2023年1月1日からカリフォルニア州消費者プライバシー法(California Consumer Privacy Act)（以下「CCPA」といいます)の改正法が施行されましたが、同改正は、消費者の個人データだけでなく、商取引で利用される連絡先情報となる従業員および個人の個人データにも影響を与えています。
CCPAの改正により、データ主体（個人情報により識別される本人）は、事業者が保持する自身に関するデータを訂正するよう求める権利、また、事業者に特定の種類の「センシティブ・データ」の開示と利用の制限を求める権利が認められるようになりました。これらの権利は、改正前のCCPAの下で認められていた権利、すなわち、データ主体が、事業者に自身の個人情報を開示させる権利、事業者にその個人情報を削除させる権利、事業者が第三者に個人情報を販売するにあたって（販売を許可しないという）オプトアウトの選択をする権利、CCPAに基づく権利を行使することにより差別されない権利、およびデータ侵害が生じた場合には訴訟を提起することができる権利、に加えて新たに認められることとなりました。
CCPAは、欧州や日本と異なり、データの国内移転と越境移転の区別をしていません。しかし、米国では、CCPAにより、データ移転に関する規制が一般的には強化されつつあります。事業者は、第三者に個人データを提供する際には、当該第三者と特定の内容を含む契約を締結しなければなりません。カリフォルニア州のデータ主体は、現在、事業者がその個人データを第三者に「販売」する場合だけではなく、「共有」する可能性がある場合においても、事業者に対してかかる販売・開示を許可しない選択をするオプトアウトの権利を有しています。
コロラド州、コネチカット州、ネバダ州、ユタ州、バージニア州など他の6州でも、データ・プライバシー法が制定されており、2023年末までに施行される予定です。かかる法律の大半は、従業員やB2B契約での連絡先となる個人に対してではなく、消費者に対して適用されます。しかし、消費者に直接（商品やサービスを）販売する事業者にとっては、CCPAおよびGDPR（EU一般データ保護規則）と同様の権利を認めているこれらの州法に留意することがますます重要となるでしょう。これらの州法が施行されることにより、米国住民の個人情報の取得に関して、より規制が強化されるといえるでしょう。
© 2024 Masuda, Funai, Eifert & Mitchell, Ltd. All rights reserved. 本書は、特定の事実や状況に関する法務アドバイスまたは法的見解に代わるものではありません。本書に含まれる内容は、情報の提供を目的としたものです。かかる情報を利用なさる場合は、弁護士にご相談の上、アドバイスに従ってください。本書は、広告物とみなされることもあります。