California Consumer Privacy Act（CCPA）とは？
別称: CCPA、California Consumer Privacy Act、CCPA/CPRA、カリフォルニア州のプライバシー法
CCPA は当初 2018 年に制定され、2020 年にカリフォルニア州の有権者によって承認された California Privacy Rights Act（CPRA）によって大きく改正されました。CPRA による改正は 2023 年 1 月 1 日に発効しました。CPRA は別個のプライバシー法を作ったのではなく、CCPA を改正したものです。
CCPA は消費者に対し、知る権利、削除を求める権利、訂正を求める権利、個人情報の販売または共有をオプトアウトする権利、センシティブな個人情報の一定の利用を制限する権利、そしてプライバシーの権利を行使した際に平等な取り扱いを受ける権利などを与えています。
ウェブサイトにおける CCPA 対応では、一般に Do Not Sell or Share My Personal Information、Global Privacy Control（GPC）、プライバシー通知、Cookie とトラッキングに関する開示、そして消費者が権利を行使するための仕組みが関わってきます。
CCPA とは何を意味しますか？
CCPA は California Consumer Privacy Act の略称です。
この法律は、対象となる事業者が消費者の個人情報をどのように収集・利用・開示・販売・共有するかを規律しています。
CCPA がとりわけ注目されるのは、一定の販売や共有をオプトアウトできることを含め、事業者による情報の利用について消費者に実質的なコントロールを与えている点です。
従来の同意にもとづくプライバシーの枠組みとは異なり、CCPA は一般に消費者の権利とオプトアウトの仕組みに大きく重点を置いています。
この違いは、CCPA を GDPR のような法制と比較するうえで重要です。
CPRA とは何ですか？
CPRA は California Privacy Rights Act の略称です。
CPRA は、2020 年に Proposition 24 を通じてカリフォルニア州の有権者によって承認されました。CCPA を完全に別個の法律で置き換えるのではなく、CPRA は既存の CCPA を改正し、消費者の権利と事業者の義務を追加しました。
CPRA による改正は 2023 年 1 月 1 日に発効しました。
CCPA は誰を保護しますか？
CCPA は、カリフォルニア州の住民にプライバシーの権利を与えています。
California Privacy Protection Agency は、カリフォルニア州の住民とは、カリフォルニア州に居住する個人であり、一定の従業員、求職者、学生、独立請負人、取引先の担当者も含まれると説明しています。
したがってこの法律は、企業その他の事業体ではなく、人のプライバシーの権利に焦点を当てています。
どの事業者が CCPA を遵守しなければなりませんか？
CCPA は、カリフォルニア州で事業を行い、消費者の個人情報を収集し、その情報を取り扱う目的と方法を決定し、法律が定める基準を満たす一定の営利事業者に適用されます。
適用の基準や適用除外の具体的な内容については、一般的な「カリフォルニア州で事業を行っている」かどうかという判断に頼るのではなく、現行の CCPA および規則に照らして評価すべきです。
そのため CCPA は、カリフォルニア州外に所在する事業者にも適用され得ます。
この法律が関係してくるために、企業が必ずしもカリフォルニア州に物理的なオフィスを持っている必要はありません。
CCPA における個人情報とは何ですか？
CCPA は個人情報を広く定義しています。
一般に、特定の消費者または世帯を識別し、それに関連し、それを記述し、それと合理的に関連付けることができ、または合理的に結びつけ得る情報が含まれます。
たとえば次のような情報が含まれ得ます。
- 氏名
- メールアドレス
- 電話番号
- 住所
- IP アドレス
- 閲覧履歴
- 検索履歴
- 購入履歴
- 位置情報
- オンライン識別子
- デバイス情報
- 嗜好に関する推知情報
- アカウント情報
- 広告識別子
CCPA はまた、追加的な保護を受けるセンシティブな個人情報を区別しています。たとえば、正確な位置情報、一定の金融情報、アカウントの認証情報、健康情報、遺伝情報、一定の生体情報が含まれます。
CCPA におけるセンシティブな個人情報とは何ですか？
センシティブな個人情報（SPI）とは、CCPA のもとで追加的な保護を受ける個人情報のカテゴリーです。
状況によっては、センシティブな個人情報には次のようなものが含まれ得ます。
- 社会保障番号
- 運転免許証の情報
- 金融口座の認証情報
- 正確な位置情報
- 通信の内容
- 遺伝情報
- 一定の生体情報
- 健康情報
- 性生活または性的指向に関する情報
- 人種または民族的出自
- 宗教上または哲学上の信条
- 労働組合への加入
消費者は、法律が定める状況において、センシティブな個人情報の利用および開示を制限する権利を有します。
CCPA の主な消費者の権利は何ですか？
CCPA は、カリフォルニア州の住民にいくつかの重要なプライバシーの権利を与えています。
知る権利
消費者は、次の事項に関する情報を請求できます。
- 収集された個人情報のカテゴリー
- 情報の収集元
- 情報を収集・販売・共有する目的
- 情報を受け取るサードパーティのカテゴリー
- 一定の具体的な個人情報
削除を求める権利
消費者は、法律上の例外に従うことを条件に、自身について収集された個人情報の削除を請求できます。
事業者は、該当するサービスプロバイダーや請負人にも情報を削除するよう指示することが求められる場合があります。
訂正を求める権利
消費者は、事業者が保有する不正確な個人情報の訂正を請求できます。
販売または共有をオプトアウトする権利
消費者は、CCPA が対象とする状況において、自身の個人情報の販売または共有をオプトアウトできます。
共有をオプトアウトする権利は、クロスコンテキスト行動広告にとってとりわけ重要です。
利用の制限を求める権利
消費者は、自身のセンシティブな個人情報の一定の利用および開示を制限できます。
平等な取り扱いを受ける権利
事業者は原則として、消費者が CCPA 上の権利を行使したことを理由に差別的な取り扱いをしてはなりません。
自動意思決定技術に関する権利
カリフォルニア州の改定された枠組みには、自動意思決定技術（ADMT）の一定の利用に関する権利と義務も含まれています。
重要な意思決定に ADMT を利用する対象事業者は、通知、オプトアウト、アクセスに関する追加の義務を負う場合があります。該当する ADMT の要件には、それぞれ独自の適用開始スケジュールがあります。
CCPA のオプトアウトとは何ですか？
CCPA を特徴づけるものの一つが、該当する場合に個人情報の販売または共有をオプトアウトできるという消費者の権利です。
個人情報を販売または共有する事業者は、消費者がこの権利を行使するための適切な仕組みを提供する必要がある場合があります。
ウェブサイトでは、一般に次のような形で表示されます。
「Do Not Sell or Share My Personal Information」
または、これと同等のプライバシー選択の仕組み。
オプトアウトの仕組みは、見つけやすく使いやすいものであるべきです。
Do Not Sell or Share My Personal Information とは何ですか？
Do Not Sell or Share My Personal Information とは、消費者が個人情報の一定の販売または共有をオプトアウトする権利を行使できるようにする、CCPA のプライバシー選択の仕組みです。
この考え方は、とりわけ次のものに関係します。
- 広告テクノロジー
- リターゲティング
- クロスコンテキスト行動広告
- データの共有
- サードパーティのマーケティングプラットフォーム
- データの収益化
ウェブサイトは、消費者のプライバシー上の選択を、該当する情報を処理または共有する技術的な仕組みと結びつけるべきです。
リンクを表示するだけで、その結果としての設定を実際に反映させなければ、サイトが掲げるプライバシー管理と実際の挙動との間にギャップが生まれることがあります。
Global Privacy Control（GPC）とは何ですか？
Global Privacy Control（GPC）とは、消費者のプライバシー上の意思をウェブサイトに伝える、ブラウザまたはユーザーエージェントのシグナルです。
CCPA の枠組みのもとでは、対象となる事業者は、法律が求める状況において、要件を満たすオプトアウトの意思表示シグナルに従わなければなりません。
California Privacy Protection Agency は、消費者がオプトアウトの権利を行使できる仕組みとして、オプトアウトの意思表示シグナルを明確に位置づけています。
ウェブサイトにとってこれは、プライバシー対応を、訪問者が手動で「Do Not Sell or Share」のリンクをクリックすることだけに依存させるわけにはいかない、ということを意味します。
適合した実装であれば、該当するプライバシーシグナルを検知し、適切に対応できるものであるべきです。
CCPA と Cookie
CCPA は、「Cookie」を単独のカテゴリーとして規律しているわけではありません。
重要なのは、Cookie、ピクセル、SDK、類似技術がどのような情報を収集し、または事業者やサードパーティにどのような取り扱いを可能にしているか、という点です。
関係し得るウェブサイトの技術には次のものがあります。
- 広告 Cookie
- リターゲティングピクセル
- 分析技術
- ソーシャルメディアピクセル
- デバイス識別子
- 広告 ID
- クロスサイトトラッキング技術
- サードパーティスクリプト
したがって事業者は、特定の Cookie カテゴリーが自動的に適合または不適合であると考えるのではなく、自社のトラッキング技術を CCPA 上の義務に照らして評価すべきです。
CCPA は Cookie 同意を求めていますか？
GDPR と同じ意味ではありません。
CCPA は一般に、透明性と消費者の権利、とりわけ個人情報の販売または共有をオプトアウトする権利を中心に据えています。
これは、同意を複数ある適法な取り扱いの根拠の一つと位置づける GDPR のアプローチとは異なります。
もっとも事業者は、Cookie やトラッキング技術が何を行っているか、また関連する取り扱いが CCPA の要件に含まれるかどうかに応じて、プライバシー上の選択肢、開示、技術的な管理策を用意する必要がある場合があります。
この違いがあるため、CCPA 向けのプライバシープリファレンスセンターは、適用される法的枠組みを考慮せずに GDPR の同意バナーをそのまま流用すべきではありません。
CCPA のオプトインとオプトアウト
違いを理解するうえで役立つのは次の整理です。
| GDPR | CCPA |
|---|---|
| 同意が適用される根拠である場合、事前の同意を求めることが多い | 一般に消費者のオプトアウトの権利を重視する |
| 一定の取り扱いの前に同意が必要となり得る | 販売・共有についてはオプトアウトがとりわけ重要 |
| 同意が必要な場合、事前ブロッキングが求められ得る | 技術的な実行がオプトアウトの意思を尊重すべき |
| 同意は特定の有効性要件を満たす必要がある | 事業者は CCPA 上の権利を行使するための仕組みを提供しなければならない |
| 同意の撤回が重要 | オプトアウトの意思に従わなければならない |
これらの枠組みは重なり合うことがありますが、同一のものとして扱うべきではありません。
グローバルに事業を展開する企業は、ユーザーの法域に応じて適応できる同意モデルを必要とする場合があります。
CCPA と GDPR の違い
CCPA と GDPR はいずれも主要なプライバシー法ですが、規制のアプローチは異なります。
GDPR
GDPR は、適法な処理、データ主体の権利、説明責任、セキュリティその他のプライバシー原則に焦点を当てた、欧州の包括的なデータ保護規則です。
同意は、処理のための複数ある適法な根拠のうちの一つです。
CCPA
CCPA は、知る権利、削除を求める権利、訂正を求める権利、販売または共有をオプトアウトする権利、センシティブな個人情報の一定の利用を制限する権利など、消費者に対する透明性と権利に大きく重点を置いています。
したがって、この二つの枠組みは重なり合いますが、互換性があるわけではありません。
両方の要件を満たそうとするウェブサイトには、次のものが必要になる場合があります。
- 同意のコントロール
- オプトアウトのコントロール
- GPC への対応
- 事前ブロッキング
- プライバシー通知
- 同意またはプライバシー設定の記録
- データ主体・消費者からの請求のワークフロー
CCPA と CPRA の違い
CPRA が CCPA を改正したため、CCPA と CPRA はしばしばあわせて用いられます。
CPRA は追加のプライバシー保護を導入し、California Privacy Protection Agency を設立しました。
重要な変更点には、センシティブな個人情報、訂正、データ最小化、消費者のプライバシー上の選択その他の分野に関する権利の強化が含まれます。
現在のコンプライアンスの観点からは、事業者は一般に、CPRA によって改正された CCPA を、適用される規則とあわせて評価すべきです。
CCPA コンプライアンスとは何ですか？
CCPA コンプライアンスとは、適用される CCPA の要件を満たすために必要な法的・組織的・技術的措置を実施することをいいます。
コンプライアンスプログラムには、次のような取り組みが含まれ得ます。
- プライバシー通知
- 個人情報のインベントリ
- データマッピング
- 消費者からの請求のプロセス
- オプトアウトの仕組み
- GPC への対応
- センシティブな個人情報の管理策
- ベンダーおよびサービスプロバイダーの管理
- データ保持の管理策
- セキュリティ上の安全管理措置
- プライバシー設定の管理
- 記録の保持
- 該当する場合のリスクアセスメント
- 該当する場合のサイバーセキュリティ監査
- 該当する場合の ADMT への対応
2026 年 1 月 1 日に発効する CCPA の規則は、リスクアセスメント、サイバーセキュリティ監査、自動意思決定技術に関する要件を含め、実務上のコンプライアンスの範囲を広げました。
CCPA のプライバシーポリシーとは何ですか？
CCPA のプライバシーポリシーとは、適用されるカリフォルニア州のプライバシー法が求める情報を消費者に提供するプライバシー通知です。
事業者と取り扱い活動によっては、次の事項を説明することがあります。
- 収集する個人情報のカテゴリー
- 個人情報の収集元
- 事業上または商業上の目的
- サードパーティのカテゴリー
- 販売または共有の実務
- 消費者のプライバシーの権利
- 消費者が権利を行使する方法
- 消費者が請求を提出する方法
- オプトアウトの仕組みに関する情報
California Privacy Protection Agency は、対象となる事業者は、プライバシーポリシーを含め、自社のプライバシーに関する実務についての開示を消費者に提供しなければならないと述べています。
消費者はどのように CCPA 上の権利を行使しますか？
CCPA の適用を受ける事業者は、消費者が権利を行使するための適切な方法を提供しなければなりません。
権利と事業者によって、次のような仕組みが考えられます。
- オンラインフォーム
- プライバシー請求のポータル
- メール
- フリーダイヤルの電話番号
- プライバシープリファレンスセンター
適用される要件は、請求の内容や事業者の状況によって異なります。
たとえば CPPA は、事業者は原則として、知る権利、削除を求める権利、訂正を求める権利に関する一定の請求について、特定の例外を条件に、少なくとも二つの方法を提供しなければならないと説明しています。
CCPA の DSAR とは何ですか？
Data Subject Access Request（DSAR）とは、個人が一定のデータに関する権利を行使するための請求を指す、プライバシー業界で一般的に使われる用語です。
CCPA のもとでは、事業者は GDPR の用語を用いるのではなく、これらを消費者からの請求と呼ぶのが一般的です。
状況に応じて、消費者は次のことを請求できます。
- 自身について保有されている情報を知ること
- 情報を削除すること
- 不正確な情報を訂正すること
- 販売または共有をオプトアウトすること
- センシティブな個人情報の一定の利用を制限すること
プライバシー管理の仕組みは、組織がこれらの請求を受け付け、確認し、振り分け、記録することを支援します。
CCPA とデータ最小化
現在の CCPA の枠組みには、目的の限定とデータ最小化に関する要件も含まれています。
California Privacy Protection Agency は、事業者は個人情報の収集・利用・保持を、法律が定める基準を満たし、かつ合理的に必要で相当な範囲の目的に限定しなければならないと説明しています。
つまり CCPA コンプライアンスは、プライバシーのリンクを用意することだけではありません。
事業者はあわせて、開示した目的のために合理的に必要な範囲を超えて個人情報を収集・保持していないかどうかを検証すべきです。
CCPA の執行
California Privacy Protection Agency（CalPrivacy）は、その他の法律上の責務とあわせて、CCPA の実施と執行を担っています。
同エージェンシーは、違反の疑いを調査し、監査を実施し、行政上の執行手続を行うことができます。
そのため、CCPA の適用範囲にある組織にとって、プライバシー対応を実証できるようにすることの重要性が高まっています。
CCPA の制裁
CCPA 違反は、違反の内容と適用される法律の規定によっては、重大な金銭的帰結をもたらすことがあります。
事業者は、制裁金の額を試算するだけの姿勢でコンプライアンスに臨むべきではありません。
より優れたアプローチは、次の事項を示せる、再現性のある管理策を確立することです。
- どのような個人情報を収集しているか
- なぜそれを収集しているか
- それがどこへ流れるか
- どのようなプライバシー上の選択肢が用意されていたか
- 消費者がどのような選択を行ったか
- オプトアウトのシグナルを受信したかどうか
- その意思が技術的に実行されたかどうか
- 消費者からの請求にどのように対応したか
CCPA コンプライアンスチェックリスト
実務的な CCPA のウェブサイトコンプライアンスチェックリストは次のとおりです。
- 自社の事業が CCPA の適用範囲に入るかどうかを判断する。
- 消費者から収集している個人情報を特定する。
- センシティブな個人情報を特定する。
- サードパーティスクリプト、Cookie、トラッキング技術をマッピングする。
- 個人情報が販売または共有されているかどうかを確認する。
- 適切なプライバシーポリシーを提供する。
- 必要なオプトアウトの仕組みを提供する。
- 該当する Global Privacy Control のシグナルに対応する。
- 消費者のプライバシー請求のための仕組みを用意する。
- 削除および訂正の請求に対応するプロセスを整備する。
- センシティブな個人情報の管理策を見直す。
- サービスプロバイダーと請負人を見直す。
- 該当するデータ最小化と保持の管理策を実施する。
- 該当する場合、リスクアセスメントの要件を評価する。
- 該当する場合、サイバーセキュリティ監査の要件を評価する。
- 該当する場合、ADMT の要件を評価する。
- プライバシー設定が技術的に実行されているかを定期的にテストする。
ConsentX は CCPA 対応をどのように支援しますか
ConsentX は、企業がウェブサイトやデジタル資産全体でプライバシー設定を実務に落とし込めるよう支援します。
CCPA / CPRA のユースケースでは、次のような機能が関係します。
Global Privacy Control への対応
オプトアウト設定の管理
同意とプライバシー設定の記録
事前スクリプトブロッキング
Cookie・トラッカーのスキャン
プライバシープリファレンスセンター
監査の証跡
DSAR・苦情対応のワークフロー
地域にもとづくプライバシールール
目的は、消費者のプライバシー上の判断を、ウェブサイトの技術的な挙動と結びつけることです。
たとえば、訪問者が個人情報の販売または共有をオプトアウトした場合、組織にはその設定を該当する処理技術や広告技術にまで反映できる実装が必要です。
ConsentX は、CCPA / CPRA のプライバシー設定、GPC への対応、同意記録のためのツールを提供しています。
ConsentX における CCPA と Global Privacy Control
GPC は、プライバシー設定の自動的な管理においてとりわけ重要です。
すべての消費者がすべてのウェブサイトでオプトアウトのリンクを自分で探さなくても、ブラウザまたはユーザーエージェントが、要件を満たすプライバシー上の意思を伝えられます。
プライバシープラットフォームは、そのうえで次のことを行えます。
検知
GPC のシグナルを検知します。
紐づけ
該当するプライバシー設定に紐づけます。
適用
該当するオプトアウトの状態を適用します。
制限
該当する取り扱いを防止または制限します。
証跡
必要に応じて、その設定に関する証跡を保持します。
これにより、プライバシー上の選択は単なる情報提供にとどまらず、実効性のある技術的な制御になります。
CCPA の要点
California Consumer Privacy Act（CCPA）は、CPRA によって改正された、カリフォルニア州の包括的な消費者プライバシー法です。
重要な点は次のとおりです。
- CCPA は、カリフォルニア州の住民のプライバシーの権利を保護します。
- CPRA は、別個の法律を作ったのではなく、CCPA を改正しました。
- この枠組みは、個人情報について知る権利、削除を求める権利、訂正を求める権利を与えています。
- 消費者は、該当する販売および共有をオプトアウトできます。
- 消費者は、センシティブな個人情報の一定の利用を制限できます。
- 事業者は、該当するプライバシーの権利を行使するための仕組みを提供しなければなりません。
- Global Privacy Control は、重要なオプトアウトの意思表示の仕組みです。
- CCPA は GDPR と同一ではありません。
- CCPA 対応には、法務上のプロセスと技術的な実行の両方が関わります。
- 2026 年の規制の枠組みは、リスクアセスメント、サイバーセキュリティ監査、ADMT に関する追加の考慮事項をもたらします。
- プライバシーバナーだけでは、CCPA 対応の戦略として十分ではありません。
CCPA のプライバシー設定を実効性のあるものにしましょう
関連用語
該当する CCPA のオプトアウト請求を含め、消費者のプライバシー上の意思を伝える、ブラウザまたはユーザーエージェントのシグナルです。
個人情報の該当する販売または共有を消費者がオプトアウトできるようにする、CCPA のプライバシー上の選択です。
欧州連合の包括的なデータ保護規則です。
CCPA を改正し拡張した California Privacy Rights Act です。
CCPA のもとで追加的な保護を受ける情報のカテゴリーです。
該当するデータに関する権利を行使するための請求を指す、プライバシー業界で一般的に使われる用語です。
ウェブサイトやデジタル資産全体で同意とプライバシー設定を管理するために使われるテクノロジーです。
該当する必須でない取り扱いが行われる前に、必要な同意を取得することに関する技術的かつ法的な概念です。
ユーザーが自身のプライバシー上の選択を確認し、変更できるインターフェースです。