４．今後の動向

一方で、米国では、フェイスブック事件以降、プライバシー保護への意識が非常に高まっていることもあり、事業者としては、個人情報漏洩等による炎上リスクに備え、適切なセキュリティ措置を講じるなどの備えを行っておく必要がある。また、今後、カリフォルニア州以外でも異なった個人情報保護法制が導入される可能性があり、州ごとに異なる個人情報保護の仕組みを導入することが必要になることも想定される。米国で事業を行う事業者にとっては、その動向を注視する必要があろう。

実際、こうした州単位の個人情報保護法制制定の動きは広がりを見せており、ワシントンDC等でも法整備が進められている。さらに、州単位のみではなく、連邦法でも個人情報補保護法制を整備する動きがある。こうした米国の動きが国際的なデータを巡るルール形成にも影響を及ぼし、個人情報・個人データ「保護」の動き（欧州の“GDPR型化”）が加速化する可能性もある。

上述のとおり、個人情報のアクセス権の形式１つとっても、GDPRはデータポータビリティ権（上記「EUの動向」参照）という個人データに対する個人の権利を厳格に規律しているのに対し、カリフォルニアや日本では、個人の権利を重要視しつつも、企業の実務の実行可能性にも配慮した内容であることが分かる。国際的なルール形成という観点から考えると、しばらくは厳格なEUの“GDPR型”の規律と、個人の権利の保護と個人情報・データ活用の両面を重視する“米国型（日本型）”の規律が併存することになるだろう。中国による“国家管理型”のデータローカライゼーションモデルも含めて、どのモデルがグローバルスタンダードになっていくのか、日本企業としては個人情報・個人データを巡る国際動向を注視していく必要がある。

データローカライゼーション ： ICTサービスの提供に用いられるサーバー設備等の国内設置を求める規制のこと。ここ数年来、特に新興国を中心に拡大しつつある。具体的には、ある国において（あるいは外国から当該国を対象に）特定の事業活動を営む場合には、当該事業活動に必要なサーバーやデータ自体の国内設置・保存が求められる。データローカライゼーション規制の下では、本人の同意により個人データを海外に移転（越境移転）することはできず、データの越境移転にあたっては政府の許可等が必要となることが多い。

２．EUの動向

まずEUは、個人が自身に帰属する情報やデータをコントロールすることは「人権」であるとの基本的な考え方のもと、個人情報・データの越境移転の原則禁止やデータポータビリティ規定（＊）、高額な課徴金等、厳格な個人データ保護を定めた「一般データ保護規則(GDPR＝General Data Protection Regulation)」を策定。これをグローバルスタンダードにしようと普及活動を展開している。

機械可読性 ： コンピューターにより文書構造が認識できること。機械可読性に配慮した文書（例えばXML（Extensible Markup Language＝拡張可能なマークアップ言語）により作成された文書）はインターネットで検索されやすく、それゆえ流通しやすい。文書流通がインターネットを中心とするようになり、機械可読性を高めた文書の重要性が増してきている。

EUがGDPRを策定したのは、GAFA（グーグル、アマゾン、フェイスブック、アップル）に対抗するために他ならない。GAFAがEU市民の個人データを吸い上げて不当に利益をあげているとの問題意識から、GDPRにより個人データの保護を厳格化し、企業が個人のコントロールの及ばないところで個人データを利用できないようにしたという経緯がある。

３．米国の動向

米国の状況はどうか。米国には、日本の個人情報保護法やEUのGDPRに当たる個人情報保護を統一的に規律した連邦法がなく、個人データの利用には比較的寛容であった。こうした環境がGAFAのビジネスを支えていたとも言われる。しかし、2018年に発覚したフェイスブックの個人情報流出や、それに伴うケンブリッジ・アナリティカ事件等の発生、プライバシー保護の世界的な潮流の中、米国国内ではプライバシー保護のルール作りが加速しており、州ごとにプライバシー保護法制が作られる傾向にある。最も先進的な取り組みが、カリフォルニア州の消費者プライバシー法(CCPA＝(The California Consumer Privacy Act of 2018)である。

ケンブリッジ・アナリティカ事件 ： ケンブリッジ・アナリティカ社とは、かつて米国と英国に拠点を置いていたデータ分析を得意とする選挙コンサルティング会社である。同社は、2016年6月に実施された英国の欧州連合離脱是非を問う国民投票や、2016年11月に実施されたトランプ大統領が誕生した米国大統領選挙において、いずれも勝者側が利用したとして注目されたが、フェイスブックの個人情報流出問題で情報の不正取得が疑われた結果顧客離れが止まらず、2018年5月に破産手続きを申請し、全ての業務を停止した。

CCPAは2018年に制定され、2020年1月に適用が開始される予定となっている。具体的な内容は下記のとおり。

（個人による個人情報の開示請求権）
日本の個人情報保護法では、紙媒体（郵送）による個人の開示請求権を認めている。現在進行中の個人情報保護法の見直しにより、今後は紙媒体のみならず電子媒体による本人への開示が認められる（開示請求権については2019年5月20日のニュース「個人データの消去“義務化”も 企業側は強い懸念示す」の■データポータビリティ権 参照）。

CCPAも紙媒体・電子媒体での開示が認められる点は同様だが、特徴的な点として、個人の権利乱用防止、企業実務の実行可能性を考慮して、個人の開示請求権の行使は「１年に２回まで」とされている。カリフォルニア州で事業を展開する日本企業としては、日本の個人情報保護法とほぼ同様のコンプライアンス体制を整えておけば問題ないだろう。

（削除請求権）
日本の個人情報保護法で個人情報の削除請求が認められるのは、個人情報の目的外利用が行われた場合や、個人情報の訂正を要する場合等、限定的なケースにとどまっている。一方、EUのGDPRでは個人の削除請求権が広範に認められている（削除請求権については2019年5月20日のニュース「個人データの消去“義務化”も 企業側は強い懸念示す」の■利用停止権・消去権（忘れられる権利）参照）。

CCPAも個人の削除請求権を認めているが、消費者と企業間の取引や契約における企業の履行義務を妨げるような削除請求権を認めない等、合理的な範囲で相当程度の例外措置を設けている。削除請求権の例外措置は十分確認しておく必要があるが、総じて企業・消費者間の通常の取引に大きな影響を及ぼす内容ではないと言えよう。

（プライバシーポリシー）
CCPAでは、個人情報の取得・売却等の詳しい情報を、プライバシーポリシーとして開示することを求めている。しかも、「12か月に１度」は必ず更新しなければならないという更新義務を課している点、注意が必要だ。

またCCPAでは、個人が事業者による個人情報の売却を停止させる「オプトアウト」の権利が認められており、事業者のウェブサイトのトップページで「Do Not Sell My Information」と題して注意喚起を行うことを求めるなど、事業者の義務を細かく規定している。実務上は留意が必要だろう。

オプトアウト ： 個人情報・データの第三者への提供を、個人の求めに応じて停止すること。

（CCPA違反）
事業者がCCPAに違反した場合にとられる措置は以下の2つに分かれる。

1つ目は行政措置であり、CCPAに違反した場合、「2,500ドル以下（意図的な場合は7,500ドル以下）」の制裁金が課せられる可能性がある。

2つ目は被害を受けた消費者による民事訴訟である。事業者が合理的なセキュリティ措置等をとらなかった結果、暗号化等がされていない個人情報が流出（不正アクセス、抽出、盗難、開示）した場合、1回の流出事案につき「100ドル～750ドル/1人」の法定損害賠償額と実損のいずれか大きい額の賠償金が命じられる。

なお、これらの制裁は、事業者が30日以内に是正措置が講じれば、免除されることになる。

CCPAは、日本企業を含め海外事業者であってもカリフォルニア州でビジネスを行う場合には適用されることになるが、法律の中身そのものは、日本の個人情報保護法と大差はなく、制裁金額もGDPRほど多額ではない。過度に恐れる必要はないと言えるだろう。

４．今後の動向（会員限定）