LASSIC Media らしくメディア

監修・編集責任者：牛尾 昭昌（株式会社LASSIC 執行役員）

米国の州プライバシー法は、条文の並びだけ見るとどれも似ています。通知、五つほどの権利、45日の応答、影響評価、州司法長官の執行——という順番です。

ところがミネソタ州消費者データプライバシー法には、他州の州法では見かけない条文が二つ入っています*1。プロファイリングの結果に異議を出せる権利と、データの棚卸し（インベントリ）の保持です*1。ミネソタ州法第325M章の第325M.10条から第325M.21条に置かれ、2025年7月31日から施行されています*1。

米国向けにサービスを出している企業と、そうしたシステムを受託して作る立場に向けて、条文から読み取れる要件を整理します。個別の適用は事情によりますので、法務の確認を経て進めてください。

「10万人」と「25%」——それとSBA中小企業の扱い

まず適用範囲です*1。

第325M.12条 subd.1a は、ミネソタ州で事業を行うか、ミネソタ州の住民を対象とする製品もしくはサービスを生産する法人であって、次のいずれかに当たる者に適用されるとしています*1。

ひとつは、1年間に10万人以上の消費者の個人データを管理または処理する場合です*1。ただし、支払取引を完了させることだけを目的として処理した個人データは、この数に入れないとされています*1。

もうひとつは、個人データの販売から総収入の25%超を得ており、かつ2万5,000人以上の消費者の個人データを管理または処理する場合です*1。

他州と数値は近いのですが、「25%超かつ2万5,000人以上」という二段構えになっている点に注意が必要です*1。販売による収入の比率だけでは適用されず、扱う人数も見られます*1。

除かれる主体も並んでいます*1。州や地方の行政主体、連邦政府が承認する部族*1。銀行、信用組合、および金融業務に従事するその関連会社*1。保険会社と保険募集人*1。米国中小企業庁（SBA）の定義による中小企業*1。航空会社*1。除外の範囲は、テキサス州のTDPSAが非営利組織と高等教育機関を丸ごと外しているのに比べると狭く、非営利組織はミネソタでは丸ごと外れません*1。

情報単位の除外もあります*1。保健情報、信用調査に関する情報、グラム・リーチ・ブライリー法の対象となる金融情報、教育記録、運転者情報、雇用に関する記録、不正検知に用いる情報などです*1。

そして中小企業も無関係ではありません*1。第325M.17条(a)は、SBAの定義（連邦規則集第13編第121部）による中小企業であって、ミネソタ州で事業を行うか州の住民を対象とする製品もしくはサービスを生産する者は、消費者の事前の同意なく機微データを販売してはならないとしています*1。同条(b)は、違反した中小企業にも第325M.20条の制裁と執行手続が適用されるとしています*1。

施行日は2025年7月31日です*1。高等教育局の規律を受ける高等教育機関については2029年7月31日までの猶予が置かれています*1。

他州の州法にない「プロファイリング結果への異議」

第325M.14条 subd.1 は消費者の権利を並べます*1。管理者が個人データを処理しているかの確認とカテゴリへのアクセス、不正確な個人データの訂正、削除、容易に利用できる形式での可搬な写しの取得、そしてターゲティング広告・販売・プロファイリングのオプトアウトです*1。ここまでは他州と大きく変わりません*1。

違うのは同 subd.1(g)です*1。

条文は、消費者の個人データが法的効果または同様に重大な効果を生じる決定を進めるためにプロファイリングされた場合、その消費者は「プロファイリングの結果に疑義を呈する権利」を持つとしています*1。

それだけではありません*1。プロファイリングがその決定に至った理由の説明を受ける権利、そして可能な場合には、別の決定を得るために消費者が採りえた行動を知らされる権利が続きます*1。さらに、プロファイリングに用いられた自らの個人データを閲覧する権利も定められています*1。

そして結論部分です*1。決定が不正確な個人データに基づいていたと判断された場合、消費者は当該データの訂正と、プロファイリングによる決定の再評価を求める権利を持つとされています*1。

実装への影響は小さくありません*1。「そのときの入力で、そのときのモデルが、こう判断した」を後から取り出せる形で残しておくことが前提になります*1。決定のログを残していない仕組みでは、理由の説明にも再評価にも応えられません。

採用領域では、ニューヨーク市のLocal Law 144が監査と通知を求めるのに対し、ミネソタは個々の決定への説明と再評価を求める形です*1。求められる成果物の性質が違うので、片方の対応でもう片方を代替することはできません。

オプトアウトの権利についても、同条 subd.4 は実行可能な限り速やかに、遅くとも受領から45日以内に応じることとしています*1。

条文が求める「データの棚卸し」

もうひとつが第325M.16条です*1。

同条 subd.2(a) は、管理者が個人データの収集を、処理の目的との関係で適切、関連し、合理的に必要な範囲に限ることとしています*1。データ最小化として他州にも似た規定があります*1。

ミネソタが踏み込んでいるのが同 subd.2(c)です*1。管理者は、こうした責任を果たすために管理すべきデータのインベントリを保持することとされています*1。棚卸しの保持そのものが、条文に書かれた義務として置かれているわけです*1。

保持期間の側も定めがあります*1。同 subd.2(g) は、収集と処理の目的に照らして関連性がなく合理的にも必要でなくなった個人データを保持しないこととしています*1。法令上の保持義務がある場合は別です*1。

機微データは同 subd.2(d) です*1。管理者は消費者の同意を得ずに機微データを処理してはならないとされています*1。

プライバシー通知の中身は同 subd.1(a) に並びます*1。処理する個人データのカテゴリ、処理の目的、消費者の権利とその行使の方法、個人データを販売または共有する第三者のカテゴリ、管理者の連絡先と有効なメールアドレス、データの保持方針、そして通知を最後に更新した日付です*1。

最後の一項目は、運用の話に直結します*1。更新日を載せるということは、更新の履歴を管理するということです。通知をCMSの一ページとして置いているだけでは、いつ何を変えたかが残りません。

そして第325M.18条が、方針と手続の記述の文書化を求めます*1。遵守のために採った方針と手続の記述を文書化して維持することとされ、チーフ・プライバシー・オフィサーの連絡先を含めるとされています*1。

同条はデータプライバシー・保護評価も定めます*1。ターゲティング広告目的の処理、個人データの販売、機微データの処理、消費者への危害の高いリスクを伴う処理活動、そして不公正な取扱い・金銭的や身体的や名誉上の損害・私的な事柄への侵入・その他の実質的な損害について合理的に予見できるおそれを伴うプロファイリングが対象です*1。

評価の中身は、処理から管理者・消費者・その他の関係者・公衆に生じうる直接および間接の便益と、消費者の権利への潜在的なリスクとの比較検討です*1。非識別化データの利用、消費者の合理的な期待、処理の文脈、管理者と消費者の関係を考慮に入れるとされています*1。コロラド州のADMT法やワシントン州の健康データ法と項目を揃えておくと、様式の作り直しが減ります。

評価は民事調査要求により州司法長官が求めることができ、非公開データとして扱われ、開示によって弁護士・依頼者間の秘匿特権が失われるものではないとされています*1。

45日、不服申立て、そして2026年1月末で消える猶予

期限は第325M.14条 subd.4 です*1。オプトアウト以外の請求について、受領から45日以内に応答することとされ、請求の複雑さと数を考慮して合理的に必要な場合はさらに45日延長できるとされています*1。

不服申立ては同 subd.5 です*1。管理者は、請求への対応を断られた消費者が合理的な期間内に不服を申し立てられる仕組みを用意することとされ、申立てには受領から45日以内に応答するとされています*1。合理的に必要な場合は60日延長できるとされています*1。

執行は第325M.20条です*1。州司法長官が執行し、提訴の前に警告書を出すこととされています*1。警告書には、違反していると主張する第325M.10条から第325M.21条までの具体的な条項を特定するとされ、警告書の発出から30日は提訴できないとされています*1。

ここが期限管理の要点です*1。条文は、この段落が2026年1月31日に失効すると明記しています*1。つまり2026年2月以降、警告書と30日の猶予は前提にできません*1。

制裁金は1違反あたり7,500ドルを超えない民事制裁金です*1。金額そのものは他州と同水準ですが、違反の数え方で総額が変わります*1。

私訴権については、第325M.10条から第325M.21条までが私訴権を創設するものではないと条文に書かれています*1。訴訟リスクの主戦場は州司法長官の執行であり、ワシントン州の健康データ法のように消費者保護法を通じた経路が用意されている州とは、備え方が変わります*1。

役割の切り分けは第325M.13条です*1。管理者か処理者かは特定の処理における事実関係と文脈で決まるとされ、契約書の呼び名では決まりません*1。受託開発では、ここを取り違えると義務の当てはめがずれます。

着手の順序と、受託で進めるときの要点

優先順位を付けるなら、次の順です。

第一に、適用の判定です。ミネソタ州の住民について、1年間に扱う消費者の人数を数えられる状態にします*1。支払取引の完了だけを目的に処理したデータは人数に入れないとされているため、何を数から外すかの根拠も残しておきます*1。SBAの中小企業に当たる場合でも、機微データの販売については第325M.17条が及びます*1。

第二に、棚卸しです。第325M.16条 subd.2(c) が求めるインベントリは、後から作るほど手間が増えます*1。どのテーブルにどのカテゴリの個人データが入り、どの目的で使い、いつ消すかを一覧にします*1。保持期間の側も同 subd.2(g) に定めがあるため、削除の条件まで書いて初めて一覧が機能します*1。

第三に、プロファイリングの決定ログです。法的効果または同様に重大な効果を生じる決定にプロファイリングを使っているなら、決定ごとに入力とモデル版を残します*1。第325M.14条 subd.1(g) の説明・閲覧・再評価は、記録がなければ応えられません*1。

第四に、45日を測れる請求管理です。受領日、応答期限、延長の有無と理由、不服申立ての受領日と応答期限を、同じ台帳で追えるようにします*1。延長の通知を当初の期間内に出す必要があるため、期限は二段で持つことになります*1。

第五に、文書です。方針と手続の記述、チーフ・プライバシー・オフィサーの連絡先、五類型の評価、通知の更新日の履歴——このあたりを、州司法長官の民事調査要求が来ても出せる形にまとめておきます*1。

受託で進める場合の要点を三つ挙げます。

成果物を先に決めることです。棚卸しの一覧、決定ログの仕様、請求管理の台帳、評価の様式——このどれを納品物とするかで、見積りも体制も変わります。

州をまたいで様式を揃えることです。評価の項目や請求管理の台帳は、米国の州ごとのAI規制で求められるものと重なる部分が多く、ひとつの様式に州ごとの差分を足す作りにしておくほうが後の負担が軽くなります。

期限を体制の設計に織り込むことです。2026年1月31日で警告書の段落が失効するため、それ以降は「指摘されてから直す」前提が置けません*1。人手で回している部分があるなら、そこが期限に間に合うかを先に確かめます。

条文そのものはミネソタ州改正官（Office of the Revisor of Statutes）のサイトで章単位で読めます*1。適用の判定と成果物の範囲は事情によって変わりますので、法務の確認を挟みながら進めてください。

まとめ：ミネソタ州法で押さえる3つの視点

ミネソタ州消費者データプライバシー法は、ミネソタ州法第325M章の第325M.10条から第325M.21条に置かれ、2025年7月31日から施行されています。押さえたい視点は三つです。第一に、適用の線引きと除外。第325M.12条 subd.1a は、1年間に10万人以上の消費者の個人データを管理または処理する場合、または個人データの販売から総収入の25%超を得ておりかつ2万5,000人以上の消費者のデータを扱う場合に適用されるとし、支払取引の完了だけを目的に処理したデータは人数に入れないとしています。行政主体、銀行や信用組合、保険会社、SBAの定義による中小企業、航空会社は主体として除かれますが、中小企業も第325M.17条により機微データの販売には消費者の事前同意が必要です。第二に、他州の州法にない二つの条文。第325M.14条 subd.1(g) は、法的効果または同様に重大な効果を生じる決定のためにプロファイリングされた消費者に、結果へ疑義を呈し、決定に至った理由の説明を受け、可能なら別の決定を得るための行動を知り、用いられたデータを閲覧し、不正確なら訂正と決定の再評価を求める権利を与えます。第325M.16条 subd.2(c) は、責任を果たすために管理すべきデータのインベントリの保持を求めます。第三に、期限と執行。請求には受領から45日以内に応答し45日延長でき、不服申立てには45日以内に応答して60日延長できます。第325M.18条は方針と手続の文書化と五類型の評価を求めます。執行は州司法長官によるもので、警告書と発出から30日の猶予を求める段落は2026年1月31日に失効し、制裁金は1違反7,500ドル以下、私訴権を創設する規定は置かれていません。

よくある質問

出典

1. *1　参考：Office of the Revisor of Statutes, State of Minnesota「Minnesota Statutes, Chapter 325M（第325M.10条〜第325M.21条 Consumer Data Privacy）」（https://www.revisor.mn.gov/statutes/cite/325M）。第325M.10条（法律の名称）、第325M.11条（定義）、第325M.12条（適用範囲の二つの基準と支払取引データの除外、行政主体・部族・銀行と信用組合およびその関連会社・保険会社と保険募集人・SBAの定義による中小企業・航空会社の主体除外、保健情報や信用調査情報やグラム・リーチ・ブライリー法対象情報や教育記録や運転者情報や雇用記録や不正検知情報の情報除外、2025年7月31日および高等教育機関の2029年7月31日という施行日）、第325M.13条（役割は特定の処理における事実関係と文脈で決まること）、第325M.14条（確認とアクセス・訂正・削除・可搬な写し・オプトアウトの各権利、subd.1(g)のプロファイリング結果への疑義・理由の説明・別の決定を得るための行動・用いられたデータの閲覧・不正確な場合の訂正と再評価、subd.4の45日の応答と45日の延長およびオプトアウトの取扱い、subd.5の不服申立てと45日の応答および60日の延長）、第325M.16条（subd.1(a)のプライバシー通知の記載事項と有効なメールアドレスおよび最終更新日、subd.2(a)のデータ最小化、subd.2(c)のインベントリの保持、subd.2(d)の機微データの同意、subd.2(g)の保持の制限）、第325M.17条（SBAの定義による中小企業による機微データの販売への事前同意と、第325M.20条の制裁および執行手続の適用）、第325M.18条（方針と手続の記述の文書化とチーフ・プライバシー・オフィサーの連絡先、評価が必要な処理活動の類型、便益とリスクの比較検討と考慮要素、保持の制限、民事調査要求による州司法長官の請求と非公開データとしての扱いおよび秘匿特権の非放棄）、第325M.20条（州司法長官による執行、条項を特定した警告書と発出から30日の提訴制限、当該段落が2026年1月31日に失効すること、1違反7,500ドル以下の民事制裁金、私訴権を創設しないこと）、および第325M.21条（地方法の先取りと分離可能性）の一次情報として。確認日は2026年8月27日。（2026年8月確認）

Tweet