー権利法（CPRA）が全面的に施行され、規制の内容はより厳格化されました。本記事では、CCPAおよびCPRAの最新要件に基づき、日本企業が優先的に取り組むべき実務対応を解説します。

目次

• CCPAの概要と日本企業への適用条件
• CPRAによる主な改正点と最新の義務事項
• 違反時のリスクと制裁金
• 日本企業が実施すべき具体的な対応ステップ
• まとめ

CCPAの概要と日本企業への適用条件

CCPAは、カリフォルニア州居住者の個人情報の透明性を高め、消費者に自身の情報の管理権限を与えることを目的とした州法です。カリフォルニア州内に物理的な拠点がない日本企業であっても、以下のいずれかの条件を満たす場合は適用の対象となります。まず、年間の総売上高が2,500万ドルを超えている場合です。次に、年間10万世帯以上の消費者またはデバイスの個人情報を購入、受領、または販売・共有している場合、そして年間収益の50％以上を個人情報の販売または共有から得ている場合が該当します。特に売上高の基準は、カリフォルニア州内での売上ではなく、企業全体の全世界売上が対象となる点に注意が必要です（出典：JETRO）。

CPRAによる主な改正点と最新の義務事項

2023年1月1日に施行されたCPRA（California Privacy Rights Act）により、CCPAの枠組みは大幅に強化されました。大きな変更点の一つは「機微な個人情報（Sensitive Personal Information）」という概念の導入です。これには、社会保障番号、運転免許証番号、正確な位置情報、人種、宗教、遺伝データなどが含まれ、消費者はこれらの情報の利用を制限する権利を持つようになりました。また、従来の「販売（Sale）」だけでなく、クロスコンテキスト行動広告のための「共有（Sharing）」も規制の対象となり、ウェブサイト上でのオプトアウト対応が不可欠となっています。さらに、データの正確性を保つための「訂正権」の付与や、独立した監督機関であるカリフォルニア州プライバシー保護庁（CPPA）の設立も重要なトピックです（出典：California Privacy Protection Agency (CPPA)）。

違反時のリスクと制裁金

CCPAへの対応を怠った場合、企業は多額の制裁金を科されるリスクがあります。意図的でない違反であっても1件あたり最大2,500ドル、意図的な違反とみなされた場合は最大7,500ドルの民事制裁金が科されます。また、データ漏洩などのセキュリティ事故が発生した際には、消費者による集団訴訟が認められており、損害賠償額が膨大になる可能性があります。2022年には、大手小売業者によるオプトアウト要求の不適切な処理に対し、高額の和解金が課された事例も報告されています。法執行の強化が進んでいる現在、形式的な対応ではなく実効性のある管理体制が求められています。

日本企業が実施すべき具体的な対応ステップ

日本企業がCCPA・CPRAに対応するためには、まず現状のデータフローを可視化することが不可欠です。どの情報を、誰から取得し、どこに提供しているかを把握した上で、プライバシーポリシーの改訂を行います。ポリシーには、消費者が有する権利（開示、削除、訂正、制限、オプトアウト等）と、それを行使するための具体的な窓口を明記する必要があります。また、ウェブサイトのトップページ等に「Do Not Sell or Share My Personal Information（私の個人情報を販売・共有しないでください）」というリンクを設置し、ユーザーが容易に拒否設定を行えるようにする技術的対応も求められます。これらに加え、個人情報を取り扱う従業員への定期的な教育や、委託先との契約見直しも重要なステップとなります。

まとめ

CCPAおよびCPRAへの対応は、単なる法規制の遵守にとどまらず、カリフォルニア州をはじめとするグローバル市場での信頼性を確保するための重要なビジネス基盤です。特に機微情報の取り扱いや広告目的のデータ共有に関する規制は、今後の世界的なトレンドとなる可能性が高いため、早期に強固なプライバシー保護体制を構築することが推奨されます。株式会社オナーズでは、専門的な知見に基づき、企業のプライバシーガバナンス構築を支援しています。

関連記事

• GDPR・CCPA対応支援サービス – 欧米の厳格なデータ保護規制への準拠を、実務レベルで包括的にサポートするサービスの詳細です。
• プライバシーテックブログ – 最新の法規制動向や、ISMS・Pマーク取得に関する実務的な情報を発信しています。
• お問い合わせ – CCPA対応や社内のプライバシー管理体制に関するご相談はこちらから承っております。