CCPA について調べてみました。

対象となる企業

以下の いずれか1つ以上の条件 を満たす 営利企業 は、CCPA の適用対象になります。

• 年間総収益が2500万ドル（約37億円）以上
• カリフォルニア州の消費者から50,000件以上の個人情報を収集する
• 年間収益の50%以上を個人データの販売で得ている

カリフォルニア州に拠点がない企業でも、同州の消費者のデータを扱う場合はCCPAが適用されるようです。

個人情報の定義

CCPA では、以下のような情報を 「個人情報（Personal Information）」 として扱います。

• 氏名、住所、メールアドレス、電話番号
• IPアドレス、デバイスID
• Cookie、ブラウジング履歴
• 購入履歴、支払い情報
• 位置情報
• 生体認証データ（指紋、顔認証データ）
• ソーシャルメディアのアカウント情報

消費者（個人）の権利

CCPA では、カリフォルニア州の消費者に対し 以下の4つの権利 を保証しています。

• 情報開示の権利（Right to Know）
  • 企業は、消費者が「どんなデータを収集しているか」を開示しなければならない。
  • 収集した個人情報の カテゴリ や 目的 を説明する必要がある。

• 削除請求の権利（Right to Delete）
  • 消費者は、自分の個人情報の削除を求めることができる。
  • 企業は、法的に保持が必要な場合（例：税務データ）を除き、データを削除しなければならない。

• データ販売の拒否権（Right to Opt-Out）
  • 消費者は、自分の個人情報を第三者に販売しないよう要求できる。
  • 企業は 「Do Not Sell My Personal Information」（私の個人情報を売らないで）というオプションをWebサイトに設ける必要がある。

• 差別の禁止（Right to Non-Discrimination）
  • データの開示・削除を要求した消費者を不利に扱ってはならない。
  • 例：データ削除を要求した人に対し、サービスを提供しない・価格を上げるといった対応は禁止。

民事罰（罰金）

• 意図的な違反 ：1件あたり 最大7,500ドル
• 過失による違反 ：1件あたり 最大2,500ドル

消費者による集団訴訟

• データ漏洩が発生した場合、消費者は企業を集団訴訟できる。
• 企業側に過失があれば 1件あたり100ドル～750ドルの損害賠償 を請求可能。

「機密個人情報（Sensitive Personal Information）」の新設

• 例：社会保障番号、財務情報、健康データ、性的指向、民族情報
• 企業は「機密個人情報」をどのように扱うか明確にする必要がある。

「オプトアウト」から「オプトイン」への変更

• 16歳未満のデータ収集には 事前の同意（オプトイン） が必要

データ保持ポリシーの明確化

• データを保持する期間を明示する義務 が企業に課された

新しい監督機関（California Privacy Protection Agency, CPPA）の設立

• プライバシー保護を強化するため、CCPAの施行・監査を行う専属機関が設立された。