LASSIC Media らしくメディア

監修・編集責任者：牛尾 昭昌（株式会社LASSIC 執行役員）

自動化された決定の規制は、どこまでの道具を対象にするかで実務の負担が大きく変わります。豪州の透明性義務は表計算ソフトの計算式まで届きうる書き方でしたが、カリフォルニアは逆です。

カリフォルニア州プライバシー保護局（CPPA）のCCPA規則は、自動化意思決定技術（ADMT）について表計算や計算機、データベースを名指しで対象外としています*1。ただし条件付きで、人の意思決定を置き換えない限りという留保が付きます*1。遵守の期限は2027年1月1日です*1。

米国向けにサービスを出している企業と、そうしたシステムを受託して作る立場に向けて、規則から読み取れる要件を整理します。個別の適用は事情によりますので、法務の確認を経て進めてください。

2027年1月1日という期限と、ADMTの定義

まず期限です*1。

第7200条(a)は、消費者に関する重大な決定を行うためにADMTを用いる事業者は、この規則の要件に従わなければならないとしています*1。

同条(b)は時期を定めます*1。2027年1月1日より前に重大な決定のためにADMTを用いている事業者は、2027年1月1日までに要件を満たしていることが求められます*1。同日以後に用い始める事業者は、重大な決定のためにADMTを用いているときは常に要件を満たしていることが求められます*1。

定義は第7001条(e)です*1。ADMTとは、個人情報を処理し、計算処理を用いて人の意思決定を置き換える、または実質的に置き換える技術をいうとされています*1。

鍵になるのが「実質的に置き換える」の意味です*1。同(e)(1)は、これを事業者が人の関与なしに技術の出力を用いて決定を行うことと定義し、人の関与には人の審査者が次の三つを満たすことが必要だとしています*1。

三つとも満たしていなければ、形式的に人が承認していても「人の関与」があるとは扱われません*1。承認ボタンを押すだけの運用や、出力の読み方を知らない担当者が確認しているだけの運用は、この定義では足りない読み方になります*1。

同(e)(2)は、人の意思決定を置き換えるか実質的に置き換えるプロファイリングもADMTに含まれるとしています*1。

そして同(e)(3)が除外です*1。ウェブホスティング、ドメイン登録、ネットワーキング、キャッシュ、ウェブサイトの読み込み、データ保管、ファイアウォール、ウイルス対策、マルウェア対策、迷惑メールや自動音声通話のフィルタリング、スペルチェック、計算機、データベース、表計算は、人の意思決定を置き換えない限りADMTに含まれないとされています*1。

つまり「道具の種類」で外れるわけではありません*1。表計算で判断そのものを置き換えていれば、除外の留保が外れます*1。豪州のように「判断の鍵になっているか」を見る発想と、結論の近さは残ります*1。

「重大な決定」は5分野、広告は入らない

対象を絞るもうひとつの軸が重大な決定です*1。

第7001条(ddd)は、これを金融もしくは貸付サービス、住宅、教育の在籍もしくは機会、雇用もしくは独立請負の機会もしくは報酬、または医療サービスの提供または拒否をもたらす決定と定義しています*1。

それぞれの中身も書かれています*1。

金融または貸付サービスは、信用や融資の供与、資金の送金または交換、預金口座や当座口座の提供、小切手の現金化、分割払いのプランです*1。

住宅は、住居や睡眠の場所として使用され、または使用されるよう設計・意図された建物やその一部で、恒久的な入居も一時的な入居も含みます*1。ただし、住宅の空室状況だけ、または支払いの受領の成否だけに基づいて住宅を提供または拒否する場合は、重大な決定を行っているとはされません*1。

教育の在籍または機会は、学術または職業のプログラムへの入学や受入れ、学位や修了証などの教育資格、そして停学と退学です*1。

雇用または独立請負の機会または報酬は、採用、従業員への業務の配分または割当て、給与や時間給や案件ごとの報酬や賞与などのインセンティブ報酬その他の便益（あわせて「業務配分と報酬」）、昇進、そして降格・停職・解雇です*1。

医療サービスは、人の疾病や障害の診断、予防、治療に関するサービス、または個人の健康の評価やケアに関するサービスです*1。

そして同(ddd)(6)は、消費者への広告は重大な決定に含まれないとしています*1。

広告を外す一方で、雇用の分野は広く取られています*1。採用だけでなく、業務の配分や割当て、賞与などのインセンティブ報酬、昇進、降格や停職や解雇まで含まれるため、人事や勤怠の仕組みに点数計算やしきい値が入っていれば対象になりえます*1。従業員向けの仕組みは社外向けほど棚卸しが進んでいないことが多く、確認の抜けが出やすいところです*1。

この一文は、豪州の整理との違いが出るところです*1。豪州の資料では、価格差や雇用機会の制限をもたらすターゲティングが重大な影響の例として挙げられていました*1。広告配信を対象に含めるかどうかで、法域が分かれています*1。

事前通知に書くこと、書かなくてよいこと

第7220条が事前通知（Pre-use Notice）を定めます*1。

提示の時期は、ADMTで処理する予定の個人情報を収集する時点までです*1。すでに別の目的で収集済みの個人情報をADMTで処理しようとする場合は、その目的での処理を始める前に事前通知を提供することとされています*1。表示は目立つ形で、事業者が主に消費者と関わっている方法で行います*1。

内容は同条(c)です*1。

(1) 具体的な目的の説明です。平易な言葉で、ADMTを用いる予定の具体的な目的を説明します*1。規則は「重大な決定を行うため」といった一般的な書き方では足りないと明記しています*1。それでは、どの決定のためにADMTを用いるのかが消費者に伝わらないという理由です*1。

(2) オプトアウトの権利と方法です。後述の例外に依拠して拒否の手段を設けない場合は、不服を申し立てられることと、その方法を伝えるか、依拠する例外を特定して示すこととされています*1。

(3) アクセス権と方法です。ADMTに関するアクセス請求の方法を示します*1。

(4) 報復の禁止です。CCPA上の権利を行使した消費者に報復することが禁じられていることを示します*1。

(5) 仕組みの追加情報です。階層化した通知やリンクといった簡便な方法で提供してよいとされ、平易な言葉で次を説明します*1。ADMTがどのように個人情報を処理して重大な決定を行うか（出力に影響する個人情報のカテゴリを含む）*1。出力の種類と、それがどう決定に用いられるか（出力が唯一の要素かどうか、他の要素は何か、そして「人の関与」の要件を満たさない形で人が関わっている場合はその人の役割）*1。そしてオプトアウトした消費者に対する代替の手続です*1。

書かなくてよいものも定められています*1。同条(d)は、営業秘密、およびセキュリティ事案の防止・検知・調査、悪意ある行為への対抗、自然人の身体の保全といった能力を損なう情報は含める必要がないとしています*1。

通知をまとめることも認められています*1。同条(e)は、ひとつのADMTを複数の目的で用いる場合と、複数のADMTをひとつの目的で用いる場合について、必要な情報を含んでいれば統合した事前通知を提供できるとしています*1。後者の例として、履歴書を選別するソフトと候補者の音声を評価するソフトを併用する求職者向けの通知が挙げられています*1。

オプトアウトの3つの例外と、アクセス権の中身

第7221条(a)は、重大な決定のためのADMTの利用について、消費者がオプトアウトできる手段を提供することを原則としています*1。手段は2つ以上で、少なくともひとつは主に消費者と関わっている方法を反映したものとされ、オンラインで関わる事業者にはオンラインでの提出を認めることが求められます*1。

同条(b)が例外です*1。三つあります*1。

(1) 人による不服審査です。事業者が、決定を覆す権限を持つ人の審査者へ不服を申し立てる方法を消費者に提供する場合です*1。この例外に当たるには、出力と関連情報を検討し分析する人の審査者を指定し、その者が消費者が不服の理由として提出した情報を考慮し、当該ADMTの出力の解釈と利用を理解しており、分析に基づいて決定を変更する権限を有していることが必要です*1。申立ての方法は容易で最小限の手順であることも求められます*1。

(2) 採用・受入れの評価のみに用いる場合です。入学、受入れ、採用の決定について、職務または教育プログラムでの遂行能力の評価のためだけにADMTを用い、かつその用途に適合し、保護される属性に基づく違法な差別をしない場合です*1。

(3) 業務配分と報酬のみに用いる場合です。業務の配分・割当てまたは報酬の決定について、その目的のためだけにADMTを用い、かつその用途に適合し、違法な差別をしない場合です*1。

設計の分岐点はここです*1。拒否の窓口を作るか、覆せる人を置くか——どちらを選ぶかで、必要な仕組みが変わります*1。後者を選ぶ場合、審査者の権限と力量が要件になるため、運用の設計まで含めて詰めることになります*1。

アクセス権は第7222条です*1。重大な決定のためにADMTを用いる事業者は、アクセス請求に応じて平易な言葉で次を説明することとされています*1。

(1) 当該消費者についてADMTを用いた具体的な目的です*1。「サービス改善のため」といった一般的な書き方は認められません*1。

(2) ロジックに関する情報です*1。消費者が、ADMTが自らの個人情報をどう処理して出力を生んだかを理解できるものである必要があり、出力を生んだパラメータや当該消費者についての具体的な出力を含みうるとされています*1。

(3) 意思決定の結果です*1。事業者が出力をどう用いて重大な決定を行ったか——出力が唯一の要素だったか、そうでなければ他にどの要素が関わったか、そして「人の関与」の要件を満たさない形で人が関わっていた場合はその人の役割を示します*1。将来さらに重大な決定に用いる予定がある場合は、その用い方も含めるとされています*1。

着手の順序と、受託で進めるときの要点

優先順位を付けるなら、次の順です。

第一に、重大な決定の洗い出しです。金融・貸付、住宅、教育、雇用、医療の五分野で、提供または拒否をもたらす決定を列挙します*1。広告は含まれないため、対象から切り分けます*1。

第二に、「人の関与」の点検です。列挙した決定について、承認者が出力の読み方を理解し、関連情報を検討し、決定を変更する権限を持っているかを確かめます*1。三つのいずれかが欠けていれば、ADMTとして扱われる可能性があります*1。

第三に、道具の棚卸しです。表計算や計算機は原則として外れますが、人の意思決定を置き換えていれば外れません*1。「何に使っているか」まで確認します*1。

第四に、通知の文面です。目的を具体的に書き、出力の種類と使い方、代替手続まで含めます*1。一般的な書き方は明文で否定されているため、決定ごとに書き分けることになります*1。

第五に、拒否か不服審査かの選択です。オプトアウトの窓口を2つ以上用意するか、決定を覆せる審査者を置くか——体制の設計として先に決めます*1。採用や業務配分のみに用いる場合の例外も検討の対象です*1。

受託で進める場合の要点を三つ挙げます。

ログの設計を先に決めることです。アクセス請求ではロジックとパラメータ、当該消費者への出力、他の要素の関与まで説明が求められます*1。後から復元できない設計では応えられません*1。

他法域との差分を持つことです。豪州はポリシーへの記載、ミネソタ州は決定の再評価、ニューヨーク市は監査——求められる成果物が違います*1。ひとつの棚卸しから各法域の文書を作る形にしておくほうが後の負担が軽くなります。

期限から逆算することです。2027年1月1日は、すでに使っている場合の期限でもあります*1。通知の文面、拒否の窓口、審査者の運用、ログの改修——このうち改修を伴うものから着手します*1。

規則の全文はCPPAのサイトで公開されています*1。適用の判定と成果物の範囲は事情によって変わりますので、法務の確認を挟みながら進めてください。

まとめ：ADMT規則で押さえる3つの視点

カリフォルニア州プライバシー保護局のCCPA規則は、自動化意思決定技術（ADMT）について事前通知、オプトアウト、アクセス権を定めています。押さえたい視点は三つです。第一に、期限と定義。第7200条(b)は、2027年1月1日より前に重大な決定のためにADMTを用いている事業者は同日までに要件を満たすこととし、同日以後に用いる事業者は用いている間は常に要件を満たすこととしています。第7001条(e)はADMTを、個人情報を処理し計算処理を用いて人の意思決定を置き換えるか実質的に置き換える技術と定義し、人の関与には、出力の解釈と利用を理解していること、出力と関連情報を検討し分析すること、分析に基づいて決定を行うか変更する権限があることの三つを求めています。同(e)(3)は、ウェブホスティングやファイアウォール、スペルチェック、計算機、データベース、表計算などを、人の意思決定を置き換えない限り対象外としています。第二に、重大な決定の範囲。第7001条(ddd)は、金融もしくは貸付サービス、住宅、教育の在籍もしくは機会、雇用もしくは独立請負の機会もしくは報酬、医療サービスの提供または拒否をもたらす決定と定義し、雇用については採用、業務配分と報酬、昇進、降格や停職や解雇を含むとしています。消費者への広告は含まれません。第三に、通知と権利。第7220条は事前通知に、具体的な目的、オプトアウトの権利と方法、アクセス権と方法、報復の禁止、そしてADMTの処理方法や出力の種類と使い方や代替手続といった追加情報を含めることを求め、営業秘密やセキュリティの能力を損なう情報は含めなくてよいとしています。第7221条はオプトアウトの手段を2つ以上求めつつ、決定を覆す権限を持つ人への不服申立てを用意する場合、採用や受入れの評価のみに用いる場合、業務配分と報酬のみに用いる場合という三つの例外を置いています。第7222条は、アクセス請求への応答として具体的な目的、ロジックの説明、意思決定の結果と出力の使い方を平易な言葉で説明することを求めています。

よくある質問

出典

1. *1　参考：California Privacy Protection Agency「Text of Regulations（CCPA Updates, Cyber, Risk, ADMT, and Insurance Regulations／Approved Regulations Text）」（https://cppa.ca.gov/regulations/pdf/ccpa_updates_cyber_risk_admt_appr_text.pdf）。第7001条(e)（ADMTの定義、実質的に置き換えることの意味、人の関与に必要な三つの条件、プロファイリングの包含、ウェブホスティングやドメイン登録やネットワーキングやキャッシュやデータ保管やファイアウォールやウイルス対策やマルウェア対策や迷惑メールと自動音声通話のフィルタリングやスペルチェックや計算機やデータベースや表計算が人の意思決定を置き換えない限り含まれないこと）、第7001条(ddd)（重大な決定の定義と金融または貸付サービス・住宅・教育の在籍または機会・雇用または独立請負の機会または報酬・医療サービスの各内容、住宅の空室状況や支払いの受領のみに基づく場合の取扱い、広告が含まれないこと）、第7200条（重大な決定のためにADMTを用いる事業者への適用と、2027年1月1日という遵守の期限）、第7220条（事前通知の提示時期と方法、具体的な目的の説明と一般的な記載の否定、オプトアウトの権利と方法または依拠する例外の特定、アクセス権と方法、報復の禁止、ADMTの処理方法と出力に影響する個人情報のカテゴリ・出力の種類と使い方・唯一の要素かどうかと他の要素・人の関与の要件を満たさない人の役割・代替手続という追加情報、営業秘密やセキュリティ等に関する情報を含めなくてよいこと、統合した事前通知の例）、第7221条（オプトアウトの原則と2つ以上の手段、決定を覆す権限を持つ人の審査者への不服申立てという例外とその要件、入学や受入れや採用の評価のみに用いる場合の例外、業務配分と報酬のみに用いる場合の例外）、および第7222条（アクセス請求への応答として説明する具体的な目的、ロジックに関する情報とパラメータおよび当該消費者への出力、意思決定の結果と出力の使い方、将来の利用予定）の一次情報として。確認日は2026年8月27日。（2026年8月確認）

Tweet