LASSIC Media らしくメディア

監修・編集責任者：牛尾 昭昌（株式会社LASSIC 執行役員）

同意や拒否の扱いは、これまでサイト側の実装の話でした。バナーを出し、選択を保存し、送信先へ伝える。その前段にあたるブラウザの側に義務を置いた州法が成立しています。

米国カリフォルニア州の議会法案566はOpt Me Out法という略称を自ら定め、2025年10月8日に知事の承認を受けて2025年法律第465号となりました*1。民法典に第1798.136条を加え、施行は2027年1月1日です*1。ブラウザを開発または維持する事業者に、拒否信号を送れる設定を備えることを求める条文です*1。

確かめたい点は4つあります。誰に何が課されるのか、信号とは何を指すのか、受け取る側の扱いはどうなっているのか、免責はどこまで及ぶのか。法文から順に見ていきます。

ブラウザ側に課されたのは3つ

まず、何が求められるかです*1。

第1798.136条(a)(1)は事業者は、消費者が当該ブラウザを通じてやり取りする事業者に対して拒否設定信号を送ることを可能にする、消費者が構成できる機能を含まないブラウザを、開発し、または維持してはならないと定めます*1。禁止の形で書かれていますが、実質は機能を備える義務です*1。

2つ目が発見性です*1。同(a)(2)は第(1)号により求められる機能は、合理的な人にとって見つけやすく、かつ構成しやすいものでなければならないとしました*1。設定画面の奥に置くだけでは足りない書き方です*1。

3つ目が開示です*1。同(b)はブラウザを開発または維持する事業者は、拒否設定信号がどのように働くか、および拒否設定信号の意図された効果について、その公開の開示において消費者に明らかにするものとすると定めます*1。仕組みと、期待できる効果の2点が対象です*1。

定義も条文に置かれました*1。同(e)(1)はブラウザとは、消費者がインターネットのウェブサイトを見つけ、アクセスし、閲覧するために使用する、対話型のソフトウェア・アプリケーションを意味するとします*1。同(e)(2)は拒否設定信号とは、この編に適合し、かつ消費者の個人情報の販売および共有を拒否するという当該消費者の選択を伝える信号を意味すると定めました*1。

ブラウザの定義が対話型のソフトウェア・アプリケーションと機能で書かれている点は、対象の広さに関わります*1。閲覧の機能を持つアプリケーションが、この定義にどう当たるかは製品ごとの判断になります*1。自社製品にウェブ表示の機能を組み込んでいる場合、まず定義との距離を確かめることになります。

受け取る側の規定は、すでに置かれている

信号を受け取る事業者の側は、既存の条文が扱っています*2。

第1798.135条(a)は、個人情報を販売または共有する事業者に、ホームページ上の明確で目立つリンクの掲示を求めます*2。「Do Not Sell or Share My Personal Information」と題するリンクと、「Limit the Use of My Sensitive Personal Information」と題するリンクの2つで、事業者の裁量で1つのリンクにまとめることも認められています*2。

そして同(b)(1)が、信号による代替を認めました*2。事業者は、第1798.185条(a)(19)にもとづき採択された規則に定める技術仕様にもとづき、プラットフォーム、技術または仕組みによって消費者の同意を得て送られる拒否設定信号を通じて、消費者が個人情報の販売もしくは共有を拒否し、かつ機微な個人情報の利用を制限できるようにしている場合には、同条(a)に適合することを求められないという条文です*2。

つまり、信号を尊重する実装を取れば、リンクの掲示に代えられます*2。あわせて同(b)(2)は第(1)号にもとづく方法を採る事業者は、当該事業者による販売もしくは共有、または機微な個人情報の利用に関して、拒否設定信号を無視することへ消費者が同意できるウェブページへのリンクを提供することができるとしています*2。

この構造を踏まえると、AB566の位置づけが見えてきます*1*2。受け取る側の規定は先にあり、そこに信号を送る側の義務が後から足された形です*1*2。消費者の選択を伝える経路を、ブラウザの標準の機能として確保する狙いだと読めます*1。

実装の観点では、送出と受信で作業が分かれます*1*2。送出側はブラウザの設定と信号の送信、受信側は信号の検出と処理、そして処理した記録です。サイト側で同意と拒否を扱う仕組みの作り方は外部送信規律と同意管理で扱う設計が土台になります。信号の識別と保存の基本はCookieとセッション管理で扱う仕組みの延長にあります。

他州の制度と比べると、義務の置き方の違いが分かります*1。米国デラウェア州の枠組みでは、事業者の側に拒否信号への対応が求められる形が採られました。その内容はデラウェア州の拒否信号で扱っています。カリフォルニア州は、これに加えて信号を送る側の製品にも義務を置いたことになります*1。

信号を受け取ったときに、やってはいけない5つ

受け取る側の規則の方向も、法律の側に書かれています*3。

第1798.185条(a)(19)は、同庁に対し第1798.135条(b)に従うことを選択した事業者が、拒否設定信号にどのように応答し、その後に消費者が販売もしくは共有への同意を与える機会をどのように提供するかを規律する規則を発することを求めています*3。そして、その規則が満たすべき条件が列挙されました*3。

まず方向性です*3。同(A)は競争と消費者の選択を促進するよう努め、技術的に中立であることとします*3。

次に、事業者が信号に応答する際の禁止です*3。同(B)は、規則が次のことを事業者が行わないよう確保すべきだとしました*3。

5つ目は、実装の判断に直結します*3。信号を受け取ったことを知らせる表示を出す作りは、この方向とは逆になります*3。処理したことは記録に残し、画面には出さないという整理です*3。

同意への導線についても条件が置かれました*3。同(C)は、消費者が同意できるウェブページへのリンクについて消費者が訪れようとしたウェブページの一部を全体の視界から遮る、またはその閲覧の体験を妨げるポップアップ、通知、バナーその他の侵入的な設計の一部でないこと、製品やサービスの十分な機能を得るためにリンクをクリックしなければならないと求め、または暗示しないこと、ダークパターンを用いないこと、消費者がやり取りしようとする当該事業者にのみ適用されることを挙げています*3。

あわせて同(D)は拒否設定信号への応答における強圧的または欺瞞的な実務を抑えるよう努めるべきであるが、第1798.135条に誠実に従おうとしている事業者を過度に制限すべきではないとしました*3。禁止の側と、実務への配慮の側が同じ号に書かれています*3。

免責は「受け取った側の違反」に限られる

第(d)項の免責は、範囲を読み分ける値があります*1。

条文はこの条にもとづき拒否設定信号を送ることを可能にする機能を含むブラウザを開発または維持する事業者は、当該拒否設定信号を受け取った事業者によるこの編の違反について、責任を負わないと定めます*1。

免責される対象は、受け取った事業者の違反です*1。信号を送ったのに無視された場合の責任が、ブラウザ側へ及ばないという趣旨に読めます*1。一方で、機能そのものを備えていない場合や、発見性・開示の要件を満たしていない場合は、この免責の前提から外れます*1。条文は機能を含むブラウザを主語にしているためです*1。

規則の余地も残されました*1。同(c)はカリフォルニアプライバシー保護庁は、この条を実施し、運用するために必要な規則を採択することができるとしています*1。信号の技術的な仕様は、受け取る側について第1798.185条(a)(19)にもとづく規則が扱う構造になっており*2、送る側についても規則が置かれる余地があるという書き方です*1。

この点は、実装の時期の判断に関わります*1。2027年1月1日という施行日は条文に書かれていますが*1、細部が規則で定まる可能性が残っています*1。同庁が自動意思決定の分野で規則づくりを進めている状況はCPPAの自動意思決定規則で扱っており、規則の側で要件が具体化される進め方はこの分野で繰り返されています。

あわせて、法案の位置づけも条文に書かれています*1。第3条はこの法律が2020年カリフォルニアプライバシー権法の目的および意図を促進するものであることを、州議会は認定し宣言するとしました*1。2020年11月3日の州全体の一般選挙で提案24号として承認された法律の枠内にある立法だという宣言です*1。

受託側が先に決めておくとよい4点

条文を実装の言葉に置き換えると、決めておく項目は次のように整理できます。

第一に、自社製品が定義に当たるかの判断です。ブラウザは消費者がウェブサイトを見つけ、アクセスし、閲覧するために使用する対話型のソフトウェア・アプリケーションと定義されています*1。ウェブ表示の機能を持つアプリケーションについては、その位置づけを先に整理しておくことになります。

第二に、設定の発見性を設計の要件として扱うことです。条文は合理的な人にとって見つけやすく、構成しやすいことを求めます*1。階層の深さ、名称、既定の状態、説明文の置き方が、この要件に対する答えになります。設定画面の作り方の考え方は権限リクエストのUXで扱う設計と重なります。

第三に、開示文書の内容を実装と対応づけることです。公開の開示では、信号の働き方と意図された効果を明らかにします*1。どのサイトへ、どの形式で送るのか、送った結果として何が起きうるのかを、実装の仕様から書き起こす形になります。実装を変えたときに開示も更新する経路を決めておくと、齟齬が残りません。

第四に、受け取る側の実装も同時に見ることです。自社がサイトも運営している場合、送出側と受信側の両方に関わります*1*2。第1798.135条(b)(1)の方法を採るなら、信号の検出と処理、そして処理したことの記録が要ります*2。欧州側でも同意の取り方を簡素化する方向の見直しが進んでおり、その内容はEUデジタルオムニバスで扱っています。

誤解されやすいのは、すべての事業者に新しい実装が要るという読み方です。第1798.136条の義務は、ブラウザを開発または維持する事業者に向けられています*1。サイト側の扱いは第1798.135条の既存の規定が定めており、今回の条文がそれを変えたわけではありません*1*2。どちらの立場で関わるのかを先に確かめるほうが正確です。

もう1点、施行日の読み方にも注意が要ります*1。第(f)項はこの条は2027年1月1日から施行されると定めています*1。法律そのものは2025年に成立していますが、条文が効力を持つのはこの日からです*1。製品の開発計画の側では、この日までに機能と開示をそろえる形になります*1。

まとめ：ブラウザの拒否信号で押さえる3つの視点

米国カリフォルニア州の議会法案566はOpt Me Out法という略称を自ら定め、2025年10月8日に知事の承認を受けて2025年法律第465号となり、民法典に第1798.136条が加わりました。押さえたい視点は三つあります。第一に、誰に何が課されるのか。ブラウザを開発または維持する事業者は、消費者が構成できる機能として拒否設定信号を送れる仕組みを備え、その機能を合理的な人にとって見つけやすく構成しやすいものにし、公開の開示で信号の働き方と意図された効果を明らかにします。施行は2027年1月1日です。第二に、受け取る側との関係。第1798.135条(a)は「Do Not Sell or Share My Personal Information」などのリンクの掲示を求めますが、同条(b)(1)は、規則の技術仕様にもとづく拒否設定信号を通じて販売・共有の拒否と機微な個人情報の利用の制限ができるようにしている場合には、そのリンクの掲示を求められないと定めます。第三に、免責と規則。機能を備えたブラウザの事業者は、信号を受け取った事業者による違反について責任を負いません。ただし免責の主語は機能を含むブラウザであり、機能や発見性、開示の要件を満たしていない場合はその前提から外れます。カリフォルニアプライバシー保護庁は、この条を実施し運用するために必要な規則を採択できるとされました。

よくある質問

出典

1. *1　参考：カリフォルニア州議会 議会法案566「California Consumer Privacy Act of 2018: opt-out preference signal.」（Opt Me Out法・2025年法律第465号・2025年10月8日知事承認／州務長官提出・民法典第1798.136条を追加）（https://leginfo.legislature.ca.gov/faces/billTextClient.xhtml?bill_id=202520260AB566）。成立した法文の一次情報として。第1条の略称（California Opt Me Out Act）、新設された民法典第1798.136条の(a)(1)の機能の義務、(a)(2)の見つけやすさと構成しやすさ、(b)の公開の開示、(c)のカリフォルニアプライバシー保護庁による規則、(d)の免責、(e)のブラウザと拒否設定信号の定義、(f)の2027年1月1日施行、および第3条の2020年カリフォルニアプライバシー権法の目的を促進する旨の宣言と、立法顧問要旨（CCPAの権利、提案24号による改正と同庁の権限）を確認した。確認日は2026年9月8日。（2026年9月確認）
2. *2　参考：カリフォルニア州法 民法典 第1798.135条（販売・共有および機微な個人情報の利用を制限する方法）（https://leginfo.legislature.ca.gov/faces/codes_displaySection.xhtml?lawCode=CIV&sectionNum=1798.135）。拒否設定信号を受け取る側の既存規定として。同条(a)(1)の「Do Not Sell or Share My Personal Information」リンク、(a)(2)の「Limit the Use of My Sensitive Personal Information」リンク、(a)(3)の1つのリンクにまとめる裁量、(b)(1)の拒否設定信号による代替（第1798.185条(a)(19)にもとづく規則の技術仕様に依拠すること）、(b)(2)の信号を無視することへ同意できるウェブページへのリンクを確認した。確認日は2026年9月8日。（2026年9月確認）
3. *3　参考：カリフォルニア州法 民法典 第1798.185条(a)(19)（拒否設定信号への応答を規律する規則）（https://leginfo.legislature.ca.gov/faces/codes_displaySection.xhtml?lawCode=CIV&sectionNum=1798.185）。受け取る側の規則が満たすべき条件として。同(19)の柱書（第1798.135条(b)に従うことを選択した事業者の応答と、その後の同意の機会を規律する規則を発すること）、(A)の競争と消費者の選択の促進および技術的中立、(B)(i)から(v)までの避けるべき行為（機能の意図的な劣化、料金の請求、製品・サービスが正しくまたは十分に働かない状態、不利になると述べ・暗示して同意を促すこと、信号への応答としての通知やポップアップの表示）、(C)(i)から(iv)までの同意用リンクの条件（侵入的な設計の一部でないこと、十分な機能のためにクリックが必要と求め・暗示しないこと、ダークパターンを用いないこと、当該事業者にのみ適用されること）、(D)の強圧的・欺瞞的な実務の抑制と誠実な事業者を過度に制限しない旨を確認した。確認日は2026年9月8日。（2026年9月確認）

Tweet