Texas Data Privacy & Security Act コンプライアンスをConsentXで

Texas Data Privacy & Security Act（TDPSA）は、テキサス州の包括的な消費者プライバシー法です。消費者の個人データの収集、利用、処理、取扱いを規制しており、2024年7月1日に施行されました。

テキサス州の消費者は一般に、管理者が自身の個人データを処理しているかの確認、個人データへのアクセス、不正確な情報の訂正、自ら提供したまたは自身について取得された個人データの削除、可搬性のある写しの取得、ターゲティング広告のオプトアウト、個人データ販売のオプトアウト、法的効果またはそれに類する重大な影響を生じる特定のプロファイリングのオプトアウトを行う権利を有します。

TDPSAは、すべての個人データ処理について同意を求めているわけではありません。ただし、管理者はセンシティブデータを処理する前に同意を取得しなければならず、特定の状況ではさらに追加の同意要件が適用され得ます。

センシティブデータには、人種的・民族的出自、宗教的信条、精神的・身体的な健康状態や診断、性に関する情報、市民権や在留資格を明らかにする一定の情報、個人を一意に識別するために用いられる遺伝情報や生体データ、13歳未満の児童の個人データ、正確な位置情報が含まれます。

はい。消費者は、ターゲティング広告のために自身の個人データが処理されることをオプトアウトする権利を有します。

はい。TDPSAは、自身の個人データの販売をオプトアウトする権利を消費者に認めています。

はい。消費者は、法的効果またはそれに類する重大な影響を生じる決定を推進するためのプロファイリングをオプトアウトできます。

TDPSAは、授権代理人や法定要件を満たす技術を通じたものを含め、消費者がオプトアウト権を行使するための具体的な仕組みを定めています。組織は、汎用的またはブラウザベースのプライバシーシグナルの実装について、他の適用される州プライバシー法の要件と併せて評価する必要があります。

TDPSAは、単独の技術としてのCookieではなく、個人データの処理を規制しています。とはいえ、Cookie、ピクセル、広告タグ、SDKなどのトラッキング技術は、個人データを処理したり、ターゲティング広告を支えたりすることがあります。そのため、トラッカーの検出と消費者のプライバシー選択の反映は、TDPSA対応プログラムの重要な要素となり得ます。

はい。管理者は、個人データ処理の該当するカテゴリーと目的、該当する第三者への開示、消費者が権利を行使する方法を記載した、合理的にアクセスしやすく明確なプライバシー通知を提供しなければなりません。

はい。管理者は、ターゲティング広告、個人データの販売、特定のプロファイリング、センシティブデータの処理、その他消費者への損害リスクが高い処理活動など、所定の処理活動についてデータ保護評価を実施し、文書化しなければなりません。

管理者は原則として、消費者からの請求を受領してから45日以内に回答しなければなりません。合理的に必要な場合は、適用要件に従ってさらに45日間延長できます。

原則として、管理者は年に少なくとも2回、消費者の請求に対して無償で情報を提供しなければなりません。明らかに根拠がない、過度、または反復的な請求については、同法の要件に従い一定の手数料が認められる場合があります。

はい。TDPSAは、保護者の同意に関する要件を含め、児童であると認識しているデータに強化された保護を定めています。また同法は、13歳未満の児童の個人データをセンシティブデータとして扱います。

TDPSAの執行権限はテキサス州司法長官が専属的に有しています。同法は、違反に対する私的訴権を認めていません。

ConsentXは、同意管理、トラッカー検出、事前スクリプトブロック、消費者のオプトアウト管理、権利行使請求のワークフロー、監査証跡といった重要なプライバシー制御の運用を支援します。ただし、ソフトウェア単体で法令遵守を保証できるものではありません。組織は、TDPSAおよびその他すべての適用法令に照らして、プライバシープログラム全体を評価する必要があります。