Oregon Consumer Privacy Act コンプライアンスをConsentXで

Oregon Consumer Privacy Act（OCPA）は、オレゴン州の包括的な消費者プライバシー法です。2024年7月1日に施行され、オレゴン州の消費者に自身の個人データに関する権利を与えるとともに、対象事業者に義務を課しています。

オレゴン州の消費者は一般に、管理者が収集した個人データの内容を知る権利、自身の個人データが処理されていることの確認、個人データの写しの取得、不正確な個人データの訂正請求、個人データの削除請求、自身のデータを受け取った一定の第三者に関する情報の取得、ターゲティング広告のオプトアウト、個人データ販売のオプトアウト、法的効果またはそれに類する重大な影響を生じるプロファイリングのオプトアウトを行う権利を有します。オレゴン州司法省は、これらの権利をL.O.C.K.E.D.フレームワーク（List、Opt-out、Copy、Know、Edit、Delete）として整理しています。

すべての個人データ処理に必要なわけではありません。ただし、管理者はセンシティブデータを処理する前に同意を取得しなければなりません。OCPAはまた、消費者が同意を撤回できる実効的な手段を求めており、その撤回手段は同意を与えた手段と少なくとも同程度に使いやすいものでなければなりません。

センシティブデータには、人種的・民族的背景、出身国、宗教的信条、精神的・身体的な状態や診断、性的指向、トランスジェンダーまたはノンバイナリーであること、犯罪被害者であること、市民権や在留資格を明らかにする一定の情報のほか、遺伝情報や生体データ、一定の正確な位置情報、児童の個人データが含まれます。13歳未満の児童の個人データは、明示的にセンシティブデータとして扱われます。

はい。オレゴン州の消費者は、ターゲティング広告のために自身の個人データが処理されることをオプトアウトする権利を有します。

はい。消費者は自身の個人データの販売をオプトアウトする権利を有します。OCPAはまた、授権代理人が消費者に代わって一定のオプトアウト権を行使できる仕組みも定めています。

はい。消費者は、法的効果またはそれと同程度に重大な影響を生じる決定を推進するためにプロファイリングが用いられる場合、これをオプトアウトできます。

OCPAは対象となる管理者に対し、消費者または授権代理人が適格な技術・仕組みを用いてオプトアウトの意思を伝えられる手段を提供することを求めています。その仕組みは、既定の設定に依拠するのではなく、積極的、任意かつ明確な選択を必要とするものでなければなりません。組織は、オレゴン州の要件を他州のプライバシー法における汎用オプトアウト要件と併せて評価する必要があります。

OCPAは、単独の技術としてのCookieではなく、個人データの処理を規制しています。とはいえ、Cookie、ピクセル、広告タグ、SDKなどのトラッキング技術は、個人データを収集・処理したり、ターゲティング広告を支えたりすることがあります。そのため、トラッカーの検出、プライバシー設定の管理、消費者の選択の反映は、OCPA対応プログラムの重要な構成要素となり得ます。

はい。管理者は、処理する個人データのカテゴリー、処理目的、適用される消費者の権利、第三者と共有するデータのカテゴリー、該当する第三者の類型、消費者が請求を行う方法を記載した、合理的にアクセスしやすく明確で意味のあるプライバシー通知を提供しなければなりません。

はい。管理者は、消費者への損害リスクが高い処理活動についてデータ保護評価を実施し、文書化しなければなりません。これには、ターゲティング広告、センシティブデータの処理、個人データの販売、特定のプロファイリングが含まれ得ます。

管理者は原則として、不当な遅滞なく、かつ請求を受領してから45日以内に回答しなければなりません。合理的に必要な場合は、最初の回答期間内に消費者へ通知し延長理由を説明することを条件に、さらに45日間延長できるのが一般的です。

はい。管理者は、プライバシー請求への対応を拒否した場合に消費者が不服を申し立てられるプロセスを整備しなければなりません。管理者は原則として45日以内に不服申立てについて判断し、申立てが拒否された場合には、消費者がオレゴン州司法長官に連絡できる情報を提供しなければなりません。

はい。消費者は、自身に代わって一定のオプトアウト権を行使する授権代理人を指定できます。OCPAはまた、インターネットリンク、ブラウザ設定、ブラウザ拡張機能、デバイスの全体設定、その他の適格な技術を通じたオプトアウト請求も認めています。

はい。OCPAは児童のデータに対して強化された保護を定めています。13歳未満の児童の個人データはセンシティブデータとして扱われ、さらに16歳未満の消費者については、ターゲティング広告、プロファイリング、一定の個人データ販売に関する制限を含む追加の保護が設けられています。

OCPAは、オレゴン州司法省を通じてオレゴン州司法長官が執行します。オレゴン州は、同法とその執行の枠組みを説明する消費者向け・事業者向けのガイダンスを公表しています。

ConsentXは、同意管理、トラッカー検出、事前スクリプトブロック、消費者のオプトアウト管理、権利行使請求のワークフロー、監査証跡といった重要なプライバシー制御の運用を支援します。ただし、ソフトウェア単体で法令遵守を保証できるものではありません。組織は、OCPAおよびその他すべての適用法令に照らして、プライバシープログラム全体を評価する必要があります。