6年前の2019年11月にGoogleアドセンスから、はじめて英文メールで「CCPA」のお知らせが届きました。
「CCPA」とは、なんのことでしょうか？
本記事では、2025年の最新情報をもとに、米国カリフォルニア州でCCPAの執行規則が2020年1月1日執行された理由と対応について解説します。
2019年11月アドセンスからの英文メールとは？
Important updates about the California Consumer Privacy Act (CCPA)
メールは、冒頭以下の概要で始まっています。
Dear Partner,
The California Consumer Privacy Act (CCPA) is a new data privacy law that applies to certain businesses which collect personal information from California residents. The new law goes into effect on January 1, 2020.
米国カリフォルニアの州でCCPAの執行規則が2020年1月1日執行されることについてのお知らせでした。
アドセンスからのお知らせは英文で管理画面に通知されてきました。
これはどんな意味があるのでしょうか？
調べてみました。
CCPAとは？
2025年時点でのCCPA概要
そこで、2025年時点の情報から、CCPAについてまとめてみました。
CCPAは2018年に制定されたカリフォルニア州の消費者プライバシー保護法で、2020年1月に施行されました。
この法律は、カリフォルニア州の住民に対し、企業が収集する個人情報へのアクセス権、削除権、販売のオプトアウト権などを付与しています。
年間総収入2,500万ドル以上、5万人以上の個人情報を扱う、または個人情報の販売から収益の50%以上を得る企業が対象です。
2023年1月からは、CCPA を強化したカリフォルニア州プライバシー権法(CPRA)が施行され、センシティブな個人情報の利用制限権の追加や、カリフォルニア州プライバシー保護庁の設立などが行われました。
CCPAは米国におけるプライバシー法制の先駆けとなり、他州の類似法制定にも影響を与えています。企業には厳格なコンプライアンス義務が課され、違反には罰金が科されます。
概要は、カルフォルニア州の住民から個人情報を収集する特定の企業に適用される「新しいデータプライバシー法」です。
米カリフォルニア州のCCPAの執行規則
CCPAは2020年1月1日から施行されました。
Googleもこれに準拠するというお知らせです。
当時のジェトロ（JETRO）によると、次の様に説明している。
米国カリフォルニア州司法長官室は10月10日、カリフォルニア州消費者プライバシー法（CCPA）の執行規則案を公表外部サイトへ、新しいウィンドウで開きました。同案は、（1）消費者への通知、（2）開示・削除請求を処理するための方法・手順、（3）開示・削除請求に関する本人確認方法、（4）未成年者に関する特別ルール、（5）差別的取り扱いの禁止に関する事項の詳細を定めている
引用：JETRO（日本貿易振興機構）2019/10/16
ザビエル・ベセラ州司法長官が発表したプレスリリースでは次の様に発表しています。
「今日、カリフォルニア州民のプライバシー権を保護するために歴史的な一歩を踏み出した。カリフォルニアが先頭に立ってもう一度、インターネット時代の人々の権利を第一に考えていく」
引用：JETRO（日本貿易振興機構）
2020年2月12日 CCPAの施行が通知
アドセンンスからCCPAが施行されたと管理画面に通知がありました。
一般的なCCPAの対処について
Googleアドセンスの利用者がCCPAに対応するために必要な主な措置は以下の通りです。
プライバシーポリシーの更新
- 収集する個人情報の種類、利用目的、第三者との共有について明記
- カリフォルニア州住民の権利(アクセス、削除、販売のオプトアウト)を説明
「Do Not Sell My Personal Information」リンクの設置
- ウェブサイトに目立つ形でオプトアウトリンクを配置
- カリフォルニア州のユーザーが個人情報の販売を拒否できる仕組みを提供
Googleの同意管理ツールの実装
- Google認定の同意管理プラットフォーム(CMP)を使用
- ユーザーにクッキー使用の同意を求める
ユーザーリクエストへの対応体制
- データアクセス、削除要求に45日以内に応答できる体制構築
- 本人確認プロセスの確立
Googleアドセンスの設定確認
- 制限付き広告配信の設定を確認
- CCPA準拠のための広告設定を適切に構成
カリフォルニア州のユーザーがいる可能性があるすべてのサイト運営者に対応が推奨されます。
日本のGoogleアドセンス利用者の場合
日本のサイト運営者がGoogleアドセンスを利用する場合、以下のような対応が考えられます。
カリフォルニア州のユーザーがいる場合
理論上はCCPA対応が必要です。ただし、日本の小規模サイトでカリフォルニア州住民がほとんどアクセスしない場合、実務上のリスクは低いと考えられます
Googleの要求事項
Googleアドセンスの利用規約上、適用される法令の遵守が求められます。EUのGDPRほど厳格ではありませんが、グローバルにサービスを提供する場合は配慮が必要です。
現実的な対応
- プライバシーポリシーの整備 – 個人情報の収集・利用について日本語で明記
- Googleの同意管理の活用 – Googleが提供する基本的な同意管理機能を利用
- 地域ターゲティングの確認 – 主に日本向けのサイトであれば過度な心配は不要
日本の法律への対応が優先
- 個人情報保護法への対応がまず重要
- 改正個人情報保護法に基づくプライバシーポリシーとクッキーポリシーの整備
明確に米国市場をターゲットにしていない限り、日本の法令対応を優先し、基本的なプライバシー対応をしておけば十分なケースが多いでしょう。
まとめ
カリフォルニア州民のプライバシー権を保護するために、CCPAが執行規則が2020年1月1日から施行されました。
新しい対処が必要な場合は、追記して行きたいと思います。
