カリフォルニア州上院法案 1386 (2002)

カリフォルニア州 SB 1386 は、カリフォルニア州議会で可決された法案で、個人情報のプライバシーを規制するカリフォルニア州法(民法 1798.29、1798.82、1798.84) を改正するものでした。これは、将来の米国および国際的なセキュリティ侵害通知法の多くの初期の例であり、カリフォルニア州上院議員スティーブ・ピースによって2002 年 2 月 12 日に導入され、2003 年 7 月 1 日に施行されました。^[1]

暗号化されていない個人情報が不正な人物によって取得された、または取得されたと合理的に考えられるカリフォルニア州の居住者への通知義務の制定。これにより、カリフォルニア州で事業を営み、コンピュータ化された「個人情報」を所有またはライセンスしている機関、個人、または企業は、セキュリティ侵害を（暗号化されていないデータが漏洩したと考えられる居住者に）開示することが義務付けられます。^[2]

この法案は、他の定義された規定にも従い、このシナリオの多くの側面に関してさまざまなメカニズムと手順を義務付けています。

個人情報を含むコンピュータ化されたデータを所有またはライセンスする機関は、データのセキュリティ侵害が発見または通知された後、暗号化されていない個人情報が権限のない人物によって取得された、または取得されたと合理的に考えられるカリフォルニア州の居住者に、システムのセキュリティ侵害を開示するものとします。カリフォルニア州居住者に関する個人情報を保有する州外の企業は、この法律の対象となります。その場合、カリフォルニア州居住者のこの法律に基づく権利を執行するためにカリフォルニア州で訴訟を起こせるかどうかという、 最小限の接触に関する疑問が生じます。

カリフォルニア州内に物理的な拠点を持たない法人は、カリフォルニア州法の対象にはなりません。SB 1386 が州外法人に影響を及ぼすのは、「準物権」という概念に基づいていますが、この概念は最高裁判所がShaffer v. Heitnerで無効としました。

企業は、以下の質問を検討することで、この法律の対象となるかどうかを判断できます。

1. 彼らのデータには、法律で定義されている「個人情報」が含まれていますか?
2. その「個人情報」はカリフォルニア州の居住者に関係するものですか?
3. 「個人情報」は暗号化されていませんでしたか？
4. 法令で定義されているデータの「セキュリティ侵害」はありましたか?
5. 「個人情報」は、権限のない者によって取得されたか、または取得されたと合理的に考えられますか?

これら 5 つの質問すべてに「はい」と答えた企業は報告する必要があります。

この法律は「暗号化された」情報には適用されません。したがって、報告を回避する 1 つの方法は、すべての「個人情報」を暗号化することです。企業は、そのデータにカリフォルニア州居住者に関する「個人情報」が含まれていない場合、報告を回避することもできます。

「個人情報」とは、個人の名、または名の頭文字と姓に、以下のデータ要素のいずれか 1 つ以上を組み合わせたもので、名前またはデータ要素のいずれかが暗号化されていない場合に該当します。

1. 社会保障番号。
2. 運転免許証番号またはカリフォルニア州身分証明書番号。
3. 口座番号、クレジットカードまたはデビット カード番号、および個人の金融口座へのアクセスを許可する必要なセキュリティ コード、アクセス コード、またはパスワードの組み合わせ。

「個人情報」には、連邦政府、州政府、または地方自治体の記録から合法的に一般に公開されている公開情報は含まれません。

• SB1386のテキスト
• SB 1386 管理ツールキット