LASSIC Media らしくメディア

監修・編集責任者：牛尾 昭昌（株式会社LASSIC 執行役員）

個人情報をどこから集め、どこへ渡しているか。この問いに答える義務が、米国の州法で少しずつ細かくなっています。項目が増えるだけなら台帳の追記で済みますが、提供先の類型ごとに申告を求められると、データの流れそのものを追える状態が必要になります。

米国カリフォルニア州の上院法案361は2025年10月8日に知事の承認を受け、2025年法律第466号となりました*1。民法典の第1798.99.82条、第1798.99.84条、第1798.99.86条を改める法律で、いずれもデータブローカーの登録に関する規定です*1。

確かめたい点は4つあります。誰が対象になるのか、申告項目はどう増えたのか、削除の仕組みはどの周期で回るのか、監査と記録は何年分必要なのか。法文から順に見ていきます。

申告する項目は(A)から(X)の24になった

まず、改正の全体像です*1。

対象となるデータブローカーの定義は、改正されていない第1798.99.80条(c)にあります*2。直接の関係を持たない消費者の個人情報を、故意に収集し、第三者へ販売する事業者という書き方です*2。ここから4つの類型が除かれます*2。連邦公正信用報告法の対象となる範囲、グラム・リーチ・ブライリー法とその施行規則の対象となる範囲、保険情報プライバシー保護法の対象となる範囲、そして第1798.146条により個人情報の取扱いが適用除外となる対象事業体とその業務提携者です*2。

登録そのものの期限も同じ場所にあります*1。第1798.99.82条(a)はデータブローカーの定義に当たる年ごとに、その翌年の1月31日までに、カリフォルニアプライバシー保護庁に登録すると定めます*1。年に1回の手続きで、当てはまった年の翌年が期限です*1。

今回の改正で、登録時に提供する情報が(A)から(X)までの24項目に整理されました*1。従来からあった氏名と各種の所在地、第1798.99.85条(a)の(1)と(2)で集計した指標、未成年者の個人情報の収集の有無、正確な位置情報の収集の有無、生殖医療のデータの収集の有無に加えて、収集するデータの種類ごとの申告が並びます*1。

目を引くのは、提供先を類型で申告させる5項目です*1。

定義も条文に置かれました*1。同条(f)(1)は外国の主体を、外国の敵対国の政府、または当該国の法にもとづき組織され、もしくは主たる事業所を当該国に置く組合・団体・法人・組織その他の人の結合と定め、外国の敵対国は合衆国法典第10編第4872条に定める対象国と同じ意味とします*1。同(f)(2)は生成AIのシステムの開発者を、生成AIのシステムを設計し、コードを書き、製作し、または実質的に改変する事業者・人・組合・法人その他の主体と定めました*1。

提供先の名前ではなく類型で問う書き方なので、取引先の一覧だけでは答えられません*1。相手方がどの類型に当たるかを契約の情報と突き合わせて判定する作業が入ります。データの流れを一覧できる状態を作る話はデータカタログとデータガバナンスで扱う設計と重なります。

公開されない3項目と、公開される項目

登録した内容は、そのまま公開されるわけではありません*1。

第1798.99.84条(a)は、庁が自庁のウェブサイトに、登録情報と削除の仕組みへ公衆がアクセスできるページを設けると定めます*1。今回の改正は、そこに例外を足しました*1。同条(b)は第1798.99.82条(b)(2)の(D)、(G)および(T)にもとづきデータブローカーが提供した情報は、庁のウェブサイトにおいて公衆がアクセスできるようにしてはならないとしています*1。

この3つが何を指すかを並べると、非公開の趣旨が見えてきます*1。

裏返すと、それ以外は公開されます*1。政府識別番号（(F)）、市民権や在留の資格（(H)）、労働組合への加入（(I)）、性的指向（(J)）、生体データ（(L)）、正確な位置情報（(M)）、生殖医療のデータ（(N)）、そして表1の提供先の5項目です*1。自社の登録内容が公開の側に並ぶ前提で申告の文言を決めることになります。

もう1つ、消費者向けのページを求める項目があります*1。同(b)(2)(V)は、権利の行使方法を説明するページへのリンクの提供を求め、削除・訂正・収集内容の確認・販売や共有の相手方・拒否の方法・機微な個人情報の制限という6つの説明を並べたうえで、ダークパターンを用いないことを条件としました*1。

同(b)(2)(W)は、自社または子会社が連邦公正信用報告法、グラム・リーチ・ブライリー法、保険情報プライバシー保護法、医療情報の秘密保持法または連邦の医療保険の相互運用性と説明責任に関する法律にもとづく規則のいずれの規制を受けるかを、範囲とともに申告させます*1。規制の重なりを可視化する項目です*1。

指標の側は改正されていない第1798.99.85条が担います*3。同条(a)は、暦年の翌年7月1日までに、受領・応諾・拒否の件数と、実質的な回答までの日数の中央値と平均値を集計し、自社のプライバシーポリシーで開示することを求めます*3。同条(b)は拒否の理由を確認できなかった、消費者からの請求でなかった、削除の対象外の情報を求めていた、その他の4つに分けた件数の開示を求めます*3。

削除の仕組みは45日で回り続ける

ここが運用の中心です*1。

第1798.99.86条(a)は2026年1月1日までに、カリフォルニアプライバシー保護庁はアクセスしやすい削除の仕組みを設けると定めます*1。1回の確認可能な請求で、個人情報を保持するすべてのデータブローカーとその関連するサービス提供者・請負者に対して削除を求められるものです*1。消費者は特定のデータブローカーを除外して請求でき、前回の請求から45日が経てば内容を変える請求もできます*1。

事業者側の義務は日付が違います*1。同条(c)(1)は2026年8月1日から、データブローカーは45日ごとに少なくとも1回この仕組みを参照すると定め、そのうえで4つの動作を求めます*1。

今回の改正が加えたのは、(B)の受領から45日以内にという期限です*1。従来は拒否した請求を拒否として扱う旨だけが書かれており、いつまでに処理するかが明示されていませんでした*1。確認できなかった請求を放置できない構造になったことになります*1。

削除しなくてよい場合も定めがあります*1。同(c)(2)は、第1798.105条(d)に挙げる目的を果たすために保持が合理的に必要な場合と、第1798.145条または第1798.146条により削除が求められない場合の2つを挙げます*1。ただし同(c)(3)は、そうして残した情報を当該目的以外に用いてはならず、販売促進を含むいかなる他の目的にも用い、または開示してはならないと縛りました*1。

そして周期の話が続きます*1。同条(d)(1)は、削除を実施したあとも45日ごとに少なくとも1回、当該消費者の個人情報を削除することを求めます*1。同(d)(2)は当該消費者の新たな個人情報を販売または共有してはならないと定めます*1。いずれも消費者が別の申し出をした場合と、第1798.145条・第1798.146条により削除が求められない場合を除きます*1。

つまり、削除は1回で終わる処理ではありません*1。請求済みの消費者の一覧を持ち続け、45日ごとに新規の取り込み分と突き合わせて落とす仕組みが要ります*1。定期実行の設計と失敗時の再実行をどう作るかはバッチ処理の運用で扱う論点がそのまま当てはまります。

費用の定めも入りました*1。同条(f)は、庁が削除の仕組みへのアクセスに際して、提供に要する合理的な費用を超えない範囲でアクセス料を課すことができるとしています*1。

2028年から3年ごとに第三者の監査を受ける

記録の話が最後に来ます*1。

第1798.99.86条(e)(1)は2028年1月1日から、およびその後3年ごとに、データブローカーはこの条への適合を判定するため、独立した第三者による監査を受けると定めます*1。同(e)(2)は、庁からの書面による要求から5営業日以内に、監査から生じた報告書と関連資料を庁へ提出することを求めます*1。同(e)(3)は、その報告書と資料を6年以上保持するとしました*1。

登録の側にも対応する項目が加わります*1。第1798.99.82条(b)(2)(U)は2029年1月1日から、監査を受けたかどうか、受けた場合は報告書と関連資料を庁へ提出した直近の年を申告させます*1。監査の実施と、その事実の公示が2段構えになっている形です*1。

制裁の額も改まりました*1。第1798.99.82条(c)は、登録を怠った場合に登録を怠った各日について200ドルの過料、怠っていた期間に相当する登録料、および庁が調査と手続に要した合理的な費用を科すと定めます*1。同条(d)は、第1798.99.86条の要件に従わなかった場合について各削除請求につき、削除を怠った各日について200ドルの過料と、庁の合理的な費用を挙げます*1。

1日あたりの過料が請求の件数ごとに積み上がる書き方なので、処理の遅れが件数に比例して膨らみます*1。誰の請求をいつ処理し、どの系統へ指示を出したかを追える形は監査ログの設計で扱う考え方と同じです。

受託側が先に決めておくとよい4点

ここまでの内容を、開発と運用の作業に落とします。

1点目は、申告項目と保持データの対応づけです。(A)から(X)の24項目は、収集の有無と提供先の類型を問う形になっています*1。どのテーブルのどの列が(D)から(N)のどれに当たり、どの連携先が(O)から(S)のどれに当たるかを表にしておくと、毎年1月の登録が転記の作業になります。収集の経路と保持期間も同じ表に並べておくと後の監査で使えます。

2点目は、45日周期の実装方針です。参照の周期と処理の期限がどちらも45日なので、参照した日を起点に期限を持つレコードを作る形が素直です*1。同じ消費者に対して45日ごとの再削除が続くため、処理済みの一覧を消さずに持ち、新規取り込みとの差分を毎回計算します*1。再実行しても結果が変わらない作りにしておくと、途中で失敗したときの復旧が単純になります。

3点目は、サービス提供者と請負者への指示の経路です*1。第1798.99.86条(c)(1)の(C)と(D)は、自社の削除にとどまらず関連する相手方への指示を求めます*1。委託先ごとに受け口を決め、指示を送った記録と相手方が処理した旨の記録を残します。契約の書き方まで含めて整えると、監査で説明できる形になります。

4点目は、6年の保持と5営業日の提出です*1。監査の報告書と関連資料は6年以上保持し、書面の要求から5営業日以内に提出します*1。要求が来てから探す形では日数が足りないため、監査の年ごとに提出物をまとめた区画を作り、資料の一覧を先に用意しておくことになります。保存先の選び方と期間の管理はログの保持期間とローテーションで整理した考え方が土台になります。

なお、日本の事業者にとっては国内の規律との重なりも論点になります。第三者提供の記録や本人の請求への対応は個人情報保護法の実務で扱う枠組みと接します。どちらの規律でも、データの流れを追える状態が前提になる点は共通しています。

まとめ：データブローカー登録の改正で押さえる3つの視点

米国カリフォルニア州の上院法案361は2025年10月8日に知事の承認を受けて2025年法律第466号となり、民法典の第1798.99.82条、第1798.99.84条、第1798.99.86条が改まりました。押さえたい視点は三つあります。第一に、申告の粒度。登録で提供する情報は(A)から(X)までの24項目になり、収集するデータの種類ごとの申告に加えて、過去1年に外国の主体、連邦政府、他州の政府、法執行機関、生成AIのシステムまたはモデルの開発者へ共有または販売したかどうかを申告します。外国の主体と生成AIの開発者は条文に定義が置かれました。第二に、公開の範囲。庁は登録情報を自庁のウェブサイトで公開しますが、(D)の氏名や生年月日などの収集の有無、(G)の広告識別番号などの収集の有無、(T)の最も多い種類の個人情報は公開されません。第三に、削除と監査の周期。庁は2026年1月1日までに削除の仕組みを設け、事業者は2026年8月1日から45日ごとに参照して受領から45日以内に処理し、確認できない請求は同じ45日以内に販売・共有の拒否として扱います。削除後も45日ごとの再削除が続き、2028年1月1日から3年ごとに独立した第三者の監査を受け、報告書と関連資料は6年以上保持して書面の要求から5営業日以内に提出します。

よくある質問

出典

1. *1　参考：カリフォルニア州議会 上院法案361「Data brokers: data collection and deletion.」（2025年法律第466号・2025年10月8日知事承認／州務長官提出・民法典第1798.99.82条・第1798.99.84条・第1798.99.86条を改正）（https://leginfo.legislature.ca.gov/faces/billTextClient.xhtml?bill_id=202520260SB361）。成立した法文の一次情報として。第1798.99.82条(a)の毎年1月31日までの登録、同条(b)(2)の(A)から(X)までの24項目、同条(c)(d)の1日200ドルの過料、同条(f)の外国の主体・生成AIの開発者・生成AIのシステムの定義、第1798.99.84条(b)の(D)(G)(T)の非公開、第1798.99.86条(a)の2026年1月1日までの仕組みの設置、同条(c)(1)の2026年8月1日からの45日ごとの参照と(A)から(D)までの4動作、同条(c)(2)(3)の例外と目的外利用の禁止、同条(d)の45日ごとの再削除と新たな販売・共有の禁止、同条(e)の2028年1月1日から3年ごとの監査・5営業日以内の提出・6年以上の保持、同条(f)のアクセス料、第4条の宣言を確認した。確認日は2026年9月8日。（2026年9月確認）
2. *2　参考：カリフォルニア州法 民法典 第1798.99.80条（データブローカー登録の定義）（https://leginfo.legislature.ca.gov/faces/codes_displaySection.xhtml?lawCode=CIV&sectionNum=1798.99.80）。対象となる事業者の範囲として。同条(a)の第1798.140条の定義の準用、(b)の授権された代理人、(c)のデータブローカーの定義（直接の関係を持たない消費者の個人情報を故意に収集し第三者へ販売する事業者）と、(c)(1)から(4)までの4つの除外（連邦公正信用報告法、グラム・リーチ・ブライリー法とその施行規則、保険情報プライバシー保護法、第1798.146条による適用除外の対象事業体とその業務提携者）を確認した。2023年法律第709号（上院法案362）第1条による改正・2024年1月1日施行の版。確認日は2026年9月8日。（2026年9月確認）
3. *3　参考：カリフォルニア州法 民法典 第1798.99.85条（請求の件数と応答日数の開示）（https://leginfo.legislature.ca.gov/faces/codes_displaySection.xhtml?lawCode=CIV&sectionNum=1798.99.85）。登録時に申告する指標の内容として。同条(a)(1)の受領・応諾・拒否の件数の集計、(a)(2)の実質的な回答までの日数の中央値と平均値の集計、(a)(3)の翌年7月1日までのプライバシーポリシーでの開示、(b)(1)から(4)までの拒否理由の4区分（確認できなかった／消費者からの請求でなかった／削除の対象外の情報を求めていた／その他）、(c)の第1798.145条・第1798.146条の各規定ごとの件数の特定を確認した。2023年法律第709号（上院法案362）第5条による追加・2024年1月1日施行の版。確認日は2026年9月8日。（2026年9月確認）

Tweet