LASSIC Media らしくメディア

監修・編集責任者：牛尾 昭昌（株式会社LASSIC 執行役員）

侵害を検知したあと、社内では原因の切り分けと影響範囲の特定が同時に走ります。そのさなかに、外向きの通知をいつまでに出すかが決まっていると、判断の順番が変わります。期限が条文にある場合と、努力義務のような書き方の場合とでは、設計しておくべきものが違ってきます。

米国カリフォルニア州の上院法案446は2025年10月3日に知事の承認を受け、2025年法律第319号となりました*1。民法典第1798.82条を改める法律で、条文は2026年1月1日から効力を持ちます*2。改正の中身は2つの期限です*1。

確かめたい点は4つあります。期限の起点はどこか、遅らせられる場合はあるのか、通知の書式はどこまで決まっているのか、対象になる情報は何か。条文から順に見ていきます。

期限は30暦日、起点は発見または通知

まず、改正が入った場所です*1。

第1798.82条(a)(1)は、カリフォルニア州で事業を行い、個人情報を含む電子データを所有または使用許諾する個人・事業者に対し、権限のない者に取得された、または取得されたと合理的に認められる場合の開示を求めます*1。暗号化されていた情報についても、暗号鍵またはセキュリティ資格情報が併せて取得され、それによって当該情報が判読可能または利用可能になり得ると所有者が合理的に認める場合は対象になります*1。

ここに期限が加わりました*1。同(a)(2)(A)はこの項により求められる開示は、データ侵害の発見または通知から30暦日以内に行われるものとすると定めます*1。改正前は可能なかぎり迅速に、かつ不合理な遅延なくという書き方で、日数は書かれていませんでした*1。

起点が2つ並んでいる点が実務では効いてきます*1。発見と通知のどちらか早い時点から数える構造なので、委託先や外部の研究者からの連絡で知った場合も、その日が起点になります*1。営業日ではなく暦日なので、週末や休日も日数に入ります*1。

遅延が認められる場合も条文にあります*1。同(a)(2)(B)は法執行機関の正当な必要に応じるため（第(c)項による）、または侵害の範囲を特定しデータ体系の合理的な健全性を回復するために必要な場合に、開示を遅らせることができるとします*1。2つの事由に限られる書き方です*1。

第(c)項は前者を具体化します*1。通知が刑事捜査を妨げると法執行機関が判断した場合には遅らせることができ、当該機関が捜査を損なわないと判断したあと、速やかに通知するという条文です*1。捜査機関の判断が前提になるため、社内の判断だけでは足りません*1。

後者は自社の判断で使える事由ですが、範囲の特定と健全性の回復という目的に紐づいています*1。どの時点で発見に当たると判断し、どの作業のために日数を要したのかを記録に残しておく必要が出てきます。検知から一次対応までの流れを誰がどう回すかはインシデント対応とオンコール体制で扱う設計と重なります。

司法長官への提出は15暦日以内

2つ目の期限は、当局への提出です*1。

第(f)項は単一の侵害の結果として、カリフォルニア州の住民500人を超える者へこの条による通知を発する必要がある場合、個人を識別できる情報を除いた当該通知の見本1通を、影響を受けた消費者へ侵害を通知した日から15暦日以内に、司法長官へ電子的に提出すると定めます*1。

改正で加わったのは15暦日以内という部分です*1。500人を超える場合の提出義務そのものは以前からありましたが、いつまでという定めが置かれていませんでした*1。同項はあわせて、提出された見本1通が政府法典の所定の条項の対象とはみなされないとしています*1。

この2つの期限は起点が違います*1。消費者への通知は発見または通知から30暦日、司法長官への提出は消費者へ通知した日から15暦日です*1。順番に並ぶ形なので、消費者への通知を遅らせた場合、司法長官への提出の期限も後ろにずれます*1。

3行目は改正されていない第(b)項です*1。自らが所有しない個人情報を含む電子データを保持する個人・事業者は、権限のない者に取得された、または取得されたと合理的に認められる場合、発見の直後に情報の所有者または使用許諾者へ通知するという条文です*1。

受託開発や運用の受託では、この第(b)項の側に立つ場面が多くなります*1。自社に消費者への通知の義務が生じるのではなく、委託元へ直ちに知らせる義務が生じる形です*1。委託元の30暦日は委託元が知った時点から動くため、連絡が遅れるとその分だけ委託元の残り日数が減ります*1。連絡の窓口と手段を契約時に決めておく理由がここにあります。

書式と記載事項が法文に書かれている

通知の中身も条文で決まっています*1。

第(d)(1)項は、通知を平易な言葉で書き、表題を「Notice of Data Breach」とし、次の見出しの下に第(2)号の情報を示すと定めます*1。見出しはWhat Happened?、What Information Was Involved?、What We Are Doing、What You Can Do、For More Informationの5つです*1。追加の情報は補足として付けられます*1。

体裁の条件も3つ並びます*1。同(A)は通知の書式が、含まれる情報の性質と重要性に注意を向けるよう設計されていること、同(B)は表題と見出しが明確かつ目立つように表示されていること、同(C)は本文および他の通知の文字が10ポイントより小さくないことです*1。書面の通知には法文中の見本の書式を用いる方法が、電子的な通知には5つの見出しを用いる方法が、それぞれ適合とみなされます*1。

記載する情報は同(d)(2)に7つあります*1。

裁量で書ける項目も3つ挙げられています*1。同(d)(3)は、保護のために行ったこと、本人が取れる手段の助言、そして生体データが関わる侵害では、同じ種類の生体データを認証に用いている他の主体へ、当該データを認証に用いないよう知らせる方法の案内です*1。

医療分野には別の扱いがあります*1。第(e)項は、連邦の医療保険の相互運用性と説明責任に関する法律の対象事業体が、経済的・臨床的健全性のための医療情報技術に関する法律の第13402条(f)に完全に従った場合、第(d)項の通知の要件に適合したとみなすとします*1。ただし同項は、他の規定の適用を免れるものではないと明記しています*1。

対象になる情報と、通知の方法

どの情報が対象かで、義務が生じるかが変わります*1。

第(h)項は個人情報を2つの型で定めます*1。第(1)号は、氏名または名の頭文字と姓の組み合わせに、8つの要素のいずれかが加わり、氏名か当該要素が暗号化されていない場合です*1。要素は社会保障番号、運転免許証番号などの政府識別番号、金融口座へのアクセスを可能にする番号と符号の組み合わせ、医療情報、健康保険の情報、認証に用いる固有の生体データ、自動ナンバープレート読取装置により収集された情報、そして遺伝データです*1。第(2)号は、オンラインの口座へのアクセスを可能にするユーザー名または電子メールアドレスと、パスワードまたは秘密の質問と答えの組み合わせです*1。

生体データについては範囲の限定があります*1。同(h)(1)(F)は指紋、網膜または虹彩の画像のような、人体の特徴の測定または技術的な分析から生成され、特定の個人を認証するために用いられる固有の生体データとし、物理的またはデジタルの写真は、顔認識の目的で使用または保存される場合を除き、これに含まれないとしています*1。

侵害の定義は第(g)項です*1。個人情報のセキュリティ、秘密性または完全性を損なう、電子データの権限のない取得を指します*1。あわせて個人または事業者の従業員または代理人が、当該個人または事業者の目的のために善意で個人情報を取得した場合は、当該情報が利用されず、さらなる権限のない開示の対象ともならないかぎり、侵害には当たらないという除外が置かれています*1。

通知の方法は第(j)項に5つあります*1。書面による通知、合衆国法典第15編第7001条の電子的な記録と署名に関する規定に沿う電子的な通知、そして代替の通知です*1。代替の通知は通知の費用が25万ドルを超えること、通知すべき対象者の集団が50万人を超えること、または十分な連絡先の情報を持たないことのいずれかを示した場合に使え、電子メールでの通知と、自社サイトでの30日以上の目立つ掲示と、州全域の主要な媒体への通知の3つをすべて行います*1。

オンラインの口座に関する2つの特則もあります*1。第(h)(2)項の情報のみが関わる場合は、パスワードと秘密の質問の変更などを促す通知で足ります*1。ただし自社が提供する電子メールの口座の資格情報が関わる場合、その電子メールアドレスへ送る方法では適合とならず、他の方法か、本人が普段その口座へアクセスしている通信元からの接続時に明確かつ目立つ形で示す方法を採ります*1。電子的な通知に頼るなら、送信ドメインの認証の整備が前提になります。この論点はDMARCによる送信ドメイン認証で扱う内容と接します。

自社の手順による代替も認められています*1。第(l)項は、個人情報の取扱いに関する情報セキュリティの方針の一部として自社の通知の手順を維持し、それが本編の期限の要件と整合している場合、その方針に従って対象者へ通知すれば、この条の通知の要件に適合したとみなすとします*1。期限との整合が条件に入っているため、自社の手順を持つ場合も30暦日と15暦日を織り込む必要があります*1。

違反した場合の道筋は別の条文にあります*3。第1798.84条(b)は本編の違反により損害を受けた顧客は、損害の賠償を求める民事訴訟を提起することができると定め、同条(a)は本編の規定の放棄を公序に反し無効とし、同条(e)は違反した事業者への差止めを認めます*3。

受託側が先に決めておくとよい4点

ここまでを開発と運用の作業に落とします。

1点目は、起点を記録する仕組みです*1。30暦日は発見または通知から動きます*1。誰がいつ何をもって発見に当たると判断したかを、検知の記録と紐づけて残す形にしておきます。外部からの連絡で知った場合も起点になるため、問い合わせの受付とインシデントの記録を同じ台帳で扱うと抜けにくくなります。

2点目は、対象情報の判定を早く済ませる準備です*1。第(h)項の8つの要素とオンライン口座の型のどれに当たるかで、義務が生じるかと記載事項が変わります*1。どのテーブルのどの列がどの要素に当たるかを事前に対応表にしておくと、事案が起きてからの判定が転記の作業になります。暗号化の状態と、鍵の保管場所も同じ表に並べておきます*1。

3点目は、通知文の生成です*1。表題と5つの見出し、10ポイント以上の文字、7つの記載事項という条件は、あらかじめ雛形にできます*1。事案ごとに変わるのは(B)の情報の種類、(C)の日付、(E)の概要、(F)と(G)の該当の有無です*1。雛形と差分の切り分けを先に決めておくと、30暦日の中で文面の調整に使える時間が増えます。

4点目は、委託元への連絡の経路です*1。第(b)項は発見の直後の通知を求めます*1。受け口の宛先、連絡に含める最低限の項目、二次連絡の間隔を契約書と手順書の両方に書いておきます。あわせて、通知の記録を委託元へ渡せる形で保存しておくと、委託元が司法長官へ提出する見本の作成にも使えます*1。

期限のある報告という点では、他の制度との比較も判断の助けになります。連邦の重要インフラ向けの報告義務はCIRCIAのインシデント報告で、カナダの制度はカナダPIPEDAの漏えい報告で扱っています。国内の規律との関係は個人情報保護法の実務で整理した枠組みが土台になります。

まとめ：データ侵害の通知で押さえる3つの視点

米国カリフォルニア州の上院法案446は2025年10月3日に知事の承認を受けて2025年法律第319号となり、民法典第1798.82条が改まって2026年1月1日から効力を持ちます。押さえたい視点は三つあります。第一に、2つの期限とその起点。消費者への開示は侵害の発見または通知から30暦日以内で、州民500人を超える通知を行う場合は、個人を識別できる情報を除いた見本1通を、消費者へ通知した日から15暦日以内に司法長官へ電子的に提出します。いずれも暦日で数えます。第二に、遅らせられる場合。法執行機関の正当な必要に応じる場合と、侵害の範囲を特定してデータ体系の合理的な健全性を回復するために必要な場合の2つに限られ、前者は刑事捜査を妨げるという法執行機関の判断が前提になります。第三に、書式と対象情報。通知は平易な言葉で書き、表題を「Notice of Data Breach」とし、5つの見出しの下に7つの記載事項を並べ、文字は10ポイントより小さくしません。対象となる個人情報は、氏名と8つの要素の組み合わせ、またはオンライン口座のユーザー名や電子メールアドレスと認証情報の組み合わせです。自らが所有しないデータを保持する事業者は、発見の直後に所有者または使用許諾者へ通知します。

よくある質問

出典

1. *1　参考：カリフォルニア州議会 上院法案446「Data breaches: customer notification.」（2025年法律第319号・2025年10月3日知事承認／州務長官提出・民法典第1798.82条を改正）（https://leginfo.legislature.ca.gov/faces/billTextClient.xhtml?bill_id=202520260SB446）。成立した法文の一次情報として。第1798.82条(a)(1)の開示の対象（暗号化された情報と暗号鍵・セキュリティ資格情報の取得を含む）、同(a)(2)(A)の30暦日以内、同(a)(2)(B)の2つの遅延事由、(b)の所有者・使用許諾者への発見の直後の通知、(c)の法執行機関による遅延、(d)(1)の平易な言葉・表題・5つの見出し・(A)から(E)までの体裁と適合みなし、(d)(2)(A)から(G)までの7つの記載事項（(G)の12か月以上の身元盗用の予防と緩和のサービスを含む）、(d)(3)の裁量による3項目、(e)の対象事業体の扱い、(f)の500人超と15暦日以内の司法長官への提出、(g)の侵害の定義と善意の取得の除外、(h)の個人情報の2つの型と8つの要素、(i)の定義、(j)(1)から(5)までの通知の方法（代替の通知の25万ドル・50万人・30日以上の掲示を含む）、(k)の暗号鍵とセキュリティ資格情報、(l)の自社の手順による適合みなしを確認した。確認日は2026年9月8日。（2026年9月確認）
2. *2　参考：カリフォルニア州法 民法典 第1798.82条（現行条文・上院法案446による改正後）（https://leginfo.legislature.ca.gov/faces/codes_displaySection.xhtml?lawCode=CIV&sectionNum=1798.82）。改正が法典へ編入され、いつから効力を持つかの確認として。条文末尾に「Amended by Stats. 2025, Ch. 319, Sec. 1. (SB 446) Effective January 1, 2026.」と記載されており、2025年法律第319号第1条による改正が2026年1月1日から効力を持つことを確認した。あわせて第(a)(2)から第(l)項までの現行の文言が法案の成立版と一致することを確認した。確認日は2026年9月8日。（2026年9月確認）
3. *3　参考：カリフォルニア州法 民法典 第1798.84条（顧客の記録に関する編の民事上の救済）（https://leginfo.legislature.ca.gov/faces/codes_displaySection.xhtml?lawCode=CIV&sectionNum=1798.84）。違反した場合の救済の枠組みとして。同条(a)の本編の規定の放棄が公序に反し無効であること、(b)の本編の違反により損害を受けた顧客による損害賠償の民事訴訟、(e)の違反した事業者に対する差止め、(h)の本条の権利と救済が他の法上の権利と救済に累積することを確認した。2009年法律第134号（議会法案1094）第3条による改正・2010年1月1日施行の版。確認日は2026年9月8日。（2026年9月確認）

Tweet