CCPA と CPRA に関するよくある質問

このページで学べること

CCPA（カリフォルニア州消費者プライバシー法）および CPRA（カリフォルニア州プライバシー権法）に関する、よくある質問について学びましょう。

CCPA とは？

CCPA は 2020年1月1日に施行された法律で、企業がカリフォルニア州居住者の個人情報をどのように扱うかを規定します。

CCPAは、米国におけるプライバシー保護の不足と認識されている状況への対応です。CCPAの対象となる事業者は、カリフォルニア州居住者に対して、自社のプライバシー慣行および居住者のプライバシー権（以下の権利を含む）を通知することが義務付けられています：

• 事業者が収集する個人情報、その情報の使用方法について知る
• 収集した個人情報を削除する（例外あり）
• 個人情報の販売をオプトアウトする
• CCPA の権利行使に対する差別の禁止

CPRA とは何ですか？

CPRA は、以下を含め、CCPA の要件を修正および拡張する法律です：

• 「機密性の高い個人情報」カテゴリーを追加する
• 機微な個人情報の使用および開示を制限する権利の確立
• 不正確な個人情報を訂正する権利の確立
• 「販売しない（Do Not Sell）」のオプトアウト要件を、クロスコンテキスト行動ターゲティング広告のための個人情報の共有にも拡大する

CPRA改正は2023年1月1日に施行されました。

CCPA と CPRA に準拠しなければならないのは誰ですか？

ビジネス

CCPA要件のほとんどは「事業者」に適用されます。事業者とは、ベンダーを介して直接または間接的にカリフォルニア州の消費者の個人情報を収集し、その情報の処理の目的と手段を決定する営利事業体として定義されます。

CPRAにより改正されたCCPAは、一般に、以下のすべての条件を満たす事業者に適用されます：

• カリフォルニア州居住者の個人情報を取り扱います
• カリフォルニア州で「事業活動を行う」（Eコマースまたはインタラクティブなウェブサイトもしくはアプリケーションを通じて、カリフォルニア州内にいる個人と関わることを含む）
• 以下のしきい値の 1 つ以上を満たす場合：
  • 前年の暦年における年間総収益が$ 26,625,000を超えていた
  • カリフォルニア州の居住者または世帯の個人情報を、年間に100,000件以上購入、販売、または共有している
  • 年間収益の50％以上を、カリフォルニア州居住者の個人情報の販売または共有から得ています。販売には、金銭その他の価値ある対価と引き換えに、個人情報を第三者に開示すること、利用可能にすること、移転すること、または伝達することが含まれます。共有には、金銭その他の価値ある対価が交換されるかどうかにかかわらず、クロスコンテキスト行動ターゲティング広告のためにこれらの活動を行うことが含まれます。

収益の基準値は2年ごとに調整されます。対象となるかどうかを評価する際は、現在の金額のしきい値を確認してください。

サービスプロバイダーおよび請負業者

サービス プロバイダーと見なされるには、個人または法人が次の条件を満たす必要があります：

• ビジネスに代わって個人情報を処理する
• 個人情報の使用に関して制限および義務を課し、次の事項を禁止することを含む書面による契約に拘束されていること：
  • 個人情報の販売または共有
  • CCPAで別途認められている場合を除き、契約で指定された事業目的以外の目的で個人情報を保持、使用、または開示すること
  • 直接的な取引関係の範囲外での個人情報の保持、使用、または開示
  • CCPAおよびその規則で許可されている目的を除き、事業の個人情報を他の情報源からの情報と組み合わせること

サービスプロバイダーと同様に、販売または共有の例外は CPRA に基づき請負業者にも適用されます。請負業者とは、サービスプロバイダーに適用されるものと同様の制限および義務を課す書面契約に基づき、事業者が個人情報を利用可能にする個人または事業体を指します。請負業者は、制限を理解し、これを遵守することを示す認証も保有している必要があります。

事業目的のために、要件を満たすサービス提供者または請負業者に対して開示することは、必要な契約上の条件が満たされている場合、販売または共有とは見なされない。

個人情報に分類されるものは何ですか？

CCPA では、個人情報を非常に広範に定義しており、特定の消費者または世帯に関連付けられる、または関連付け可能性が合理的にある情報を含みます。実務上、この広範な定義により、連絡先情報、取引データ、インターネットプロトコル（IP）アドレス、モバイルデバイス識別子、クリックストリームデータ、注文の詳細などの情報が、CCPA における個人情報の定義の範囲内となり、CCPA の要件の対象となる場合があります。

CPRAは、「機微な個人情報」と呼ばれる個人情報のカテゴリを追加しました。消費者には、CCPAで認められている範囲を超える目的での使用および開示を制限する権利があります。

改正後のCCPAに基づく機微な個人情報には、次のものが含まれます：

• 社会保障番号
• 運転免許証番号または州発行の身分証明書番号
• パスポート番号
• アカウントのログイン、金融アカウント、デビットカード、またはクレジットカード番号と、アカウントにアクセスできる認証情報を組み合わせたもの
• 正確なジオロケーション
• 人種または民族的出自
• 市民権または移民ステータス
• 宗教上または哲学上の信条
• 労働組合への加入
• 消費者を一意に識別するために処理される生体情報
• 遺伝子データ
• 中枢神経系または末梢神経系の活動を測定して生成される神経データ
• 消費者の健康に関して収集・分析される個人情報
• 消費者の性生活または性的指向に関して収集および分析される個人情報
• 消費者の郵便物、メール、およびSMSの内容（事業者が当該コミュニケーションの受信者である場合を除く）

準備のために何をする必要がありますか？

CCPA と CPRA は複雑な法律です。この記事では、Klaviyoサービスの使用に関連する可能性がある CCPA および CPRA の主要な義務を説明しますが、ビジネスに適用される可能性のある要件のすべては考慮していません。具体的な助言については、法律顧問にお問い合わせください。

CCPAおよびCPRAがビジネスに適用される場合は、以下の権利および開示事項を検討してください。

お知らせ

事業者は、サインアップフォームを通じて収集する場合を含め、個人情報を収集する時点または収集前に通知を提示し、ウェブサイト上でプライバシーポリシーにアクセスできるようにする必要があります。収集時の通知には、プライバシーポリシーへのリンクを含める必要があります。ポリシーには、次の事項などを含める必要があります：

• 事業目的のために収集、販売、共有、およびその他の方法で開示する個人情報のカテゴリー
• 個人情報の取得元のカテゴリ
• 個人情報を収集、販売、または共有するための事業上または商業上の目的
• 次の消費者の権利と、リクエストを提出するために指定された方法の説明：
  • 個人情報を削除する権利
  • カテゴリおよび個人情報の特定の項目にアクセスする権利
  • 個人情報の販売または共有をオプトアウトする権利
  • 報復を受けない権利

CPRAは、この消費者の権利のリストを拡大し、次の内容を含めます：

• 不正確な情報を訂正する権利
• 機微な個人情報の使用および開示を制限する権利
• 自動意思決定技術の特定の利用に関する権利。雇用、住宅、金融サービスに関する判断など、重大な意思決定を行うためにこれを使用する事業者は、2027年1月1日までにADMTに固有の通知、オプトアウト、およびアクセス要件を遵守する必要があります。これらの要件が当該利用に適用されるかどうかを判断するため、法務顧問に相談してください。

CPRA では、企業に対して、以下の追加開示事項を含めることも求めています。

• 個人の個人情報が販売または共有されるかどうか
• 事業者が各カテゴリの個人情報を保持する予定の期間、または当該情報を保持する期間を決定するために使用する基準
• ビジネスが「機微（センシティブ）な個人情報」を収集する場合：
  • 収集される機微情報のカテゴリを特定する別途の開示
  • このデータの用途と目的
  • そのような情報が販売または共有されるかどうか

オプトアウトの権利

消費者は、いつでも自身の個人情報の販売または共有をオプトアウトする権利を有します。事業者が個人情報を販売または共有している場合、これらの要請に応じなければならず、消費者がその後に承認しない限り、販売または共有を再開してはなりません。消費者に再同意を求める前に、少なくとも12か月待たなければなりません。この権利を担保するため、事業者は、とりわけ以下を行わなければなりません：

• 消費者またはその正式な代理人がオプトアウトできるように、明確で目立つ[個人情報を販売または共有しない]リンクを提供してください。規制では、[プライバシーの選択]または[カリフォルニア州のプライバシーの選択]と表示された代替リンクも認められています。必要な摩擦のない方法でオプトアウトの設定シグナルを処理する事業者は、販売または共有のオプトアウトリンクを別途表示する要件の例外を使用できます。
• 消費者が個人情報の販売または共有をオプトアウトするために、アカウントの作成を求めないでください。

消費者には、事業者から個人情報を受領した第三者による個人情報の販売または共有について、オプトアウトする権利もあります。消費者がその後、販売または共有を承認しない限り、第三者はオプトアウトを尊重しなければなりません。

その他の消費者の権利

事業者は、個人情報に関する開示、削除、または訂正の請求に対応する際、カリフォルニア州居住者の本人確認を行う必要があります。請求が確認されたら、適用される例外に従い、その請求に必要な情報を提供するか、または必要な対応を行ってください。販売または共有のオプトアウト、または機微な個人情報の利用制限の請求については、本人確認を要求しないでください。

知る権利：消費者は、以下を含む、消費者の個人情報の収集および取り扱いについて、事業者に開示を求めることができます。

• その消費者について収集された個人情報のカテゴリ（直前の 12 か月間）
• 個人情報が収集される情報源のカテゴリ
• 個人情報を収集、販売、または共有する事業上または商業上の目的
• 事業者が個人情報を開示した第三者のカテゴリ
• 事業者が第三者に販売または開示する情報のカテゴリ
• その消費者について収集した個人情報の具体的な内容

CPRA はこの権利を修正および拡大し、次を義務付けています：

• 第三者と「共有」される個人情報のカテゴリに関する情報の提供
• 消費者から要請があった場合、対応が不可能であるか、または過度の負担を伴う場合を除き、直前の12か月を超える情報を提供すること。この要件は、2022年1月1日以降に収集された個人情報にのみ適用されます。

削除の権利：事業者は、（一定の例外を条件として）消費者の情報を削除し、サービスプロバイダーに対して消費者の情報を削除するよう通知する必要があります。CPRA の下では、事業者はサービスプロバイダーおよび請負業者に通知し、さらに、事業者が消費者の個人情報を販売または共有（コンテキスト横断型広告の目的）した第三者にも通知する必要があります。ただし、これが「不可能であることが証明される、または不相応な労力を伴う」場合を除きます。さらに、各サービスプロバイダーは、自身の下流のサービスプロバイダーにも、消費者の情報を削除するよう通知する必要があります。

不正確な個人情報を訂正する権利：事業者は、検証済みのリクエストを受領した場合、消費者の指示に従い、不正確な個人情報を訂正するために商業上合理的な範囲で努力しなければなりません。カリフォルニア州プライバシー保護庁の規則では、これらのリクエストを取り扱うための要件が定められています。

事業者が消費者が16歳未満であることを把握している場合、CCPAは、個人情報を販売または共有する前に明確な承認を得ることを求めています。13歳未満の消費者については、親または保護者が承認しなければなりません。13～15歳の消費者については、消費者本人が承認しなければなりません。このCCPAの承認ルールにかかわらず、KlaviyoのAcceptable Use Policyでは、13歳未満（EEAでは16歳未満）の子どもに関する情報の収集または処理を禁止しています。

消費者リクエストへの対応

オンラインでのみ事業を展開し、収集する個人情報に関わる消費者と直接の関係を持つ事業者は、個人情報の開示、削除、または訂正の請求に対応するためのメールアドレスを提供するだけで十分です。

その他の事業者は、少なくとも2つの指定された方法（以下を含む）を用意しなければなりません：

• フリーダイヤル
• 企業にウェブサイトがある場合に、ウェブフォームなどを通じて依頼を送信できる方法

個人情報の開示、削除、または訂正の請求については、請求の受領後10営業日以内に受領を確認し、請求を受領してから45暦日以内に回答してください。本人確認によってこの期限は延長されません。合理的に必要な場合、回答期限を追加で45暦日延長できますが、当初の45日間の期間内に、延長する旨とその理由を消費者に通知する必要があります。

既存のユーザーアカウントを通じて、または郵送もしくは電子的に、消費者が別の事業体に移転できる形式で、要求された情報を提供します。要求は無料でなければなりません。ただし、CCPAでは、明らかに根拠がない、または過剰な要求について、合理的な手数料が認められています。この例外が適用されることを、事業者側で示せる必要があります。

販売または共有のオプトアウト、または機微な個人情報の利用および開示の制限の請求については、実行可能な限り速やかに、かつ請求受領後15営業日以内に対応してください。

事業者は、12か月間に消費者1人あたり2回を超えて、知る権利のリクエストに対応して情報を提供する義務はありません。この上限は、個人情報の削除または訂正のリクエストには適用されません。

Klaviyoサービスに関連して、CCPAおよびCPRAの下でのKlaviyoのロールは何ですか？

データ処理契約に基づき、Klaviyoがお客様の事業に代わって個人情報を処理する場合、Klaviyoはサービスプロバイダーとして行動します。お客様の事業は、お客様の顧客からの消費者の権利に関する要求に対応し、それを履行する責任を負います。

サービスプロバイダーとしての Klaviyo のお客様に対する義務は、Data Processing Agreement に定められています。

顧客が準拠できるようにするために、Klaviyo は何を行っていますか？

Klaviyoは、アカウントに保存されている個人情報へのアクセス、削除、または訂正のリクエストに対応するためのツールを提供しています。これらのツールは、他のシステムで必要となる情報や対応と併せて、対応の一部として使用してください。アクセスのリクエストに対しては、ユーザーの役割でプロファイルのエクスポートとファイルのダウンロードが許可されている必要があります。また、訂正または削除に対しては、プロファイルの編集が許可されている必要があります。具体的には次のとおりです：

• アクセスリクエストのためにプロファイルのデータをエクスポートできます。プロファイルからプロファイルアクション > プロファイルをエクスポートを選択し、次にエクスポートを開始を選択してください。エクスポートの準備ができたらすべてのダウンロードを表示に進み、ダウンロードを選択して.zipを保存してください。保存します。
• プロファイルを削除してプライバシーリクエストを記録できます。削除は元に戻せません。エクスポートも必要な場合は、プロファイルを削除する前にダウンロードしてください。プロファイルアクション>プロファイルを削除を選択し、データプライバシーリクエストに準拠してプロファイルを削除にチェックを入れて、プロファイルを削除で確定します。これによりリクエストが記録され、削除が開始されます。削除が完了するまで、プロファイルにはアクセスできます。
• Klaviyoのプロファイルで、編集可能な連絡先情報を修正できます。［プロファイルアクション］>［連絡先情報を編集］を選択し、修正後の情報を入力して、［更新］を選択します。変更内容を確認するために、プロファイルを確認してください。
• お客様は、健康情報や非公開の政府発行の識別番号を含む特定のデータの収集、保存、処理、送信、または伝送を禁止するKlaviyoの適正利用ポリシーに従う必要があります。

その他のリソース