LASSIC Media らしくメディア

監修・編集責任者：牛尾 昭昌（株式会社LASSIC 執行役員）

米国の州プライバシー法は、たいてい売上や取扱件数で対象を切ります。テキサス州はそこが違います*1。

テキサス州データプライバシー・セキュリティ法（TDPSA）です*1。2023年の第88回議会でH.B.4として成立し、ビジネス・商業法典に第541章として置かれ、主要な規定は2024年7月1日から、一部は2025年1月1日から施行されました*1。

米国向けにサービスを出している企業と、そうしたシステムを受託して作る立場に向けて、条文から読み取れる要件を整理します。個別の適用は事情によりますので、法務の確認を経て進めてください。

「SBAの中小企業でないこと」という条件

適用範囲を先に見ます*1。

第541.002条(a)は、この章が次の三つすべてに当たる者にのみ適用されるとしています*1。

(1) 州内で事業を行うか、州の住民が消費する製品もしくはサービスを生産すること*1。(2) 個人データを処理するか、個人データの販売に従事すること*1。そして(3) 米国中小企業庁（SBA）が定義する中小企業でないことです*1。ただし(3)に該当する者にも第541.107条が適用される範囲では別です*1。

この(3)が特徴です*1。他州の法律が「州内の消費者10万人以上の個人データを処理する」といった数値基準を置くのに対し、テキサスは外部の定義を借りてきています*1。SBAの中小企業の定義は業種ごとに従業員数や年間平均売上で定められているため、自社の業種によって線の位置が変わることになります*1。

適用されない主体も列挙されています*1。州の機関または州の政治的下位区分*1。金融機関、またはグラム・リーチ・ブライリー法第5編の対象となるデータ*1。HIPAAおよびHITECH法に基づき米国保健福祉省が発した規則（45 C.F.R. Parts 160および164）に規律される対象事業者または事業提携者*1。非営利組織*1。高等教育機関*1。そして公益事業法典第31.002条に定める電気事業者、発電会社、または小売電気供給者です*1。

非営利組織と高等教育機関が丸ごと外れている点は、他州と比べても広い除外です*1。

情報単位の除外も第541.003条に置かれています*1。HIPAAの保護対象保健情報、医療記録、42 U.S.C. Section 290dd-2の患者識別情報、45 C.F.R. Part 46などの人を対象とする研究の枠組みに従う識別可能私的情報などです*1。

そして地方自治体の規制の先取りです*1。第541.205条が置かれており、州内で規律が細分化しない設計になっています*1。同じテキサス州のAI法（TRAIGA）にも同様の規定があり、州の立法の作りとして一貫しています*1。

条文が文言を指定する表示

実装でもっとも見落とされやすいのが、第541.102条です*1。

同条(a)は、管理者が合理的にアクセス可能で明確なプライバシー通知を消費者に提供することとし、次を含めるとしています*1。管理者が処理する個人データの類型（該当する場合は処理する機微データを含む）*1。個人データを処理する目的*1。第B副章の消費者の権利をどう行使できるか（管理者の決定に対する不服申立ての手続を含む）*1。該当する場合、第三者と共有する個人データの類型*1。該当する場合、個人データを共有する第三者の類型*1。そして、第541.055条により求められる、権利行使の請求を提出できる方法の記述です*1。

そして(b)と(c)です*1。管理者が機微データである個人データの販売に従事する場合、次の通知を含めることとされています*1。

言い換えの余地がない書き方です*1。趣旨を伝える文章を自作するのではなく、条文に置かれた文言を載せることになります*1。プライバシーポリシーの日本語版だけを整えていると、この二つが漏れます*1。

販売とターゲティング広告についても開示の義務があります*1。第541.103条は、管理者が個人データを第三者に販売するか、ターゲティング広告のために個人データを処理する場合、その処理と、消費者によるオプトアウトの権利の行使の手段を明確かつ目立つ形で開示することとしています*1。

そして、中小企業にもかかる義務が第541.107条です*1。第541.002条(a)(3)に該当する者（つまりSBAの定義による中小企業）は、機微データである個人データの販売を、消費者の事前の同意を得ずに行ってはならないとされています*1。違反した者は第541.155条の制裁の対象になるとされています*1。

「うちは中小企業だから対象外」で終わらないのがこの構造です*1。機微データを売る場合は、規模を問わず同意が要ります*1。

45日の応答と、影響評価

消費者の権利は第541.051条です*1。管理者は、認証済みの請求に応じて次の権利の行使に従うこととされています*1。

管理者が自らの個人データを処理しているかを確認し、当該データにアクセスする権利*1。個人データの不正確な点を訂正する権利（データの性質と処理の目的を考慮するとされています）*1。消費者が提供した、または消費者について取得した個人データの削除を求める権利*1。デジタル形式で利用可能な場合、以前に管理者へ提供した個人データの写しを、可搬で技術的に可能な範囲で容易に利用できる形式で取得する権利*1。そして、ターゲティング広告、個人データの販売、法的またはそれと同様に重大な効果を生じる決定を進めるためのプロファイリングを目的とする処理をオプトアウトする権利です*1。

応答の期限は第541.052条です*1。不当な遅滞なく、請求の受領日から45日目より遅くならないように応答することとされています*1。

延長も認められています*1。請求の複雑さと数を考慮して合理的に必要な場合、1回だけさらに45日延長できるとされ、その場合は当初の45日の応答期間内に、延長する旨と理由を消費者に伝えることとされています*1。

断る場合の手順もあります*1。管理者が請求に対する対応を断る場合、不当な遅滞なく、受領日から45日目より遅くならないように、断る理由と、第541.053条に従った不服申立ての方法の指示を伝えることとされています*1。

費用についても定めがあります*1。管理者は請求への応答として、消費者一人につき少なくとも年2回は無償で情報を提供することとされています*1。消費者からの請求が明らかに根拠を欠くか、過剰か、反復的である場合、管理者は対応の管理費用を賄う合理的な手数料を請求するか、対応を断ることができるとされています*1。ただし請求がそうしたものであることを示す立証責任は管理者が負うとされています*1。

影響評価は第541.105条です*1。管理者は、個人データに関わる次の処理活動のそれぞれについて、データ保護影響評価を実施し文書化することとされています*1。

ターゲティング広告目的の個人データの処理*1。個人データの販売*1。プロファイリング目的の処理であって、消費者に対する不公正または欺瞞的な取扱いもしくは違法な格差影響、金銭的・身体的・名誉上の損害、合理的な人にとって不快となるような孤独や隔離あるいは私的な事柄への侵入、その他の実質的な損害について合理的に予見可能なリスクを伴うもの*1。機微データの処理*1。そして、消費者への危害の高いリスクを伴う個人データの処理活動です*1。

評価の中身も定められています*1。処理から管理者・消費者・その他の関係者・公衆に生じうる直接または間接の便益と、当該処理に伴う消費者の権利への潜在的なリスクとを、管理者が採りうる保護措置による軽減を踏まえて特定し、比較検討することとされています*1。考慮に入れる要素として、非識別化データの利用、消費者の合理的な期待、処理の文脈、そして管理者と当該消費者との関係が挙げられています*1。

影響評価は秘密として扱われます*1。政府法典第552章に基づく公衆の閲覧と複写から免除されるとされ、州司法長官の請求に応じて開示しても、弁護士・依頼者間の秘匿特権やワークプロダクトの保護を放棄したことにはならないとされています*1。

同様の活動を含む比較可能な一組の処理について、ひとつの影響評価で足りるとされています*1。他の法令の遵守のために実施した影響評価も、条件を満たせば用いられる建て付けです*1。コロラド州のADMT法やワシントン州の健康データ法と項目を揃えておくと、作り直しが減ります。

30日の是正期間と、私訴権の否定

執行は第D副章です*1。

第541.151条は、州司法長官がこの章を執行する専属的な権限を持つとしています*1。

第541.152条は、州司法長官が自らのウェブサイトに、管理者と処理者の責務および消費者の権利に関する情報と、消費者が苦情を提出できるオンラインの仕組みを掲載することとしています*1。

調査の権限もあります*1。第541.153条は、州司法長官が違反を行ったか行っていると信じる合理的な理由がある場合、民事調査要求（civil investigative demand）を発することができるとしています*1。そして、その要求に基づいて調査に関連する影響評価の開示を管理者に求めることができるとされ、州司法長官は第541.101条、第541.102条、第541.103条の要件への適合について影響評価を評価できるとされています*1。

そして30日の是正期間です*1。第541.154条は、第541.155条に基づく訴えを提起する前に、州司法長官が提起の30日目より前に書面で通知し、違反していると主張する具体的な条項を特定することとしています*1。

30日の期間内に次の両方があれば、州司法長官は訴えを提起できないとされています*1。その者が特定された違反を是正すること*1。そして、次の四つを記した書面の陳述を州司法長官に提供することです*1。

(A) 主張された違反を是正したこと*1。(B) 消費者の連絡先がその者に提供されている場合、当該消費者のプライバシー侵害が対処されたことを消費者に通知したこと*1。(C) プライバシー侵害がどのように是正されたかを示す裏付け資料を提供したこと*1。そして(D) 必要な場合、そうしたさらなる違反が生じないよう内部方針に変更を加えたことです*1。

(B)の「消費者への通知」が独特です*1。当局への報告だけでなく、影響を受けた消費者にも伝えたことを示す必要があります*1。連絡先を持っているかどうかが分岐になります*1。

制裁金は第541.155条です*1。第541.154条の是正期間の後にこの章に違反した者、または州司法長官に提供した書面の陳述に違背した者は、1違反あたり7,500ドルを超えない額の民事制裁金の責任を負うとされています*1。

州司法長官は州の名において、制裁金の回収、違反の制限または差止め、あるいはその両方を求めて提訴できるとされ、調査と提訴に要した合理的な弁護士費用その他の合理的な費用を回収できるとされています*1。

そして第541.156条です*1。この章は、この章その他の法律の違反についての私訴権の根拠となるもの、またはその対象となるものと解してはならないとされています*1。

この点はワシントン州の健康データ法が違反を消費者保護法上の不公正行為としているのと対照的です*1。リスクの見積もり方が変わります。

処理者の義務も押さえておきます*1。第541.104条は、処理者が管理者の指示に従い、管理者の義務の履行を支援することとし、消費者の権利行使の請求への対応の支援、処理の安全確保と処理者のシステムの侵害の通知（第521章）に関する支援、そして管理者が影響評価を実施し文書化できるようにするための必要な情報の提供を挙げています*1。

契約に含める事項も列挙されています*1。データ処理の明確な指示、処理の性質と目的、処理の対象となるデータの種類、処理の期間、両当事者の権利と義務、そして処理者について、個人データを処理する各人が守秘義務を負うことの確保、サービスの提供が完了した後に管理者の指示に従いすべての個人データを削除するか返還すること（保持が求められる場合を除く）などです*1。

着手の順序と、受託で進めるときの要点

順序をつけます。

第一に、SBAの定義に当たるかの確認です。第541.002条(a)(3)は、SBAの定義による中小企業でないことを適用の条件にしています*1。自社の業種でSBAの基準がどう定められているかを調べる作業から始まります*1。

第二に、除外主体の確認です。金融機関、HIPAAの対象事業者と事業提携者、非営利組織、高等教育機関、電気事業者などは章の適用外です*1。グループ会社の中に該当する法人がないかを見ておきます*1。

第三に、指定文言の有無です。機微データまたは生体データの販売に従事しているなら、条文が指定する英文の表示が必要です*1。プライバシー通知と同じ場所、同じ方法での掲示という条件も付きます*1。

第四に、45日の運用です。受領から45日、延長は1回45日*1。断る場合も45日以内に理由と不服申立ての方法を伝えます*1。受領日時を記録できているかが起点になります*1。

第五に、影響評価の対象の洗い出しです。五つの類型に当たる処理を一覧にします*1。州司法長官が民事調査要求により開示を求めうる文書です*1。

受託で進める場合の要点も挙げます。

指定文言をそのまま置くことです。意訳や要約に置き換えると、条文の要求から外れます*1。日本語の説明を併記するのは差し支えありませんが、指定された英文を落とさないことです*1。

影響評価を流用できる形で作ることです。比較可能な一組の処理をひとつの評価で足りるとされ、他の法令の遵守のために実施した評価も条件を満たせば用いられます*1。最初から共通の様式で作っておくと、法域が増えても対応できます*1。

処理者側の提供物を契約に書くことです。第541.104条は、影響評価のために必要な情報の提供を処理者の支援内容として挙げています*1。受託側が何を出すのかを契約で決めておかないと、評価が止まります*1。

連絡先の保持状況を確認することです。是正の陳述の(B)は、消費者の連絡先が提供されている場合に当該消費者への通知を求めています*1。連絡先があるかどうかで手順が変わります*1。

他の州法と項目を揃えることです。米国の州ごとの規律は内容が揃っていません。全体像は米国のAI規制で扱っていますので、共通の台帳を先に決めておくと管理が楽です。

体制としては、条文を読める人と、データの持ち方を説明できる人が同じ場にいるかが分かれ目になります。この法律は、適用範囲の判定に外部の定義（SBAの基準）を持ち込んでいる点で、最初の一歩に手間がかかります。業種の実態と条文を突き合わせられる進め方ができる委託先かどうかを、選定の観点に入れておくとよいでしょう。

まとめ：TDPSAで押さえる3つの視点

テキサス州データプライバシー・セキュリティ法は、2023年第88回議会のH.B.4として成立し、ビジネス・商業法典第541章に置かれ、主要な規定が2024年7月1日から、一部が2025年1月1日から施行されました。押さえたい視点は三つです。第一に、適用の線引き。第541.002条(a)は、州内で事業を行うか州の住民が消費する製品もしくはサービスを生産すること、個人データを処理するかその販売に従事すること、そして米国中小企業庁の定義による中小企業でないことの三つすべてを求めます。数値基準ではなく外部の定義を借りている点が特徴で、業種によって線の位置が変わります。金融機関、HIPAAの対象事業者と事業提携者、非営利組織、高等教育機関、電気事業者などは章の適用外です。第二に、文言が指定された表示。機微データの販売に従事する場合と生体データの販売に従事する場合について、第541.102条(b)(c)が載せるべき英文を定め、プライバシー通知と同じ場所・同じ方法での掲示を求めます。中小企業も第541.107条により、機微データの販売には消費者の事前同意が必要です。第三に、期限と執行。消費者の請求には受領から45日以内に応答し、1回だけ45日延長できます。影響評価は五つの類型について実施し文書化します。執行は州司法長官の専属で、提訴の30日以上前の書面通知と是正の機会があり、是正後の違反や陳述違背には1違反7,500ドル以下の制裁金が定められ、私訴権の根拠にはならないとされています。

よくある質問

出典

1. *1　参考：Texas Legislature Online「H.B. No. 4（Texas Data Privacy and Security Act、第88回議会 Enrolled version）」（https://capitol.texas.gov/tlodocs/88R/billtext/html/HB00004F.htm）。ビジネス・商業法典第541章の新設、第541.001条（定義）、第541.002条（適用範囲の三要件とSBAの中小企業定義の参照、州機関・金融機関やグラム・リーチ・ブライリー法第5編対象データ・HIPAAとHITECHの対象事業者と事業提携者・非営利組織・高等教育機関・電気事業者等の不適用）、第541.003条（HIPAAの保護対象保健情報・医療記録・患者識別情報・人を対象とする研究に関する情報などの除外）、第541.051条（確認とアクセス、訂正、削除、可搬な写しの取得、ターゲティング広告・販売・重大な効果を生じる決定のためのプロファイリングのオプトアウト）、第541.052条（受領日から45日以内の応答、1回45日の延長と当初期間内の通知、断る場合の理由と不服申立ての指示、年2回までの無償提供、明らかに根拠を欠く等の請求の扱いと管理者の立証責任、認証できない場合の扱い、消費者以外から取得したデータの削除請求への対応）、第541.053条（不服申立て）、第541.055条（請求の提出方法）、第541.101条（管理者の義務と透明性）、第541.102条（プライバシー通知の6項目、機微データ販売時と生体データ販売時に含める指定文言およびプライバシー通知と同じ場所・方法での掲示）、第541.103条（販売とターゲティング広告の開示とオプトアウトの方法）、第541.104条（処理者の義務と契約に含める事項）、第541.105条（影響評価の5類型、評価に含める比較検討と考慮要素、州司法長官への提供、公衆の閲覧からの免除と秘匿特権の非放棄、単一評価による代替）、第541.107条（中小企業による機微データの販売への事前同意と制裁）、第541.151条（州司法長官の専属的執行権限）、第541.152条（ウェブサイトでの情報掲載と苦情の仕組み）、第541.153条（民事調査要求と影響評価の開示請求）、第541.154条（提訴の30日前の書面通知と、是正および四つの事項を記した書面の陳述）、第541.155条（1違反7,500ドル以下の民事制裁金、差止め、費用の回収）、第541.156条（私訴権の否定）、第541.201条（章の解釈と制限されない行為）、第541.205条（地方自治体の規制の先取り）、および2024年7月1日と2025年1月1日という施行日の一次情報として（2026年8月確認）

Tweet