CCPAとは？適用確認・販売と共有・GPC対応を整理するチェック表
CCPAは、米国カリフォルニア州の消費者プライバシーに関する法律です。日本企業でも関係する可能性がありますが、「州住民がサイトを見た」「広告タグを使っている」という事実だけで適用が確定するわけではありません。事業の条件、データの流れ、契約上の役割を集めて判断し、対象となる権利や選択を実際の処理へ反映することが必要です。
以下は2026年10月9日に確認した公式資料に基づく一般的な整理です。確認表は判断材料を集めるためのものであり、個別企業の適用や契約の適法性を自動で判定するものではありません。
CCPA・CPRA・CPPAを区別する
CCPAはCalifornia Consumer Privacy Act、CPRAはその改正を行ったCalifornia Privacy Rights Act、CPPAはCalifornia Privacy Protection Agencyという監督機関です。CPRAをCCPAと並行する別制度として扱うより、改正後のCCPAと、その規則・執行を確認すると整理しやすくなります。関係はCPPAの公式FAQで説明されています。
CCPAでは、消費者が情報の開示、削除、訂正、販売・共有のオプトアウト、一定の機微個人情報の利用・開示の制限などを求める権利や、権利行使により差別的に扱われない権利が定められています。それぞれに条件や例外があるため、一種類の「同意」だけで対応が完了するとは考えません。
また、GDPRを「すべて事前同意」、CCPAを「拒否されるまでは何でも利用可能」と対比するのは不正確です。EDPBの公式説明では、GDPRに同意以外の処理根拠もあることを示しています。端末への保存・アクセスに関する規律と、個人データを処理する根拠も分けて確認します。
適用確認に必要な事業・売上・データの事実
CPPAは、営利事業者で、カリフォルニア州で事業を行い、消費者の個人情報を収集し、処理の目的・方法を決定することなどの基本条件と、売上や販売・共有などの基準を説明しています。所在地が日本であることだけで対象外とは言えず、データの取扱件数だけでも判断できません。
確認する事実 | 集める資料 | 混同しやすい点 |
|---|---|---|
事業の基本条件 | 法人・事業の形態、州内での事業、収集と目的決定の実態 | 州からアクセスがあることだけで確定しない |
年間総売上 | 対象年度と集計範囲を示す財務資料 | 基準額の適用時点と算定条件を確認する |
購入・販売・共有の規模 | 州住民または世帯の個人情報の年間取扱を分類した資料 | 単なる処理件数・PV・端末数と同じではない |
収益の構成 | 販売・共有に由来する年間収益の割合 | 売上全体と個人情報由来の収益を分ける |
受託・関連組織・例外 | 契約、関連組織、対象情報の区分 | 事業者に該当しなくても別の義務があり得る |
売上基準額は、2025年1月1日から26,625,000米ドルに調整されています。CPPAの金額調整表による調整は奇数年ごとであり、毎年と説明しないようにします。今後の額を先取りせず、判定対象年度に適用される額と売上の算定条件を照合してください。
ほかの基準には、カリフォルニア州の消費者または世帯10万以上の個人情報を購入・販売・共有すること、年間収益の50%以上を州住民の個人情報の販売・共有から得ることがあります。10万という数字に一般的な「処理」を加え、訪問数が10万だから必ず適用されると説明するのは避けます。サービスプロバイダーや契約者等にも役割に応じた義務があるため、契約関係を併せて法務へ渡します。
販売・共有・委託をデータの流れで確認する
CCPAにおける販売は、現金で情報を売る場面だけに限りません。また、共有はクロスコンテキスト行動広告に関係する特有の概念です。広告、解析、委託というツール名や社内分類だけで結論を出さず、渡す情報、目的、相手ができること、契約上の制限を確認します。販売・共有に関する権利の説明はカリフォルニア州司法長官の公式案内も参照できます。
データの流れ | 確認する内容 | 必要な判断・対応 | 残す証拠 |
|---|---|---|---|
閲覧ページから広告送信先へ | 識別子、URL、目的、相手の利用範囲 | 販売・共有等に該当するかとオプトアウトの反映 | 設定、送信確認、契約の該当箇所 |
顧客データから業務委託先へ | 項目、処理内容、独自利用の有無 | 契約上の役割と利用制限、権利請求の連携 | 契約、処理手順、対応記録 |
アプリからSDK経由で送信 | SDK、識別子、目的、送信先 | 端末・アプリ・受領側で必要な対応 | SDK版、設定、試験結果 |
権利請求の窓口から社内へ | 対象情報、担当、例外、期限 | 必要な確認と処理、送信先への連絡 | 判断理由、完了確認、回答 |
架空の記入例なら「商品ページ／ブラウザ識別子と閲覧URL／広告プラットフォーム／広告目的／契約上の役割は確認中／GPC受信時の送信挙動は未試験／広告担当と法務が確認」です。「委託なので問題なし」と結論だけを書くより、何を確かめれば判断できるかが明らかになります。
ブラウザでタグが発火しないことと、サーバーから送信されないことは別です。送信経路を途中で止めず、受領先と利用目的まで追います。アプリで広告識別子を扱う場合はAAIDとSDKの確認表を使い、プラットフォームの仕様やポリシーも別に照合しましょう。
GPCと権利請求を処理へ反映する
GPC（Global Privacy Control）は、利用者の販売・共有に対するオプトアウトの選択を伝える仕組みの一つです。対象となる事業者は、要件を満たすオプトアウト選好シグナルを有効な請求として尊重する必要があります。画面にバナーやリンクがあることだけでは、受信した選択が実際の処理に反映されたと確認できません。
- どこでGPCや個別の選択を受け取り、どの範囲へ反映する設計かを明らかにする。
- ブラウザ送信とサーバー送信を含め、販売・共有に関係する経路を確認する。
- 選択前後で送信と受領側の扱いを試し、対象情報・条件・日時を記録する。
- 開示・削除・訂正等は、請求の種類に応じた確認と期限管理、必要な連携を設計する。
- 未確認の経路や例外判断を担当者へ戻し、消費者への回答と実処理の整合を確認する。
これは運用を組み立てる手順例です。すべての請求に同じ本人確認や処理を当てはめるのではなく、権利ごとの要件・例外を公式資料と照合します。「削除ボタンを押せた」ことと、対象データの処理が完了したことも分けて記録します。
広告配信の成果指標を見る担当者も、選択が反映された範囲と測定条件を把握する必要があります。PPC広告の指標と運用を整理する際に、送信されなかった観測を実際の利用者行動が消えたと解釈しないようにしましょう。
2026年の施行と段階的な遵守期限を分ける
CPPAの最終規則の公表ページでは、2025年9月22日のOAL承認と、2026年1月1日の施行を確認できます。規則が施行された日と、個別の対象に求められる遵守期限は同じとは限りません。
CPPAのFAQは、ADMT（自動意思決定技術）固有の要件について2027年1月1日までの遵守を示しています。リスク評価やサイバーセキュリティ監査も対象条件と段階的な期限を区別する必要があります。「2026年から全企業が直ちにすべての監査を受ける」とまとめないようにします。
自社の対応台帳には「規則／対象となる処理／適用条件／施行日／個別の期限／確認した条項／責任者」を残します。監査の細かな売上段階、開示期間、制裁金の総額などは、それぞれの条文と事実を照合して判断します。期限の見出しだけを見て、対象外と判断したり準備を後回しにしたりしないことが大切です。
マーケター・開発・法務の確認表を運用する
マーケターは目的、媒体、データ連携、広告利用を、開発は実際の送信、SDK、選択反映、変更履歴を、法務は適用と役割、契約、例外、期限を確認します。最終判断の担当者と、事実を提供する担当者を分けて置くと、回答待ちの事項が見えます。
実装が変更されたら、古い確認結果を引き継ぐだけでなく、送信先や利用目的、選択反映が変わっていないかを再点検します。既存の仕組みが分からず確認できない場合は、業務とシステムの棚卸しから依存関係を可視化します。法令の要約、契約の記載、技術的な動作の三つが一致しているかを継続して確認することが、チェック表を実務に役立てる条件です。
