コロラド州プライバシー法の概要

コロラド州プライバシー法（CPA）は、米国で初めて包括的な個人データプライバシー法を制定したカリフォルニア州とバージニア州に続き、2021年7月に制定されました。CPAは2023年7月1日に施行され、CPAの全文はこちらでご覧いただけます。

コロラド州プライバシー法の適用対象は？

CPAは、コロラド州の住民を対象に製品やサービスを提供し、かつ次のいずれかに該当する企業に適用されます。

• 1暦年に10万人以上のコロラド州の消費者の個人データを管理または処理している
• 2万5,000人以上のコロラド州の消費者の個人データを管理または処理し、かつ個人データの販売から何らかの収益を得ている

CPAは非営利の事業体にも適用されますが、学校を含む政府機関には適用されません。

CPAの主な定義

CPAの用語の多くは、GDPRから借用されています。

• 「消費者」：コロラド州の住民を指します。CCPAとは異なり、CPAでは従業員や求職者は除外されます。
• 「管理者（Controller）」：単独で、または他者と共同で、個人データの処理の目的と手段を決定するあらゆる者を指します。
• 「個人データ」：特定された、または特定可能な個人に関連付けられている、または合理的に関連付けることができるあらゆる情報を指します。これはGDPRと同様であり、カリフォルニア州のCCPAとは異なり、CPAの定義は個人のみを対象とし、「世帯」は除外されます。また、匿名化されたデータや公開されているデータ（政府の記録に由来するもの、または消費者が一般に公開したと管理者が合理的に判断するもの）も個人データから除外されます。
• 「処理者（Processor）」：管理者に代わって個人データを処理するあらゆる者を指します。
• 「個人情報の販売」：管理者が金銭またはその他の価値ある対価と引き換えに、個人データを第三者と交換することを指します。ただし、次の開示は除きます。(1)処理者への開示、(2)消費者が要求した製品またはサービスを提供する目的での第三者への開示、(3)管理者の関連会社への開示、(4)合併、買収、破産、または管理者の資産の全部もしくは一部に影響を及ぼすその他の取引の一環としての開示、(5)第三者との意図的なやり取りを含む、消費者の指示による開示、消費者がマスメディアを通じて意図的に一般公開した情報の開示。
• 「センシティブデータ」：(1)人種・民族的出自、宗教的信条、精神的・身体的健康状態、性生活、性的指向、または市民権を明らかにするデータ、(2)個人を一意に識別するために使用される遺伝データまたは生体データ、(3)13歳未満であることが判明している子どもに関するデータを指します。

処理者に業務を委託する前に、管理者は、以下に記載する義務を処理者に課す契約を処理者と締結しなければなりません。重要な点として、このような契約によって、管理者と処理者のいずれもCPA違反の責任を免れることはできません。

コロラド州CPAにおける処理者の義務

CPAは一般に、管理者よりも処理者に課す義務の方が少なくなっています。最も重要な義務として、処理者は次のことを行わなければなりません。

管理者の指示に従い、管理者がCPAの義務を果たせるよう支援すること。

• 消費者のデータプライバシーリクエストへの対応において管理者を支援するため、適切な技術的・組織的措置を講じること
• セキュリティ侵害が発生した場合は管理者に通知すること
• 個人データを処理する各人に守秘義務を課すこと
• 下請業者を起用する前に管理者に通知して異議を述べる機会を与え、下請業者にもCPAの処理者要件を課すこと

コロラド州CPAにおける管理者の義務

CPAは、GDPRやCCPAと同様の多くの義務を管理者に課しています。

• 透明性の義務：合理的にアクセス可能で、明確かつ意味のあるプライバシー通知を提供すること。通知には次の内容を含めます。

  • 管理者またはその処理者が収集または処理する個人データのカテゴリー
  • データ処理の目的。ターゲティング広告のためにデータを処理または販売する場合、管理者はその旨を目立つ形で開示し、オプトアウトの仕組みを提供しなければなりません
  • 消費者が自身の権利を行使し、管理者の決定に対して不服を申し立てる方法
  • 第三者と共有される個人情報のカテゴリー
  • データの共有先となる第三者のカテゴリー

• 目的特定の義務：個人データを収集・処理する明示的な目的を特定すること（これは透明性の義務に包含されているように見受けられます）。

• データ最小化の義務：データの収集は、特定された処理目的にとって適切かつ関連性があり、合理的に必要な範囲でなければなりません。興味深いことに、「適切」という語が含まれていることから、管理者は目的を達成するために最低限のデータを収集する必要がある可能性が示唆されており、これは「最小化」という概念そのものと相反します。

• 二次利用回避の義務：処理は、データ収集時に特定された目的にとって合理的に必要な、またはその目的と両立する目的に限られます。ただし、収集後に消費者から同意を得ることで、この制限を解除できます。つまり、新たな目的や想定外の目的については、CPAはオプトアウト型ではなくオプトイン型の法律となります。

• 注意義務：管理者は、処理する個人データの量、範囲、性質に応じて、保存時および利用時に個人データを保護するための合理的な措置を講じなければなりません。

• 違法な差別を回避する義務：管理者は、州法または連邦法の差別禁止法に違反して個人データを処理してはなりません。つまり、同一の差別的行為について、管理者は本来の差別禁止法とCPAの両方に基づく責任を問われる可能性があります。

• センシティブデータに関する義務：センシティブデータを処理するには、管理者はオプトイン同意を得なければならず、子どものデータの場合は保護者から同意を得る必要があります（13歳未満の子どもに関するデータはすべてセンシティブデータとみなされます）。CPAで求められる同意は、自由意思に基づき、具体的で、十分な情報を与えられたうえでの、明確なものでなければなりません。

• データ保護評価：管理者は、消費者に危害を及ぼすリスクが高い処理を行う前に、データ保護評価を実施しなければなりません。データ保護評価では、処理によって管理者、消費者、その他の利害関係者、および公衆にもたらされうる直接的・間接的な利益を特定し、管理者がリスク低減のために講じる保護措置も考慮したうえで、処理に伴う消費者の権利に対する潜在的なリスクと比較衡量しなければなりません。CPAでは、データ保護評価が必要となるケースの例として、(1)個人データの販売、(2)センシティブデータの処理、(3)消費者に対する不公正もしくは欺瞞的な取扱いまたは違法な差別的影響、経済的または身体的な損害、合理的な人にとって不快となる私生活の平穏への物理的その他の侵入、その他の重大な損害が生じる予見可能なリスクがある場合の、消費者のターゲティングまたはプロファイリングが挙げられています。

CPAに基づく消費者のプライバシー権

上記の管理者に課される義務に加えて、管理者は、消費者がCPAに基づくプライバシー権を行使できるようにする責任も負います。

• アクセス権：管理者が個人データを処理しているかどうかを確認し、その個人データに「アクセス」する権利（注：アクセス権が、後述するデータポータビリティの権利とどのように異なるのかは明確ではありません）。
• 訂正権：消費者自身の個人データの不正確な部分を訂正する権利。
• 削除権：消費者に関する個人データを削除する権利。この権利には法定の例外が設けられていないため、法令遵守や不正防止などのための例外は、規則で定められることが予想されます。
• データポータビリティの権利：可能な場合には、他の事業者への移転を可能にする、すぐに利用できる形式で個人データのコピーを取得する権利。消費者がこの権利を行使できるのは、1暦年につき2回までです。
• オプトアウト権：(1)ターゲティング広告、(2)個人データの販売、(3)消費者に法的またはそれと同様の重大な影響を及ぼす決定につながるプロファイリングを目的とした個人データの処理をオプトアウトする権利。2024年7月1日以降、管理者は、ターゲティング広告とデータ販売をオプトアウトするためのユニバーサルなオプトアウトの仕組みを消費者に提供しなければなりません。これについては、司法長官が規則を定める予定です。ユニバーサルなオプトアウトの仕組みにより、企業がブラウザの「Do Not Track」シグナルやその他の同様の仕組みを尊重する必要があるかどうかは不明です。ただし、CPAでは、積極的な同意またはオプトインが、ユニバーサルなオプトアウトの仕組みを通じて示されたバックグラウンドの選択に優先すると定められています。そのため、ウェブサイトの利用規約に同意するチェックボックスによって、ユニバーサルなオプトアウトが無効化されると考えることもできます。
• 不服申立権：消費者のプライバシーに関する選択の実施について、管理者が対応しなかった場合に不服を申し立てる権利。不服申立ての手続きは簡単で目立つものでなければならず、不服申立てが却下された場合、管理者は、その結果について司法長官に連絡する権利があることを消費者に通知しなければなりません。

CCPAと同様に、CPAでも、管理者はプライバシーリクエストの受領から45日以内に履行しなければなりません。合理的に必要な場合は、当初の45日間の期限内に消費者に延長を通知することで、期限を90日まで延長できます。また、履行前にプライバシーリクエストの本人確認を行うための要件も法律には定められておらず、司法長官の規則に盛り込まれる見込みです。

CCPA Toll FreeによるCPA対応の支援

CCPA Toll Freeは、費用対効果が高く、導入が容易で、自動化されたワークフローツールによって、企業のCPA対応を支援します。エンタープライズ対応の主な機能は次のとおりです。

• 消費者向けのインタラクティブなプライバシーリクエストマネージャー
• プライバシーリクエストの受付にも使える、すぐにプロビジョニングされるToll-Free Number
• プライバシーリクエストの本人確認、およびコンプライアンスの追跡と証明のためのツール
• 通信時と保存時の暗号化、二要素認証、SSO、API連携を備えた堅牢なセキュリティフレームワーク

CCPA Toll Freeでは、支払い方法の登録が不要な無料トライアルを提供しています。上の無料トライアルを開始をクリックして、CPAのプライバシーコンプライアンスを当社がどのように支援できるかをご確認ください。

CPAの執行とまとめ

CPAは、コロラド州司法長官だけでなく、各地区検事によっても執行されます。CPAの施行日である2023年7月から2025年1月1日までの間、司法長官または地区検事は、執行措置を開始する前に、CPA違反について管理者に通知し、60日間の是正期間を与えなければなりません。

CPAには罰金が明記されていませんが、CPA違反はコロラド州消費者保護法上の欺瞞的取引行為とみなされるため、企業はCPA違反1件につき最大20,000米ドルの罰金を科される可能性があります。

2023年半ばまでには、CPA対応の準備を進める時間が十分にあります。朗報なのは、GDPRとCCPAのコンプライアンスプログラムを導入済みの企業は、コロラド州法にも十分に対応できる体制にあるということです。基本的に、GDPRとCCPAのすべての権利をコロラド州の住民に提供すれば、CPAに実質的に準拠することになります。この方法ではコロラド州の住民にいくつかの追加の権利を与えることになりますが、多くの企業がこの方法を選ぶと考えられます。