Montana Consumer Data Privacy Act コンプライアンスをConsentXで

Montana Consumer Data Privacy Act（MCDPA）は、モンタナ州の包括的な消費者プライバシー法です。2024年10月1日に施行され、モンタナ州の消費者にプライバシー権を、対象事業者に義務を定めています。その後モンタナ州は同法を改正し、重要な変更が2025年10月1日に発効しました。

モンタナ州の消費者は一般に、自身の個人データが処理されているかを知る権利、個人データへのアクセス、不正確な個人データの訂正、個人データの削除請求、個人データの写しの取得、ターゲティング広告のオプトアウト、個人データ販売のオプトアウト、一定の自動化された決定を推進するプロファイリングのオプトアウトを行う権利を有します。

MCDPAは、すべての個人データ処理について同意を求めているわけではありません。ただし、一定のセンシティブデータを処理する前には同意が必要です。未成年者が関わる特定の処理活動には、さらに追加の同意要件が適用されます。

センシティブデータには、人種的・民族的出自、宗教的信条、精神的・身体的な健康、性的指向、市民権や在留資格に関する情報、本人識別に用いられる遺伝情報や生体データ、正確な位置情報、児童の個人データなど、プライバシーリスクが高まり得る特定のカテゴリーの個人情報が含まれます。

はい。モンタナ州の消費者は、ターゲティング広告のために自身の個人データが処理されることをオプトアウトする権利を有します。

はい。消費者は自身の個人データの販売をオプトアウトする権利を有します。

はい。消費者は、自らに法的効果またはそれに類する重大な影響を及ぼす決定を推進するために行われるプロファイリングをオプトアウトできます。

組織は、汎用的なオプトアウトシグナルについて、MCDPAと他の適用される州プライバシー法の要件を併せて評価する必要があります。モンタナ州のプライバシー法制を、明示的な汎用オプトアウト要件を持つカリフォルニア州などの州法と同一視すべきではありません。

MCDPAは、単独の技術としてのCookieではなく、個人データの処理を規制しています。とはいえ、Cookie、ピクセル、広告タグ、SDKなどのトラッキング技術は、個人データを収集・処理したり、ターゲティング広告を支えたりすることがあります。そのため、トラッカーの検出、プライバシー設定の管理、消費者の選択の反映は、MCDPA対応プログラムの重要な構成要素となり得ます。

はい。管理者は、個人データ処理の該当するカテゴリーと目的、および適用される消費者の権利に関する情報を説明する、合理的にアクセスしやすく明確なプライバシー通知を提供しなければなりません。

はい。管理者は、該当するターゲティング広告、プロファイリング、個人データの販売、センシティブデータの処理など、消費者に高いリスクをもたらす特定の処理活動についてデータ保護評価を実施しなければなりません。

管理者は原則として、消費者からの請求を受領してから45日以内に回答しなければなりません。合理的に必要な場合は、適用要件に従ってさらに45日間延長できるのが一般的です。

はい。消費者は、プライバシー権の行使請求への対応を管理者が拒否した場合に、不服を申し立てる権利を有します。

はい。改正後のMCDPAは、未成年者の保護を大幅に拡充しています。未成年者とは一般に18歳未満の個人を指し、13歳未満の児童にはさらに追加の保護が与えられます。未成年者の個人データを処理していることを知っている、または合理的に知り得る事業者は、高まった損害リスクを避けるために合理的な注意を払わなければなりません。ターゲティング広告、販売、一定の自動化されたプロファイリング、一定の正確な位置情報の処理、保存期間の延長、未成年者のエンゲージメントを著しく高めたり維持したりすることを意図した一定の設計について、追加の同意要件が適用され得ます。

MCDPAの一般的な適用は主に、処理するモンタナ州消費者データの量に基づいており、個人データの販売から収益の25%超を得ている事業者にはより低い消費者数の基準が適用されます。現行法では、一般的な基準は25,000人の消費者、総収益の25%超を個人データの販売から得ている場合は15,000人の消費者です。

MCDPAの執行権限はモンタナ州司法長官が有しています。モンタナ州のOffice of Consumer Protectionが、州の消費者プライバシーに関する情報と資料を提供しています。

ConsentXは、同意管理、トラッカー検出、事前スクリプトブロック、消費者のオプトアウト管理、権利行使請求のワークフロー、監査証跡といった重要なプライバシー制御の運用を支援します。ただし、ソフトウェア単体で法令遵守を保証できるものではありません。組織は、MCDPAおよびその他すべての適用法令に照らして、プライバシープログラム全体を評価する必要があります。