今年（正確には2018年5月25日）、欧州連合（EU）においてGDPR（EU一般データ保護規則）が施行されました。これは、デジタル時代における重要な節目と言えるものです。

GDPRは、EUおよびEEA（欧州経済領域）の市民に対し、自身の個人情報が「なぜ、どのように、どこで」使用されているのかについて、より高い透明性をもたらすものです。一方で、この規則は世界中の多くの企業（現地企業か国際企業かを問わず）に、大きな混乱や困難をもたらすことにもなりました。

そして今、欧州議会および欧州連合理事会の動きに続く形で、新たな規制「CCPA」が登場しました。これはカリフォルニア州の法律であり、同州の住民に対して、企業が消費者の個人情報をどのように取り扱っているのか――「誰が、どこで、何を、いつ」――を明らかにするものです。

すでにご存知の方も多いことでしょう。

それでは、2018年カリフォルニア州消費者プライバシー法の主な要素について検討していきましょう。

CCPA（カリフォルニア州版GDPR）の施行日および期限：

カリフォルニア州法AB 375（正式名称：2018年カリフォルニア州消費者プライバシー法）は、2020年1月1日より施行されます。

この法案は2017年2月に端を発し、2018年6月28日に全会一致で可決され、カリフォルニア州のジェリー・ブラウン知事の署名を経て成立しました。

どれくらい似ている？

2018年に制定されたカリフォルニア州消費者プライバシー法（CCPA）は、多くの側面において、EUの「一般データ保護規則（GDPR）」のカリフォルニア版とも言える「簡易版」のようなものとなっています。

同法には、データの分類、事業運営上のルール、トラッキング（追跡）に関する規定が含まれており、カリフォルニア州の消費者の同意や意向を尊重するための仕組みが、GDPRと非常によく似た形で定められています。

消費者の同意が求められるほか、消費者はいつでも、企業による自身の個人情報の販売を拒否（オプトアウト）することができます。

同意取得のためのフォームや選択肢は、明確かつ理解しやすいものでなければなりません。この法律に違反した場合の代償は非常に大きく、違反の内容に応じて多額の制裁金が科される可能性があります。

さらに、違反1件につき消費者1人あたり最大750ドル、あるいは実際の損害額のいずれか高い方の金額が請求されることになります。また同法には、商用ウェブサイトが消費者の同意を求める際に従うべきルールも規定されています。

主な違い-

企業は、ユーザーからデータや情報の収集・処理に関する同意を得る見返りとして、そのユーザーに特定の経済的利益を提供する場合があります。

さらに、同法は、同意を与えていない者に対して差別的な扱いをすることを厳格に禁止しています。

もう一つの大きな違いは、欧州では、消費者が自ら積極的に同意を示す「オプトイン」の手続きが必要であるという点です。

さらに、16歳未満の者については、オプトインの手続きは求められません。それだけでなく、彼らは自身の情報が第三者に販売されることに対して、オプトアウト（拒否）することも可能です。

では、CCPAに準拠していないと判断された場合、どうなるのでしょうか？

以下に該当する営利組織を運営している、あるいは運営しようとしている場合（または既に運営している場合）：

• カリフォルニア州の居住者、世帯、またはデバイス5万件分以上の個人情報を、商業目的で受領、購入、共有、あるいは売却している。
• 年間総収益が2,500万ドルを超えている。
• 年間収益の50％以上を、消費者のデータや情報の売却から得ている。
• 特定の「事業体（ビジネス）」とブランドを共有している、あるいは、そのような事業体を支配している、もしくはその事業体によって支配されている。

その場合、CCPA（カリフォルニア州消費者プライバシー法）のあらゆる規則や規定を遵守しなければなりません。この法律は、データや情報の漏洩が発生した際、企業にその責任を問うものです。

ウェブサイトを運営している場合、そのホームページ上に「私の個人情報を販売しないでください（Do Not Sell My Personal Information）」と明記した、明確かつ目立つリンクを設置することが求められます。これにより、ユーザーは自身の個人情報やデータの販売を拒否（オプトアウト）できるようになります。

CCPAは、データ漏洩が発生した場合に、消費者が企業に対して訴訟を起こす権利（限定的な私的訴権）を認めています。具体的には、違反1件につき最大750ドルの損害賠償を求めて提訴することが可能です。

また、意図的なプライバシー侵害については、カリフォルニア州司法長官が、違反者に対して1件あたり7,500ドルの罰金を求めて提訴することができます。

これは、各地域の市民の個人データ利用に関する規制としては、2番目の大きな動きと言えるでしょう。

では、このカリフォルニア州の新たな規制は、Google、Target、Adidas、Facebook、Fitbitといった企業にどれほどの影響を及ぼすのでしょうか。こうした企業の多くは、EUのGDPR（一般データ保護規則）が導入された際にも、データ漏洩の問題を経験しています。

さらに言えば、こうした動きの中で、「独自のデジタルプライバシー法」を策定する流れが、新たなトレンドになりつつあるのではないでしょうか。

今後、他の州も同様の規制措置を導入する可能性があります。いずれにせよ、こうした個人データに関する規則や規定が、急速に広がりを見せていることは間違いありません。