カリフォルニア州オンラインプライバシー保護法

カリフォルニア州オンラインプライバシー保護法2003年（CalOPPA）^[1]は、 2004年7月1日に発効し、2013年に改正され、ワー​​ルドワイドウェブ上の商用ウェブサイトおよびオンラインサービスにウェブサイトにプライバシーポリシーを含めることを義務付けた米国初の州法です。このカリフォルニア州法によると、事業職業法第8部特別事業規制第22章インターネットプライバシー要件に基づき、カリフォルニア州の住民から個人識別情報（PII）を収集する商用ウェブサイトの運営者は、特定の要件を満たすプライバシーポリシーを目立つように掲載し、遵守する必要があります。^{[2]不遵守の通知を受けてから30日以内に}プライバシーポリシー を掲載しないウェブサイト運営者は、違反とみなされます。PIIには、名前、住所、メールアドレス、電話番号、生年月日、社会保障番号、または消費者が物理的にまたはオンラインで連絡を取ることができる人物に関するその他の詳細などの情報が含まれます。

この法律によると、ウェブサイトの運営者は、ウェブサイトのプライバシー ポリシーへの、目につきやすく見つけやすいリンクを掲載する必要があります。このリンクは、通常、「カリフォルニア州のプライバシー権」という見出しの下にリストされます。プライバシー ポリシーには、ウェブサイトが収集する情報の種類、その情報が他の当事者と共有される方法、または共有される可能性がある方法、また、そのようなプロセスが存在する場合は、ユーザーが保存されている情報を確認および変更するために使用できるプロセスについて詳細を記載する必要があります。また、ポリシーの発効日と、それ以降に行われた変更の更新も含める必要があります。

ウェブサイトの所有者は、プライバシーポリシーを掲載していない、または法律の基準を満たしていないという通知を受けてから30日以内に、CalOPPAに基づく法的措置の対象となる可能性があります。所有者は、法律を遵守できなかったことに対する過失（場合によっては故意）を責められ、最終的にはこの不遵守に対して告訴されることになります。^[3]

CalOPPAの違反は、カリフォルニア州司法長官事務所のウェブサイトを通じて報告することができる。^{[4] [2]}

この法律は適用範囲が広く、カリフォルニア州の境界をはるかに超えています。この法律の適用を受けるには、ウェブサーバーもウェブサイトを作成した会社もカリフォルニア州にある必要はありません。ウェブサイトはカリフォルニア州の住民がアクセスできればよいのです。 ^[5]そのため、多くのアメリカのウェブサイトでは、デフォルトで、全ページアクセス用のサイトのフッターセクションに、通常は「カリフォルニア州のプライバシー権」というタイトルのハイパーリンクの下に、定型的な免責事項を掲載しています。 ^[6]

CalOPPAには独自の執行規定がないため、カリフォルニア州の不正競争法（UCL） [ ^7]を通じて執行されるものと予想されます。UCLは、違法、不公正、または詐欺的なビジネス行為や慣行を禁止しています。UCLは、民事罰や衡平法上の救済を求める政府当局者、または私的請求を求める民間人によって、CalOPPA違反に対して執行される可能性があります。^[8]

コンプライアンス違反は、カリフォルニア州司法長官事務所のウェブサイトに報告することができます。

2007 年 5 月、Google のプライバシー ポリシーにアクセスするには、ホームページの「Google について」をクリックする必要があり、クリックするとプライバシー ポリシーへのリンクを含むページが開きました。 ニューヨーク タイムズの記者、ソール ハンセルは、 Google がこの法律を遵守しているかどうか疑問を呈するブログ記事^[9]を投稿しました。プライバシー保護団体の連合も、Google の CEO、エリック シュミットに書簡^[10]を送り、ホームページにプライバシー ポリシーへのリンクがないことを疑問視しました。電子プライバシー情報センターのディレクター、マーク ローテンバーグによると、Google のプライバシー ポリシーの慣行がカリフォルニア州法に違反しているとして訴訟が起こされなかったのは、非公式の苦情が話し合いで解決されることを期待していたためです。^[11]その後、Google はホームページにプライバシー ポリシーへの直接リンクを追加しました。^[12]

2013 年に法律として署名された議会法案 370 (ムラツチ) は、訪問者を追跡するウェブサイトやオンライン サービスに新しいプライバシー ポリシー開示を要求する CalOPPA を修正しました。法案の立法分析では、これは「行動や関心のプロファイルを作成するために複数のウェブサイトで個人を監視すること」と定義されました。^{[13] [14]}この法案では、ウェブサイトがユーザーの個人識別情報を追跡する場合、プライバシー ポリシーに、Do Not Trackヘッダーおよび「時間の経過とともに、およびサードパーティのウェブサイトまたはオンライン サービス全体で、個々の消費者のオンライン活動に関する個人識別情報の収集に関して消費者が選択を行う能力を提供するその他のメカニズム」にどのようにウェブサイトが対応するかを詳述する開示を含めるか、別のページで開示へのリンクを含めることが義務付けられました。また、ウェブサイトがサードパーティにユーザーのサイト間追跡を許可しているかどうかもプライバシー ポリシーで開示することが義務付けられました。2014 年 1 月 1 日に発効したカリフォルニア州議会法案 370 を参照してください。

2013年2月6日、エド・チャウ下院議員は、プライバシー ポリシーに追加の要件を課すために法律を改正する AB 242 を提出しました。^[15]改正により、次のことが求められます。

プライバシーポリシーは100語以内で、明確かつ簡潔な言葉で書かれ、中学2年生の読解レベル以下で書かれ、個人を特定できる情報が販売または他者と共有される可能性があるかどうか、また、その場合、どのように、誰と共有される可能性があるかを示す声明を含める必要があります。^[15]

AB242は議会司法委員会で廃案となった。^[16]

• カリフォルニア州司法長官事務所 - プライバシー法
• カリフォルニア州立法情報 - 法典セクション
• 児童オンライン保護法 (COPA)
• 児童オンラインプライバシー保護法 (COPPA)
• カリフォルニア州上院法案 1386 (2002)

• カリフォルニア消費者連盟
• プライバシーポリシーの読み方