CCPA と CPRA に関するよくある質問

このページで学べること

CCPA（カリフォルニア州消費者プライバシー法）および CPRA（カリフォルニア州プライバシー権法）に関する、よくある質問について学びましょう。

CCPA とは？

CCPA は 2020年1月1日に施行された法律で、企業がカリフォルニア州居住者の個人情報をどのように扱うかを規定します。

CCPA は、米国におけるプライバシー保護の不足と認識されている点への対応策です。カリフォルニア州の居住者の個人情報を取り扱う企業は、企業のプライバシー慣行および居住者のプライバシー権（以下を行う権利を含む）について、居住者に通知することが義務付けられています。

• 事業者が収集する個人情報、その情報の使用方法について知る
• 収集した個人情報を削除する（例外あり）
• 個人情報の販売をオプトアウトする
• CCPA の権利行使に対する差別の禁止

CPRA とは何ですか？

CPRA は、以下を含め、CCPA の要件を修正および拡張する法律です：

• "機微な個人情報"カテゴリを追加する
• 機微な個人情報の使用および開示を制限する権利の確立
• 不正確な個人情報を訂正する権利の確立
• 「Do Not Sell」のオプトアウト要件を、クロスコンテキスト（またはサードパーティ）広告を目的とした個人情報の「共有」に拡大すること

CPRA は 2023/01/01 に施行されます。

CCPA と CPRA に準拠しなければならないのは誰ですか？

ビジネス

CCPA と CPRA の要件のほとんどは「事業者」に適用されます。これは、カリフォルニア州の消費者の個人情報を、自社で、またはベンダーを利用して収集する企業として定義されています。

CCPA は、以下の条件のいずれかを満たす事業に適用されます。

• カリフォルニア州居住者の個人情報を取り扱います
• カリフォルニア州で「事業を行っている」（E コマースまたはインタラクティブなウェブサイトまたはアプリケーションを通じて、カリフォルニア州内にいる個人と関わることを含む）
• 以下のしきい値の 1 つ以上を満たす場合：
  • 年間総売上高が $ 25 million を超える
  • カリフォルニア州居住者、世帯、またはデバイスの個人情報を年間 50,000 件以上、購入、受領、または販売している
  • 年間収益の 50％以上を、カリフォルニア州居住者の個人情報の「販売」から得ている（すなわち、販売には、金銭またはその他の価値ある対価と引き換えに、個人情報を第三者へ開示する、利用可能にする、移転する、または伝達することが含まれる）

CPRA は、この適用性を次のとおり改正します：

• 以下のしきい値の 1 つ以上を満たす場合：
  • 昨年の年間総収益が $ 25 million を超えていた last year
  • カリフォルニア州の居住者または世帯 100,000 以上の個人情報を年間で購入、販売、または 共有 している
  • 年間収益の 50％以上を、カリフォルニア州居住者の個人情報の販売または共有から得ている（共有には、金銭またはその他の価値ある対価の有無にかかわらず、クロスコンテンツ行動ターゲティング広告のために第三者へ個人情報を開示、利用可能にする、移転、または伝達することが含まれます。）

サービスプロバイダーおよび請負業者

サービス プロバイダーと見なされるには、個人または法人が次の条件を満たす必要があります：

• ビジネスに代わって個人情報を処理する
• 個人情報の使用に関して、以下を含む特定の制限と義務を課す書面による契約に拘束されること：
  • 収集中
  • 販売
  • ビジネス目的を遂行するために必要な場合を除き、個人情報を使用すること

サービスプロバイダーと同様に、販売または共有の例外は CPRA に基づき請負業者にも適用されます。請負業者とは、サービスプロバイダーに適用されるものと同様の制限および義務を課す書面契約に基づき、事業者が個人情報を利用可能にする個人または事業体を指します。請負業者は、制限を理解し、これを遵守することを示す認証も保有している必要があります。

事業目的を遂行するために必要な場合、事業者がサービス プロバイダーまたは請負業者にデータを開示しても、販売または共有とは見なされない点にご注意ください。

パーソナルコンプライは何に分類されますか？

CCPA では、個人情報を非常に広範に定義しており、特定の消費者または世帯に関連付けられる、または関連付け可能性が合理的にある情報を含みます。実務上、この広範な定義により、連絡先情報、取引データ、インターネットプロトコル（IP）アドレス、モバイルデバイス識別子、クリックストリームデータ、注文の詳細などの情報が、CCPA における個人情報の定義の範囲内となり、CCPA の要件の対象となる場合があります。

CPRA では、“sensitive personal information”という新しい個人情報のカテゴリが作成され、消費者に対して、機微情報の使用および開示を制限する新たな権利が付与されます。

CPRA における機微な個人情報には、以下が含まれます：

• 社会保障番号
• 運転免許証番号
• パスポート番号
• アカウント認証情報
• 正確なジオロケーション
• 人種または民族的出自
• 宗教的信条
• 生体認証データ
• 遺伝子データ
• 健康データ
• 消費者の性生活または性的指向に関する情報
• 消費者の郵便物、メール、およびテキストメッセージの内容（事業者が当該コミュニケーションの受信者である場合を除く）

準備のために何をする必要がありますか？

CCPA と CPRA は複雑な法律です。この記事では、Klaviyoサービスの使用に関連する可能性がある CCPA および CPRA の主要な義務を説明しますが、ビジネスに適用される可能性のある要件のすべては考慮していません。具体的な助言については、法律顧問にお問い合わせください。

CCPA と CPRA がビジネスに適用される場合は、次の権利と開示事項を検討してください。

お知らせ

ビジネスでは、サインアップフォームなど個人情報を収集するすべての箇所からアクセスできる、ウェブサイト上のプライバシーポリシーを用意する必要があります。ポリシーには、次のような内容を含める必要があります：

• ビジネス目的で収集、販売、またはその他の方法で開示する個人情報のカテゴリ
• 個人情報の取得元のカテゴリ
• 個人情報を収集または販売する事業上または商業上の目的
• 次の消費者の権利と、リクエストを提出するために指定された方法の説明：
  • 個人情報を削除する権利
  • カテゴリおよび個人情報の特定の項目にアクセスする権利
  • 個人情報の販売または共有をオプトアウトする権利
  • 報復を受けない権利

CPRA は、消費者の権利のこのリストを拡大し、次を含めます。

• 不正確な情報を訂正する権利
• 機微な個人情報の使用および開示を制限する権利
• 自動化された意思決定テクノロジーのオプトアウト権

CPRA では、企業に対して、以下の追加開示事項を含めることも求めています。

• 個人の個人情報が販売または共有されるかどうか
• 事業者が各カテゴリの個人情報を保持する予定の期間、または当該情報を保持する期間を決定するために使用する基準
• ビジネスが「機微（センシティブ）な個人情報」を収集する場合：
  • 収集される機微情報のカテゴリを特定する別途の開示
  • このデータの用途と目的
  • そのような情報が販売または共有されるかどうか

オプトアウトの権利

消費者には、いつでも第三者への個人データの販売をオプトアウトする権利があります。事業者は、消費者からのリクエストを受領した場合、消費者からその後に明示的な許可が提供されない限り、個人情報の販売を停止する必要があります。企業は、消費者に個人情報の販売へのオプトインを再度求める前に、少なくとも 12 か月待つ必要があります。このオプトアウト権を有効にするために、事業者は、とりわけ次を行う必要があります：

• ビジネスのホームページに、「Do Not Sell My Personal Information.」というタイトルの明確で目立つリンクを掲載します。リンクによって、消費者または消費者から権限を付与された人が、消費者の個人情報の販売をオプトアウトできるようにする必要があります
• 消費者に、事業者が消費者の個人情報を販売しないよう指示するために、アカウントの作成を要求しない。

消費者には、企業から消費者の個人データを購入した第三者による個人データの販売を、いつでもオプトアウトする権利もあります。サードパーティは、消費者からのオプトアウト要求を受領した時点で、消費者からその後に明示的な許可が与えられない限り、販売を停止しなければなりません。

その他の消費者の権利

企業は、個人情報へのアクセスまたは削除のリクエストに対応する際に、カリフォルニア州居住者の本人確認を行うためのプロセスを整備する必要があります。カリフォルニア州居住者からリクエストを受け取り、本人確認が完了したら、該当する場合は、リクエストの対応を完了する際に次を必ず含め、権利を尊重してください。

知る権利: 消費者は、事業者に対し、次を含む個人情報の収集および取り扱いの開示を請求できます：

• その消費者について収集された個人情報のカテゴリ（直前の 12 か月間）
• 個人情報が収集される情報源のカテゴリ
• 個人情報を収集または販売する事業または商業目的
• 事業者が個人情報を開示した第三者のカテゴリ
• 事業者が第三者に販売または開示する情報のカテゴリ
• その消費者について収集した個人情報の具体的な内容

CPRA はこの権利を修正および拡大し、次を義務付けています：

• 第三者と「共有」される個人情報のカテゴリに関する情報の提供
• 開示が "不可能" または "過度の労力を伴う" ものでない限り、事業者に 12 か月を超える情報の提供を求めることにより、12 か月の遡及制限を撤廃する（この要件は、2022 年 1 月 1 日より前に事業者が収集したデータには適用されません）

削除の権利：事業者は、（一定の例外を条件として）消費者の情報を削除し、サービスプロバイダーに対して消費者の情報を削除するよう通知する必要があります。CPRA の下では、事業者はサービスプロバイダーおよび請負業者に通知し、さらに、事業者が消費者の個人情報を販売または共有（コンテキスト横断型広告の目的）した第三者にも通知する必要があります。ただし、これが「不可能であることが証明される、または不相応な労力を伴う」場合を除きます。さらに、各サービスプロバイダーは、自身の下流のサービスプロバイダーにも、消費者の情報を削除するよう通知する必要があります。

不正確な個人情報を訂正する権利：企業が不正確な個人情報を訂正するための確認済みリクエストを受け取った場合、企業は消費者の指示に従って、当該個人情報を訂正するために「商業的に合理的な努力」を行う必要があります。この義務に関する追加のガイダンスは、カリフォルニア州司法長官から提供される見込みです。

また、消費者が 13 歳未満の場合、個人情報を販売する前に、親または保護者による明示的な同意（オプトイン）が必要である点にも注意してください。消費者が 13～16 歳の場合、個人情報を販売する前に、本人による明示的な同意が必要です。

消費者リクエストへの対応

消費者が情報に関するリクエストを送信するための指定方法を少なくとも 2 つ用意する必要があります。

これらには、少なくとも以下を含める必要があります：

• フリーダイヤルの電話番号（オンラインでのみ事業を運営し、個人情報を収集する消費者と直接関係がある特定の事業者は、フリーダイヤル番号の要件が免除されます）
• ビジネスにウェブサイトがある場合は、ウェブアドレス

消費者からの要求には、要求を受け取ってから 45 日以内に、郵送または電子的手段（消費者が別の事業体に提供できる形式）で、またはユーザー アカウントを通じて対応しなければなりません。応答時間は、複雑さと要求件数に基づき合理的に必要であり、かつ要求者に延長（その理由の詳細を含む）が通知される場合に限り、さらに 45 日延長できる場合があります。要求プロセスは無料でなければなりません。

企業は、12 か月間に消費者 1 人あたり 2 回を超えるリクエストを実行する必要はありません。

Klaviyoサービスに関連して、CCPAおよびCPRAの下でのKlaviyoのロールは何ですか？

Klaviyo は、お客様が収集して当社のプラットフォームに保存する個人情報に関して、その個人と直接の関係を有していません。Klaviyo はサービスプロバイダーとして機能し、当社はお客様に代わって個人情報を処理するため、お客様が企業に当たります。

サービスプロバイダーとしての Klaviyo のお客様に対する義務は、Data Processing Agreement に定められています。

顧客が準拠できるようにするために、Klaviyo は何を行っていますか？

Klaviyo のお客様は、CCPA および CPRA の下で、アクセス、削除、または個人情報の修正といった消費者の権利を行使するカリフォルニア州居住者からの要求に対応するための機能とツールを利用できます。具体的には：

• このプラットフォームでは、アクセスリクエストへの対応として、エンドユーザーについて保持している個人情報を report on the personal information で顧客が報告できるようになっています。
• このプラットフォームでは、削除リクエストに応じて、保持しているエンドユーザーに関する個人情報の削除を行い、Klaviyo のプロファイルの不正確な個人情報を修正できます。
• Klaviyo では、Acceptable Use Policy. に従い、機微な個人情報の収集と保存をサポートしておらず、制限しています。

その他のリソース