CCPA
よみ: シーシーピーエー
米国カリフォルニア州で 2020 年に施行された「カリフォルニア州消費者プライバシー法」のことです。カリフォルニア州の居住者の個人情報を扱う企業に対し、データの開示・削除・販売拒否などを求める権利を保証しています。
※2023 年には「CPRA」という追加法が施行され、規制がさらに厳格化されています。
Web 担当者が絶対に知っておくべき「適用範囲」
「GDPR(EU)のアメリカ版」とも言える法律です。日本企業であっても、米国(特にカリフォルニア州)の居住者を顧客とするサービスを展開する場合は対応が必須となります。対応範囲は Web 担当者だけで判断せず、必ず法務部門と相談して決定するのが基本です。
実務で求められる具体的な Web 対応(GDPR との違い)
- フッターへのリンク設置：GDPR が「事前に Cookieの同意を取ること」を重視するのに対し、CCPA は「後から拒否できること(オプトアウト)」を重視します。そのため、Web サイトのフッター(最下部)などに「Do Not Sell My Personal Information(私の個人情報を販売しないでください)」という拒否用のリンクを明確に設置することが求められます。
- 権利対応の窓口整備：カリフォルニア居住者からの「自分のデータを開示・削除してほしい」という要求に対応する窓口(フリーダイヤルや Web フォームなど)の整備が必要です。
初心者が陥りがちな落とし穴
- 米国向けで CCPA を見落とす：GDPR ばかりに気を取られ、アメリカ向けのサービスで CCPA の対応(専用リンクの設置など)を忘れ、訴訟リスクを抱えてしまうこと。
- 実務のコツ：海外展開の際は、バラバラに対応するのではなく、「GDPR(EU)」「CCPA(米加州)」「日本の個人情報保護法」の要件を並べた『対応表(マトリクス)』を作って整理すると、サイト設計の抜け漏れを防げます。
言葉をよく利用する人
- 法務 / 契約担当
- Web 担当者(発注側)
- 情シス
会話上での使用例
米国向けサービスの展開を検討する場面
-
経営層
米国でも展開しようと思っているんだが。
-
Web担当者
それならCCPAへの対応が必要です。カリフォルニア州の居住者向けに、情報の開示請求や削除権に応えられる体制を整えておきます。GDPR ほどではありませんが、罰則の対象ではあるので。
-
経営層
では海外向けは法令面も含めて準備を進めてくれ。
グローバル対応の法令を整理する場面
-
法務
海外向けのプライバシー法対応、全体像を整理したいんですが。
-
Web担当者
GDPR が EU、CCPAがアメリカのカリフォルニア州、それに日本の改正個人情報保護法、この三つを並べた対応マトリクスを作りましょう。そうすれば抜け漏れを防げます。