Colorado Privacy Act コンプライアンスをConsentXで

Colorado Privacy Act（CPA）は、コロラド州の包括的な消費者プライバシー法です。コロラド州の消費者に自身の個人データに関する権利を与え、そのデータを管理または処理する組織に義務を課しています。

CPAは一般に、コロラド州で事業を行う組織、またはコロラド州の住民を対象とする組織のうち、個人データの管理または処理に関する法定基準を満たすものに適用されます。一定の事業者、データ、活動は適用除外となります。

コロラド州の消費者には、自身の個人データへのアクセス、不正確な個人データの訂正、個人データの削除、データポータビリティ、個人データの販売のオプトアウト、ターゲティング広告のオプトアウト、特定のプロファイリングのオプトアウトといった権利があります。これらの権利は、適用される条件や例外に従って行使できます。

CPAは、特にセンシティブデータの処理など、一定の処理活動について同意を求めています。すべての処理に同意が必要なわけではないため、組織は処理活動ごとに適切な法的根拠と適用要件を判断する必要があります。

センシティブデータには、人種的・民族的出自、宗教的信条、精神的・身体的な健康状態や診断、性生活や性的指向、市民権や在留資格を明らかにする情報、一定の遺伝情報や生体データ、一定の児童に関するデータなど、特定のカテゴリーの個人データが含まれます。コロラド州のプライバシー法制は、正確な位置情報を含む追加のカテゴリーにも対応するよう改正されています。

Universal Opt-Out Mechanism（UOOM）は、消費者が組織ごとに個別のオプトアウト請求を行わなくても、複数の事業者に対して一定のプライバシー選択を伝えられる仕組みです。コロラド州は、対象組織に対し、一定のオプトアウト権について該当するUOOMシグナルを尊重することを求めています。

はい。Global Privacy Control（GPC）は現在、Colorado Department of Lawによって有効なUniversal Opt-Out Mechanismとして認められています。対象組織は、個人データの販売のオプトアウトやターゲティング広告への利用のオプトアウトなど、該当するオプトアウト権についてGPCを尊重しなければなりません。

はい。コロラド州の消費者は、ターゲティング広告のために自身の個人データが処理されることをオプトアウトする権利を有します。

はい。CPAは消費者に対し、特に法的効果またはそれに類する重大な影響を消費者に及ぼす決定を推進するためのプロファイリングについて、オプトアウトする権利を認めています。

CPAはCookieそのものではなく、個人データの処理を規制しています。Cookie、トラッカー、類似のテクノロジーが個人データに該当する情報を収集・処理する場合、組織は適用されるCPAの要件を評価し、適切なプライバシー制御を実装する必要があります。

はい。管理者は、消費者への損害リスクが高い特定の処理活動についてデータ保護評価を実施しなければなりません。これには、ターゲティング広告、プロファイリング、個人データの販売、センシティブデータの取扱いを伴う処理が含まれ得ます。

対象組織は原則として、消費者からの請求に45日以内に回答しなければなりません。合理的に必要な場合は、消費者に延長とその理由を通知することを条件に、さらに45日間延長できます。

ConsentXは、同意管理、センシティブデータの同意、消費者のオプトアウト、GPC対応、トラッカー検出、事前スクリプトブロック、消費者の権利対応ワークフロー、プライバシー証跡など、Colorado Privacy Actの重要な運用を支えるテクノロジーを提供します。ただし、ConsentXだけでCPAへの準拠が保証されるわけではありません。組織は、自社のデータ処理活動全体、プライバシー通知、セキュリティ対策、契約、データ保護評価、その他の適用される法的義務を評価する必要があります。