Connecticut Data Privacy Act コンプライアンスをConsentXで

Connecticut Data Privacy Act（CTDPA）は、コネチカット州の包括的な消費者プライバシー法です。コネチカット州の住民に自身の個人データに関する権利を与え、対象事業者にプライバシー上の義務を課しています。同法は2023年7月1日に施行されました。

CTDPAは一般に、コネチカット州で事業を行う組織、またはコネチカット州の住民を対象とする組織のうち、所定のデータ処理量または販売に関する基準を満たすものに適用されます。同法には、消費者の健康データを扱う一定の管理者に関する固有の規定や、特定の組織・データ類型に対する適用除外も含まれます。

コネチカット州の消費者には、自身の個人データへのアクセス、不正確な個人データの訂正、個人データの削除、データポータビリティ、一定の第三者への販売に関する情報提供、個人データの販売のオプトアウト、ターゲティング広告のオプトアウト、特定のプロファイリングのオプトアウトといった権利があります。これらの権利は、適用される条件や例外に従います。

CTDPAは、消費者のセンシティブデータを処理する前に同意を取得することを求めています。すべての処理活動に同意が必要なわけではないため、組織は処理活動ごとに適用される法的要件を判断する必要があります。

センシティブデータには、人種的・民族的出自、宗教的信条、健康情報、性生活や性的指向、市民権や在留資格、遺伝情報や生体データ、一定の正確な位置情報など、特定のカテゴリーの個人データが含まれます。CTDPAには、児童および未成年者のデータに関する固有の保護規定も含まれています。

はい。コネチカット州の消費者は、ターゲティング広告のために自身の個人データが処理されることをオプトアウトする権利を有します。

はい。消費者は自身の個人データの販売をオプトアウトする権利を有します。対象事業者は、消費者がこの権利を行使できる適切な手段を提供しなければなりません。

はい。消費者は、法的効果またはそれに類する重大な影響を自らに及ぼす決定を推進するためのプロファイリングをオプトアウトできます。

Universal Opt-Out Preference Signalは、消費者がブラウザなどのプライバシー機構を通じて、複数のウェブサイトや事業者に対して一定のプライバシー意思を伝えられる仕組みです。2025年1月1日以降、CTDPAの適用を受ける事業者は、コネチカット州の消費者からの該当するオプトアウトのプリファレンスシグナルを尊重しなければなりません。

はい。コネチカット州司法長官は、消費者がプライバシーの意思を伝えるために利用できるオプトアウトのプリファレンスシグナルの例として、Global Privacy Control（GPC）を挙げています。ConsentXはGPCに対応しており、該当する汎用オプトアウト要件の運用を支援します。

CTDPAはCookieそのものではなく、個人データの処理を規制しています。Cookie、トラッカー、類似のテクノロジーが個人データに該当する情報を収集・処理する場合、組織は適用されるCTDPAの要件を評価し、適切なプライバシー制御を実装する必要があります。

はい。消費者は、権利行使の請求を拒否した管理者の判断に対して不服を申し立てる権利を有します。管理者は原則として、不服申立てを受領してから60日以内に、判断の結果とその理由を回答しなければなりません。

はい。管理者は、消費者への損害リスクが高い特定の処理活動についてデータ保護評価を実施しなければなりません。これらの評価は、センシティブデータ、ターゲティング広告、プロファイリング、個人データの販売を伴う活動に適用され得ます。

CTDPAの執行権限はコネチカット州司法長官が専属的に有しています。違反があった場合、1件あたり最大5,000ドルの民事制裁金に加え、差止命令、原状回復、利益の吐き出しなどの救済が科される可能性があります。

ConsentXは、同意管理、センシティブデータの同意、消費者のオプトアウト、GPC対応、トラッカー検出、事前スクリプトブロック、消費者の権利対応ワークフロー、プライバシー証跡など、CTDPAの重要なプライバシー運用を支えるテクノロジーを提供します。ただし、ConsentXだけでCTDPAへの準拠が保証されるわけではありません。組織は、自社のデータ処理活動全体、プライバシー通知、セキュリティ対策、契約、データ保護評価、その他の適用される法的義務を評価する必要があります。