ファイル共有のCCPA準拠:カリフォルニア州プライバシーガイド

カリフォルニア州消費者プライバシー法（ Cal. Civ. Code § 1798.100 以下、略称 CCPA ）は、カリフォルニア州消費者プライバシー権法（ CPRA 、2023年1月1日発効）による改正を経て、3つの閾値のいずれかを満たす企業に適用されます。年間売上高2,500万ドル以上、10万人以上の消費者・世帯のデータ処理、または収益の50%以上が個人情報の販売・共有によるものです。ファイル共有サービスにとっての CCPA 準拠は、 § 1798.130 の要件を満たすプライバシー通知の公開、45日以内の知る権利・削除権・訂正権・販売/共有のオプトアウト要求への対応、 Global Privacy Control（ GPC ）シグナルの実装、データを処理するすべてのベンダーとの § 1798.140(ag) に基づくサービスプロバイダー契約の締結を意味します。

事業者、サービスプロバイダー、第三者の分類

CCPA は3つの役割を定義しています。「事業者」は目的と手段を決定し（ GDPR のコントローラーに相当）、コンプライアンスの責任を負います。「サービスプロバイダー」は書面による契約のもとで事業者に代わって処理を行います（プロセッサーに相当）。「第三者」は通常自分自身の目的でデータを受け取るその他の者です。ファイル転送プラットフォームは通常サービスプロバイダーです。顧客に代わって個人情報を取り扱うためです。 § 1798.140(ag) に基づくサービスプロバイダー契約は、特定のビジネス目的以外の保持・利用・開示を禁止し、販売や共有を禁止し、さらに適格でない利用があれば通知することをサービスプロバイダーに要求する必要があります。

CPRA に基づく消費者の権利

CPRA は5つの中核的権利を導入しました。（1）収集・利用・開示・販売される個人情報を知る権利、（2）例外（取引の完了、セキュリティ、法的義務）を除く削除権、（3）不正確な個人情報を訂正する権利、（4）販売または共有のオプトアウト権、（5）センシティブな個人情報の利用を制限する権利。権利（1）〜（3）は、要求から45日以内（通知付きでさらに45日延長可）に対応する必要があります。ファイル共有サービスには、「私の個人情報を販売または共有しない」リンク、権利要求フォーム、本人確認手順、24か月間保持する履行記録のログが必要です。

センシティブな個人情報の定義

CPRA § 1798.140(ae) はセンシティブな個人情報を定義しています。社会保障番号、運転免許証、州 ID 、パスポート番号、セキュリティ認証情報を伴うアカウントログイン情報、1,850フィート以内の正確な位置情報、人種や民族的出自、宗教的・哲学的信念、組合員資格、事業者宛でないメール・電子メール・テキストメッセージの内容、遺伝データ、固有識別のための生体情報、健康情報、性生活または性的指向です。ファイル転送サービスでは、医療記録・決済スプレッドシート・ ID スキャンなど、センシティブな個人情報を含むファイルコンテンツが頻繁に扱われます。消費者は § 1798.121 に基づいて、センシティブな個人情報の利用を特定のビジネス目的に制限するよう事業者に指示できます。

§ 1798.140(ag) に基づくサービスプロバイダー契約

カリフォルニア州民のデータに触れるすべてのベンダーとサービスプロバイダー契約が必要です。必要な条項：（1）販売または共有の禁止、（2）特定のビジネス目的以外での保持の禁止、（3）ビジネスコンテキスト外での利用の禁止、（4） CCPA 義務の遵守要求、（5）事業者への監査権の付与、（6）サブプロセッサーの通知要求、（7）消費者の権利要求への対応支援要求。 CCPA 対応のサービスプロバイダー契約を公開しているファイル転送プロバイダー — HexaTransfer 、 Box 、 Dropbox Business — は署名作業だけでコンプライアンスが完了します。契約を持たないプロバイダーは個別修正契約が必要です。

§ 1798.130 に基づくプライバシー通知の要件

収集時の通知では、収集される個人情報のカテゴリと目的を明示し、該当する場合は「販売/共有しない」リンクを含める必要があります。完全なプライバシーポリシーでは、過去12か月間に収集したすべてのカテゴリ、情報源、ビジネスまたは商業的目的、販売・共有したカテゴリ（または未実施の声明）、ビジネス目的で開示したカテゴリ、保持期間を列挙する必要があります。ポリシーは少なくとも12か月ごとに更新してください。ファイル共有製品の通知には、アカウントデータ、アップロードコンテンツ、メタデータ（ IP 、タイムスタンプ）、サブプロセッサーリスト、保持スケジュールを含めてください。

Global Privacy Control とオプトアウトシグナル

CCPA 規制 § 7025 は、個人情報を販売・共有する事業者に対して、 Global Privacy Control（ GPC ）を有効なオプトアウトシグナルとして処理することを要求しています。 GPC はブラウザ設定（ Firefox 、 Brave 、 DuckDuckGo 。 Chrome と Safari は未対応）で Sec-GPC: 1 ヘッダーをブロードキャストします。このシグナルを有効な消費者要求として扱うことは義務です。個人情報を販売・共有しないファイル共有プラットフォームにとって、 GPC サポートは推奨されますが厳密には必須ではありません。プラットフォームが「共有」に該当するアナリティクス（多くのクロスコンテキスト行動広告ピクセル）を使用している場合、 GPC を尊重する必要があります。多くの場合、 GPC ユーザーに対してそれらのピクセルを無効化することを意味します。

CPPA と執行の現実

CPRA によって設立されたカリフォルニア州プライバシー保護局（ CPPA ）は2023年7月から執行を開始しました。罰金：違反1件につき2,500ドル、故意の違反または未成年が関係する違反1件につき7,500ドル。違反は影響を受けた消費者ごとに累積します。理論上、カリフォルニア州民1万人に影響した侵害は7,500万ドルに達する可能性があります。執行パターン：手続き上の違反（通知の欠如、契約の欠如）が最初に標的にされ、実質的な違反（実際の被害）はエスカレートします。

複数州のプライバシー法への対応

カリフォルニア州だけではありません。バージニア州（ VCDPA ）、コロラド州（ CPA ）、コネチカット州（ CTDPA ）、ユタ州（ UCPA ）、テキサス州（ TDPSA ）、オレゴン州（ OCPA ）など10以上の州が、重複しながらも同一ではない要件を持つプライバシー法を制定しています。最も厳しい共通の基準として CCPA を中心にコンプライアンスを構築すれば、通常は他の州もカバーできますが、州固有の注意点に注意してください。バージニア州は特定の処理に DPIA を要求し、コロラド州はユニバーサルオプトアウト機構を義務付け、テキサス州は適用基準をカリフォルニア州居住者のターゲティングに基づいて拡大しています。コンプライアンスツール（ OneTrust 、 DataGrail 、 Ethyca ）を使用して行列を大規模に管理してください。

実用的なコンプライアンスチェックリスト

カリフォルニア州ユーザーにサービスを提供するファイル共有プラットフォーム向け：（1） CCPA 準拠のプライバシーポリシーを公開し年次で更新する、（2）販売していない場合でも「販売/共有しない」リンクを追加し、なぜ機能しないかを文書化する、（3）45日 SLA で権利要求の受付フォームを構築する、（4）本人確認を実装する（メール確認プラスもう1要素）、（5）すべてのサブプロセッサーとサービスプロバイダー契約を締結する、（6）アナリティクス層で GPC シグナルを尊重する、（7）要求の記録を24か月間保持する、（8）監査のために個人情報へのアクセスをログに記録する、（9）すべてを AES-256 で暗号化する、（10）権利ワークフローを四半期ごとにテストする。

hexatransfer.comでお試しください — 無料、登録不要、最大10GB。