カリフォルニア州が500社のデータブローカーに個人情報削除を義務化

カリフォルニア州のDROPプラットフォームを通じて既に削除リクエストを提出していた21万5,000人の州民に、8月1日から新たな動きがあった。彼らのデータを保有する企業は、法的にそのリクエストに対応しなければならなくなったのだ。この日を境に、カリフォルニア州に登録されたすべてのデータブローカーは、未処理の削除リクエストを取得し、処理することが義務付けられた。米国の州として初めて、業界全体に対して同時に一元的な削除要求を課す仕組みである。

このプラットフォームは、消費者と、ほとんどの人が目にすることのないデータの世界との間をつなぐ「清算機関」として機能する。州民はdrop.privacy.ca.govにアクセスし、カリフォルニア州のゲートウェイまたはlogin.govを通じて本人確認を行い、氏名、メールアドレス、電話番号、郵便番号を提供する。オプションとして、スマートフォンに紐づく永続的な識別子であるモバイル広告IDと、車両識別番号も含めることができる。一度の送信で、登録されたすべてのブローカーに同時に削除要求が届く。これまでは消費者が各企業に個別に連絡する必要があり、一部のブローカーは検索エンジンからオプトアウトフォームを隠すなど、意図的に手続きを困難にしていた。

この法律の対象となる企業は、一般にはあまり知られていない。データブローカーとは、購買履歴を集約し、広告主向けに人口統計・心理プロファイルを構築し、スマートフォン、スマートテレビ、コネクテッドカーから得られる位置情報パターンを販売するビジネスである。Acxiom、LexisNexis、Spokeo、BeenVerifiedといった企業がこの分野で事業を展開している。また、ほとんどの消費者が聞いたことのないアドテクプラットフォームやオーディエンスセグメント販売業者も含まれるが、それらの企業はおそらく消費者の詳細な記録をすでに保有している。

罰則体系は、違反に実質的なコストを課すように設計されている。無視された削除リクエスト1件につき、1日あたり200ドル、ブローカーが対応するまで課される。この金額は、数百件のリクエストを受け取る企業にとっては急速に膨れ上がる可能性がある。カリフォルニア州のプライバシー執行機関は、すでに基本的な登録義務違反に対して罰金を科している——Datamastersには42,000ドル、S&P Globalには62,000ドル——そして、削除義務の執行を強化する見込みである。ただし、罰金が適用されるのは登録されたブローカーのみである。登録せずに事業を運営している企業はDROPシステムに一切表示されず、現在の枠組みの下では自動的な削除義務を負わない。

コンプライアンスのタイムラインは、消費者が期待するよりも遅い。ブローカーは少なくとも45日に1回はDROPシステムにアクセスして新たなリクエストを取得し、その後さらに45日以内に各リクエストを処理しなければならない。つまり、今日提出された削除リクエストが完了するまでに最大3か月かかる可能性がある。削除後に第三者から購入したデータがブローカーのデータベースに再び入った場合も、抑制ルールに基づいて削除されなければならない。HIPAAの対象となる医療機関、GLBAの規制を受ける金融機関、および公正信用報告法の適用を受ける企業はすべて免除されており、医療履歴や信用情報に影響を与えるデータエコシステムの一部は対象外となっている。

カリフォルニア州の法律は、米国で初めての一元的な削除メカニズムである。同様の州レベルの法案は、他に十数州で審議中である。カリフォルニア州自体の次のマイルストーンは2028年に訪れる。その年、法律は登録データブローカーに対し、独立したプライバシー監査を受けることを義務付け、その結果は2029年までに州のプライバシー機関に提出されることになる。

タグ: データプライバシー, California Delete Act, CalPrivacy, データブローカー, プライバシー法, 個人データ