LASSIC Media らしくメディア

米国の消費者に向けてアプリやサービスを提供している。あるいは、米国展開する取引先のためにシステムを受託開発している——。そんなとき、頭を悩ませるのが米国のプライバシー法です。EUのGDPRや日本の個人情報保護法のように「1つの包括的な法律」があると分かりやすいのですが、米国の場合はそうはいきません。連邦レベルには包括的なプライバシー法がなく、代わりに州がそれぞれ独自の法律を作っています。しかも、その州法が年々増え続けているのです。

この「パッチワーク（つぎはぎ）」とも呼ばれる状況は、複数の州にまたがって事業を営む企業にとって、悩みの種になりがちです。本記事では、米国の消費者を相手にする事業やシステム開発に携わる情報システム部門・事業部門の担当者に向けて、米国のプライバシー法とは何か、中心となるカリフォルニア州のCCPA、消費者に認められる権利、そして受託・委託開発で何を押さえるべきかを整理します。なお、本記事は一般的な情報の整理であり、法的な助言ではありません。個別の適否は、公式情報や専門家にご確認ください。

米国のプライバシー法とは——州ごとのパッチワーク

米国のプライバシー法を一言でいえば、「連邦の包括的な法律がなく、州ごとに定められた法律の集まり」です。EUには域内共通のGDPRがあり、日本には個人情報保護法という全国一律のルールがあります。ところが米国では、個人データ全般を横断的に扱う包括的な法律が、連邦レベルには置かれていません。その空白を埋めるように、各州が独自の消費者プライバシー法を制定してきた、というのが実情です。

結果として生まれたのが、州ごとに少しずつ内容の異なる法律が並び立つ状況で、「パッチワーク」と形容されます。対象となる事業者の線引きも、消費者に認められる権利も、州によって細部が変わります。共通する骨格はありつつも、一律ではないのです。だからこそ、複数の州の住民を相手にする企業ほど、それぞれの州のルールに目を配る手間がかかります。全体像を図にまとめました。

中心となるカリフォルニア州のCCPA

数ある州法のなかで、まず押さえたいのがカリフォルニア州の法律です。同州のCCPA（カリフォルニア州消費者プライバシー法）は、2018年に成立した、米国で最初の包括的な州プライバシー法にあたります。その後、CPRA（カリフォルニア州プライバシー権法）によって内容が拡張され、消費者の権利や事業者の義務が上乗せされました。専門の当局が置かれ、運用や執行を担っている点も特徴です。

カリフォルニア州の法律が重んじられるのは、単に最初だったからではありません。後から法律を作る他の州が、カリフォルニア州のやり方を参考にする場面が多く、いわば手本のような役割を果たしてきたのです。そのため、米国のプライバシー法の全体像をつかむうえでは、まずカリフォルニア州のCCPAを軸に据えると理解が進みます。近年は、自動化された判断や、リスク評価に関する新たな決まりも動き始めており、対応の幅は少しずつ広がっています。

消費者に認められる主な権利

米国の包括的な州プライバシー法は、消費者にいくつかの権利を認めています。州によって差はありますが、共通してよく見られる権利を整理しました。

柱となるのは、自分のデータを「見る・直す・消す」よう求める権利です。加えて、米国の州法で目立つのが、データの販売や共有を止めるよう求める「オプトアウト」の権利になります。事業者には、こうした求めを受け付ける窓口や、同意管理・オプトアウトの導線（たとえば所定の表示やリンク）を用意することが求められがちです。行動に基づくターゲティング広告を断る権利や、自動での分析・評価（プロファイリング）に一定の関与を認める仕組みも、州によって設けられています。いずれも、自分のデータの扱いに、本人がある程度の選択権を持てるようにする、という考え方が通底しています。

誰が対象になるのか

州法の対象になるかどうかは、主に二つの角度で決まります。一つは、その州の住民を相手に事業を営んでいるか。もう一つが、一定の規模などの「しきい値」を満たすかどうかです。しきい値は州ごとに異なりますが、売上の規模や、取り扱う個人データの人数といった基準が設けられていることが多くなります。小さな事業者は対象から外れる場合もありますが、扱うデータの量によっては規模が小さくても対象になりうるため、線引きは丁寧に見極めたいところです。

そして、ここでも所在地は決め手になりません。日本に拠点を置く企業であっても、米国のある州の住民に製品やサービスを提供し、その州のしきい値を満たすのであれば、対象になりうるのです。自社が米国の消費者とどう接点を持っているか、どの州の住民のデータを、どれくらい扱っているか。この棚卸しが、対象かどうかを見極める出発点になります。

広がる州法と、パッチワークの難しさ

米国の州プライバシー法は、ここ数年で数を増やし続けています。カリフォルニア州に続き、多くの州が包括的な法律を制定し、2025年から2026年にかけても、新たな州の法律が次々と動き始めています。連邦の包括的な法律を求める声は根強くありますが、いまのところは州ごとの立法が先行しているのが実際のところです。

この広がりが、実務の難しさを生みます。州ごとに、対象の線引きも、権利の中身も、細部が違うためです。複数の州の消費者を相手にする企業にとっては、州の数だけルールを追いかけるのは、なかなか骨が折れます。現実的な打ち手としてよく採られるのが、州ごとにばらばらに対応するのではなく、共通する骨格を土台にしつつ、いちばん厳しめの水準に寄せて設計する、という考え方です。そうしておけば、州が増えても土台を作り直さずにすむ場面が増えます。とはいえ、州ごとの固有の決まりまで拾いきれるわけではないため、要所は個別に確かめる姿勢も欠かせません。

日本の個情法・EUのGDPRとの違い

米国のプライバシー法の性格は、日本やEUと並べると、いっそうはっきりします。日本の個人情報保護法は、全国で一律に適用される単一の法律です。EUのGDPRも、域内で共通して適用される単一の規則になります。どちらも「1つのルールに沿えばよい」という点で、見通しが立てやすい構図です。これに対して米国は、連邦の包括法がなく、州ごとに法律が分かれています。ここが、いちばん大きな違いになります。

実務への影響も異なります。日本やEU向けであれば、それぞれ1つの枠組みに沿えばよいのに対し、米国向けでは関わる州の数だけ目配りが要るのです。国内のデータ取り扱いについては、Cookieの同意管理などの国内ルールとも重なる部分があります。海外向けと国内向けで、拠り所となる法律が違うことを踏まえ、自社がどの地域の、どの利用者を相手にしているのかを軸に、対応を組み立てていくとよいでしょう。

まとめ：米国プライバシー法で押さえる3つの視点

米国のプライバシー法は、連邦の包括法がないなかで、州ごとのルールが並び立つ独特の構図です。押さえておきたい視点は三つに整理できます。第一に、米国には連邦の包括的なプライバシー法がなく、州ごとの法律が集まった「パッチワーク」であること。第二に、中心はカリフォルニア州のCCPA（CPRAで拡張）で、閲覧・削除・オプトアウトといった消費者の権利が軸になること。第三に、米国の消費者を相手にし、しきい値を満たすなら、所在地が日本でも対象になりうることです。まずは、自社が米国のどの州の消費者と、どう接点を持っているのかを見極めるところから。判断に迷う部分があれば、公式情報の確認とあわせて、外部の知見を頼るのも堅実な選び方といえます。

よくある質問

著者：テレリモ総研編集部　鈴木 亮佑

ご不明な点はお問い合わせフォームからもご連絡いただけます。

1. *1　参考：IAPP「US State Privacy Legislation Tracker」（https://iapp.org/resources/article/us-state-privacy-legislation-tracker）。州法の広がり・全体像の参考として。
2. *2　参考：California Office of the Attorney General「California Consumer Privacy Act (CCPA)」（https://oag.ca.gov/privacy/ccpa）。CCPA・消費者の権利の参考として。

Tweet