米カリフォルニア州、消費者プライバシー法の「削除の権利」抜け穴是正、個人情報保護を強化

米カリフォルニア州のギャビン・ニューサム知事（民主党）は9月27日、「プライバシー権拡大法（Expanding Privacy Rights Act：SB 923）」に署名した。これにより、カリフォルニア州消費者プライバシー法（CCPA）における「削除の権利」の抜け穴が是正され、消費者による個人情報保護が強化される。本法案はジョシュ・ベッカー上院議員（民主党）が提出し、カリフォルニア州プライバシー保護局（CPPA）が推進したもので、2027年1月1日から施行される。

現行のCCPAでは、企業は消費者から直接収集した個人情報について削除義務を負う一方、第三者から取得した情報については削除義務を負っていなかった。しかし、企業は第三者が保有するデータを活用して、自社の保有情報を補完・拡充することが一般的であり、これが「削除の権利」の大きな抜け穴となっていた。このため、消費者が削除を請求しても、一部の個人情報が企業に残り、情報漏えいや不正利用のリスクにさらされる可能性があった。

プライバシー保護団体CalPrivacy事務局長のトム・ケンプ氏は法案成立を歓迎し、「企業が情報を取得した経路にかかわらず、本人が削除を求めた個人情報が削除されるようになる」と述べた。

今回の改正により、カリフォルニア州の「削除の権利」は、デラウェア州、インディアナ州、メリーランド州、ニュージャージー州で既に導入されている、より強力な基準と同水準になる。これらの州で削除請求を受けた企業は、適用除外となるものを除き、消費者に関する全ての個人情報を削除している。このため、これらの州で既に同様の対応を行っている企業には、新たな負担は限定的とみられる。

また、同法では、企業が削除請求を行った消費者の情報を管理する「サプレッション・リスト」の保持を認める。これにより、企業が第三者から新たなデータを取得した場合でも、削除済みの個人情報が再び取り込まれることを防ぎ、削除された状態を継続的に維持できる。

カリフォルニア州は全米でも先進的なプライバシー保護制度を整備しており、今回の改正は、消費者の個人情報保護をさらに強化する措置として注目される。企業には、より透明性の高いデータ管理と削除請求への適切な対応が求められる。

（サチエ・ヴァメーレン）