米カリフォルニア消費者プライバシー改正法の最終規則に基づく執行、2024年3月29日まで延期

米国カリフォルニア州サクラメント郡上級裁判所は6月30日、カリフォルニア州プライバシー権法（CPRA）の最終規則に基づく執行を2024年3月29日まで延期する判決を出した。CPRAはカリフォルニア州消費者プライバシー法（CCPA、注）を改正する州法で、2023年1月1日から適用が開始され、カリフォルニア州プライバシー保護局（CPPA）が3月29日にCPRA実施のための最終規則を発効していた。当初は7月1日以降に同規則の執行を開始する予定だった（2023年5月25日記事参照）。

最終規則は、消費者への情報開示義務や消費者からの要求に対応するためのビジネスプラクティス、サービス提供者や請負業者、第三者に対する規則、消費者からの要求に対する本人確認のための検証、16歳未満の消費者に関する特別な規定などを定めている。

カリフォルニア州商工会議所は3月30日、最終規則の発効後1年以内は執行を猶予するよう主張し、CPPAを相手にサクラメント郡上級裁判所に訴訟を提起していた。同裁判所は今回の判決でこの主張を認めたことになる。

現在適用されているCCPAの最終規則の執行は、同州司法長官室が所管しており、同長官のウェブサイトには実際の執行事例が掲載されている。CCPAの不順守が確認された場合、書面による通知が行われ、事業者は30日以内の是正が求められる。具体的な執行事例として、消費者に個人情報の販売を開示していなかった化粧品会社の米国セフォラの事例が挙げられる。同社は、是正を求める司法長官室からの通知に従わず、2022年8月に120万ドルの罰金を支払うとともに、個人情報の販売を行っている点をプライバシーポリシーなどで表明するといった条件の下で和解した。

（注）カリフォルニア州民（消費者）の個人情報を取得する事業者に課される情報開示義務や、消費者に対しオプトアウト権（個人情報の販売中止を求める権利）を与えることなどを定めた民間部門対象の包括的なデータプライバシー法。詳細はジェトロの調査レポート「CCPA実務ハンドブック(1.7MB)」（規則に関する記述は2019年11月のオリジナル案をベースにしたもの）を参照。

（石橋裕貴）