CCPAとは？カリフォルニア州消費者プライバシー法の要点

海外向けにWebサイトを運営していたり、広告配信でCookieやピクセルを使っていたりすると、避けて通れないのが「CCPA」です。米国カリフォルニア州の法律でありながら、日本企業にも適用される可能性があります。本記事では、CCPAとは何かを整理し、適用対象、消費者に認められた権利、マーケティング実務での注意点、そして2026年1月から始まった改正の要点までを解説します。

CCPAとは？

CCPA（California Consumer Privacy Act／カリフォルニア州消費者プライバシー法）は、2018年に成立し2020年1月に施行された、米国で初めての包括的な消費者プライバシー法です。カリフォルニア州の消費者に対し、自分の個人情報を「知る」「消す」「売らせない」といった権利を与え、企業側に開示や対応の義務を課しています。

CPRAによる改正と、規制当局CPPA

CCPAはその後、CPRA（California Privacy Rights Act／カリフォルニア州プライバシー権利法）によって大幅に改正されました。CPRAは2023年1月に全面施行され、訂正権や機微個人情報の利用制限権といった新しい権利を追加するとともに、専門の規制当局であるCPPA（California Privacy Protection Agency）を設置しました。

現在「CCPA」と言うとき、実務上はこのCPRAによる改正後のルール一式を指すのが一般的です。CPRAはCCPAとは別の法律ではなく、CCPAを上書きした改正法だと理解しておけば混乱しません。

日本企業にも関係あるのか｜適用対象

CCPAは、企業の所在地ではなく「カリフォルニア州の消費者の個人情報を扱っているかどうか」で適用が決まります。つまり、日本に本社があっても、カリフォルニア州住民のデータを扱っていれば対象になり得ます。具体的には、営利事業者が次のいずれかに該当する場合です。

1. 売上規模：年間総売上が約2,662万ドルを超える（インフレ調整により毎年見直されます）。
2. データ取扱量：年間10万人以上のカリフォルニア州消費者または世帯の個人情報を売買・共有・処理している。
3. 収益構造：年間収益の50%以上を、個人情報の販売または共有から得ている。

「10万人」という基準は、思っているより低いハードルです。米国向けにWebサイトやアプリを展開し、広告配信やアクセス解析でトラッキングをしていれば、意図せず到達していることがあります。

消費者に認められた主な権利

• 知る権利：どんな個人情報を、どの目的で収集し、誰に提供したのかの開示を求められます。2026年の改正で、遡って開示すべき範囲が2022年1月まで拡大されました。
• 削除権：収集された個人情報の削除を求められます。委託先にも削除を伝達する必要があります。
• 訂正権：不正確な個人情報の訂正を求められます（CPRAで追加）。
• 販売・共有のオプトアウト権：個人情報の「販売」「共有」を拒否できます。企業側は「Do Not Sell or Share My Personal Information」のリンク設置が求められます。
• 機微個人情報の利用制限権：人種、位置情報、健康情報などの利用を必要最小限に制限するよう求められます（CPRAで追加）。
• 差別されない権利：権利を行使したことを理由に、価格やサービス品質で不利な扱いを受けません。

マーケターが最も注意すべき「販売」と「共有」

CCPAで最も誤解されやすいのが、「販売（sale）」という言葉です。CCPAにおける販売は、金銭のやり取りに限りません。金銭以外の対価を伴う提供も含まれるため、広告プラットフォームへのデータ連携が「販売」に当たると判断されるケースがあります。

さらにCPRAは「共有（sharing）」という概念を追加しました。これはクロスコンテキスト行動広告（サイトをまたいだ行動ターゲティング広告）を目的とした提供を指します。つまり、サードパーティCookieや広告ピクセルによるリターゲティングは、対価がなくても「共有」としてオプトアウトの対象になり得ます。ここが、日本の個人情報保護法の感覚とのいちばん大きなズレです。

GPC（オプトアウト・シグナル）への対応

GPC（Global Privacy Control）は、ブラウザや拡張機能が自動的に「販売・共有を拒否する」意思を送信する仕組みです。CCPAでは、このシグナルを受け取ったら有効なオプトアウト請求として尊重しなければなりません。GPCの無視は、当局が近年とくに重点的に取り締まっている領域のひとつです。同意バナーを置いただけで安心せず、シグナルが実際に広告タグまで伝わっているかを技術的に検証する必要があります。

2026年1月から始まった主な改正点

CPPAが2025年9月に最終化した規則が、2026年1月1日から順次適用されています。CCPAは「ポリシーを整備する」段階から、「運用と統制を証明する」段階へと移行しつつあります。

• ダークパターンの禁止と選択肢の対称性：ポップアップを閉じる、外側をクリックする、といった「不作為」は同意とみなされません。「同意する」「拒否する」のボタンは、大きさや色を含めて対等に見せる必要があります。
• オプトアウト完了の可視化：オプトアウトが受理されたことを、ユーザーが目に見える形で確認できるようにする必要があります。
• リスクアセスメントの義務化：個人情報の販売・共有、機微情報の取扱い、プロファイリングなど、消費者に重大なリスクをもたらす処理には、文書化されたリスク評価が必要です。2026年より前から行っている活動は2027年末までに評価し、2028年4月までに当局へ概要を提出します。
• ADMT（自動意思決定技術）への規律：雇用、与信、教育、住宅などの重要な意思決定をAIなどで自動化する場合、事前通知・オプトアウト・説明の提供が求められます。既存の利用については2027年1月1日までの対応が必要です。
• サイバーセキュリティ監査：一定規模以上の企業に、独立した監査人による年次監査と当局への認証提出が課されます。売上規模に応じて2028年〜2030年に段階的に適用されます。

GDPRとの主な違い

• 同意の方式：GDPRは原則として事前同意（オプトイン）を求めます。一方CCPAは、原則オプトアウト型で、ユーザーが拒否するまでは利用できるという建て付けです（16歳未満は例外的にオプトイン）。
• 適用対象：GDPRは規模を問わず適用されますが、CCPAは売上・データ量などの閾値を超えた営利事業者が対象です。
• 制裁金の考え方：GDPRが売上高比例の高額制裁金であるのに対し、CCPAは違反1件あたりで積み上がる方式です。

違反した場合のペナルティ

CCPA違反には、違反1件あたりの民事制裁金が科されます（意図的な違反や未成年者に関わる違反はより高額。金額はインフレ調整されます）。1件あたりの額は小さく見えても、影響を受けた消費者数だけ積み上がるため、総額は容易に高額化します。

加えて、一定のデータ侵害については消費者による私的訴権（集団訴訟）が認められている点も、CCPAの大きな特徴です。近年CPPAは執行姿勢を強めており、他州の当局と連携した合同調査も行われています。

企業がとるべき対応ステップ

1. 適用対象かを判定する：カリフォルニア州住民のデータをどれだけ扱っているかを確認します。まずここを曖昧にしたまま先に進まないことです。
2. データを棚卸しする：どの情報を、どこから集め、どのツールに流し、誰と共有しているか。とくに広告タグ、MA、CDP、アクセス解析の連携先をすべて洗い出します。
3. 通知とポリシーを整備する：収集時の通知とプライバシーポリシーに、収集項目・目的・保存期間・提供先・権利行使の方法を明記します。
4. オプトアウト導線を実装する：オプトアウトのリンクを設置し、GPCシグナルを受信・尊重できるようにします。同意管理プラットフォーム（CMP）とタグマネージャーを連動させ、拒否が実際にタグ発火の停止まで届いているかを検証しましょう。
5. 権利行使への対応フローをつくる：開示・削除・訂正の請求を受け付ける窓口と、本人確認、期限管理、委託先への伝達までを手順化します。
6. 記録を残す：2026年以降は「対応したこと」を証明できるかが問われます。リスクアセスメントや請求対応の記録を、監査に耐える形で保管しましょう。

まとめ

CCPAとは、カリフォルニア州の消費者に個人情報のコントロール権を与える、米国初の包括的なプライバシー法です。CPRAによる改正で権利が拡充され、専門機関CPPAが執行を担っています。日本企業でも、州住民のデータを一定量扱っていれば適用対象になり得ます。

マーケティング実務でとくに重要なのは、金銭を伴わない広告目的のデータ連携も「販売・共有」に当たり得ること、そしてGPCシグナルを技術的に尊重する必要があることです。2026年の改正でルールは「文書を整える」から「運用を証明する」段階へ進みました。まずは自社のデータの流れを棚卸しし、広告タグの先に何が渡っているかを確認するところから始めてみましょう。

※本記事は一般的な情報提供を目的としたものであり、法的助言ではありません。また、法令や規則は改正される可能性があります。自社への適用可否や具体的な対応については、必ず最新の一次情報を確認のうえ、専門家にご相談ください。