LASSIC Media らしくメディア

監修・編集責任者：牛尾 昭昌（株式会社LASSIC 執行役員）

米国の州プライバシー法への対応は、多くの場合「人数を数える」ことから始まります。10万人、あるいは2万5,000人という基準に届かなければ、対象外という整理ができました。

その前提が、コネチカット州では2026年7月1日に変わりました*1。コネチカット州データプライバシー法（CTDPA）が公法25-113により改正され、機微データを扱っているだけで適用される入口が加わったためです*1。さらに2026年8月1日以後に作成または生成された処理活動には、プロファイリングの影響評価が求められます*1。

米国向けにサービスを出している企業と、そうしたシステムを受託して作る立場に向けて、条文から読み取れる要件を整理します。個別の適用は事情によりますので、法務の確認を経て進めてください。

3万5,000人、機微データ、販売の提供——三つの入口

改正後の適用範囲です*1。

改正前の第42-516条は、前暦年に10万人以上の消費者の個人データを管理または処理した場合、あるいは2万5,000人以上の消費者の個人データを扱い、かつ個人データの販売から総収入の25%超を得ていた場合に適用されるとしていました*1。

改正後は三つの入口です*1。

(1) コネチカット州で事業を行うか州の住民を対象とする製品もしくはサービスを生産し、前暦年に3万5,000人以上の消費者の個人データを管理または処理した者です*1。支払取引を完了させることだけを目的として管理または処理した個人データは除かれます*1。

(2) 消費者の機微データを管理または処理する者です*1。ここには人数の条件がありません*1。同じく支払取引の完了だけを目的とするものは除かれます*1。

(3) 消費者の個人データを取引または商業において販売の対象として提供する者です*1。こちらも人数の条件はありません*1。

実務への影響が大きいのは(2)です*1。CTDPAの機微データには、人種や民族的出身、宗教的信条、健康状態、性的指向、市民権または移民の地位、遺伝データや生体データ、子どもの個人データ、正確な位置情報などが含まれます*1。健康や位置情報を扱うサービスは、利用者が数千人でも対象に入りうることになります*1。

主体の除外は改正後の第42-517条(a)です*1。州や政治的下位区分の機関、その契約に基づき消費者健康データを処理する者、非営利組織、政治委員会、高等教育機関、全国証券業協会、連邦規則集第45編第160.103条の対象事業者と事業提携者、部族国家の政府組織、航空会社、保険関係の事業者、金融活動のみに直接従事し銀行監督機関の規律と検査を受ける銀行や信用組合とその関連会社、銀行局または証券取引委員会の規律を受ける投資顧問などが挙げられています*1。

非営利組織と高等教育機関が丸ごと外れる点は、ミネソタ州法が非営利組織を外していないのと対照的です*1。州ごとに除外の範囲が違うため、「他州で対象外だったから」という理由は使えません*1。

8月1日以降の処理活動に要る「影響評価」

もうひとつの柱が第42-522条です*1。

従来からデータ保護評価の規定はありました*1。同条(a)は高い危害リスクを伴う処理として、ターゲティング広告、販売、一定のリスクを伴うプロファイリング、機微データの処理を挙げ、同条(b)がそれぞれの評価と文書化を求めています*1。

改正で加わったのが同条(c)の影響評価です*1。法的効果または同様に重大な効果を生じる決定を行う目的でプロファイリングを行う管理者は、当該プロファイリングについて影響評価を実施することとされました*1。

含める内容は、管理者が合理的に知りうるか入手できる範囲で、次のとおりです*1。

並べてみると、プライバシーの評価というよりモデルの技術文書に近いことがわかります*1。指標と既知の限界、展開後の監視は、機械学習の運用を担当していないと書けません*1。

適用の時期に注意が必要です*1。同条(g)(2)は、影響評価の要件が2026年8月1日以後に作成または生成された処理活動に適用され、遡及しないとしています*1。データ保護評価の側は2023年7月1日以後の処理活動が対象で、こちらも遡及しません*1。

つまり時期で線を引くことになります*1。何をいつ作ったかの記録が、そのまま適用範囲の説明になるわけです。

州司法長官は調査に関連する評価の開示を求めることができ、評価は秘密として扱われて情報自由法の開示から免除されるとされています*1。

ひとつの評価が比較可能な一組の処理を扱ってよいとされ、他の法令のために実施した評価も範囲と効果が合理的に類似していれば要件を満たすとみなされます*1。コロラド州のADMT法や他州のAI規制の文書を、様式を揃えて使い回す前提で設計するほうが現実的です。

推論、売却先リスト、住宅の決定

権利も広がりました*1。第42-518条(a)です*1。

(1) 処理しているかの確認とアクセスです*1。改正後は、個人データから導かれた消費者についての推論、および重大な効果を生じる決定のためのプロファイリングの目的で処理しているかどうかが、明示的にこの権利の対象に含まれます*1。営業秘密の開示が必要な場合と、同条(e)により開示が禁じられる場合は別です*1。

「推論も対象」という一文は、実装の負担を大きく変えます*1。そこから作ったスコアやセグメントも取り出せる形で持っておくことになります*1。

(5) オプトアウトの対象は、ターゲティング広告、販売、そして重大な効果を生じる自動化された決定のためのプロファイリングです*1。

(6) プロファイリングに関する権利です*1。その決定が法的または同様に重大な効果を生じた場合、実行可能であれば、結果に疑義を呈し、決定に至った理由を知らされ、処理された個人データを閲覧できるとされています*1。

そして訂正と再評価は「住宅に関する決定」に限られています*1。決定が住宅に関わる場合、データの性質と処理の目的を考慮したうえで、不正確なデータの訂正と、訂正後のデータに基づく再評価を求められるとされています*1。

この線引きは、ミネソタ州法との違いが出るところです*1。ミネソタは決定の分野を限定せずに訂正と再評価を認めており、コネチカットは住宅に絞っています*1。

(7) が新しく加わった権利です*1。消費者は自らの個人データを販売した第三者の一覧を取得できるとされ、管理者がその一覧を保持していない場合は販売したすべての第三者の一覧を提供することとされています*1。

実装で必要になるのは販売先の台帳です*1。条文は「保持していない場合は全件」という形のため、消費者ごとに追えないなら全体を開示することになります*1。

収集の比例性、同意の撤回から15日

管理者の義務は改正後の第42-520条(a)(1)です*1。

(A) 収集を消費者に開示した処理の目的との関係で合理的に必要かつ比例的な範囲に限ることとされています*1。「必要」に加えて「比例的」という語が入っている点が、他州の最小化規定と比べた特徴です*1。

(B) 開示した目的に合理的に必要でもなく両立もしない重要な新目的のための処理には、消費者の同意が必要とされています*1。判断では、収集時点の消費者の合理的な期待、開示済みの目的との関係、消費者に与えうる影響、収集の文脈、そして暗号化や仮名化といった追加の保護措置の存在を考慮するとされています*1。

(D) 機微データの処理は、目的に照らして合理的に必要な場合に限られ、かつ同意が必要とされています*1。子どもであると現に知っているか意図的に無視している場合は、COPPAに従って処理することとされています*1。

(G) 同意の撤回です*1。同意を与えたときと同程度に容易な撤回の仕組みを提供し、撤回を受けたら実行可能な限り速やかに、請求の受領から15日を超えないうちに処理を停止することとされています*1。

この15日は他の期限と混ざりやすいところです*1。台帳では別の期限として持つ必要があります。

(H) 機微データの販売は、消費者の同意なしには行えないとされています*1。

(I) 未成年に関する規定です*1。管理者が消費者を13歳以上18歳未満であると現に知っているか意図的に無視している状況で、ターゲティング広告目的の処理や個人データの販売を行ってはならないとされています*1。年齢の推定を持たないサービスでは、「知らなかった」で済むのかという判断が必要になります*1。

権利を行使した消費者に対し、提供を断る、価格や品質の水準を変えるといった扱いも禁じられています*1。本物のロイヤルティやリワードのプログラムへの任意の参加に関連する提供は、この禁止に当たらないとされています*1。

執行の建て付けと、着手の順序

執行は第42-525条です*1。同条(a)により、執行権限は州司法長官の専属です*1。

是正の機会については、経過措置が終わっています*1。同条(b)は2023年7月1日から2024年12月31日までの期間に限って、是正が可能と判断される場合の違反通知と受領から60日の是正期間を置いていました*1。同条(c)は2025年1月1日以降、是正の機会を与えるかを判断する際に、違反の件数、事業者の規模と複雑さ、処理活動の性質と範囲、公衆への被害が生じる相当の可能性、人または財産の保全、人為的または技術的な誤りに起因する可能性、データの機微性を考慮できるとしています*1。

つまりいまの是正の機会は裁量です*1。テキサス州のTDPSAのように条文で30日の是正期間が保証されている州とは、備え方が変わります*1。

同条(e)は違反を不公正な取引慣行に当たるとしつつ州司法長官のみが執行すると定め、同条(d)は私訴権の根拠となるものではないとしています*1。

着手の順序です。

第一に、機微データの棚卸しです。入口の(2)は人数を問いません*1。健康状態、正確な位置情報、生体データ、子どもの個人データのいずれかを扱っていれば、人数に関係なく対象になりうると考えて調べます*1。

第二に、プロファイリングの棚卸しと時期の記録です。重大な効果を生じる決定にプロファイリングを使っている箇所を挙げ、それぞれをいつ作ったかを残します*1。影響評価の要件は2026年8月1日以後の処理活動に適用されます*1。

第三に、推論と販売先の取り出しです。スコアやセグメントを消費者ごとに開示できるか、販売先を消費者ごとに追えるかを確かめます*1。追えない場合は全件の一覧を出すことになります*1。

第四に、期限の分離です。請求への応答と、同意の撤回への15日を別の期限として台帳に持ちます*1。

第五に、影響評価の様式です。7項目のうち指標と既知の限界、展開後の監視は開発側でなければ書けません*1。

受託で進める場合はどの成果物を納品物にするかを先に決めます。影響評価の様式、推論の取り出し口、販売先の台帳、撤回から15日で止まる仕組み——見積りも体制も、ここで変わります。

条文はコネチカット州議会のサイトで章単位で読めます*1。改正後の条文は各条の末尾に併記される形のため、参照するときは改正後の版であることを確かめてください*1。適用の判定は事情によって変わりますので、法務の確認を挟みながら進めてください。

まとめ：改正後のCTDPAで押さえる3つの視点

コネチカット州データプライバシー法は、公法25-113により2026年7月1日から改正されました。押さえたい視点は三つです。第一に、適用の入口が三つになったこと。改正後の第42-516条は、前暦年に3万5,000人以上の消費者の個人データを管理または処理した者、消費者の機微データを管理または処理する者、消費者の個人データを取引または商業において販売の対象として提供する者に適用されるとしています。後の二つには人数の条件がなく、健康状態や正確な位置情報などの機微データを扱うだけで対象になりうる形です。非営利組織、高等教育機関、保険会社、一定の銀行や信用組合などは主体として除かれます。第二に、影響評価。第42-522条(c)は、法的効果または同様に重大な効果を生じる決定のためにプロファイリングを行う管理者に、目的と想定ユースケースと展開文脈と便益、高い危害リスクの分析と軽減、入力の主なカテゴリと出力、調整に用いたデータの概要、性能評価の指標と既知の限界、透明性の措置、展開後の監視と利用者側の保護措置という7項目を含む影響評価を求めます。同条(g)(2)により、この要件は2026年8月1日以後に作成または生成された処理活動に適用され、遡及しません。第三に、権利と期限。第42-518条(a)は、推論へのアクセスと、個人データを販売した第三者の一覧の取得を認め、住宅に関する決定については訂正と再評価を認めます。第42-520条(a)は、収集を開示した目的に照らして合理的に必要かつ比例的な範囲に限り、同意の撤回を受けたら15日以内に処理を停止することとし、13歳以上18歳未満の消費者をターゲティング広告と販売の対象にできないとしています。執行は第42-525条により州司法長官の専属で、2025年1月1日以降は是正の機会が裁量となり、私訴権の根拠にはならないとされています。

よくある質問

出典

1. *1　参考：Connecticut General Assembly「General Statutes of Connecticut, Chapter 743jj — Data Privacy and Security（2026 Supplement、公法25-113による改正後の条文を併記）」（https://www.cga.ct.gov/2026/sup/chap_743jj.htm）。第42-515条（定義）、改正後の第42-516条（公法25-113第6節。3万5,000人以上の個人データの管理または処理、機微データの管理または処理、取引または商業における販売の対象としての提供という三つの適用の入口と、支払取引の完了のみを目的とするデータの除外、2026年7月1日という発効日）、改正後の第42-517条(a)(b)（公法25-113第7節。州の機関、州機関との契約に基づき消費者健康データを処理する者、非営利組織、政治委員会、高等教育機関、全国証券業協会、連邦規則集第45編第160.103条の対象事業者と事業提携者、部族国家の政府組織、航空会社、保険関係の事業者、一定の銀行と信用組合およびその関連会社、銀行局または証券取引委員会の規律を受ける代理人等の主体除外と、HIPAAの保護対象保健情報などの情報除外）、改正後の第42-518条(a)（公法25-113第8節。確認とアクセスの対象に推論およびプロファイリング目的の処理の有無が含まれること、訂正、削除、可搬な写しの取得、ターゲティング広告と販売とプロファイリングのオプトアウト、プロファイリングによる決定への疑義・理由の説明・データの閲覧および住宅に関する決定についての訂正と再評価、個人データを販売した第三者の一覧の取得）、改正後の第42-520条(a)（公法25-113第9節。収集の必要性と比例性、重要な新目的への同意と5つの考慮要素、データセキュリティの実践、機微データの必要性と同意およびCOPPA、差別的処理の禁止と関連法違反、同意の撤回の仕組みと受領から15日以内の処理停止、機微データの販売への同意、13歳以上18歳未満の消費者へのターゲティング広告と販売の禁止、権利行使に対する差別の禁止とロイヤルティ等のプログラムに関する取扱い）、改正後の第42-522条（公法25-113第11節。同条(a)の高い危害リスクを伴う処理の4類型、同条(b)のデータ保護評価とその比較検討および考慮要素、同条(c)の影響評価に含める7項目、同条(d)の州司法長官への開示と秘密としての扱いおよび秘匿特権の非放棄、同条(e)の比較可能な一組の処理への単一の評価、同条(f)の他法令のための評価による充足、同条(g)(1)(2)のデータ保護評価が2023年7月1日以後、影響評価が2026年8月1日以後に作成または生成された処理活動に適用され遡及しないこと）の一次情報として。確認日は2026年8月27日。（2026年8月確認）
2. *2　参考：Connecticut General Assembly「General Statutes of Connecticut, Chapter 743jj, Sec. 42-525 — Enforcement by Attorney General. Notice of violation. Cure period. Report. Penalty.」（https://www.cga.ct.gov/current/pub/chap_743jj.htm）。同条(a)の州司法長官による専属的執行権限、同条(b)の2023年7月1日から2024年12月31日まで（消費者健康データ管理者については2023年10月1日から）の違反通知と受領から60日の是正期間および州司法長官の報告、同条(c)の2025年1月1日以降に是正の機会を与えるかを判断する際の7つの考慮要素、同条(d)の私訴権の否定、同条(e)の違反が不公正な取引慣行に当たることと州司法長官のみによる執行の一次情報として。確認日は2026年8月27日。（2026年8月確認）

Tweet