LASSIC Media らしくメディア

監修・編集責任者：牛尾 昭昌（株式会社LASSIC 執行役員）

米国の州プライバシー法のうち、実装の作業が最も増えるのはどれかという問いには、条文の分量とは別の答えがあります。機械が送ってくる信号を受け付けろと書いている法律です。

デラウェア州個人データプライバシー法（DPDPA）がそれに当たります*1。州法典第6編第12D章に置かれ、2025年1月1日から施行され、2026年1月1日までに「オプトアウト・プリファレンス・シグナル」への対応を求めています*1。加えて、大学も非営利組織も対象から外れません*1。

米国向けにサービスを出している企業と、そうしたシステムを受託して作る立場に向けて、条文から読み取れる要件を整理します。個別の適用は事情によりますので、法務の確認を経て進めてください。

除外が4つしかない——大学が対象に入る書き方

適用範囲は第12D-103条です*1。

同条(a)は、デラウェア州で事業を行う者または州の住民を対象とする製品もしくはサービスを生産する者のうち、前暦年に次のいずれかに当たった者に適用されるとしています*1。

3万5,000人以上の消費者の個人データを管理または処理した場合です*1。支払取引を完了させることだけを目的として管理または処理した個人データは除かれます*1。あるいは1万人以上の消費者の個人データを管理または処理し、かつ個人データの販売から総収入の20%超を得た場合です*1。

数値はコネチカット州の改正後の基準と同じ3万5,000人ですが、除外の狭さが違います*1。

同条(b)が挙げる主体の除外は、四つだけです*1。

読み方の要点は二つです*1。

ひとつは「高等教育機関を除く」という但し書きです*1。州機関の除外から大学が外されているため、州立大学であってもこの章の適用を受けうる建て付けになっています*1。テキサス州やコネチカット州が高等教育機関を丸ごと外しているのと、正反対の書き方です*1。

もうひとつは非営利組織です*1。除外されるのは保険犯罪の防止と対処に専従する団体だけで、一般の非営利組織は外れません*1。教育や医療や業界団体のシステムを受託している場合、「非営利だから対象外」という整理はデラウェアでは使えません*1。

情報単位の除外は同条(c)に置かれています*1。HIPAAの保護対象保健情報、42 U.S.C. 第290dd-2条の患者識別情報、45 C.F.R. Part 46などの人を対象とする研究に関する識別可能私的情報、42 C.F.R. 第3.20条の患者安全業務成果物、公正信用報告法の対象となる信用情報、運転者プライバシー保護法や家庭教育の権利とプライバシー法や農業信用法の対象となるデータ、そして雇用の文脈で扱われるデータなどです*1。

2026年1月1日から、機械が送る拒否信号に応える

実装に直結するのが第12D-106条(e)です*1。

管理者は、権利行使の請求を受け付ける安定した手段を用意し、プライバシー通知でそれを説明することとされています*1。手段には二つのものを含めるとされています*1。

ひとつは、ターゲティング広告や個人データの販売をオプトアウトできるページへの明確で目立つリンクをウェブサイトに置くことです*1。

もうひとつが2026年1月1日までに求められるものです*1。消費者が、プラットフォーム、技術または仕組みが消費者の同意のうえで送る「オプトアウト・プリファレンス・シグナル」によって、ターゲティング広告目的の処理や販売をオプトアウトできるようにすることとされています*1。

その信号を送る仕組みの側にも条件が並びます*1。

受け側の実装で悩むのはEです*1。ヘッダーやAPIで届く信号だけでは州の住民かどうかが分かりません*1。IPによる推定、アカウントの登録情報、配送先——どれを根拠に「州の住民と判断した」と説明するかを決めておく必要があります*1。

競合したときの扱いも書かれています*1。信号によるオプトアウトが、その消費者の管理者側の個別設定や、本物のロイヤルティやリワード、プレミアム機能、割引、クラブカードのプログラムへの任意の参加と食い違う場合、管理者は信号に従い、そのうえで消費者に通知することができるとされています*1。

つまり信号が優先します*1。ポイント制度と広告設定が絡む構成では、どちらを勝たせるかを設計で決め打ちしておくことになります*1。

開示先のカテゴリ、45日、撤回から15日

権利は第12D-104条(a)です*1。確認とアクセス、訂正、削除、可搬な写しの取得、そしてターゲティング広告・販売・もっぱら自動化された決定を進めるためのプロファイリングのオプトアウトが並びます*1。

特徴が出るのが同(a)(5)です*1。消費者は、管理者が自らの個人データを開示した第三者のカテゴリの一覧を取得できるとされています*1。

「販売した先」ではなく「開示した先」である点が要点です*1。委託先や連携先も含めて、どのカテゴリの第三者へ渡しているかを消費者ごとに示せる状態が求められます*1。

期限は同条(c)です*1。請求には不当な遅滞なく、受領から45日以内に応答することとされ、請求の複雑さと数を考慮して合理的に必要な場合はさらに45日延長できるとされています*1。延長する場合は当初の45日以内に、延長する旨と理由を伝えます*1。断る場合も45日以内に、理由と不服申立ての方法を伝えることとされています*1。

無償提供の頻度は12か月に1回です*1。明らかに根拠を欠くか、過剰か、反復的な請求には合理的な手数料を請求するか対応を断ることができ、そうした請求であることの立証責任は管理者が負うとされています*1。

管理者の義務は第12D-106条(a)です*1。収集は開示した目的との関係で適切、関連し、合理的に必要な範囲に限られます*1。開示した目的に合理的に必要でもなく両立もしない目的での処理には同意が必要です*1。機微データの処理には同意が必要で、既知の子どもについては親または法定後見人の同意を得たうえで、州法典の該当規定に従うこととされています*1。

期限がもうひとつあります*1。同(a)(6)は、同意を与えたときと同程度に容易な撤回の仕組みを提供し、撤回を受けたら実行可能な限り速やかに、受領から15日を超えないうちに処理を停止することとしています*1。

同(a)(7)は未成年についての規定です*1。管理者が消費者を13歳以上18歳未満であると現に知っているか意図的に無視している状況で、同意なしにターゲティング広告目的の処理や販売を行ってはならないとされています*1。

プライバシー通知には、処理する個人データのカテゴリ、処理の目的、権利行使と不服申立ての方法、第三者と共有する個人データのカテゴリ、共有先の第三者のカテゴリ、そして有効なメールアドレスその他の連絡手段を含めることとされています*1。

評価は10万人から——しきい値が二段になっている

見落としやすいのが第12D-108条(a)です*1。

データ保護評価の義務は、10万人以上の消費者のデータを管理または処理する管理者にかかるとされています*1。支払取引の完了だけを目的として扱ったデータは除かれます*1。

つまりしきい値が二段です*1。3万5,000人で章の適用を受け、10万人で評価の義務が加わります*1。3万5,000人から10万人の間にいる事業者は、通知と権利対応は要るが評価の文書は要らないという位置になります*1。

評価の対象は、ターゲティング広告目的の処理、個人データの販売、一定の予見可能なリスクを伴うプロファイリング目的の処理、そして機微データの処理です*1。

中身は、処理から管理者・消費者・その他の関係者・公衆に生じうる直接および間接の便益と、消費者の権利への潜在的なリスクとの比較検討です*1。非識別化データの利用、消費者の合理的な期待、処理の文脈、管理者と消費者の関係を考慮するとされています*1。ミネソタ州法の評価と項目が重なるため、ひとつの様式に州ごとの差分を足す作りが有効です*1。

時期の定めもあります*1。同条(f)は、評価の要件が2025年7月1日以後に作成または生成された処理活動に適用され、遡及しないとしています*1。

州司法長官は調査に関連する評価の開示を求めることができ、評価は秘密として扱われ公記録には当たらないとされています*1。ただし条文は、評価をこの章の執行のための手続で用いることができるとも書いています*1。秘匿特権の対象となる情報を明確に特定して開示した場合、それだけで特権の放棄には当たらないとされています*1。

執行は州司法省——是正の機会は裁量に移った

執行は第12D-111条です*1。

同条(a)により、執行の権限は州司法省（Department of Justice）にあります*1。他州が州司法長官と書くところを、デラウェアは司法省と書いています*1。

是正の機会は時期で変わります*1。同条(b)は、2025年1月1日から2025年12月31日までの期間について、是正が可能と判断される場合に違反の通知を出し、受領から60日以内に是正されなければ手続を進められるとしていました*1。

同条(c)は、2026年1月1日以降、是正の機会を与えるかどうかの判断に当たり、違反の件数、管理者または処理者の規模と複雑さ、処理活動の性質と範囲、公衆への被害が生じる相当の可能性、人または財産の保全、人為的または技術的な誤りに起因する可能性、そしてこの法律や類似の法律を過去にどれだけ違反してきたかを考慮できるとしています*1。

最後の要素は他州にはあまり見ない項目です*1。他州での違反歴が判断材料になりうる読み方ができるため、州ごとの対応履歴を残しておく意味があります*1。

同条(d)は、この章が私訴権の根拠となるものではないとしています*1。同条(e)は、違反が州法典の該当規定に基づく不法な慣行とみなされ、州司法省のみが執行するとしています*1。

着手の順序です。

第一に、対象かどうかの判定です。3万5,000人という人数に加えて、非営利や大学の案件を「対象外」と整理していないかを確認します*1。デラウェアでは外れません*1。

第二に、拒否信号の受け口です。2026年1月1日までに求められている以上、すでに期限を過ぎています*1。信号を受け取る箇所、州の住民と判断する根拠、個別設定やポイント制度と競合したときの優先順位——この三つを決めて実装します*1。

第三に、開示先の台帳です。「販売した先」ではなく「開示した先」のカテゴリを、消費者ごとに示せるようにします*1。委託先や連携先の棚卸しが前提になります*1。

第四に、期限の分離です。請求への45日と、同意の撤回への15日を別の期限として台帳に持ちます*1。無償提供が12か月に1回である点も、回数を数える仕組みが必要です*1。

第五に、評価の要否判定です。10万人を超えているかを先に確かめ、超えていれば四類型について様式を用意します*1。2025年7月1日以後の処理活動が対象のため、作成時期の記録も残します*1。

受託で進める場合は、拒否信号の受け口をどこまで納品範囲に含めるかが見積りの分かれ目になります。広告配信の基盤やタグマネージャに手を入れるのか、アプリ側だけで受けるのか——ここを曖昧にしたまま進めると、期限に間に合いません。

条文はデラウェア州法典のサイトで章単位で読めます*1。適用の判定と成果物の範囲は事情によって変わりますので、法務の確認を挟みながら進めてください。

まとめ：DPDPAで押さえる3つの視点

デラウェア州個人データプライバシー法は、州法典第6編第12D章に置かれ、2025年1月1日から施行されています。押さえたい視点は三つです。第一に、除外の狭さ。第12D-103条(a)は前暦年に3万5,000人以上の消費者の個人データを管理または処理した者、または1万人以上の消費者のデータを扱い個人データの販売から総収入の20%超を得た者に適用されるとし、同条(b)の主体除外は州および政治的下位区分の機関（ただし高等教育機関を除くと明記）、グラム・リーチ・ブライリー法第5編の対象となる金融機関とその関連会社、保険犯罪の防止と対処に専従する非営利組織、証券・先物の業界団体の四つに限られます。大学も一般の非営利組織も対象に入ります。第二に、拒否信号。第12D-106条(e)は、オプトアウトのリンクに加えて2026年1月1日までに、プラットフォームや技術が消費者の同意のうえで送るオプトアウト・プリファレンス・シグナルでもターゲティング広告と販売のオプトアウトを受け付けることを求め、既定値によるものを認めず、州の住民かどうかを管理者が合理的に判断できることも求めています。個別設定やロイヤルティのプログラムと食い違う場合は信号に従うとされています。第三に、二段のしきい値と執行。第12D-104条は開示先の第三者のカテゴリの一覧の取得を認め、応答は受領から45日以内で45日延長でき、無償提供は12か月に1回です。同意の撤回には15日以内に処理を停止します。評価の義務は第12D-108条により10万人以上のデータを扱う管理者にかかり、2025年7月1日以後の処理活動が対象です。執行は第12D-111条により州司法省が担い、2025年12月31日までの60日の是正期間の後は7つの要素を踏まえた裁量となり、過去の違反歴も考慮されます。私訴権の根拠にはならないとされています。

よくある質問

出典

1. *1　参考：Delaware Code Online「Title 6, Chapter 12D — Delaware Personal Data Privacy Act」（https://delcode.delaware.gov/title6/c012D/index.html）。第12D-101条（法律の名称）、第12D-102条（定義）、第12D-103条（同条(a)の3万5,000人および1万人と総収入の20%超という適用基準と支払取引データの除外、同条(b)の州および政治的下位区分の機関から高等教育機関を除く旨の明記・グラム・リーチ・ブライリー法第5編の対象となる金融機関とその関連会社・保険犯罪の防止と対処に専従する非営利組織・全国証券業協会と登録先物業協会という四つの主体除外、同条(c)のHIPAAの保護対象保健情報や患者識別情報や人を対象とする研究に関する情報や患者安全業務成果物や公正信用報告法の対象情報や運転者プライバシー保護法や家庭教育の権利とプライバシー法や農業信用法の対象データや雇用の文脈のデータなどの情報除外）、第12D-104条（確認とアクセス・訂正・削除・可搬な写しの取得・開示先の第三者のカテゴリの一覧・ターゲティング広告と販売ともっぱら自動化された決定のためのプロファイリングのオプトアウト、同条(c)の受領から45日以内の応答と45日の延長および断る場合の理由と不服申立ての方法、12か月に1回の無償提供と明らかに根拠を欠く請求等への手数料および管理者の立証責任、認証できない場合の扱い）、第12D-106条（同条(a)の収集の必要性・目的外処理への同意・データセキュリティの実践・機微データと既知の子どもについての同意・差別的処理の禁止・受領から15日以内の同意撤回への対応・13歳以上18歳未満の消費者へのターゲティング広告と販売への同意・権利行使に対する差別の禁止、同条(b)の本物のロイヤルティ等のプログラムに関する取扱い、同条(c)のプライバシー通知の記載事項、同条(d)の販売とターゲティング広告の開示、同条(e)のオプトアウトのリンクと2026年1月1日までのオプトアウト・プリファレンス・シグナルへの対応および当該仕組みに求められる5条件と個別設定やロイヤルティのプログラムと競合した場合に信号に従う旨）、第12D-108条（同条(a)の10万人以上という評価義務の基準と高い危害リスクを伴う処理の4類型、同条(b)の便益とリスクの比較検討および考慮要素、同条(c)の州司法長官への開示と秘密としての扱いおよび執行手続での利用と秘匿特権の非放棄、同条(d)の比較可能な一組の処理への単一の評価、同条(e)の他法令のための評価による充足、同条(f)の2025年7月1日以後に作成または生成された処理活動への適用と非遡及）、第12D-109条（非識別化データと仮名化データの扱い）、および第12D-111条（同条(a)の州司法省による執行、同条(b)の2025年1月1日から2025年12月31日までの違反通知と60日の是正期間、同条(c)の2026年1月1日以降に是正の機会を与えるかを判断する際の7つの考慮要素、同条(d)の私訴権の否定、同条(e)の不法な慣行としての扱いと州司法省のみによる執行）の一次情報として。確認日は2026年8月27日。（2026年8月確認）

Tweet